Por qué los empleados siguen utilizando herramientas de IA no autorizadas en el trabajo

Una empleada recibe un documento extenso a las 16:00 y tiene que informar a su jefe antes de que termine la jornada. La empresa ha anunciado una estrategia de IA, pero su asistente autorizado no puede procesar el archivo, el acceso está restringido a un pequeño grupo piloto y las directrices internas se limitan prácticamente a “no introducir información confidencial”. Ella abre una cuenta personal de IA, elimina los nombres más evidentes y elabora el resumen en cuestión de minutos. Desde el punto de vista de la empresa, ha creado un riesgo de seguridad. Desde el suyo, ha encontrado la única herramienta capaz de cumplir el plazo. Esta tensión explica en gran medida el auge de la IA en la sombra: el uso de servicios de inteligencia artificial que no han sido aprobados, adquiridos ni supervisados por la empresa. Este comportamiento se describe a menudo como un problema de cumplimiento normativo causado por empleados descuidados; sin embargo, muchas organizaciones han creado ellas mismas las condiciones para que se produzca. Animan a las personas a ser más productivas con la IA, al tiempo que ofrecen herramientas que llegan tarde, funcionan mal o siguen sin estar disponibles para las tareas que los empleados realmente necesitan realizar. Los servicios de IA para consumidores son de fácil acceso, a menudo gratuitos y cada vez más eficaces. Las adquisiciones corporativas, las revisiones de seguridad y la integración técnica avanzan con mucha más lentitud. Los empleados no esperan a que esos procesos se pongan al día, sobre todo cuando saben que sus compañeros y la competencia ya están utilizando la tecnología. Una prohibición puede reducir la adopción visible sin eliminar la demanda. El trabajo sigue teniendo que hacerse, y el empleado sigue sabiendo que existe una herramienta mejor fuera del sistema autorizado.

La herramienta oficial suele resolver el problema equivocado

Muchas empresas inician sus programas de IA seleccionando un único asistente empresarial y poniéndolo a disposición a través de un paquete de software ya existente. La decisión puede ser sensata desde el punto de vista de la seguridad y la adquisición, pero no garantiza que la herramienta aborde los casos de uso más valiosos. Es posible que los empleados necesiten analizar una hoja de cálculo extensa, comparar varios contratos, transcribir una entrevista, crear una presentación o trabajar con imágenes. El asistente seleccionado puede gestionar bien los correos electrónicos y los resúmenes de reuniones, pero rendir mal en las tareas que les ocupan la mayor parte del tiempo. Algunas herramientas limitan el tamaño de los archivos, carecen de acceso a los sistemas pertinentes o utilizan modelos menos potentes que los productos de consumo que los empleados ya conocen. Esta brecha se hace especialmente evidente entre los usuarios avanzados. Es poco probable que alguien que haya aprendido a crear flujos de trabajo personalizados, a analizar documentos en varios modelos o a utilizar herramientas de investigación especializadas quede satisfecho con un chatbot corporativo básico. Cuando la organización ofrece a ese empleado una alternativa menos eficaz y da el problema por resuelto, el uso no oficial se vuelve previsible. Esto no significa que deba aprobarse todas las herramientas solicitadas. Lo que sí significa es que la selección no puede basarse únicamente en lo que resulte más fácil de adquirir de forma centralizada. Las empresas deben comprender qué tareas intentan mejorar los empleados y si la tecnología autorizada puede llevarlas a cabo de forma fiable. Una herramienta aprobada que los empleados evitan utilizar no es una implementación exitosa. Es una prueba de que la adquisición y el diseño del trabajo se han desconectado.

