Shadow AI y la brecha de cumplimiento que no se cierra sola

Cada vez que un empleado pega el nombre de un cliente en ChatGPT, pasa un contrato de proveedor por DeepL, o le pide a Copilot que resuma su bandeja de entrada usando una cuenta gratuita o no aprobada, está operando en la oscuridad — usando herramientas que la empresa no ha sancionado, con datos que la empresa no ha autorizado, bajo marcos legales mal comprendidos. Esto es Shadow AI: un hábito cotidiano y silencioso que se ha convertido en uno de los riesgos de cumplimiento más subestimados de Europa.

Llegué a entender esto no como abogado, sino como ingeniero de IA. Aproximadamente dos meses después de empezar a implementar herramientas de IA y crear directrices y políticas en el trabajo, me di cuenta de que teníamos un problema: las orientaciones que tanto nos habíamos esforzado en comunicar a los empleados le faltaba algo fundamental. Nadie había explicado la diferencia entre "datos confidenciales" y "datos personales" y la importancia que esto tiene al usar cualquiera de las herramientas de IA fácilmente accesibles, y cómo esto se aplica incluso en el mercado B2B. Antes de la era de ChatGPT, a la mayoría nos bastaba con usar aplicaciones de oficina estándar para el trabajo diario. Obviamente, eso ha cambiado de forma significativa.

Las políticas tuvieron que ser redactadas de nuevo. No actualizadas — redactadas de nuevo. Necesitábamos un lenguaje específico que cubriera los requisitos del GDPR y su superposición con la Ley de IA de la UE, ejemplos que los empleados pudieran aplicar realmente, y distinciones claras entre las herramientas que podían usar libremente y las que requerían cuentas enterprise aprobadas. Lo que hizo visible la brecha no fue una auditoría ni un incidente. Fueron las solicitudes de aprobación. Cuando los empleados empezaron a acudir a nosotros para revisar, evaluar y aprobar las herramientas de IA que ya estaban usando — o querían usar — surgió un patrón: la mayoría no tenía ningún marco para pensar qué datos podían compartir y con qué herramientas. Shadow AI es una realidad en la mayoría de las empresas, y puedo decirte que la responsabilidad que genera no se está abordando con la urgencia necesaria — especialmente mientras las herramientas gratuitas siguen proliferando y compitiendo por la atención de todos.

La realidad del Shadow AI

"Shadow AI" es el término amable para esto. Los empleados en empresas europeas están usando herramientas de IA que la empresa desconoce. Los números son difíciles de verificar con precisión — pero el patrón está en todas partes. En una encuesta citada por los principales marcos de gobernanza de IA, solo el 28% de las organizaciones tienen políticas formales de IA. Eso significa que aproximadamente el 72% de las empresas tienen empleados usando herramientas de IA sin reglas establecidas, sin lista de herramientas aprobadas, sin orientación sobre qué datos pueden o no entrar en un prompt.

Esto no es imprudencia. Es una brecha de capacidad. La gente usa herramientas que la hacen dramáticamente más productiva, y no tienen razón para creer que "resume este correo de Hans Schmidt sobre su pedido" es fundamentalmente diferente a "resume este correo de un cliente sobre un pedido." Pero bajo el GDPR, esos dos prompts son categóricamente distintos. Uno involucra datos personales. El otro no.

La instrucción que la mayoría de las empresas dan — "no introduzcas datos confidenciales en herramientas de IA" — confunde dos categorías legales distintas. Datos confidenciales significa secretos comerciales, información propietaria, cosas protegidas por contratos o acuerdos comerciales. Datos personales significa cualquier información relacionada con una persona natural identificada o identificable, que está protegida por el GDPR independientemente de su confidencialidad. Un empleado podría razonar que el historial de pedidos de un cliente no es "confidencial" y pegarlo en un prompt junto con el nombre del cliente, sin saber que el nombre solo activa un marco regulatorio completamente separado con un reloj de 72 horas si algo sale mal.

Dos leyes. Un prompt de IA.

La UE ha construido dos marcos regulatorios superpuestos que ahora se aplican simultáneamente al uso de IA en el lugar de trabajo.

El GDPR (2018) es una ley de derechos humanos. Otorga a las personas control sobre sus datos personales e impone obligaciones a cualquier organización que los procese — independientemente de dónde ocurra el procesamiento. Si tu empleado en Múnich pega la dirección de correo electrónico de un cliente belga en ChatGPT que corre en servidores en Virginia, el GDPR se aplica.

