Las empresas se enfrentan a un problema creciente de shadow AI: empleados que utilizan cuentas personales de inteligencia artificial para procesar datos del trabajo. Esto ocurre cuando las herramientas corporativas se perciben como demasiado restrictivas, lentas o difíciles de usar. En México, un estudio de Google Workspace, IDC y Provokers encontró que el 67% de los trabajadores usa asistentes personales o no corporativos para tareas laborales. (source)

La adopción real avanza más rápido que la gobernanza oficial. La solución no es prohibir la IA, sino ofrecer una alternativa corporativa que sea suficientemente flexible, segura y fácil de reportar.

La fricción entre seguridad y utilidad explica el problema

1. La flexibilidad determina qué herramienta se usa

Las herramientas públicas suelen permitir análisis y creación de contenido con menos restricciones que las versiones internas bloqueadas por políticas de TI. Cuando una solución corporativa no resuelve una tarea cotidiana, el usuario busca otra opción.

2. La familiaridad reduce el tiempo de trabajo

Muchas personas ya conocen las interfaces de aplicaciones como ChatGPT o Claude. Esa familiaridad acorta la curva de aprendizaje y facilita que terminen una tarea sin esperar capacitación adicional.

3. Las aprobaciones lentas empujan hacia cuentas personales

Si una herramienta requiere varias aprobaciones o impone límites técnicos que bloquean tareas legítimas, el empleado puede elegir la vía más rápida. El resultado es una brecha entre la forma en que la empresa cree que se usa la IA y la forma en que realmente se usa.

Qué riesgos aparecen cuando la IA no está gestionada

4. Compartir información con un servicio externo reduce el control

Al pegar información propietaria en una cuenta personal, la empresa la envía a un servicio externo. Eso puede crear riesgos de confidencialidad, conservación, acceso y control, incluso cuando el proveedor no utiliza el contenido para entrenar modelos.

Las políticas de uso de datos cambian según el proveedor, el tipo de cuenta, la configuración, el contrato y la jurisdicción. Por eso, antes de autorizar una herramienta, la empresa debe revisar la política vigente de privacidad y datos empresariales de cada servicio.

5. La protección de datos exige controles verificables

En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, conocida como LFPDPPP, exige a los responsables aplicar medidas administrativas, técnicas y físicas de seguridad, mantener la confidencialidad del personal y cumplir con sus avisos de privacidad y obligaciones de notificación cuando corresponda.

El uso de IA sin supervisión puede dificultar el cumplimiento porque la organización pierde visibilidad sobre qué información se compartió, con quién y durante cuánto tiempo. La ley no convierte toda interacción con IA en una infracción automática, pero sí vuelve necesario documentar los controles y evaluar cada caso de uso.

6. Las credenciales y los datos regulados requieren una barrera adicional

Un envío accidental de claves de acceso, código, información regulada o secretos comerciales puede ampliar la superficie de ataque. Las empresas deben impedir que esos datos lleguen a servicios no autorizados mediante controles de prevención de pérdida de datos, revisión de contenido y capacitación práctica.

Cómo funciona la Adopción Guiada

7. Ofrece un entorno flexible, no solo un bloqueo

La Adopción Guiada consiste en ofrecer herramientas con una experiencia cercana a la de los modelos públicos, pero dentro de un marco aprobado por la empresa. Un entorno aislado, o sandbox, puede ayudar, pero un contenedor por sí solo no garantiza que la información permanezca dentro de la infraestructura.

Para reducir ese riesgo, el diseño debe incluir controles de salida de red, gestión de identidades y permisos, registros de actividad, cifrado, reglas de conservación, contratos con proveedores, ubicación donde se alojan los modelos, revisión de instrucciones y respuestas, y supervisión humana cuando el caso lo requiera. También hay que distinguir entre un modelo alojado en la propia empresa y una API administrada por un tercero, y verificar el recorrido real de los datos en cada opción.

8. Crea una cultura en la que reportar sea seguro

Los empleados deben poder informar qué tareas intentan resolver con IA sin temor a un castigo automático. Si una herramienta resulta útil, el equipo responsable debe evaluar cómo habilitarla de manera legal y segura, en lugar de ignorar su uso.

Una política clara puede pedir que se registren los casos de uso, el tipo de información procesada y la herramienta utilizada. Así, la empresa convierte una práctica oculta en una fuente de aprendizaje para mejorar sus soluciones internas.

9. Enseña qué se puede compartir y qué debe permanecer protegido

La capacitación debe explicar con ejemplos qué datos son adecuados para una herramienta aprobada y cuáles deben permanecer en sistemas internos. También debe enseñar a reconocer información personal, credenciales, código confidencial, secretos comerciales y datos regulados.

La política funciona mejor cuando va acompañada de una alternativa útil. Una regla estricta sin una herramienta capaz de resolver el trabajo solo aumenta la tentación de usar una cuenta personal.

Qué puedes evaluar desde hoy

Si lideras un equipo, mide cuántas personas usan cuentas personales, qué tareas se bloquean, cuántas alertas de prevención de pérdida de datos aparecen y cuántos incidentes se reportan. Esas señales permiten calcular el riesgo real en lugar de asumir que una restricción evita el problema.

Si trabajas con IA, solicita herramientas corporativas que combinen flexibilidad, controles visibles y una vía sencilla para reportar nuevos usos. La meta no es elegir entre productividad y seguridad. Es crear un entorno donde puedas aprovechar la IA sin poner en riesgo tus datos, tu trabajo ni el cumplimiento de tu empresa.