El acceso corporativo suele tardar demasiado en llegar

Los productos de inteligencia artificial pueden mejorar sustancialmente en tan solo unos meses. Los nuevos modelos, las funciones de investigación y las capacidades de los agentes aparecen más rápido de lo que la mayoría de las organizaciones tardan en evaluar los contratos, las condiciones de tratamiento de datos y la arquitectura de seguridad. Esto genera una diferencia inevitable en cuanto a velocidad. Un empleado puede abrir una cuenta personal en cuestión de minutos. Una empresa puede necesitar meses para revisar el mismo producto, negociar las condiciones corporativas, integrar la gestión de identidades, establecer normas de retención y formar a los usuarios. El problema se agrava cuando el acceso se limita a los directivos, los equipos de innovación o determinados departamentos. Los empleados del resto de la empresa siguen enfrentándose a la misma presión para trabajar más rápido, pero se les pide que esperen mientras sus compañeros participan en una prueba piloto controlada. Desde el punto de vista de la gobernanza, la implantación gradual reduce el riesgo. Desde la perspectiva del empleado, puede parecer arbitraria. A un equipo de marketing se le puede decir que la IA es estratégicamente importante, al tiempo que se le niega una herramienta que le ayudaría con la campaña de mañana. A un analista junior se le puede prohibir el uso de un modelo público, aunque un directivo de alto nivel muestre habitualmente trabajos generados por IA. El acceso desigual anima a los empleados a crear sus propias soluciones. Algunos pagan las suscripciones de su propio bolsillo. Otros utilizan cuentas gratuitas, extensiones de navegador o aplicaciones que incluyen funciones de IA sin que quede claro quién es el proveedor subyacente. Para cuando el lanzamiento oficial les llegue, es posible que su flujo de trabajo no oficial ya les resulte más familiar y esté mejor adaptado a su trabajo.

Las normas suelen ser demasiado vagas como para poder cumplirlas

Muchos empleados desconocen lo que permite la política de IA de su empresa. Es posible que hayan oído que no se debe introducir información confidencial en herramientas públicas, pero los límites prácticos siguen sin estar claros. ¿Se considera confidencial el resumen de una reunión cuando incluye los nombres de los participantes? ¿Puede un empleado subir un documento de un cliente anonimizado? ¿Se considera sensible el texto de marketing no publicado? ¿Y qué hay de una hoja de cálculo que contenga precios de proveedores pero ninguna información personal? ¿Están prohibidas las versiones gratuitas, mientras que las cuentas empresariales de pago sí son aceptables? Una política que dependa de que los empleados hagan distinciones jurídicas y técnicas sin orientación alguna dará lugar a decisiones incoherentes. Algunos evitarán por completo el uso de la IA, incluso para tareas inofensivas. Otros decidirán que eliminar el nombre de la empresa hace que cualquier documento sea seguro. La redacción suele ser defensiva porque las propias organizaciones no tienen las cosas claras. Publican una advertencia general antes de determinar qué herramientas están autorizadas, qué protecciones de datos ofrecen y cómo deben actuar los empleados ante situaciones habituales. La política protege a la empresa sobre el papel, pero ofrece poca ayuda en el momento de la aplicación. Una orientación eficaz requiere ejemplos concretos extraídos del trabajo de la organización. Los empleados deben saber qué categorías de información pueden utilizarse, cuáles requieren un entorno autorizado y cuáles no deben enviarse bajo ningún concepto. También necesitan una vía sencilla para consultar sobre un caso desconocido sin tener que esperar varios días para obtener una respuesta. La claridad es importante porque la mayor parte de la «IA en la sombra» no parte de la intención de infringir la política. Comienza cuando un empleado realiza una interpretación rápida bajo presión.

A los empleados se les recompensa por los resultados, no por su paciencia con los trámites

Una empresa puede exigir a sus empleados que utilicen únicamente tecnología autorizada, al tiempo que sigue evaluándolos en función de su rapidez, rendimiento y capacidad de respuesta. Cuando el proceso permitido es más lento, los incentivos entran en conflicto. Pensemos, por ejemplo, en un consultor al que se le exige preparar más material para los clientes con el mismo equipo, en un responsable de selección que gestiona cientos de solicitudes o en un profesional de la comunicación al que se le pide que supervise varios mercados en tiempo real. Puede que la dirección no exija explícitamente el uso de la IA, pero las expectativas en cuanto a la carga de trabajo hacen que alguna forma de automatización resulte cada vez más atractiva. El empleado que cumple todas las restricciones puede parecer menos productivo que un compañero que utiliza discretamente herramientas no autorizadas. Este último realiza más trabajo, responde más rápido e incluso puede recibir elogios por su iniciativa. A menos que la organización analice cómo se ha obtenido el resultado, se refuerza este comportamiento no oficial. El miedo a quedarse atrás añade otra presión. Los empleados ven demostraciones de cómo la IA realiza tareas relevantes para sus puestos de trabajo y dan por hecho que otros ya se están beneficiando de ello. Algunos creen que aprender a utilizar estas herramientas es necesario para proteger su carrera profesional, independientemente de si la empresa ofrece formación oficial. Por lo tanto, la IA en la sombra refleja algo más que la simple comodidad. Puede ser una respuesta a una expectativa implícita del mercado laboral: a los empleados se les dice que la competencia en IA se está volviendo esencial, pero no se les proporciona un entorno seguro en el que desarrollarla. Es poco probable que castigar a los usuarios individuales sin abordar esta contradicción cambie el comportamiento subyacente.

