Aunque una empresa nunca haya aprobado formalmente el uso de IA generativa, es casi seguro que ya se está usando dentro de ella. Se llama "Shadow AI" (IA en la sombra): empleados usando ChatGPT, Gemini u otras herramientas de IA generativa con cuentas personales, sin gobernanza, sin acuerdo de tratamiento de datos y sin que nadie en la empresa lo sepa ni lo haya evaluado. Es un riesgo distinto de elegir mal una herramienta de IA para el negocio: aquí el problema no es qué herramienta se compra, sino lo que ya está pasando sin que nadie lo haya decidido. Esta guía explica qué es exactamente, dónde recae la responsabilidad legal cuando sale mal, y cómo gestionarlo de forma realista sin prohibir la IA por completo.
Qué es exactamente el Shadow AI
El término se define de forma directa por fuentes especializadas en seguridad: es "el uso no autorizado, no supervisado y no gobernado de herramientas de inteligencia artificial generativa por parte de empleados dentro del entorno corporativo". La clave no es que se use IA —eso puede ser deseable— sino que se use sin que la empresa lo sepa, lo apruebe ni lo supervise. En la práctica, esto ocurre constantemente y de forma casi invisible: un empleado pega el contenido de un contrato en ChatGPT para que se lo resuma más rápido, alguien sube una hoja de cálculo con datos de nómina a una IA para generar un informe, un community manager pega datos de una campaña de un cliente en una herramienta de IA para redactar más rápido. Ninguna de estas acciones requiere pedir permiso a nadie porque cualquiera puede abrir estas herramientas en el navegador sin fricción — y esa misma facilidad es lo que hace que el problema crezca sin que nadie lo note.
Dónde recae la responsabilidad legal (y no es donde se suele pensar)
La cuestión legal clave del Shadow AI bajo el RGPD es que la responsabilidad no recae principalmente en el empleado que usó la herramienta sin autorización, sino en la empresa como responsable del tratamiento de los datos. Si un empleado introduce datos personales de clientes en una herramienta de IA sin control, la empresa sigue siendo quien responde ante una autoridad de protección de datos por ese tratamiento, aunque no lo hubiera autorizado ni supiera que ocurría — del mismo modo que una empresa responde por otras filtraciones de datos causadas por negligencia interna. Un riesgo específico y muy citado en este contexto es el de las transferencias internacionales de datos: buena parte de las herramientas de IA generativa más usadas procesan datos en servidores fuera de la Unión Europea, lo que exige salvaguardas adicionales bajo el marco post-Schrems II del RGPD para transferencias a Estados Unidos — salvaguardas que casi nunca existen cuando el uso de la herramienta ni siquiera está documentado dentro de la empresa.
La fuga de datos no es hipotética: el caso Samsung y las cifras del sector
El riesgo del Shadow AI no es una posibilidad remota — hay un caso ampliamente documentado y citado como ejemplo de referencia: ingenieros de Samsung filtraron código fuente confidencial y notas internas de fabricación al pegarlos en ChatGPT para pedir ayuda con tareas de trabajo, sin que existiera "un sistema de monitorización proactivo" que lo detectara a tiempo — un incidente que llevó a la propia Samsung a restringir el uso de herramientas de IA generativa internamente después de ocurrido, no antes. Fuentes especializadas en seguridad citan cifras del sector que ilustran la magnitud del problema más allá de un caso aislado: hasta un 11% de los datos que los empleados introducen en ChatGPT contendría información confidencial de la empresa, y más del 75% de los empleados usaría IA generativa en el trabajo sin aprobación del departamento de TI. Estas cifras proceden de estudios de terceros recogidos por fuentes de seguridad, no de una medición propia de bridge-engine, pero la dirección del problema es consistente: cuanto más se usa IA generativa sin gobernanza, mayor es la probabilidad de que datos sensibles salgan de la empresa sin que nadie lo autorice ni lo sepa.
