El mayor riesgo de IA que tu empresa no ve
Hay una escena que se repite en casi todas las empresas chilenas que "ya usan IA": un colaborador abre ChatGPT en su navegador personal, pega el texto de un correo con datos de un cliente, le pide que lo resuma, y copia el resultado. Nadie lo autorizó. Nadie lo sabe. Nadie lo registró.
Eso es shadow AI: el uso de herramientas de inteligencia artificial por parte de los colaboradores sin autorización ni supervisión de la organización. Y es probablemente el mayor riesgo invisible de la transformación digital actual.
No es un problema de mala fe. La gente usa IA porque la hace más productiva. El problema es que lo hace sin reglas, sin filtros y sin que la empresa pueda ver qué datos salen y a dónde.
Por qué ocurre (y por qué no se puede prohibir)
Shadow AI ocurre por tres razones, y ninguna se resuelve prohibiendo.
1. La herramienta está a un clic
ChatGPT, Copilot, Gemini, asistentes gratuitos: están disponibles para cualquiera con un navegador. No hay barrera de entrada. Si un colaborador quiere resumir un documento o redactar un correo, la IA está ahí, más rápido que cualquier proceso interno.
2. La empresa no ofrece una alternativa segura
Si la única forma oficial de hacer el trabajo es lenta o tediosa, la gente busca atajos. Y la IA es el atajo más obvio. Prohibir sin ofrecer una alternativa segura y útil no elimina el uso: lo empuja a la sombra.
3. No hay política clara
La mayoría de las empresas no tiene una política de uso de IA. Sin reglas explícitas, cada persona decide por su cuenta qué está bien y qué no. Y la respuesta por defecto es "si me ayuda, lo uso".
Prohibir no funciona: los colaboradores seguirán usando IA por su cuenta. La gobernanza no es prohibición; es orden.
Los riesgos concretos de shadow AI
No es un riesgo abstracto. Estos son los problemas reales que genera.
Datos personales en prompts
Un colaborador pega en ChatGPT un listado de clientes con nombres, RUT, correos y montos. Ese texto queda en los servidores del proveedor, puede usarse para entrenar modelos futuros, y queda fuera del control de la empresa. Con la Ley 21.719 entrando en vigor el 1 de diciembre de 2026, esto se convierte en un problema legal directo: tratamiento de datos personales sin control ni trazabilidad.
Fuga de información confidencial
Contratos, estrategias, precios, código fuente, datos financieros: todo puede terminar en un prompt. Y una vez que sale, no hay forma de recuperarlo ni de saber quién más lo vio.
Decisiones sin trazabilidad
Si un colaborador usa IA para analizar datos y tomar una decisión, pero no queda registro de qué modelo se usó, qué datos se ingresaron ni qué respuesta se obtuvo, la empresa no puede explicar ni auditar esa decisión. La trazabilidad desaparece.
Entrenamiento de modelos de terceros
Muchas herramientas gratuitas usan las conversaciones para mejorar sus modelos. Eso significa que la información de tu empresa puede terminar influyendo en respuestas que otros usuarios reciben. Es un riesgo difícil de cuantificar pero real.
Incumplimiento regulatorio
La Ley 21.719 refuerza los derechos de las personas sobre sus datos y endurece las sanciones por tratamiento indebido. Si un colaborador expone datos personales a través de una herramienta de IA no autorizada, la empresa es la responsable. La protección de datos se vuelve inseparable de la gobernanza tecnológica.
Cómo detectar shadow AI en tu empresa
No necesitas una auditoría masiva para empezar. Estas señales y pasos ayudan a tener un panorama.
Señales de alerta
- Colaboradores que usan IA en sus teléfonos personales para tareas de trabajo.
- Textos o análisis que aparecen "de la nada" sin fuente clara.
- Uso de herramientas gratuitas o de consumo en equipos corporativos.
- Ausencia de cualquier política o guía sobre uso de IA.