Las herramientas de IA personales suelen parecer más útiles

Los productos de IA para consumidores están diseñados para su adopción inmediata. Ofrecen interfaces sencillas, actualizaciones rápidas de los modelos y la libertad de experimentar sin necesidad de presentar un estudio de viabilidad. Los empleados pueden personalizarlos según su propio estilo de redacción, sus tareas recurrentes y sus preferencias personales. Los sistemas corporativos suelen estar estandarizados. Los administradores pueden desactivar funciones, restringir integraciones y limitar el acceso para proteger a la organización. Estos controles suelen estar justificados, pero pueden hacer que la experiencia resulte menos flexible que la de una cuenta personal. La diferencia se hace más patente a medida que los usuarios acumulan historiales de conversaciones, instrucciones personalizadas y flujos de trabajo reutilizables. Su herramienta preferida empieza a funcionar como un entorno de trabajo individual. Pasarse a una plataforma autorizada implica reconstruir esos hábitos y aceptar un sistema que puede responder de forma diferente. Algunos empleados también evitan la herramienta oficial porque dan por hecho que su actividad está siendo supervisada. Puede que les preocupe que las sugerencias experimentales, las ideas incompletas o las preguntas que revelen una laguna de conocimientos puedan ser visibles para los responsables. Una cuenta personal transmite una sensación de privacidad, aunque pueda suponer un mayor riesgo en materia de datos. Las empresas rara vez abordan esta preocupación de forma directa. Les dicen a los empleados que una plataforma empresarial es más segura sin explicar quién puede acceder a los registros de uso, qué se supervisa y cómo se utilizará la información. A falta de garantías claras, algunas personas eligen la comodidad y la privacidad percibida por encima del control corporativo.

Los riesgos van más allá de un documento filtrado

El riesgo más evidente relacionado con la IA en la «sombra» es que un empleado suba información confidencial a un servicio público. Dicho material podría incluir datos de clientes, código fuente, contratos, estrategia interna o resultados financieros no publicados. Incluso cuando el proveedor no utilice datos de la empresa para el entrenamiento de los modelos, es posible que la empresa carezca de un acuerdo que regule el almacenamiento, el acceso, la supresión y el tratamiento transfronterizo. También existen riesgos menos visibles. Una herramienta de IA puede generar información incorrecta que se incorpore a una propuesta para un cliente o a un informe de gestión sin la revisión adecuada. Las extensiones de navegador pueden tener un amplio acceso a páginas, correos electrónicos o documentos. Una aplicación especializada puede depender de varios proveedores subyacentes, lo que dificulta determinar por dónde circulan los datos. La titularidad de la propiedad intelectual también puede volverse incierta cuando los empleados generan contenido a través de cuentas personales sujetas a condiciones de uso para consumidores. Las organizaciones reguladas se enfrentan a requisitos adicionales en materia de mantenimiento de registros, explicabilidad y supervisión humana. Un empleado puede crear involuntariamente un proceso que la empresa no pueda reproducir ni auditar. Los agentes aumentan aún más los riesgos. Un chatbot utilizado para mejorar la redacción afecta a un solo documento. Un agente no oficial conectado al correo electrónico, al almacenamiento en la nube o a las aplicaciones de la empresa puede recuperar información y realizar acciones en varios sistemas. El riesgo pasa de ser una simple filtración a un trabajador digital no registrado que opera con los permisos del empleado. Por eso la IA en la sombra no puede tratarse simplemente como otra suscripción no autorizada. La herramienta puede interactuar con los conocimientos y procesos de la empresa de formas que ni el empleado ni el equipo de seguridad comprenden del todo.

