Shadow AI: ¿qué hacemos cuando los empleados usan IA sin preguntar?
Respuesta corta
Shadow AI es el uso de herramientas de IA que la dirección no conoce ni ha aprobado, normalmente ChatGPT gratuito u otras apps en la cuenta personal del empleado. El riesgo es que datos personales e información confidencial acaben en un servicio sin contrato de encargo del tratamiento, quizá para entrenar modelos. Prohibir rara vez funciona. Lo que funciona es una buena alternativa: herramientas aprobadas, una política breve, un curso y una forma fácil de registrar nuevos usos.
¿Por qué ocurre?
Porque la IA ayuda. Los empleados que han visto cuánto tiempo ahorra una IA la usan, aunque la empresa no haya decidido nada. El problema no es el uso, sino que los datos acaben donde no deben.
Lo que puedes hacer mañana
Elige una herramienta aprobada con un plan de empresa, escribe una política de uso de IA breve y da a todos un curso corto. Con GoalCube, los empleados pueden usar IA con datos reales sin que los nombres salgan de la UE, así que ya no hay motivo para saltarse las normas.
Cómo hacerlo
- Pregunta sin castigar.Una encuesta anónima da una imagen sincera.
- Ofrece una buena alternativa.Un plan de empresa con contrato de encargo del tratamiento, más fácil que la app gratuita.
- Protege los datos automáticamente.Con GoalCube, la IA solo ve códigos, así que se puede usar con datos reales sin miedo.
- Haz fácil el registro.Un nuevo uso debe poder registrarse en un minuto.
- Haz seguimiento.GoalCube registra cuándo se usa un conjunto de datos sin registro y lo muestra arriba del todo en la página de estado.
Lo que dice la ley
- Art. 28 y 32 RGPD
- Solo se pueden dar datos personales a proveedores con contrato de encargo del tratamiento y seguridad adecuada.
- Art. 4 RIA
- La alfabetización en IA abarca todo uso de IA en el trabajo, también el que la dirección no conoce.
Preguntas y respuestas
¿Tenemos que prohibir ChatGPT?
Una prohibición suele trasladar el uso a los móviles personales. Una alternativa aprobada que proteja los datos funciona mejor.
¿Es una brecha de datos que un empleado haya pegado datos personales en ChatGPT gratuito?
Puede serlo. Valóralo como una posible violación de la seguridad de los datos personales y notifícala a la AEPD en 72 horas si es probable que suponga un riesgo para las personas.
¿Cómo detecta GoalCube la shadow AI?
Si la IA usa un conjunto de datos sin un registro confirmado, queda anotado y la página de estado avisa arriba del todo.
Fuentes
Escrito por Redacción de GoalCube. Última actualización 11 de octubre de 2026. GoalCube te ayuda a cumplir el Reglamento de IA y el RGPD. No es asesoramiento jurídico.
Sé de los primeros.
Prevemos lanzar en noviembre de 2026. Apúntate y te avisaremos cuando puedas empezar.