Shadow AI: el equipo ya está usando IA sin que la empresa lo sepa

Alguien de tu equipo ya pegó información de un cliente en ChatGPT esta semana. No lo decidió una reunión, no lo aprobó nadie de sistemas, y es probable que ni siquiera se lo haya contado a su jefe — simplemente resolvió en dos minutos algo que a mano le iba a llevar media hora. Eso tiene nombre: Shadow AI.

Shadow AI es el uso de herramientas de inteligencia artificial dentro de una empresa sin que exista aprobación, visibilidad o gobierno centralizado sobre ese uso. No es una situación excepcional ni un problema exclusivo de las grandes corporaciones: es, hoy, el estado por defecto de casi cualquier organización, tenga o no una política de IA escrita.

Los números lo confirman con una consistencia que sorprende. Gartner relevó a 302 líderes de ciberseguridad entre marzo y mayo de 2025 y encontró que el 69% de las organizaciones sospecha o tiene evidencia de que sus empleados usan herramientas de IA generativa prohibidas. PagerDuty, en una encuesta de junio de 2026 a trabajadores de empresas grandes, encontró que dos de cada tres ya usaron una herramienta de IA que creían no permitida por la política de su empresa. Y un relevamiento de BlackFog encontró que casi la mitad de los trabajadores (49%) admite adoptar herramientas de IA sin aprobación del empleador.

Esto no es un fenómeno importado. La primera Encuesta Nacional sobre Adopción de IA en PyMEs Argentinas (CEPE-Di Tella, Fundar, Observatorio PyME y BID, abril 2026, sobre 402 empresas) encontró que apenas el 3,3% de las pymes que ya usan IA tiene una política interna escrita sobre cómo hacerlo. El resto — la inmensa mayoría — opera exactamente en la misma zona gris que documentan los estudios globales.

¿Por qué aparece esto incluso en empresas chicas, sin equipo de IT dedicado? Porque ChatGPT, Claude, Gemini o Copilot son gratuitos en su versión básica, accesibles desde cualquier navegador, y resuelven un problema real e inmediato para la persona que los usa. Nadie las adopta con mala intención — las adopta porque funcionan, y porque nadie le ofreció una alternativa gobernada igual de rápida.

Shadow AI no es una falla de disciplina del equipo. Es la consecuencia lógica de no haberle dado al equipo una alternativa gobernada tan rápida como la que ya está usando por su cuenta.

La implicancia empresarial no es abstracta: cada vez que alguien pega información de un cliente, un contrato o un dato interno en ChatGPT, Claude, Gemini o cualquier asistente similar desde su cuenta personal, esa información sale de la empresa hacia un tercero, sin registro, sin control de qué se hace con ella después. No hace falta que pase algo grave para que el riesgo ya exista — el riesgo está en el momento en que la información sale, no en el momento en que se descubre un problema.

Desde PANGEA no creemos que la respuesta sea prohibir — de hecho, es probablemente la peor respuesta posible, y por qué no funciona es tema de la próxima nota de este cluster. La respuesta empieza por algo más simple: saber qué se está usando hoy, con qué frecuencia, y para qué — antes de decidir qué ordenar.