Shadow AI: cómo detectarla y crear un inventario de IA
Shadow AI (IA en la sombra) es el uso de herramientas de IA en el trabajo sin conocimiento ni aprobación de la empresa: cuentas personales de chatbots, extensiones, transcriptores o funciones de IA activadas en software contratado. Se controla con un inventario de IA: un registro vivo de qué IA se usa, para qué y con qué datos.
Lo esencial en breve
- La shadow AI no suele nacer de la mala fe, sino de la falta de alternativas aprobadas. Prohibir sin ofrecer nada la empuja a los móviles personales.
- Sus riesgos principales son la fuga de datos personales y secretos comerciales, incumplimientos del RGPD y usos que el Reglamento de IA prohíbe o somete a transparencia.
- Para el Reglamento de IA, no se puede clasificar ni formar sobre lo que no se conoce: el inventario es el primer paso de cualquier plan de cumplimiento.
- Para detectarla se combinan una encuesta con «amnistía», datos técnicos (proxy, SSO, extensiones) y revisión de gastos y contratos.
- El inventario solo sirve si se mantiene: conéctelo a compras, a la aprobación de nuevas herramientas y a la política de uso.
Qué es la shadow AI y cómo aparece en una empresa española
El término viene de shadow IT, la tecnología que los empleados usan al margen del departamento de sistemas. Con la IA generativa el fenómeno se ha multiplicado porque las herramientas son gratuitas, se usan desde el navegador y dan resultados inmediatos. Algunos ejemplos habituales:
- Un comercial pega en su cuenta personal de un chatbot la lista de precios y las condiciones de un cliente para redactar una oferta.
- Una persona de RR. HH. sube currículos a una web que los «puntúa» con IA.
- Un bot de transcripción se une solo a las reuniones de Teams o Zoom porque alguien lo autorizó una vez con su cuenta corporativa.
- El proveedor del CRM activa una función de IA generativa en una actualización y nadie revisa dónde se procesan los datos.
- Un equipo de desarrollo usa un asistente de código con la cuenta gratuita y envía fragmentos de código propietario.
Ninguno de estos casos es exótico, y la mayoría no aparece en ningún registro.
¿Necesitan ayuda experta con shadow ai: cómo detectarla y crear un inventario de ia?
Nuestros arquitectos cloud les ayudan con shadow ai: cómo detectarla y crear un inventario de ia — desde la estrategia hasta la implementación. Reserven una consulta gratuita de 30 minutos sin compromiso.
Por qué importa: RGPD, secretos y Reglamento de IA
El primer riesgo es la fuga de información. Introducir datos personales en una herramienta no contratada es un tratamiento sin contrato de encargado, a menudo con transferencias fuera del Espacio Económico Europeo; la AEPD lo analiza en sus guías y en sus orientaciones de 2026 sobre IA agéntica. El segundo, la pérdida de secretos comerciales y de confidencialidad con clientes.
El tercero es regulatorio. El Reglamento de IA se aplica por sistema y por uso, y sin saber qué se usa no puede clasificarse nada. Además, varias obligaciones ya exigibles dependen de conocer el uso real: fomentar la alfabetización en IA de quien usa las herramientas (lo explicamos en alfabetización en IA y formación obligatoria), garantizar que nadie usa prácticas prohibidas, como inferir emociones de compañeros, y cumplir la transparencia del artículo 50 cuando se publica contenido sintético.
Si quiere medir de una vez cuánto control tiene sobre el uso de IA, el diagnóstico gratuito de gobernanza de la IA de Opsio incluye preguntas sobre inventario y shadow AI y le entrega los documentos base para ordenarlo.
Cómo detectar la shadow AI: seis fuentes
- Encuesta con amnistía. Pregunte a la plantilla qué herramientas de IA usa y para qué, dejando claro que el objetivo es aprobar alternativas, no sancionar. Suele ser la fuente que más revela.
- Registros de red y proxy. Los dominios de los principales servicios de IA son conocidos. Un informe del tráfico durante unas semanas muestra volumen y áreas.
