La IA en la sombra no es un problema de TI. Es un problema de personas.

Las conversaciones sobre la IA en la sombra suelen centrarse en la ingeniería. Desarrolladores que pegan código en un chatbot, un asistente de programación no autorizado conectado a un repositorio de producción. Eso es real. Pero no es toda la historia, ni siquiera la mayor parte.

El departamento de finanzas procesa datos de compensación en modelos públicos para redactar resúmenes de revisión salarial. Recursos humanos sube organigramas para ayudar a visualizar una reestructuración. El equipo legal procesa acuerdos de confidencialidad en herramientas de consumo para acelerar la primera revisión. Marketing pega planes de campañas no publicadas en un chatbot para reescribirlos rápidamente. Ninguna de estas personas es ingeniero, y ninguna considera que lo que hace sea una decisión de TI. Lo ven como una forma de hacer el trabajo más rápido, de la misma manera que usarían un corrector ortográfico.

El alcance es mayor de lo que piensa TI

Las cifras lo respaldan. Salesforce descubrió que el 72% de los empleados de servicios financieros usa al menos 1 herramienta de IA no autorizada, en un sector donde el riesgo regulatorio del procesamiento de datos no autorizado es máximo. Thomson Reuters descubrió que el 45% de los profesionales legales usa herramientas de IA de consumo para trabajar, lo que plantea dudas sobre privilegios y confidencialidad que aún no tienen respuestas claras. La investigación de Wolters Kluwer de 2026 reveló que el 40% de los profesionales sanitarios ha encontrado herramientas de IA no autorizadas en el trabajo, y alrededor de 1 de cada 10 ha usado 1 directamente en el cuidado de pacientes.

El informe DBIR de Verizon de 2026 descubrió que las detecciones de IA en la sombra se multiplicaron por 4 de un año a otro. La encuesta Workforce AI Survey de Salesforce de 2026 situó el uso de IA por parte de los empleados en un 67%, frente a una tasa de política formal del 18%. Este no es un problema departamental. Afecta a todos los departamentos, con diferentes intensidades y bajo la misma presión: hay que hacer el trabajo, la herramienta autorizada es lenta o no existe, y la no autorizada está a 1 pestaña de distancia.

La reducción de daños como filosofía de gobernanza

El instinto de responder con prohibiciones es comprensible, pero siempre resulta contraproducente. Si prohíbe la herramienta, el comportamiento no se detiene. Deja de ser visible. Esa es precisamente la esencia del problema de la IA en la sombra: el uso superó a la gobernanza porque la respuesta de gobernanza fue más lenta, o más restrictiva, que la necesidad a la que debía servir.

La reducción de daños ofrece un modelo mejor, tomado de la salud pública. Acérquese a las personas donde están, no donde desearía que estuvieran. No empiece pidiendo a finanzas que deje de usar la IA con datos confidenciales. Empiece preguntando qué intentan conseguir realmente y construya un camino autorizado hacia ese resultado lo suficientemente bueno como para que el no autorizado no merezca la pena. Los profesionales que han gestionado bien el descubrimiento de la IA en la sombra siguen concluyendo lo mismo: una revelación tipo amnistía, sin castigos por lo que se descubra, tratada abiertamente como un mapeo de capacidades en lugar de una inspección de cumplimiento, revela mucho más de la realidad que una auditoría punitiva. Las personas no ocultan hábitos productivos a una empresa que intenta apoyarlas. Los ocultan de una empresa que intenta atraparlas.

Reemplazar hábitos, no prohibir herramientas

La distinción importante es el hábito frente a la herramienta. Finanzas no se propuso usar un producto de IA no autorizado. Se propusieron ahorrar tiempo al redactar resúmenes de compensación, y un chatbot fue la vía más rápida que encontraron. Si elimina el chatbot sin reemplazar el hábito, no habrá solucionado nada. Habrá vuelto a hacer invisible el camino rápido o habrá empujado a las personas hacia una cuenta personal donde el problema de visibilidad es peor.

La solución duradera reemplaza el hábito con una versión autorizada que es competitiva en velocidad, no solo en cumplimiento sobre el papel. Eso significa que compras y TI deben avanzar a un ritmo que respete la rapidez con la que las personas encontraron la alternativa. Significa que los líderes de departamento tengan un canal real para decir «esto es lo que intentamos hacer, ayúdennos a hacerlo de forma segura» sin que se convierta en una conversación disciplinaria.

No resolverá la IA en la sombra apagando las luces. La resolverá construyendo salas mejores.

Apagar las luces, ya sea mediante prohibiciones generales, bloqueos agresivos o descubrimientos punitivos, no hace que la actividad se detenga. Hace que la actividad sea más difícil de ver, lo cual es lo opuesto a lo que necesita la gobernanza. Construir salas mejores significa dar a finanzas, recursos humanos, legal y marketing un espacio autorizado que sea realmente lo suficientemente bueno como para usarlo, con reglas claras sobre qué datos pueden ir a dónde, y una cultura en la que señalar una deficiencia sea motivo de agradecimiento y no de sanción.

La IA en la sombra no es un fallo tecnológico. Es lo que sucede cuando el ritmo del trabajo real supera al ritmo del permiso formal. En todos los departamentos, no solo en el que TI ya sabe cómo vigilar.

Fuentes: Salesforce, «2026 Workforce AI Survey: Adoption, Governance, and Risk»; Verizon 2026 DBIR, citado a través de Tech Times, junio de 2026; Airia, «Shadow AI Statistics: Key Data Points Every CISO Needs in 2026»; Wolters Kluwer, investigación sobre la IA en la sombra en atención médica de 2026; Dr Logic, «Your AI Tools Are Now in Scope for Cyber Essentials», 2026