Tu equipo ya esta usando IA sin permiso: como gobernarla sin frenar al equipo

¿Sabes con qué información está trabajando tu equipo cuando usa IA? Si no hay reglas escritas, probablemente no. Eso no prueba que haya uso informal, pero sí deja un punto ciego: datos que salen, propuestas que nadie revisó, respuestas que se usaron sin verificar. Cuando alguien resuelve su trabajo con una herramienta de IA que nadie autorizó ni anotó en ningún lado, eso es shadow AI, y la salida no es prohibirla: son cuatro piezas livianas que la ponen a la vista sin frenar a nadie.

¿Por qué pasa esto?

Porque funciona. Alguien pega el borrador de una propuesta en una herramienta de IA abierta en el navegador, lo arregla en dos minutos y lo manda: ganó tiempo, entregó más rápido y no tuvo ninguna razón para avisarle a nadie. El uso no es el problema. El problema es que nadie sabe con qué datos se está haciendo, qué tan buena es la respuesta que sale y qué está quedando fuera de la vista.

Hay demanda de por medio: McKinsey reporta que el 48% de los empleados encuestados usaría más IA con capacitación formal, y el 45% si estuviera integrada en su flujo de trabajo. Eso habla de condiciones que la gente pide, no prueba que en tu empresa ya esté pasando. Conviene medirlo antes de darlo por hecho.

Lo que sigue es para dueños y responsables de operaciones que quieren ordenar ese uso sin matar la productividad que ya está apareciendo.

El uso oculto suele aparecer en dispositivos personales, herramientas no registradas y flujos de datos desconocidos.

¿Cómo se ve en una empresa de tu tamaño?

En una corporación esto es un problema de seguridad. En una PYME es un problema de criterio y consistencia, y se reconoce por tres señales.

La primera es que el equipo lo cuenta de manera informal. Alguien menciona al pasar que usa ChatGPT para redactar los correos difíciles, pero eso nunca aparece en una reunión ni queda registrado en ningún lado.

La segunda es que no existe una línea escrita sobre qué se puede pegar en una herramienta pública y qué no. Ni un párrafo.

La tercera es que la calidad de lo que sale empieza a variar sin una explicación clara. Propuestas con un tono distinto al de siempre, una persona produciendo mucho más rápido que el resto, frases que suenan a texto de máquina sin que nadie las haya revisado.

Con dos de las tres, trátalo como una señal para revisar. Es un criterio práctico de esta guía, no una medición externa ni una prueba de que haya uso indebido.

¿Por qué prohibirlo no funciona?

La reacción intuitiva es emitir una directiva: nada de ChatGPT con datos de clientes, o nada de IA sin aprobación previa. Falla por tres motivos.

El primero es que una prohibición dice qué no hacer, pero no dice qué sí. Sin una alternativa aceptable, cada quien resuelve como puede.

El segundo es que el uso puede mudarse a la cuenta personal o al teléfono, donde la empresa ya no ve nada. Eso pasa sobre todo cuando la regla llega sola, sin capacitación, sin controles y sin alguien a quien preguntarle.

El tercero es que la evidencia sobre acompañar el cambio apunta al lado contrario. En el AI Readiness Index de Cisco, el 91% de las organizaciones que llama Pacesetters tenía un plan formal para eso, contra el 35% de la muestra general. Cisco encuestó organizaciones de más de 500 empleados, así que el dato marca una dirección y no una referencia directa para una PYME.

Lo que sí funciona es más sencillo: escribir qué usos están autorizados, con qué cuidados y quién les da seguimiento. Los casos que no se pueden controlar quedan fuera, y eso también se escribe.

Un gobierno ligero puede sostenerse con cuatro piezas: límites claros, responsable, registro y revisiones.

¿Qué es un gobierno ligero?

Es el conjunto más pequeño de reglas y hábitos que le permite a tu equipo usar IA con criterio, sin la formalidad que una PYME de servicios no puede sostener. La palabra gobierno suena a comité y a manual: acá significa algo mucho más chico, cuatro piezas que caben en una página y en media hora al mes.

1. Una página de reglas de uso

Una página, no un manual de veinte. Ahí va lo básico: qué herramientas están permitidas, qué información no se pega nunca en una herramienta pública (empezando por datos de clientes y de personal), la costumbre de preguntarse «¿esto lo mandaría por correo a alguien de afuera?» antes de pegar algo, y el recordatorio de que lo que devuelve la IA lo revisa una persona antes de que llegue a un cliente. Se firma y se le pone fecha de revisión, para que no envejezca en un cajón.

2. Alguien a cargo que no sea el dueño

Una persona del equipo que lleve el tema en el día a día: junta los casos de uso que van apareciendo, ordena las dudas de los demás, recoge las señales y las sube cuando hace falta decidir. No es un puesto nuevo ni de tiempo completo, es un encargo con nombre y apellido. Si el tema es de todos, no es de nadie; y si queda en manos del dueño, se atrasa detrás de lo urgente.

3. Un registro mínimo

Una línea por uso relevante: para qué se usó, cuánto tiempo ahorró, con qué herramienta. Un canal de chat, una columna en una tabla compartida o una nota común alcanzan. Sirve para dos cosas: ver qué está funcionando de verdad y notar a tiempo lo que conviene frenar. Si toma más de un minuto, nadie lo va a llenar.

4. Media hora al mes

Una reunión corta con la misma agenda siempre: qué funcionó, qué riesgos aparecieron, qué herramienta se suma o se quita, qué se decide. Es el momento en que lo anotado en el registro se vuelve una decisión. Se cierra con acciones concretas y con responsable, no con una conversación abierta.

Las cuatro se montan en una semana y cambian por completo la relación de la empresa con el tema.

Conviene aclarar qué no es esto. No es auditar a nadie: el objetivo es habilitar, no vigilar. No es una capa de burocracia, y si la política llega a veinte páginas o el registro exige quince minutos por uso, ya dejó de ser ligero. No es tarea exclusiva del dueño, que para eso existe la persona a cargo. Y no reemplaza a la capacitación, que va en paralelo y es igual de necesaria.

¿Sospechas que ya está pasando en tu empresa?

El Discovery web de VegasiO toma 5 minutos y devuelve una recomendación concreta: empezar por las reglas escritas, por capacitación, por un diagnóstico más amplio, o por una combinación de las tres. En la comunidad dejamos publicada una plantilla de una página lista para firmar, que es el complemento directo de este artículo.