Shadow AI: detectar y encuadrar los usos no declarados

Sus datos salen sin que nadie lo haya decidido. Es el riesgo más probable. Según el contrato, lo que se introduce en una herramienta de uso general puede servir para mejorar el servicio. La ANSSI, la agencia francesa de ciberseguridad, lo dice sin rodeos: el envío de datos sensibles a herramientas de uso general en Internet «debe proscribirse» (abril de 2024).

Sus decisiones se basan en resultados que nadie ha verificado. Una respuesta errónea llega con la misma seguridad que una correcta. Cuando no se conoce la herramienta, nadie sabe que hay que revisar.

Usted depende de una herramienta que no controla. Un proceso puede acabar dependiendo de la cuenta personal de un empleado. Si se va, o si la herramienta cambia sus condiciones, el proceso se detiene.

Usted no puede cumplir sus obligaciones. El Reglamento Europeo de IA exige a las empresas adoptar medidas para favorecer la alfabetización en IA de sus equipos. No se puede formar en una herramienta cuya existencia se desconoce. Consulte nuestra página sobre el Reglamento Europeo de IA para pymes.

Detectar la shadow AI no significa vigilar a los empleados. En Francia, todo dispositivo de control de la actividad debe ser proporcionado a su objetivo. En las empresas de al menos 50 empleados, requiere la información y consulta previas del comité social y económico (CSE, el órgano de representación del personal). En todos los casos, debe ponerse en conocimiento de los empleados antes de su implantación. La CNIL, la autoridad francesa de protección de datos, considera en general excesiva una vigilancia permanente, y cita el registrador de pulsaciones de teclado como ejemplo de dispositivo desproporcionado (ficha del 9 de julio de 2026). Un programa instalado sin conocimiento de los empleados para detectar sus usos de IA no cumpliría estas condiciones.

Bastan tres fuentes.

Las condiciones para obtener respuestas sinceras

Anuncie que el inventario no dará lugar a ninguna sanción. Explique cómo se presentarán las respuestas a la dirección. Presente el proceso como la preparación de herramientas autorizadas, no como una investigación.

En Optim-AI, la shadow AI forma parte de la auditoría de IA: a partir de 9 días de intervención en un plazo máximo de tres meses. Identificamos las herramientas adoptadas sin validación de la dirección, evaluamos los datos que circulan por ellas y traducimos cada riesgo en una contramedida.

Trabajamos mediante cuestionarios y entrevistas con los equipos. Los cuestionarios no son anónimos. Para el análisis, clasificamos los usos por puesto y por equipo: quién hace qué, con qué herramienta y sobre qué datos. Es la base de nuestro enfoque de auditoría.

La presentación de resultados a la dirección es anónima. Nadie aparece nombrado ni señalado. En la presentación de resultados, los equipos pequeños se agrupan para que nadie sea identificable. Sirve para fijar normas y elegir herramientas, no para sancionar.

Usted recibe, entre otras cosas:

• el mapa de los usos reales de la IA, declarados y no declarados;
• el inventario de los datos sensibles y de su exposición;
• la lista de riesgos clasificados por gravedad y por probabilidad;
• normas de uso de la IA redactadas para que se lean, y que pueden incorporarse al reglamento interno;
• un plan de contramedidas secuenciado a 3, 6 y 12 meses.

El plan le pertenece: puede ejecutarlo con nosotros, con otro proveedor o por su cuenta.