Prohibir la IA puede hacer que el problema pase más desapercibido

Una prohibición total puede estar justificada temporalmente en entornos especialmente sensibles, pero tiene una limitación importante: elimina la oportunidad de conocer cómo están utilizando ya los empleados la tecnología. Cuando la demanda sigue siendo elevada, el uso se traslada a dispositivos personales, cuentas privadas y servicios menos visibles. Los empleados se muestran reacios a hablar de experimentos exitosos porque admitirlos podría acarrear consecuencias. La empresa pierde información tanto sobre los riesgos como sobre el valor potencial. Una prohibición también puede dar la impresión de que todo uso de la IA es igualmente peligroso. Resumir un informe público y subir una base de datos confidencial de clientes no son actividades comparables. Tratarlas de forma idéntica hace que la política sea más difícil de defender y anima a los empleados a confiar en su propio criterio. Un enfoque más viable distingue entre herramientas, datos y acciones. Los usos de bajo riesgo pueden permitirse con condiciones claras. El trabajo sensible puede restringirse a los sistemas de la empresa, mientras que las decisiones de gran impacto requieren una revisión humana. Ciertas aplicaciones o categorías de datos pueden seguir estando prohibidas. El objetivo es una adopción controlada, más que una experimentación sin restricciones. Los empleados necesitan una vía legítima que sea más fácil de seguir que las soluciones alternativas.

Empieza por averiguar qué es lo que la gente está intentando hacer

Los equipos de seguridad pueden detectar parte del tráfico de IA no autorizado, pero un inventario técnico solo refleja una parte de la realidad. La empresa también debe comprender la demanda que hay detrás. Un empleado que utilice una herramienta de transcripción puede estar intentando evitar horas de toma de notas manual. Alguien que suba hojas de cálculo a un asistente de IA puede carecer de un servicio de análisis de datos accesible. Un equipo que utilice un chatbot público para responder a los clientes podría estar compensando un sistema de atención al cliente obsoleto. Estas son señales sobre el trabajo. Revelan tareas repetitivas, capacidades que faltan y procesos que los empleados creen que deberían ser más sencillos. Las empresas deberían invitar a los equipos a describir cómo utilizan la IA, incluidos los experimentos no oficiales, sin que el ejercicio se plantee como una investigación disciplinaria. Los empleados se muestran más dispuestos a revelar la verdad cuando el objetivo es diseñar alternativas más seguras, en lugar de identificar a los infractores. Los casos de uso resultantes pueden evaluarse en función de su valor, la sensibilidad de los datos y el riesgo operativo. Algunos deben detenerse. Otros pueden trasladarse a herramientas autorizadas, mientras que los más prometedores pueden justificar un flujo de trabajo formal o la adquisición de nueva tecnología. Este enfoque convierte la IA en la sombra en una fuente de inteligencia organizativa. La empresa descubre dónde perciben los empleados los puntos de fricción antes de seleccionar otra plataforma que quizá no los resuelva.

Las herramientas aprobadas deben ser realmente competitivas

Ofrecer un asistente seguro solo resulta eficaz cuando los empleados pueden utilizarlo para realizar un trabajo significativo. La empresa debería probar las herramientas aprobadas con tareas reales, en lugar de limitarse a las demostraciones de los proveedores. ¿Es capaz el sistema de gestionar los documentos que los empleados reciben habitualmente? ¿Admite los idiomas y formatos de archivo necesarios? ¿Pueden los usuarios recuperar información de fuentes internas sin tener que copiarla manualmente? ¿Son los resultados lo suficientemente sólidos como para que los usuarios no vuelvan inmediatamente a su modelo de consumo habitual? Ninguna plataforma por sí sola satisfará todos los requisitos especializados. Las organizaciones pueden necesitar una cartera controlada: un asistente general para el trabajo diario, herramientas especializadas para departamentos concretos y un proceso de aprobación para nuevos servicios. El acceso puede ajustarse en función del rol y la sensibilidad de los datos. El proceso también debe ser más ágil que la adquisición tradicional de software. Un proceso de evaluación sencillo puede permitir realizar pruebas limitadas con información no confidencial antes de que la empresa tome una decisión definitiva. De lo contrario, los empleados seguirán realizando las pruebas por su cuenta, al margen de cualquier supervisión de la empresa. Un entorno competitivo y homologado no eliminará todas las herramientas no autorizadas, pero sí elimina la justificación más habitual para utilizarlas.

