Shadow AI en tu PYME: cómo usar IA sin filtrar datos
Introducción
Tu asistente contable le pega los montos de la facturación mensual a ChatGPT para "que le ordene la información". Tu community manager sube la base de clientes a otra herramienta de IA para redactar la campaña. Tu vendedor le pide al chatbot que le escriba el correo de cobro, copiando y pegando el historial del cliente.
Ninguno de ellos te avisó. Ninguno leyó una política de uso. Todos están convencidos de que "es inofensivo, es solo una herramienta".
Bienvenido al shadow AI (la "IA en las sombras"): el uso de herramientas de inteligencia artificial por parte de empleados sin el conocimiento ni el control de la empresa. Y según Computer Weekly, la combinación de shadow AI con hábitos inseguros ya está aumentando los riesgos para las pymes — no solo para las grandes corporaciones.
Lo que vas a aprender:
- Qué es exactamente el shadow AI y por qué crece sin control
- Por qué es un riesgo real (y medible) para una PYME
- Señales de que ya lo tenés en tu empresa
- Un plan concreto para poner orden sin frenar la productividad
Qué es el shadow AI
El concepto viene del viejo "shadow IT": software que los empleados usan sin aprobación del área de sistemas. En la era de la IA, explotó porque las herramientas son gratuitas, se usan desde el navegador y no requieren instalación ni permiso de nadie.
Un empleado no necesita pedirle nada a su jefe para abrir ChatGPT, Claude o Gemini y pegarle información de la empresa. No hay un "departamento de TI" que lo frene, porque la mayoría de las PYMEs ni siquiera tiene departamento de TI.
El resultado: datos de clientes, facturas, nóminas, estrategias comerciales y código fuente circulando por servidores de terceros, sin que nadie sepa qué se subió, dónde quedó almacenado ni quién puede accederlo.
Por qué es un riesgo real para una PYME
Puede parecer exagerado. No lo es, por tres razones:
1. El dato es tu activo más valioso
En una PYME, la base de clientes, los precios y la información financiera son la ventaja competitiva. Cuando un empleado pega esa información en una herramienta de IA pública, pierde el control sobre ella: el proveedor puede usarla para entrenar, y cualquier fuga queda fuera de tu alcance.
En Costa Rica, donde la facturación electrónica v4.4 ya es obligatoria y los datos fiscales son sensibles, filtrar información de facturación por un prompt mal manejado no es un error menor: es un problema legal y reputacional.
2. El error humano escala con la IA
Los incidentes de seguridad con IA no son solo de OpenAI y Anthropic —ya cubrimos cómo los agentes de IA hackearon empresas por accidente y cómo agentes escaparon de su contención—. En una PYME, el vector más probable de fuga no es un hacker sofisticado: es un empleado con buenas intenciones y cero capacitación, que le pega a un chatbot el PDF de un contrato con un cliente.
3. La región no está lista (todavía)
Los datos de la región son elocuentes: en República Dominicana, solo el 27,8% de las pymes se siente preparada para adoptar IA, y el 36% todavía no automatiza sus procesos. Mientras tanto, la adopción corre por otro carril: cada vez más startups ofrecen IA como copiloto financiero para pymes —como Xepelin en México— y los empleados la adoptan por su cuenta, sin esperar a que la empresa la habilite.
En resumen: la IA ya llegó a tu empresa. La pregunta no es si la usan, sino si la usan con control.
Señales de que ya tenés shadow AI
Poné atención a estas señales:
- Empleados que "resumen documentos" o "mejoran textos" sospechosamente rápido
- Capturas de pantalla de chats con asistentes de IA en el grupo de WhatsApp del trabajo
- Herramientas de IA en la lista de extensiones del navegador corporativo
- Respuestas a clientes que "no suenan a la persona" que las firmó
- Nadie en la empresa puede responder: ¿qué herramientas de IA usamos?
Si marcaste dos o más, ya lo tenés.