La Ley de IA de la UE (2024) es una ley de seguridad de productos. Regula los sistemas de IA en sí mismos — cómo se diseñan, implementan y supervisan — usando una clasificación de riesgo de cuatro niveles. La mayoría de las herramientas de IA en el lugar de trabajo caen en las categorías de "riesgo mínimo" o "riesgo limitado". Pero "riesgo mínimo" bajo la Ley de IA no significa "ninguna obligación bajo el GDPR." Ambas leyes se aplican al mismo prompt, al mismo tiempo, cada vez que se involucran datos personales.

El Artículo 2(7) de la Ley de IA lo hace explícito: opera "sin perjuicio del GDPR." Usar IA para analizar datos de clientes activa los requisitos de transparencia del GDPR y las obligaciones de transparencia de la Ley de IA. Usar IA en RRHH activa las restricciones del Artículo 22 del GDPR sobre toma de decisiones automatizada y la clasificación de alto riesgo de la Ley de IA bajo el Anexo III. Incluso los plazos de notificación de incidentes difieren: 72 horas bajo el GDPR, hasta 15 días hábiles bajo la Ley de IA.

La obligación de alfabetización en IA bajo la Ley de IA ya está en vigor desde febrero de 2025. El cumplimiento total para la IA de alto riesgo es requerido para el 2 de agosto de 2026 — dentro de cinco meses. La mayoría de las empresas no han empezado.

La trampa B2B

Esta es la idea errónea que pilla más desprevenidas a las empresas B2B.

La mayoría de las empresas B2B asumen que el GDPR es principalmente una preocupación orientada al consumidor. No estás recopilando datos de ciudadanos individuales; estás procesando datos sobre otras empresas. El GDPR no puede aplicarse de la misma manera, ¿verdad?

Incorrecto.

El GDPR no regula relaciones. Regula datos sobre personas naturales. La pregunta crítica no es si tu relación es B2B — es si los datos se refieren a un individuo identificable.

• info@nombreempresa.com — contacto genérico de empresa, no datos personales
• hans.schmidt@instalador.de — identifica a Hans Schmidt, totalmente datos personales
• "Schmidt Solar GmbH" — datos personales, porque contiene el nombre del propietario
• Los datos de contacto de un instalador autónomo — datos personales, porque los autónomos son personas naturales

Los sistemas CRM en empresas B2B están casi completamente poblados con datos personales. Listas de contactos de ventas, direcciones de correo electrónico directas, números de móvil, títulos de trabajo combinados con nombres — todo son datos personales, todo cae bajo el GDPR, y todo es exactamente el tipo de contenido que los empleados pegan rutinariamente en herramientas de IA para redactar comunicaciones o resumir el historial de cuentas. Y esto está permitido dentro de límites si la herramienta de IA tiene todas las certificaciones correctas y está aprobada por el departamento de cumplimiento de tu empresa.

Lo que el "cumplimiento" realmente requiere

Si tus empleados están usando herramientas de IA para trabajar, esto es lo que el GDPR realmente requiere — no lo que la mayoría de las empresas cree que requiere.

Acuerdos de Procesamiento de Datos con cada proveedor de IA. Las versiones gratuitas y de consumidor de ChatGPT, Claude y herramientas similares no tienen los contratos legales requeridos por el GDPR. Usar la versión gratuita de ChatGPT para cualquier propósito comercial que involucre datos personales es una violación de cumplimiento. Punto. OpenAI fue multada con 15 millones de euros por el Garante italiano en diciembre de 2024 precisamente por fallos de transparencia y base legal. La multa fue para OpenAI. Pero fue desencadenada por el comportamiento a nivel de usuario — el tipo de comportamiento que ocurre dentro de tu empresa hoy.

Solo niveles enterprise, con APDs verificados, para datos personales. Un APD (Acuerdo de Procesamiento de Datos) tampoco es todo el panorama. Para proveedores con sede en EE.UU. como OpenAI y Anthropic, también necesitas un mecanismo de transferencia internacional de datos — Cláusulas Contractuales Estándar o certificación del Marco de Privacidad de Datos UE-EE.UU. — y un compromiso contractual de que los datos de clientes no se usarán para entrenar modelos.

Una EIPD (Evaluación de Impacto de Protección de Datos) para cada caso de uso de IA. El Artículo 35 requiere una cuando el procesamiento "probablemente resulte en un alto riesgo." Usar herramientas de IA con datos personales casi siempre cumple ese umbral — la tecnología innovadora es un factor de riesgo, y la mayoría de los despliegues satisfacen al menos dos de los ocho criterios del EDPB. Esto no es opcional.