La formación debería centrarse en las decisiones, no en las funciones

Muchas sesiones de formación sobre IA se centran en mostrar indicaciones y funciones del producto, sin prestar apenas atención a las decisiones a las que se enfrentan los empleados en la práctica. Saber cómo generar un resumen es menos importante que saber si el documento puede enviarse con seguridad y cómo debe comprobarse el resultado. La formación debería basarse en situaciones reales de la organización. Los empleados pueden analizar qué información está permitida, cómo anonimizar el material, cuándo es necesaria una herramienta empresarial y qué afirmaciones requieren una verificación independiente. Los directivos necesitan orientación adicional, ya que influyen en que los empleados se sientan presionados a utilizar la IA sin el apoyo adecuado. La organización también debería explicar por qué existen determinadas restricciones. Las normas son más fáciles de cumplir cuando los empleados comprenden las consecuencias contractuales, de privacidad y de seguridad, en lugar de recibir una advertencia genérica sobre los riesgos. La formación no puede compensar una herramienta deficiente o una política inaplicable, pero sí puede reducir la amplia categoría de usos indebidos accidentales. Además, da a los empleados la confianza necesaria para hablar abiertamente de la IA, en lugar de ocultarla.

Los directivos deben resolver el conflicto en torno a los incentivos

Los empleados seguirán buscando atajos cuando la dirección exija una mayor productividad sin proporcionar los medios para alcanzarla de forma segura. Por lo tanto, los líderes deben ajustar las expectativas a la capacidad real de la empresa en materia de IA. No se puede evaluar a un equipo que está a la espera de una solución aprobada comparándolo con niveles de rendimiento que solo se pueden alcanzar con herramientas no oficiales. Los directivos deben saber qué sistemas están disponibles, fomentar la experimentación legítima y dedicar tiempo a que los empleados aprendan a utilizarlos. También deben evitar elogiar trabajos impresionantes generados por la IA sin preguntar cómo se han gestionado los datos de la empresa. El mismo principio se aplica a los altos directivos. Los ejecutivos que utilizan públicamente herramientas de consumo mientras imponen normas más estrictas al resto de la plantilla debilitan la credibilidad de la política. El comportamiento responsable debe ser coherente en toda la jerarquía. La «IA en la sombra» es, en parte, un problema de gobernanza tecnológica, pero también es un problema de gestión. Los empleados interpretan las prioridades a través de las cargas de trabajo, los plazos y las recompensas con mayor facilidad que a través de los documentos normativos.

De la IA «en la sombra» a la experimentación visible

Empresas No se evitará el uso no autorizado de la IA fingiendo que los empleados no tienen motivos para querer utilizarla. Las herramientas son accesibles, los beneficios en materia de productividad pueden ser inmediatos y la presión profesional para comprenderlas es cada vez mayor. Una respuesta viable combina límites claros con alternativas creíbles. Los empleados necesitan herramientas aprobadas capaces de gestionar tareas reales, normas prácticas para los distintos tipos de datos y una vía rápida para probar nuevas aplicaciones. La empresa necesita visibilidad sobre el uso, el control de los flujos de trabajo importantes y medidas de seguridad proporcionales a las consecuencias de un error. Seguirá habiendo casos en los que los empleados ignoren normas claras y expongan información de forma imprudente. Esos incidentes exigen que se asuman responsabilidades. No deben ocultar la tendencia general: el uso generalizado de la IA en la «sombra» suele indicar que la tecnología, la política y las expectativas de la organización no están alineadas.

El empleado que utiliza una herramienta no autorizada está asumiendo un riesgo, pero la empresa ya ha tomado varias decisiones por su cuenta —sobre el acceso, la adquisición, la carga de trabajo y la formación—. Cuando el procedimiento oficial no permite realizar el trabajo, las personas se las ingenian para encontrar otra forma de hacerlo. La gobernanza de la IA más eficaz hace que el procedimiento seguro sea lo suficientemente práctico como para que los empleados ya no tengan que trabajar a escondidas.