No cal cap política d'IA per tenir un problema d'IA a l'ombra: les dades diuen que el teu equip ja la fa servir, amb permís o sense. La solució és honesta.
Si ara mateix preguntessis a la persona que atén el telèfon si mai ha enganxat les dades d'un client a ChatGPT per respondre més ràpid, què et diria?
Sigues sincer amb tu mateix amb la resposta, perquè les dades diuen que et podries estar equivocant en qualsevol dels dos sentits.
Un recull recent de diverses enquestes laborals del 2026 posa xifres concretes a una cosa que la majoria de propietaris de negocis només sospiten. Un estudi va trobar que el 49% dels treballadors usa IA de maneres que la seva empresa no ha aprovat. Una altra enquesta, a 17.000 empleats d'oficina, va trobar que el 20% es descriu a si mateix com a usuari "clandestí" d'IA: gent que la fa servir habitualment i ho nega activament si li ho pregunten. I en una enquesta de Zapier a directius d'empreses més grans, gairebé quatre de cada cinc va reconèixer que els seus empleats es salten les normes d'IA que ja existeixen, senzillament per anar més ràpid.
Fixa't en aquesta última dada: són empreses de més de 500 empleats, amb departament de compliment normatiu i tiquets d'IT per a tot. Si ells no ho poden evitar, una gestoria de tres persones sense cap política d'IA no ho evitarà pel simple fet de no dir la paraula "IA". Ja està passant. L'única pregunta real és si tu ho saps.
Com és la "IA a l'ombra" en el dia a dia
Gairebé mai és dramàtic. És la persona que porta l'administració i enganxa l'esborrany de la declaració d'un client a ChatGPT per treure'n un resum en llenguatge planer més ràpid. És qui revisa un contracte d'un proveïdor amb una eina d'IA abans d'una reunió, perquè és més ràpid que interrompre't a tu. Ningú intenta causar cap problema: només intenta arribar al final de dimarts.
I per això mateix no és realment un problema d'"IA". És un problema d'informació. Tot allò que s'enganxi en un compte personal d'IA (les dades financeres d'un client, un expedient, una adreça) surt del teu control en el moment en què algú prem "enviar". Queda als servidors d'una altra empresa, sota les seves condicions, i per defecte moltes eines d'IA gratuïtes fan servir exactament aquest tipus d'informació per entrenar el seu proper model. Vaig escriure sobre com comprovar-ho al teu propi compte aquí. El mateix funcionament per defecte s'aplica al que escriu el teu equip, no només al que escrius tu.
Per què prohibir-ho ho empitjora, no ho arregla
L'instint, un cop saps que això passa, és escriure una política: gens d'IA, i punt. No funcionarà, i les dades expliquen per què. Una enquesta a responsables d'IT va trobar que el 86% havia patit almenys un incident negatiu per ús no autoritzat d'IA l'últim any, en empreses que ja tenien normes en contra. Una norma que la gent ignora en silenci no elimina el risc. Elimina la teva capacitat de veure'l, i converteix el teu empleat més resolutiu (el que s'ha molestat a buscar una manera més ràpida de fer la seva feina) en algú que t'ho amaga.
El que realment ajuda, a la mida que realment tens
No cal cap departament de compliment normatiu per a això. Cal una conversa clara i una norma clara, i totes dues caben en una tarda tranquil·la.
La conversa: pregunta a cada persona, sense cap penalització, per a què fa servir ja la IA. No "tens permís?": això només convida a una resposta acuradament ambigua. Pregunta què li està estalviant temps de veritat. Normalment aprendràs alguna cosa útil sobre el teu propi flux de treball en el procés: les eines que la gent fa servir d'amagat solen estar resolent un problema real que no havies detectat.
La norma, un cop conegudes les respostes: res amb el nom d'un client, les seves dades financeres, informació de salut o qualsevol cosa que no voldries veure impresa en un cartell entra en un compte personal d'IA. Tota la resta (redactar, resumir, tenir idees) continua com fins ara. Una sola línia cobreix la major part del risc real sense demanar a ningú que renunciï a una eina que de veritat l'està ajudant.
El que això no resol
Una conversa de cinc minuts no és una auditoria de seguretat, i no atraparà algú decidit a amagar alguna cosa. Si el teu negoci gestiona dades realment sensibles de forma habitual (historials mèdics, comptes financers, qualsevol cosa amb pes regulatori real), això és un mínim, no un màxim. Val la pena revisar eines d'IA pensades per a empreses, amb controls de dades de debò, en lloc que tothom faci servir en silenci la mateixa versió personal gratuïta en una altra pestanya del navegador. I només funciona si el "sense penalització" és de debò: la primera vegada que algú rep una bronca per admetre què fa servir, la visibilitat que acabes de guanyar torna a desaparèixer.
Comença aquesta setmana
Tria una persona del teu equip (la que, només per intuïció, creus que fa servir més la IA) i pregunta-li, aquesta setmana, per a què l'ha estat fent servir de debò. No per corregir-la. Només per saber-ho. Tota la resta surt d'aquesta única resposta sincera.