Shadow AI: la IA que tu empresa ya usa sin saberlo

El shadow AI no aparece porque tu equipo sea imprudente, sino porque estas herramientas son útiles, gratuitas o casi, y están a un clic. Prohibirlas en bloque no funciona: empuja el uso a los móviles personales y te deja sin visibilidad. El problema no es que se usen; es que no sabes cuáles, para qué, ni con qué datos.

«Shadow AI» no aparece en ningún reglamento. Lo que sí aparece:

• EU AI Act, Art. 3.4: responsable del despliegue es quien utiliza un sistema de IA «bajo su propia autoridad», con la única excepción de la actividad personal no profesional. El uso profesional de estas herramientas por tu personal apunta directamente a esa definición — y las obligaciones del Reglamento se asignan por sistema, lo conozcas o no.
• EU AI Act, Art. 4: las medidas de alfabetización, en vigor desde el 2 de febrero de 2025, alcanzan a tu personal «y demás personas que se encarguen en su nombre» del uso de sistemas de IA. Difícil adoptar medidas sobre herramientas que no sabes que existen.
• RGPD: si un empleado introduce datos personales de clientes o de plantilla en una herramienta sin contrato ni garantías, tu empresa sigue siendo responsable del tratamiento. Esta es, en la práctica, la exposición más inmediata.

Y la presión no llega el día de una fecha legal: llega antes, por correo — un cliente grande pidiendo evidencias, un cuestionario de procurement, un consejo preguntando «¿cómo usamos IA?».

1. Descubre. Encuesta corta y honesta al equipo —sin sanción retroactiva— más revisión de gastos y extensiones. El objetivo es la lista real, no la lista cómoda.
2. Inventaría. Cada herramienta con su ficha: quién la usa, para qué, desde cuándo. Descarga la plantilla de inventario →
3. Revisa proveedores. Qué dice cada proveedor de tus datos: dónde se tratan, si entrenan con ellos, qué contrato ofrece.
4. Clasifica. Sitúa cada uso en el marco del AI Act y del RGPD. La mayoría será riesgo mínimo; lo importante es poder demostrar por qué. Guía del EU AI Act →
5. Decide y escribe la política. Qué se permite, qué requiere aprobación y qué no entra — con el criterio escrito, no como lista de prohibiciones.
6. Mantén el registro vivo. Las herramientas nuevas llegarán el mes que viene. Sin un proceso de alta, el inventario caduca en semanas.

Una hoja de cálculo resuelve el primer inventario. Lo que no resuelve es demostrar, seis meses después, desde cuándo consta cada herramienta, quién decidió su clasificación y qué había antes. Alethexis M1 · Visibilidad es exactamente esa capa: el inventario gobernado, con histórico, autor y fecha de cada cambio, y evidencia exportable.

Cómo funciona →