Auditoría ligera (1 semana)
- Encuesta anónima. Pregunta directamente: ¿usas herramientas de IA en tu trabajo? ¿Cuáles? ¿Para qué? La mayoría responderá honestamente si se garantiza que no habrá sanciones.
- Revisa accesos y DNS. Los logs de red muestran qué dominios visitan los equipos. Busca dominios de proveedores de IA.
- Revisa dispositivos. En equipos corporativos, las extensiones de navegador y aplicaciones instaladas revelan qué herramientas se usan.
- Entrevista a los equipos. Pregunta a los líderes de área qué herramientas usan sus equipos y para qué. Muchas veces los gerentes saben más de lo que reportan.
El objetivo no es castigar. Es entender qué está pasando para poder gobernarlo.
Cómo gobernar shadow AI sin prohibirla
La respuesta no es un bloqueo. Es orden.
1. Clasifica los datos
Define qué tipos de información existen en tu empresa y cómo se pueden usar con IA:
- Público: se puede usar libremente con cualquier herramienta.
- Interno: se puede usar con herramientas aprobadas, sin datos personales.
- Confidencial: requiere anonimización o aprobación previa.
- Sensible (datos personales, salud, finanzas): no se puede enviar a herramientas externas sin medidas de protección.
Sin esta clasificación, cada persona decide por su cuenta. Con ella, las reglas son claras.
2. Escribe una política de uso de IA
No tiene que ser un documento de 50 páginas. Un documento de una o dos páginas que responda estas preguntas basta para empezar:
- ¿Qué herramientas están aprobadas?
- ¿Qué datos se pueden enviar a cada una?
- ¿Qué usos están prohibidos?
- ¿Quién aprueba excepciones?
- ¿Qué pasa si alguien incumple?
3. Ofrece una alternativa segura
Si quieres que la gente deje de usar ChatGPT personal, dale algo mejor: un asistente interno que funcione sobre tus datos, en tu infraestructura, con tus reglas. Si la alternativa oficial es tan útil como la no oficial, la sombra desaparece.
4. Capacita, no solo prohíbe
La mayoría de los colaboradores no sabe que pegar datos de clientes en ChatGPT es un riesgo. No es negligencia; es falta de información. Una capacitación corta sobre qué se puede y qué no se puede enviar a herramientas de IA reduce el riesgo más que cualquier bloqueo técnico.
5. Monitorea de forma continua
La gobernanza no es un proyecto de una vez. Las herramientas cambian, los equipos cambian, los usos cambian. Revisa periódicamente qué se está usando y si las reglas siguen siendo adecuadas.
El caso de los agentes: cuando la sombra tiene manos
Shadow AI con chatbots es un riesgo. Shadow AI con agentes es un peligro. Un agente de IA conectado a tus sistemas —que puede leer correos, modificar registros, enviar mensajes o ejecutar acciones— amplifica todo: el riesgo de error, el riesgo de fuga y el riesgo de daño.
Si un colaborador conecta un agente no autorizado a tu correo corporativo o a tu CRM, ese agente puede actuar en tu nombre sin que nadie lo supervise. La pregunta clave es la misma que en todo proyecto de IA: ¿quién responde si el sistema se equivoca?
La respuesta solo es posible si el agente está gobernado: con accesos limitados, con registro de acciones, con un responsable claro y con la capacidad de detenerlo cuando algo sale mal.
Cómo puede ayudar Personnn
En Personnn trabajamos IA aplicada con foco en operación real y seguridad. Ayudamos a empresas a detectar shadow AI, clasificar sus datos, definir políticas de uso y desplegar asistentes internos sobre infraestructura propia, con control de accesos y trazabilidad.
Si sospechas que en tu empresa se está usando IA sin control, o si quieres ofrecer una alternativa segura antes de que sea un problema, conversemos. No es una llamada de venta: es una conversación técnica para ver si te podemos ayudar.