- Aplicaciones conectadas al inicio de sesión corporativo. En Microsoft Entra ID o Google Workspace puede ver qué aplicaciones de terceros han recibido permisos con cuentas de la empresa. Ahí aparecen transcriptores y asistentes.
- Extensiones del navegador. Si gestiona los equipos con una herramienta de gestión de dispositivos, obtenga el listado de extensiones instaladas.
- Gastos y tarjetas. Suscripciones mensuales pagadas con tarjeta corporativa o pasadas como gasto.
- Contratos y actualizaciones de proveedores. Revise qué funciones de IA han añadido sus proveedores de software en los últimos meses y si están activadas.
Qué campos debe tener el inventario de IA
El inventario no tiene que ser una herramienta compleja. Una hoja de cálculo bien diseñada sirve para empezar. Campos recomendados:
| Campo | Para qué sirve | Ejemplo |
|---|---|---|
| Nombre y versión | Identificar el sistema | Asistente de IA del CRM, versión de octubre de 2026 |
| Proveedor y modelo subyacente | Diligencia debida y transferencias | Proveedor del CRM; modelo de un tercero |
| Área y responsable interno | Saber a quién preguntar | Ventas; directora comercial |
| Finalidad y casos de uso | Clasificar el riesgo | Resumir llamadas y proponer siguiente acción |
| Usuarios y personas afectadas | Alfabetización y derechos | 40 comerciales; clientes |
| Datos tratados | RGPD y clasificación de la información | Datos de contacto, notas de llamadas |
| Rol según el Reglamento | Saber qué obligaciones aplican | Responsable del despliegue |
| Nivel de riesgo y justificación | Prioridades y fechas | Riesgo mínimo; no decide sobre personas |
| Estado | Gobierno del ciclo de vida | Aprobado con condiciones |
| Evaluación de riesgos y fecha de revisión | Trazabilidad | Evaluación de marzo de 2026, revisión anual |
Para los sistemas que lo necesiten, enlace cada ficha con su evaluación; la plantilla de evaluación de riesgos de IA está pensada para usarse junto al inventario.
Del descubrimiento a la decisión: triaje
Con la lista en la mano, decida para cada herramienta una de cuatro salidas:
- Aprobar, si cumple seguridad, protección de datos y condiciones contractuales.
- Aprobar con condiciones: solo versión corporativa, solo para información pública o interna, con formación previa.
- Sustituir por una alternativa aprobada que cubra la misma necesidad.
- Bloquear, cuando no hay forma de hacerla segura o el uso es prohibido.
Comunique el resultado con la lista de herramientas aprobadas y una política de uso de la IA clara. Si la shadow AI apareció, es porque había una necesidad; si la cubre con una opción aprobada, reducirá el problema más que con cualquier bloqueo. Para controles técnicos de seguridad sobre la IA, el equipo de seguridad y cumplimiento de IA de Opsio puede ayudar.
El siguiente frente: agentes de IA no autorizados
La shadow AI ya no se limita a preguntar cosas a un chatbot. Cada vez más herramientas permiten crear agentes que leen el correo, consultan el CRM o ejecutan acciones en nombre del usuario, a menudo con unos pocos clics y permisos amplios. Un agente conectado por un empleado a su buzón corporativo puede reenviar información o actuar sin que nadie lo revise. La AEPD publicó en febrero de 2026 orientaciones sobre IA agéntica que insisten en definir y documentar el nivel de autonomía de cada agente. Para el inventario, eso significa añadir dos campos: qué permisos tiene el agente y qué acciones puede ejecutar sin confirmación humana. Si quiere entender mejor qué son y cómo se usan, tiene nuestra guía sobre agentes de IA.
Cómo mantener el inventario vivo
- Puerta de compras: ninguna herramienta con IA se contrata sin pasar por el inventario.
- Revisión de proveedores: pregunte en cada renovación qué funciones de IA se han añadido.
