Empleados que usan ChatGPT sin permiso: riesgos y qué hacer

La IA en la sombra, o shadow AI, es el uso de herramientas como ChatGPT por parte de tus empleados sin que la empresa lo sepa ni lo controle, y el riesgo principal es que datos de clientes terminen en cuentas personales. Prohibirlo sin más rara vez funciona; lo que sí funciona es dar una alternativa segura y unas reglas claras.

Si crees que en tu empresa no pasa, probablemente sí pasa: es una herramienta gratuita, rápida y útil.

¿Por qué lo hacen tus empleados?

Casi nunca es por mala fe. Quieren terminar antes un correo, un informe o una hoja de cálculo, y la IA les ahorra tiempo. Si la empresa no ofrece nada, buscan por su cuenta.

Ese es el origen del problema: la herramienta es útil, pero se usa fuera de tu control.

¿Qué riesgos tiene para tu negocio?

• Fuga de datos. Pegar listados de clientes, presupuestos o contratos en una cuenta personal implica que esa información sale de tu entorno.
• Protección de datos. Si hay datos personales, puedes incumplir el RGPD sin saberlo.
• Información errónea. La IA puede inventar datos; si nadie revisa, el error llega al cliente.
• Propiedad intelectual. Código, diseños o textos propios subidos a servicios externos.
• Falta de trazabilidad. No sabes qué se ha hecho con IA ni quién lo ha revisado.

¿Qué hacer en lugar de prohibir?

1. Averigua qué se usa. Una encuesta anónima de cinco preguntas basta para saber herramientas, tareas y tipo de datos.
2. Ofrece una herramienta corporativa. Una cuenta de empresa con condiciones de privacidad que hayas revisado, o una solución propia conectada a tus datos.
3. Escribe una política corta. Qué se puede subir, qué no y quién revisa. Tienes una estructura lista en nuestra guía política de uso de IA en la empresa.
4. Forma a la plantilla. Una sesión práctica con ejemplos de vuestro trabajo cambia más hábitos que un correo con normas. Mira nuestra formación en IA para equipos.
5. Revisa cada pocos meses. Aparecen herramientas nuevas y cambian las condiciones de las existentes.

Dos errores frecuentes

El primero es hacer una prohibición total por correo: se acata una semana y se vuelve a lo de antes. El segundo es autorizar una herramienta y no formar a nadie: sin criterio, los mismos errores pasan a una cuenta corporativa.

¿Y si ya se han subido datos de clientes?

No te alarmes ni busques culpables. Identifica qué datos se subieron y a qué servicio, revisa si puedes eliminarlos desde la cuenta y valora con tu asesor de protección de datos si hay que hacer algo más. Después, aplica las medidas anteriores para que no se repita.

¿Cómo medir si funciona?

Fíjate en señales sencillas: cuánta gente usa la herramienta corporativa, cuántas consultas llegan sobre dudas de uso y si desaparecen los usos con cuentas personales en vuestra encuesta de seguimiento. No necesitas métricas complicadas. Si la plantilla pregunta antes de subir un documento, la política funciona. Si nadie pregunta nada, probablemente nadie la ha entendido. Pídeles ejemplos reales de lo que hacen con IA y recoge los casos útiles para convertirlos en procesos documentados: así el uso en la sombra se convierte en una ventaja compartida.

¿Te ayudamos?

Ayudamos a pymes a pasar del uso improvisado de la IA a uno ordenado: diagnóstico, herramienta, política y formación. Háblanos de tu empresa y lo organizamos juntos, estés en Canarias o en cualquier punto de España.