El reloj de 72 horas. Pegar datos personales en una herramienta de IA no autorizada — es decir, cualquier herramienta gratuita o de nivel consumidor — es una posible violación de datos bajo el Artículo 4(12) del GDPR. La empresa tiene 72 horas para notificar a la autoridad supervisora una vez que tenga conocimiento. El incidente de Samsung, donde ingenieros expusieron código fuente confidencial al pegarlo en ChatGPT, se convirtió en una advertencia precisamente porque la exposición fue instantánea e irreversible. Los datos personales funcionan igual.

La verificación de realidad por departamento

Los riesgos no son uniformes en toda la organización. Dónde estás sentado determina qué obligaciones se aplican.

RRHH se enfrenta a las reglas más estrictas. La IA para decisiones de empleo — revisar CVs, puntuar candidatos, evaluar el desempeño — está explícitamente clasificada como alto riesgo bajo el Anexo III de la Ley de IA de la UE. El consentimiento de los empleados generalmente no es válido en Alemania debido al desequilibrio de poder en las relaciones laborales; necesitas una necesidad contractual documentada o un acuerdo de comité de empresa (Betriebsvereinbarung).

Ventas y CRM son la fuente más común de violaciones, porque los datos de CRM son casi completamente datos personales. El hábito más seguro es usar marcadores de posición en los prompts y llenar los nombres reales manualmente, o proporcionar una herramienta de anonimización — pero esto requiere que los empleados entiendan el por qué, no solo seguir una regla que se les ha dado sin contexto.

Logística es menos obvia pero no está exenta. Datos de entrega vinculados a destinatarios con nombre, información de contacto usada para despacho — todos datos personales bajo las mismas reglas.

IT tiene la responsabilidad del monitoreo de Shadow AI. Mantener la lista de herramientas aprobadas, verificar que los APDs enterprise estén en vigor, e identificar el uso no autorizado de IA son todas obligaciones de IT — no teóricas.

Lo que realmente aprendí

Entré en esto como ingeniero de IA. Entendía la tecnología. No entendía que cada decisión de implementación era simultáneamente una decisión legal, y que el marco legal era más complejo que el técnico.

Lo que encontré no fue que las regulaciones son irrazonables. No lo son. Existen porque los datos personales procesados por sistemas de IA a escala — sin supervisión, sin base legal, sin que las personas involucradas lo sepan — tienen consecuencias reales para personas reales. Las regulaciones intentan resolver un problema genuino que apoyo totalmente.

Lo que encontré fue que la brecha entre lo que requieren las regulaciones y lo que las empresas realmente saben es enorme. No es un fallo de intención. Es un fallo de traducción — entre el texto legal y el comportamiento práctico, entre los marcos de cumplimiento y las herramientas que los empleados están realmente usando en un panorama que cambia muy rápidamente.

Lo que ayudó, en parte: alejarse de la orientación única para todos y construir ejemplos específicos por departamento — qué puede hacer RRHH, qué puede hacer ventas, qué puede hacer logística, y qué no debe hacer ninguno de ellos con qué herramientas.

Y aun así. Incluso con directrices más claras, ejemplos específicos por departamento y alternativas aprobadas, comunicar esto con suficiente claridad para que todos lo interioricen sigue siendo un desafío. El cambio de comportamiento es más lento que el cambio de política. Esa brecha — entre lo que dice la política y lo que un empleado hace realmente en la prisa de un martes por la tarde — es donde vive la responsabilidad real.

La ironía es que las herramientas de IA pueden ayudar a cerrar esta brecha. El mismo Copilot que crea el riesgo de cumplimiento puede ayudar a documentar la EIPD. El mismo Claude que los empleados están usando para resúmenes de reuniones puede ayudar a redactar el aviso de privacidad que les informa sobre cómo se procesan sus datos. Pero solo si alguien en la organización entiende ambos lados lo suficientemente bien como para usar estas herramientas de manera conforme.

Shadow AI no es principalmente un problema tecnológico. Las herramientas no son peligrosas. La ignorancia sí lo es.

Y con agosto de 2026 a cinco meses, la ventana para cerrar esa brecha se está estrechando.

Este artículo se basa en el trabajo de construcción de marcos de gobernanza de IA para una empresa alemana de tamaño mediano que opera en cuatro países de la UE. El material fuente incluye análisis detallados del GDPR y la Ley de IA de la UE, orientación específica por departamento y hojas de ruta prácticas de cumplimiento desarrolladas para escenarios de implementación reales.