Te encuentras en una encrucijada común: necesitas la eficiencia de la inteligencia artificial para terminar un reporte o limpiar código, pero subir información confidencial a una herramienta gratuita puede ser como dejar abierta la puerta de tu oficina. Mientras las grandes empresas discuten presupuestos para licencias empresariales, en los equipos de trabajo muchas personas ya recurren a cuentas personales.

Ese fenómeno se conoce como Shadow AI. Describe el uso de herramientas de IA que la empresa no ha autorizado ni supervisado. No se resuelve solo con bloquear aplicaciones. La respuesta más útil es ofrecer una alternativa oficial, sencilla y segura, con reglas que permitan trabajar mejor.

El riesgo real de la IA invisible

Cuando usas una cuenta personal para resumir documentos internos o generar código, la información puede salir del control de tu organización. El problema no es la herramienta por sí sola. Es no saber qué datos recibe, cómo se almacenan, quién puede acceder a ellos o si se transfieren a otro país.

Una encuesta de Google Workspace, IDC y Provokers reportó que el 67% de los profesionales en México usaba asistentes personales de IA para tareas laborales. El trabajo de campo se realizó entre abril y junio de 2025 e incluyó una muestra mexicana de aproximadamente 700 personas. La cifra debe leerse como el resultado de esa encuesta, no como una medición de todas las personas trabajadoras del país.

Estos son los riesgos que conviene revisar antes de presionar «enviar»:

1. Cuando los datos dejan de estar bajo tu control

Fuga de datos: información sensible puede salir de los sistemas de la organización y quedar expuesta a un proveedor externo o a accesos que la empresa no controla.

2. Cuando una idea valiosa se convierte en una entrada más

Pérdida de propiedad intelectual: código, investigaciones y planes estratégicos pueden revelar parte de la ventaja competitiva de la empresa.

3. Cuando la rapidez crea un problema legal

Incumplimiento: el uso de datos personales puede contravenir obligaciones de privacidad, incluida la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, conocida como LFPDPPP, o las reglas del GDPR en Europa.

En México, la nueva LFPDPPP fue publicada el 20 de marzo de 2025 y entró en vigor el 21 de marzo de 2025. La ley contempla reglas sobre consentimiento, avisos de privacidad y transferencias, incluidas las internacionales. Por eso, una empresa debe revisar con cuidado qué información envía a proveedores de IA y bajo qué condiciones.

Por qué una prohibición total suele fallar

Muchas empresas eligen bloquear todas las herramientas, pero esa decisión puede empujar el uso hacia canales que nadie supervisa. Si una persona considera que la IA le ayuda a terminar antes un reporte o revisar código, es probable que busque otra vía cuando la opción oficial resulta lenta o difícil de usar.

La alternativa es la gobernanza proactiva. Consiste en definir qué está permitido, qué requiere aprobación y qué datos nunca deben salir de los sistemas corporativos. También implica ofrecer herramientas oficiales tan fáciles de usar como las alternativas gratuitas. Cuando la opción segura funciona en el flujo diario, hay menos razones para ocultar el uso.

Tu hoja de ruta para una adopción basada en permisos

Una política útil no solo enumera prohibiciones. Le dice al equipo qué puede hacer hoy, con qué herramienta y qué debe consultar antes de compartir información.

1. Clasifica la información antes de usar IA

Define con ejemplos qué datos son públicos, internos, confidenciales o altamente sensibles. La información de salud, finanzas, clientes, estrategia y propiedad intelectual no debe introducirse en un modelo público sin una autorización clara y controles adecuados.

2. Separa las reglas de México y Europa

En México, el tratamiento de datos personales sensibles generalmente exige consentimiento expreso por escrito, aunque la ley contempla excepciones. En el GDPR, el consentimiento explícito es solo una de varias bases jurídicas posibles y no siempre es válido o adecuado, especialmente en relaciones laborales. El responsable legal o de privacidad debe revisar cada flujo antes de aprobarlo.

3. Publica un catálogo de herramientas aprobadas

Indica qué servicios puede utilizar el equipo, qué tipo de información acepta cada uno y qué configuraciones de privacidad deben activarse. El aviso de privacidad y los contratos también deben reflejar, cuando corresponda, las transferencias de información a proveedores externos.

4. Evalúa los flujos de mayor riesgo

Antes de poner en producción un sistema que procese datos personales, documenta sus riesgos y las medidas para reducirlos. Una evaluación de impacto relativa a la privacidad, conocida como DPIA, es un documento que ayuda a responder tres preguntas: qué datos se procesan, qué podría salir mal y cómo se evitará.

La LFPDPPP contempla estudios de impacto para ciertos tratamientos. La autoridad responsable de la aplicación y orientación del nuevo régimen es la Secretaría Anticorrupción y Buen Gobierno. La revisión del área legal o de privacidad sigue siendo necesaria antes de aprobar un uso de alto riesgo.

La meta no es frenar el progreso. Es conseguir que la velocidad de la IA no se convierta en el motor de una filtración. Hoy puedes revisar qué herramientas usas, separar los datos que nunca deben compartirse y pedir a tu equipo una alternativa oficial para las tareas repetitivas. La productividad y la seguridad no tienen que competir: con permisos claros y herramientas prácticas, ambas pueden avanzar juntas.

Fuentes: Ley Federal de Protección de Datos Personales en Posesión de los Particulares, disponible en Cámara de Diputados; encuesta de Google Workspace, IDC y Provokers citada por WIRED en Español.