El uso frecuente de ChatGPT en España se ha multiplicado por siete en dos años. Buena parte de ese uso ocurre en el trabajo, con datos de tu empresa, en cuentas personales que nadie controla.
Lectura: ~9 minutos.
A eso se le llama shadow AI: inteligencia artificial que tu equipo usa por su cuenta, sin que la empresa lo sepa, lo haya aprobado o lo haya configurado. No es un fenómeno marginal ni una hipótesis de consultor. Es lo que dicen los números, y los números son bastante claros.
Shadow AI: el hueco entre dos cifras
Primera cifra. Según Funcas, el porcentaje de personas que usan ChatGPT con frecuencia en España pasó del 4 % en 2023 al 14 % en 2024 y al 28 % en 2025. Entre los menores de 45 años, cuatro de cada diez usan alguna herramienta de IA a diario.
Segunda cifra. Según Eurostat, en 2025 solo el 20 % de las empresas europeas de diez o más empleados usaba IA de forma declarada en su negocio. Venían del 13,5 % en 2024. Crecen, pero a otro ritmo.
Seamos honestos con el gráfico: una serie mide personas en España y la otra, empresas en toda la UE. No se pueden restar. Pero la conclusión cualitativa aguanta de sobra: la gente ha adoptado la IA mucho más deprisa de lo que las empresas la han incorporado y gobernado. Y esa gente no deja la herramienta en casa cuando ficha.
Hay una tercera cifra que apunta en la misma dirección: según IDC, el 56 % de los empleados usa herramientas de IA no autorizadas en el trabajo, frente a solo un 23 % que usa las que su empresa proporciona y gobierna. La mayoría del uso de IA en una empresa media ocurre, literalmente, fuera de su vista.
Por qué pasa (y por qué prohibir no funciona)
La explicación no es que tu equipo sea imprudente. Es más incómoda: la herramienta funciona y la empresa no da alternativa.
Quien redacta ofertas, contesta correos, resume documentación o pelea con Excel descubre que ChatGPT le ahorra una hora al día. Si la empresa no le da una cuenta corporativa, unas normas claras y algo de formación, hará lo evidente: abrirse una cuenta gratuita con su correo personal y seguir trabajando. No por rebeldía. Por eficacia.
Por eso la respuesta refleja —prohibir la IA en la empresa— fracasa siempre igual: no elimina el uso, lo esconde. Pasas de tener un problema visible a tener el mismo problema sin poder verlo. Es la misma dinámica que analizamos en por qué fracasa la IA en las pymes: la adopción no se decreta ni se veta, se organiza.
El riesgo real, sin dramatizar
Tampoco vamos a vender miedo: que alguien pida a ChatGPT que mejore la redacción de un párrafo genérico no es una catástrofe. El problema es concreto y tiene tres caras:
- RGPD. Si un empleado pega en una cuenta personal el historial de un cliente, una nómina o un listado con nombres y correos, tu empresa acaba de ceder datos personales a un tercero sin base jurídica, sin contrato de encargo de tratamiento y sin control sobre dónde acaban. Qué se puede usar y qué no lo explicamos en detalle en IA y RGPD: qué datos puedes usar.
- Confidencialidad. Muchos contratos con clientes incluyen cláusulas de confidencialidad. Meter su información en una herramienta no controlada puede incumplirlas aunque no haya ningún dato personal por medio. Y en las cuentas gratuitas, salvo que se desactive expresamente, las conversaciones pueden usarse para entrenar los modelos.
- Coste cuando sale mal. El informe Cost of a Data Breach 2025 de IBM puso número al fenómeno: una de cada cinco organizaciones analizadas sufrió una brecha vinculada a shadow AI, y esas brechas costaron de media unos 670.000 dólares más que el resto. El mismo informe señala que el 63 % de las organizaciones no tenía política de gobernanza de IA o la estaba todavía desarrollando. No es que la IA sea insegura: es que la IA sin gobernar no se puede proteger.
La conclusión práctica no es «pánico», es «orden». Y el orden, en una pyme, no necesita cuarenta páginas.
La política de uso que cabe en una página
Esta es la política que recomendamos como punto de partida. Cópiala, cambia los nombres de herramientas y personas por los tuyos, y publícala donde tu equipo la vea. No sustituye al asesoramiento legal en casos complejos, pero cubre el 90 % de las situaciones reales de una pyme.