Cómo poner orden sin frenar la productividad
La peor respuesta al shadow AI es prohibir todo. Tus empleados van a seguir usándolo (es gratis y les facilita el trabajo), solo que mejor escondido. La respuesta correcta tiene cinco pasos:
1. Reconocé que la IA ya está en tu empresa
Sentate con tu equipo y preguntales, sin juzgar, qué herramientas de IA usan y para qué. La mayoría lo va a admitir con alivio. Esto te da el mapa real de exposición.
2. Escribí una política de uso simple (una página)
Nada de documentos de 20 páginas. Tres reglas claras:
- Qué se puede subir: textos propios, borradores, contenido público
- Qué nunca se sube: datos de clientes, facturas, nóminas, contraseñas, información financiera
- Qué herramientas se pueden usar: las que la empresa apruebe (idealmente con modo empresa, donde los datos no se usan para entrenar)
3. Dale al equipo herramientas seguras
Si tus empleados necesitan IA para trabajar —y la necesitan—, dales una opción oficial. Los planes empresariales de ChatGPT, Claude o Gemini ofrecen control de datos: lo que se sube no se usa para entrenar modelos. Cuesta unos pocos dólares por usuario al mes y convierte el shadow AI en IA gestionada.
4. Capacitá, no castigues
La mayoría de las filtraciones por shadow AI son errores de ignorancia, no mala intención. Un taller de 30 minutos —qué pegar y qué no pegar en un prompt— reduce el riesgo más que cualquier herramienta de monitoreo. Y conecta con el tema que más le duele a tu PYME: cómo automatizar con IA sin perder el control.
5. Revisá periódicamente
La política no es un documento: es un hábito. Una revisión trimestral de qué herramientas se usan, qué datos circulan y qué incidentes hubo mantiene el riesgo bajo control mientras la IA sigue evolucionando.
Preguntas Frecuentes
- ¿Qué es el shadow AI? → El uso de herramientas de inteligencia artificial por parte de empleados sin el conocimiento ni la aprobación de la empresa. Incluye pegar datos corporativos en ChatGPT, Claude, Gemini u otras herramientas públicas sin que nadie controle qué se sube.
- ¿Puede mi PYME tener problemas legales por shadow AI? → Sí. Si un empleado filtra datos personales de clientes (nombre, cédula, facturas) en una herramienta de IA pública, podés violar leyes de protección de datos y, en países como Costa Rica, exponer información fiscal sensible relacionada con la facturación electrónica.
- ¿Debo prohibir ChatGPT en mi empresa? → No. Prohibirlo solo empuja el uso a la clandestinidad. Lo efectivo es aprobar herramientas con modo empresa, definir qué datos se pueden subir y capacitar al equipo. La IA es una ventaja competitiva; lo que hay que gestionar es el riesgo, no la herramienta.
- ¿Los planes de pago de ChatGPT o Claude protegen mis datos? → Los planes empresariales (Enterprise/Business) ofrecen garantías de que tus datos no se usan para entrenar modelos. Por eso conviene centralizar el uso en cuentas oficiales en lugar de dejar que cada empleado use su cuenta personal gratuita.
- ¿Cómo sé si mis empleados usan IA? → Preguntales directamente y revisá las extensiones del navegador y las cuentas conectadas con el correo corporativo. La mayoría de las personas lo admite si no hay un clima de castigo. El objetivo no es espiar: es mapear el riesgo.
Conclusión
El shadow AI no es un problema de seguridad más: es la señal de que tu empresa ya adoptó la IA, solo que sin estrategia:
- Existe en tu PYME aunque no la veas: los empleados usan IA gratuita con datos reales de tu negocio.
- El riesgo es concreto: fuga de datos de clientes, exposición fiscal y reputación, con consecuencias legales en la región.
- La solución no es prohibir: es política simple, herramientas empresariales, capacitación y revisión periódica.
¿Tu empresa ya tiene una política de uso de IA? Si no, ¿qué vas a hacer esta semana para empezar? Dejalo en los comentarios, y suscribite a la newsletter para recibir más guías prácticas de tecnología para tu negocio.