Por qué prohibir la IA por completo no funciona
La respuesta instintiva de muchas empresas al conocer el riesgo del Shadow AI es prohibir el uso de IA generativa por completo — y es, según coinciden las fuentes especializadas, la peor respuesta posible en la práctica. Cuando se bloquea el acceso a estas herramientas sin ofrecer una alternativa gestionada, los empleados que ya las usan para trabajar más rápido no dejan de usarlas: buscan formas de saltarse el bloqueo, usan sus propios dispositivos personales fuera de la red corporativa, o cambian a herramientas todavía más difíciles de detectar por el departamento de TI — lo que empeora la visibilidad del problema en lugar de resolverlo. El enfoque que recomiendan las fuentes de seguridad es el de "permitir con control": en lugar de prohibir, ofrecer una vía aprobada y gestionada (herramientas con acuerdo de tratamiento de datos, cuentas corporativas en lugar de personales) combinada con medidas técnicas de visibilidad —como sistemas de control de acceso a la nube (CASB) o de prevención de fuga de datos (DLP)— y una política de uso aceptable clara, en lugar de depender solo de la prohibición.
Plantilla mínima para introducir una política sin prohibir la IA
Para una pyme española de tamaño pequeño o mediano, una comunicación interna breve puede sentar las bases sin necesitar un proyecto de cumplimiento normativo completo: primero, reconocer explícitamente que el equipo ya usa IA generativa para trabajar (negarlo no cambia la realidad, solo la hace invisible); segundo, indicar qué herramientas están aprobadas para uso con datos de la empresa (idealmente con cuenta corporativa/de equipo, no cuentas personales gratuitas, que legalmente no ofrecen las mismas garantías de tratamiento de datos); tercero, ser explícito sobre qué tipo de datos no deben introducirse nunca en una IA sin anonimizar (datos identificativos de clientes, información financiera o de salud de terceros, código fuente o información confidencial del negocio); cuarto, ofrecer un canal claro para preguntar dudas antes de usar una herramienta nueva, en lugar de que cada persona decida por su cuenta; y quinto, revisar esta política de forma periódica a medida que cambian las herramientas disponibles. El objetivo realista no es eliminar el uso de IA en la sombra a cero, sino reducirlo de forma sustancial dándole a los empleados una alternativa igual de cómoda pero visible para la empresa.
Recibe nuevas guías directamente en tu correo
Nota editorial
El Shadow AI no es un riesgo teórico: casos documentados como el de Samsung y las cifras del sector muestran que empleados ya están introduciendo datos sensibles en herramientas de IA sin gobernanza, y la empresa —no el empleado— es quien responde legalmente ante el RGPD cuando eso sale mal. Prohibir sin ofrecer alternativa empeora la visibilidad del problema; una política breve de "permitir con control" con herramientas aprobadas y datos claramente delimitados cubre la mayoría del riesgo real sin frenar la productividad que la IA sí aporta. Guía actualizada a agosto de 2026.
Fuentes consultadas
Publicidad
Sigue leyendo
Grabar reuniones con IA (Otter, Fireflies): qué dice la ley sobre el consentimiento
Un demandante colectivo ya lleva a Otter.ai a los tribunales en EE.UU. por grabar reuniones sin el consentimiento de todos los participantes — qué implica esto para un equipo español que usa este tipo de herramientas de transcripción automática
Clonación de voz con IA: cómo funciona de verdad y cómo protegerte de la estafa
La clonación de voz con IA (ElevenLabs y similares) tiene usos legítimos reales, pero la misma tecnología ya es la base de una estafa telefónica documentada en España — cómo funciona técnicamente, para qué se usa bien, y cómo verificar una llamada sospechosa
¿De quién son los derechos de una imagen generada con IA en España?
Si usas Midjourney, DALL-E o Canva IA para el logo o las imágenes de tu negocio, en España esa imagen probablemente no tiene protección de derechos de autor — qué significa esto en la práctica antes de usarla comercialmente
CRM con inteligencia artificial para pymes: HubSpot, Salesforce y alternativas
HubSpot AI, Salesforce Einstein o alternativas más baratas: qué CRM con IA conviene realmente a una pyme española en 2026
Marketing con IA
Chatbot de IA en WhatsApp Business: guía y lo que ya sanciona la AEPD
Varios proveedores ya venden chatbots de IA para WhatsApp Business a pymes españolas desde unos 800€ — pero la AEPD ya ha sancionado con hasta 70.000€ el mal uso de WhatsApp con datos de clientes, y un chatbot de IA añade una capa de riesgo que ninguna guía comercial menciona
Productividad con IA
¿Puedes deducir ChatGPT Plus u otras suscripciones de IA como autónomo?
La suscripción a ChatGPT Plus, Notion AI o cualquier otra herramienta de IA puede ser gasto deducible en tu IRPF — qué exige Hacienda para aceptarlo y qué pasa cuando el proveedor factura desde fuera de España