- Canal de solicitudes: un formulario sencillo para pedir herramientas nuevas, con respuesta en plazo razonable.
- Revisión periódica: repita la detección técnica cada trimestre o semestre.
- Responsable claro: alguien con nombre y apellidos mantiene el registro.
El inventario es también la base del análisis de brechas de la ley de IA: sin él, no hay forma de priorizar.
Preguntas frecuentes sobre shadow AI e inventario de IA
¿Qué es la shadow AI?
Es la IA que se usa en una organización sin conocimiento ni aprobación de quien la gobierna: cuentas personales de chatbots, extensiones, transcriptores, generadores de imágenes o funciones de IA activadas en programas contratados. Es una forma de shadow IT con un riesgo añadido: lo que se introduce puede salir de la empresa y reutilizarse.
¿Es obligatorio tener un inventario de IA?
El Reglamento de IA no exige un documento con ese nombre a todas las empresas, pero sin inventario no puede cumplir lo que sí exige: clasificar sus sistemas, evitar prácticas prohibidas, formar a quien usa IA y aplicar la transparencia. El proyecto de ley español caducado preveía además un inventario obligatorio para la IA del sector público estatal.
¿Cómo se detecta la shadow AI sin espiar a los empleados?
Combinando fuentes agregadas y participación: una encuesta voluntaria con amnistía, informes de tráfico por dominio sin analizar contenidos, el listado de aplicaciones conectadas a cuentas corporativas y la revisión de gastos. Cualquier monitorización debe respetar el RGPD y la normativa laboral, e informarse a la plantilla y a su representación cuando proceda.
¿Debemos bloquear ChatGPT para evitar la shadow AI?
Bloquear sin alternativa suele empeorar el problema, porque el uso pasa al móvil personal. Funciona mejor ofrecer una herramienta corporativa con condiciones adecuadas, reglas claras sobre la información y formación. El bloqueo tiene sentido para herramientas concretas que no pueden hacerse seguras.
¿Qué herramienta usar para el inventario de IA?
Para empezar, una hoja de cálculo con los campos de la tabla de este artículo basta. Si ya tiene una herramienta de gestión de activos, de riesgos o de cumplimiento, añada allí los campos de IA para no duplicar. Lo importante es que haya un responsable y que compras no pueda saltárselo.
Ponga orden en el uso de IA de su organización
Detectar la shadow AI es la mitad del trabajo; la otra mitad es darle reglas y alternativas. El diagnóstico de Opsio con plantillas de política y gobernanza de IA le plantea catorce pasos de preguntas en español, unos 40 minutos, y al enviarlo redacta a partir de sus respuestas un marco de gobernanza de la IA, una política de uso aceptable, un checklist de proveedores de IA y una plantilla de evaluación de riesgos, más una foto de madurez en diez áreas. Los documentos se entregan en inglés como Word editable y son suyos. Gratis, sin tarjeta y sin compromiso.
Este artículo es información general y no constituye asesoramiento jurídico. Consulte el texto consolidado del Reglamento (UE) 2024/1689 en su versión modificada por el Reglamento (UE) 2026/1744. Fechas y autoridades, a octubre de 2026.
Sobre el autor
Director de Innovación
Jacob lidera la innovación en Opsio, especializándose en transformación digital, IA, IoT y soluciones impulsadas por la nube que convierten tecnología compleja en valor empresarial medible. Con casi 15 años de experiencia, trabaja estrechamente con los clientes para diseñar soluciones escalables de IA e IoT, optimizar procesos de entrega y crear estrategias tecnológicas que impulsen un crecimiento sostenible y un impacto empresarial a largo plazo.
Normas editoriales: Este artículo lo ha escrito un profesional certificado y lo ha revisado nuestro equipo de ingeniería. Lo actualizamos cuando cambia la tecnología o la normativa que trata; las fechas de arriba indican la última actualización. Opsio mantiene su independencia editorial: recomendamos soluciones por su mérito técnico, no por relaciones comerciales.