| Punto | Regla |
|---|---|
| 1. Herramientas y cuentas | Solo las dos o tres herramientas aprobadas por la empresa, siempre con cuenta corporativa. Las cuentas personales gratuitas no se usan para trabajo. Nunca. |
| 2. Qué sí se puede introducir | Información pública, borradores y textos sin datos identificativos, documentación interna no confidencial, código sin credenciales ni datos reales. |
| 3. Qué no se introduce jamás | Datos personales de clientes o empleados (nombres, DNI, correos, nóminas, salud), cifras financieras no publicadas, contratos y ofertas en curso, contraseñas y claves, y todo lo cubierto por un acuerdo de confidencialidad. En caso de duda, se trata como confidencial. |
| 4. Configuración obligatoria | En cada cuenta, desactivar el uso de las conversaciones para entrenar el modelo (todas las herramientas serias lo permiten desde los controles de datos o privacidad) y revisar quién tiene acceso al historial. Se comprueba al dar de alta la cuenta, no «ya si eso». |
| 5. Dudas | Se preguntan a una persona con nombre y apellidos, no a un buzón genérico. En una pyme suele ser quien lleva la digitalización o la propia gerencia. Si nadie tiene ese papel, ese es el primer hueco que cubrir. |
| 6. Si metes la pata | Quien introduzca datos que no debía lo comunica el mismo día, sin sanción. Un aviso a tiempo convierte el error en un incidente gestionable; el miedo solo garantiza que no te enteres. |
Fíjate en lo que esta política no hace: no prohíbe la IA, no exige un comité, no requiere software nuevo. Da un cauce legítimo (cuentas de empresa, herramientas concretas) y dibuja la línea roja donde de verdad importa (datos personales, confidencialidad, credenciales). El punto 6 es el que más cuesta aceptar y el que más incidentes evita.
La política sin cuentas corporativas es papel mojado: estás pidiendo a tu equipo que deje de usar algo útil sin darle el sustituto. Contrata primero las cuentas de empresa de las herramientas que ya se usan (pregunta cuáles son: te llevarás sorpresas), publica la política después, y forma al equipo la misma semana.
La formación ya no es opcional (y cuesta menos de lo que crees)
Aquí hay un dato que casi ninguna pyme tiene en el radar: el artículo 4 del Reglamento europeo de IA obliga a las empresas que usan sistemas de IA a garantizar «un nivel suficiente de alfabetización en materia de IA» de su personal. Y no es una obligación futura: es aplicable desde el 2 de febrero de 2025. Si tu equipo usa IA para trabajar —y ya hemos visto que la usa—, te aplica. Qué más te exige la norma, y qué no, lo repasamos en el Reglamento de IA para pymes.
La parte buena: no te pide un máster para cada empleado, sino formación proporcional al uso que se hace. Para la mayoría de las pymes, una sesión seria de dos o tres horas —qué hace bien la herramienta, qué hace mal, qué dice la política, cómo se configura la cuenta— cubre el expediente y, sobre todo, cambia el comportamiento.
Y la parte muy buena: esa formación puede salirte casi gratis. Toda empresa con plantilla en España dispone de un crédito anual de formación que se recupera vía bonificaciones en las cotizaciones sociales, gestionado a través de FUNDAE. La formación en IA entra. Es decir: la obligación legal de formar a tu equipo se puede pagar, total o parcialmente, con un crédito que probablemente estás dejando caducar cada diciembre.
Obligación vigente por un lado, coste casi cero por el otro. Pocas decisiones de cumplimiento son tan fáciles de justificar.
- Pregunta, sin sanciones, quién usa qué. Una encuesta anónima de cinco minutos: qué herramientas de IA usas, para qué tareas, con qué cuenta. Sin ese mapa estás gobernando a ciegas, y el tono importa: si suena a inspección, te mentirán.
- Publica la política y da el cauce legítimo. Adapta la tabla de arriba a tus herramientas y contrata cuentas corporativas de las dos o tres que tu equipo ya usa, con el opt-out de entrenamiento activado desde el primer día.
- Programa la formación y tramita la bonificación. Una sesión de dos o tres horas para todo el equipo antes de fin de octubre, gestionada vía FUNDAE. Cumples el artículo 4 y conviertes el uso escondido en uso útil.
Si no sabes por dónde empezar —qué herramientas está usando ya tu equipo, qué política encaja en tu caso, qué formación bonificar—, en la auditoría gratuita lo miramos contigo. Media hora, sin compromiso, y sales con el mapa hecho.
En myIA la política de uso y la formación del equipo no son un anexo del proyecto: son la primera fase. Porque la IA que funciona en una pyme no es la más potente, es la que todo el mundo usa por el cauce correcto.
Fuentes
- Funcas. El uso frecuente de ChatGPT en España sube del 4 % al 28 % entre 2023 y 2025. Encuesta a población de 18 a 75 años.
- Eurostat. 20 % of EU enterprises use AI technologies, empresas de 10 o más empleados, datos de 2025 (13,5 % en 2024).
- IDC, encuesta de 2025 sobre uso de IA no autorizada por empleados (56 % frente al 23 % que usa herramientas gobernadas por su empresa), recogida por SentinelOne.
- IBM. Cost of a Data Breach Report 2025: el 20 % de las organizaciones analizadas sufrió una brecha vinculada a shadow AI, con un sobrecoste medio de unos 670.000 dólares; el 63 % carecía de política de gobernanza de IA o la estaba desarrollando.
- Reglamento (UE) 2024/1689, artículo 4 (alfabetización en materia de IA), aplicable desde el 2 de febrero de 2025.
- FUNDAE. Crédito de formación bonificada para empresas.