La directiva que desobedece sus propias reglas

Mide el porcentaje de la fuerza laboral que utiliza herramientas de inteligencia artificial (asistentes de escritura, generadores de código, analizadores de datos, etc.) sin el conocimiento o aprobación explícita del departamento de TI, junto con el reconocimiento de los riesgos que esta práctica conlleva.

📍 CONTEXTO

Los datos provienen de una encuesta global de TrustedTech, un socio gestionado de Microsoft, que incluyó una muestra representativa de tomadores de decisiones (directivos) y empleados de niveles inferiores. La investigación fue publicada en mayo de 2026 y destaca la paradoja de que quienes diseñan las políticas de seguridad son los que más activamente las eluden.

🔍 POR QUÉ ESTA CIFRA IMPORTA

La estadística más alarmante no es solo el uso generalizado de IA no aprobada, sino que el 65% de los directivos lo hacen. Los responsables de establecer el gobierno corporativo son los primeros en violarlo, enviando una señal tácita que legitima el comportamiento en toda la organización. A pesar de que el 77% de los empleados reconoce que esta práctica expone a la empresa a riesgos de fuga de datos y problemas de cumplimiento, la conveniencia operativa prima sobre la precaución. Ignorar esta brecha entre el dicho y el hecho normaliza el “Shadow AI” como una práctica subterránea, erosionando el control de la información corporativa y creando vectores de vulnerabilidad imposibles de auditar.

🏢 LO QUE SIGNIFICA PARA TU ORGANIZACIÓN

La primera consecuencia es que las políticas de control del comportamiento, basadas en prohibiciones y vigilancia, han fracasado. Los directivos lideran con el ejemplo en la evasión, por lo que la organización necesita un giro estratégico: pasar de bloquear herramientas a proveer soluciones aprobadas que realmente satisfagan las necesidades de productividad de los usuarios. Esto interpela directamente a las áreas de cumplimiento y a los CIOs, quienes deben diseñar entornos donde la herramienta aprobada sea la opción más atractiva, no la más engorrosa.

Esta situación es más urgente para dos tipos de organizaciones. Las que operan en sectores altamente regulados (banca, salud, finanzas) enfrentan un riesgo legal severo, ya que el uso no autorizado de IA puede implicar la filtración de datos sensibles o el incumplimiento de normativas como GDPR o leyes locales de privacidad. Por otro lado, las empresas con culturas organizacionales muy jerárquicas son especialmente vulnerables, ya que la conducta de los altos directivos es emulada por el resto, acelerando la adopción incontrolada de “Shadow AI”.

📏 CÓMO MEDIRLO EN TU ORGANIZACIÓN

Evaluar la magnitud del “Shadow AI” no es sencillo, ya que los empleados tienden a ocultar su uso. Sin embargo, una combinación de técnicas técnicas y culturales permite aproximarse al problema.

Tasa de adopción de IA corporativa vs. externa: Mide el tráfico de red hacia servicios de IA populares no incluidos en el paquete corporativo (ej. ChatGPT personal, Claude, Perplexity) en comparación con el uso de las herramientas aprobadas (ej. Copilot corporativo). Se obtiene de los logs de proxy o de las herramientas de gestión de acceso a internet (SWG/CASB). La unidad de medición es la proporción de sesiones o volumen de datos transferido.

Tasa de filtración de datos a modelos externos: Cuantifica la cantidad de intentos de pegar grandes volúmenes de datos corporativos (código fuente, balances, listados de clientes) en interfaces web de IA gratuitas. Se obtiene de los sistemas de prevención de pérdida de datos (DLP). La unidad de medición son los incidentes detectados por mes.

Percepción de utilidad de las herramientas autorizadas: Mide el Net Promoter Score (NPS) interno o la satisfacción (1 a 5) de los empleados con las herramientas de IA aprobadas por la compañía, preguntando específicamente si estas cubren sus necesidades de automatización o análisis. Se obtiene mediante encuestas internas periódicas. La unidad de medición es el porcentaje de satisfacción o el NPS.

Brecha de formación en IA segura: Evalúa el porcentaje de empleados que han completado un módulo de formación específico sobre “Uso Seguro y Ético de IA en el Trabajo” versus aquellos que reportan usarla. Se obtiene del sistema de gestión del aprendizaje (LMS) y cruzándolo con encuestas de autopercepción. La unidad de medición es la diferencia entre usuarios activos y capacitados.

Proporción de proyectos piloto de IA oficiales versus iniciativas no declaradas: Compara el número de proyectos de automatización reportados formalmente al comité de innovación versus la estimación de iniciativas “ocultas” detectadas por TI. Se obtiene del registro de proyectos formales y de entrevistas de auditoría interna. La unidad de medición es el índice (proyectos formales/proyectos detectados).

📈 LA LECTURA DEL RESULTADO

Una organización con control robusto muestra una tasa de filtración de datos inferior a 5 incidentes al mes y una tasa de uso de herramientas no aprobadas inferior al 20% del tráfico total. Una situación de alerta se da cuando más de la mitad de los directivos admiten usar herramientas no autorizadas, lo que indica un colapso del modelo de gobierno superior. Una situación crítica se alcanza si, además, el 90% de los intentos de pegar datos en herramientas externas son exitosos o si la capacitación en IA segura cubre a menos del 10% de los usuarios.