No hace falta una política de IA para tener un problema de IA en la sombra: los datos dicen que tu equipo ya la usa, con o sin permiso. La solución es honesta.
Si le preguntaras ahora mismo a la persona que atiende el teléfono si alguna vez ha pegado los datos de un cliente en ChatGPT para responder más rápido, ¿qué te diría?
Sé sincero contigo mismo con la respuesta, porque los datos dicen que podrías estar equivocado en cualquiera de los dos sentidos.
Un repaso reciente de varias encuestas laborales de 2026 pone números concretos a algo que la mayoría de los dueños de negocio solo sospechan. Un estudio encontró que el 49% de los trabajadores usa IA de formas que su empresa no ha aprobado. Otra encuesta, a 17.000 empleados de oficina, encontró que el 20% se describe a sí mismo como usuario "clandestino" de IA: personas que la usan de forma habitual y lo niegan activamente si se les pregunta. Y en una encuesta de Zapier a directivos de empresas más grandes, casi cuatro de cada cinco reconoció que sus empleados se saltan las normas de IA que ya existen, sencillamente para ir más rápido.
Fíjate en ese último dato: son empresas de más de 500 empleados, con departamento de cumplimiento normativo y tickets de IT para todo. Si ellos no pueden evitarlo, una gestoría de tres personas sin política de IA alguna no lo va a evitar por el simple hecho de no mencionar la palabra "IA". Ya está pasando. La única pregunta real es si tú lo sabes.
Qué aspecto tiene la "IA en la sombra" en el día a día
Casi nunca es dramático. Es la persona que gestiona la administración pegando el borrador de la declaración de un cliente en ChatGPT para sacar un resumen en lenguaje sencillo más rápido. Es quien revisa un contrato de un proveedor con una herramienta de IA antes de una reunión, porque es más rápido que interrumpirte a ti. Nadie intenta causar un problema: solo intenta llegar al final del martes.
Y por eso mismo no es realmente un problema de "IA". Es un problema de información. Lo que sea que se pegue en una cuenta personal de IA (los datos financieros de un cliente, un expediente, una dirección) sale de tu control en el momento en que alguien pulsa "enviar". Queda en los servidores de otra empresa, bajo sus condiciones, y por defecto muchas herramientas de IA gratuitas usan justo ese tipo de información para entrenar su próximo modelo. Escribí sobre cómo comprobar esto en tu propia cuenta aquí. El mismo funcionamiento por defecto se aplica a lo que escribe tu equipo, no solo a lo que escribes tú.
Por qué prohibirlo lo empeora, no lo arregla
El instinto, en cuanto sabes que esto está pasando, es escribir una política: nada de IA, punto. No va a funcionar, y los datos explican por qué. Una encuesta a responsables de IT encontró que el 86% había sufrido al menos un incidente negativo por uso no autorizado de IA en el último año, en empresas que ya tenían normas en contra. Una norma que la gente ignora en silencio no elimina el riesgo. Elimina tu capacidad de verlo, y convierte a tu empleado más resolutivo (el que se ha molestado en buscar una forma más rápida de hacer su trabajo) en alguien que te lo oculta.
Lo que realmente ayuda, al tamaño que realmente tienes
No hace falta un departamento de cumplimiento normativo para esto. Hace falta una conversación clara y una norma clara, y las dos caben en una tarde tranquila.
La conversación: pregunta a cada persona, sin ninguna penalización, para qué está usando ya la IA. No "¿tienes permiso?": eso solo invita a una respuesta cuidadosamente vaga. Pregunta qué le está ahorrando tiempo de verdad. Normalmente aprenderás algo útil sobre tu propio flujo de trabajo en el proceso: las herramientas que la gente usa a escondidas suelen estar resolviendo un problema real que no habías detectado.
La norma, una vez conocidas las respuestas: nada con el nombre de un cliente, sus datos financieros, información de salud o cualquier cosa que no querrías ver impresa en un cartel entra en una cuenta personal de IA. Todo lo demás (redactar, resumir, tener ideas) sigue como hasta ahora. Una sola línea cubre la mayor parte del riesgo real sin pedirle a nadie que renuncie a una herramienta que de verdad le está ayudando.
Lo que esto no resuelve
Una conversación de cinco minutos no es una auditoría de seguridad, y no va a pillar a alguien decidido a ocultar algo. Si tu negocio maneja datos realmente sensibles de forma habitual (historiales médicos, cuentas financieras, cualquier cosa con peso regulatorio real), esto es un mínimo, no un máximo. Merece la pena revisar herramientas de IA pensadas para empresas, con controles de datos de verdad, en lugar de que todo el mundo use en silencio la misma versión personal gratuita en otra pestaña del navegador. Y solo funciona si el "sin penalización" es de verdad: la primera vez que alguien reciba una bronca por admitir lo que usa, la visibilidad que acabas de ganar vuelve a desaparecer.
Empieza esta semana
Elige a una persona de tu equipo (la que, solo por intuición, crees que más usa la IA) y pregúntale, esta semana, para qué la ha estado usando de verdad. No para corregirla. Solo para saberlo. Todo lo demás sale de esa única respuesta sincera.