El Shadow AI se ha instalado en las empresas francesas mucho más rápido que las reglas que se supone deben enmarcarlo. Según el Barómetro IA Empresa y Sostenibilidad 2026 de ESSCA y Forvis Mazars, el 66 % de los profesionales constatan Shadow AI en su organización, y Francia muestra la tasa más alta de Europa, con una empresa de cada cinco que describe esta práctica como extendida. Este fenómeno revela un desfase fundamental: los empleados adoptan herramientas de IA de consumo masivo antes de que su empleador proponga soluciones validadas. ¿Por qué persiste esta situación a pesar de los esfuerzos de gobernanza? ¿Cómo pueden las empresas construir un marco de uso que cubra el conjunto de las prácticas sin puntos ciegos? He explorado estas cuestiones en profundidad, y las respuestas que he encontrado muestran que el problema no es tanto prohibir como comprender, formar y encuadrar con inteligencia. Este artículo le propone un análisis detallado de los desafíos del Shadow AI, de las razones de su persistencia en Francia y de estrategias concretas para construir una gobernanza de la IA que funcione de verdad.
📋 Índice
Por qué persiste el Shadow AI a pesar de las herramientas validadas
Debo aclarar primero un punto que sorprende a muchos responsables de TI: el Shadow AI no desaparece simplemente porque una empresa ponga a disposición sus propias herramientas. Es contraintuitivo, pero es la realidad que muestra el barómetro. Tres razones explican esta persistencia, y todas son racionales desde el punto de vista del empleado. La primera es la costumbre. Un colaborador que adoptó ChatGPT o Claude antes de que su empresa propusiera un asistente interno seguirá usando lo que conoce. Es humano, es normal 🤖, y es difícil de combatir solo con la prohibición.
La segunda razón es el rendimiento percibido. Las herramientas que proporciona la empresa suelen considerarse menos eficaces que sus equivalentes de consumo masivo. Puede ser cierto o falso, pero la percepción cuenta. Un empleado que ha probado GPT-6 Luna en OpenAI y al que se le ofrece un modelo más antiguo o menos optimizado para su uso específico preferirá naturalmente lo que conoce. La tercera razón es la comodidad de uso. Las herramientas internas pueden ser más lentas, menos intuitivas o requerir autenticaciones adicionales. Estas fricciones, incluso menores, bastan para empujar a los usuarios hacia soluciones externas.
Lo que retengo de esto es una lección importante para las empresas: una herramienta validada que soporta la comparación con las del mercado hace retroceder el Shadow AI con mucha más seguridad que un recordatorio de las normas. La prohibición por sí sola no funciona. Hay que proponer una alternativa creíble, eficaz y fácil de usar. Es una inversión, pero también es un reconocimiento de que los empleados no son niños a los que hay que castigar, sino profesionales a los que hay que equipar correctamente.
Francia, campeona del Shadow AI: comprender la paradoja
Una cifra me llamó especialmente la atención al analizar el barómetro: una empresa francesa de cada cinco describe el Shadow AI como extendido, frente a una de cada diez en los otros tres países estudiados (Reino Unido, Alemania, España). Francia está, por tanto, dos veces más afectada que sus vecinos. ¿Por qué? Veo dos explicaciones que se refuerzan mutuamente. La primera tiene que ver con el marco normativo y la formación. En Francia, menos de una empresa de cada dos forma a sus empleados en IA, frente a tres de cada cuatro en Reino Unido. Alrededor de un tercio ha redactado directrices éticas, frente a siete de cada diez al otro lado del Canal. Esta diferencia es enorme 📊.
Cuando la norma y la formación llegan tarde, el uso se instala solo. Es la conclusión que extraigo de estas cifras. Los empleados franceses no esperaron a que su empresa se decidiera. Tomaron las herramientas disponibles y las integraron en su flujo de trabajo. Ahora es demasiado tarde para prohibir. La segunda explicación se refiere a la oferta interna. Más de cuatro empresas francesas de cada diez aún prescinden de herramientas para consultar sus documentos internos con IA. El empleado que lo necesita irá a buscar una en otro sitio, naturalmente. Es una carencia de oferta interna la que crea Shadow AI.
Lo que constato es que Francia ha acumulado retraso en la gobernanza de la IA. Tenemos talento, tenemos empresas innovadoras, pero nos faltan un marco estructurante y una formación sistemática. Es un problema de estrategia, no de cultura. Las empresas francesas pueden recuperar ese retraso, pero deben actuar rápido. El tiempo juega en su contra, porque cuanto más se instala el Shadow AI, más difícil resulta encuadrarlo.
Encuadrar en lugar de prohibir: la estrategia ganadora
Esta es una pregunta que planteo a menudo a los responsables de TI: ¿hay que prohibir el Shadow AI o encuadrarlo? La respuesta que me da el barómetro es clara. La prohibición general no funciona. Una empresa de cada ocho constata que el Shadow AI continúa a pesar de una prohibición clara. La situación más frecuente es la tolerancia, que afecta a una empresa de cada cuatro. Es, a mis ojos, la posición más frágil, porque la empresa sabe, deja hacer, y la cuestión de su responsabilidad se plantea el día en que salen datos sensibles 🔒.
La prohibición conserva su sentido cuando es precisa y está justificada. Prohibir introducir datos de clientes, elementos de nómina o un contrato en negociación en una herramienta de consumo masivo es algo que cada cual comprende y puede cumplir. Es una regla que tiene sentido. Pero ¿una prohibición general y difusa? Genera frustración y Shadow AI. Por eso abogo por el encuadre. Se trata de decir qué usos están permitidos, con qué herramientas y sobre qué datos, y después proporcionar una herramienta validada de buen nivel. Una regla que los empleados comprenden y pueden seguir protege generalmente mejor que una prohibición abstracta.
En concreto, ¿cómo construir este marco? Recomiendo empezar por un inventario. Pregunte a los equipos qué herramientas utilizan, para qué tareas y con qué datos, garantizando el anonimato de las respuestas. Después clasifique esos usos con dos preguntas sencillas: ¿qué datos entran en la herramienta? ¿El resultado sirve para tomar una decisión sobre una persona? Obtendrá tres listas: lo que está permitido, lo que lo está bajo condiciones y lo que está prohibido. Razonar por uso en lugar de por herramienta ayuda mucho, porque las herramientas cambian cada trimestre. Por último, nombre un responsable identificado, organice una formación y prevea una revisión periódica con los representantes de los trabajadores.
Los usos aceptados pero subestimados: los puntos ciegos de la gobernanza
Más allá del Shadow AI, existen usos que la empresa acepta pero que siguen mal encuadrados. Quiero hablarle de tres de ellos, porque representan riesgos reales. El primero es la transcripción de reuniones. Cuatro empresas de cada cinco utilizan modelos de lenguaje para la ofimática, es decir, los resúmenes, las actas de videoconferencias y la ayuda a la redacción de correos. En Francia, cuatro encuestados de cada diez indican que el consentimiento para la grabación se solicita de forma explícita y documentada. Para otros cuatro de cada diez, sigue siendo informal o ha desaparecido 🎙️.
Es un problema mayor. Una reunión contiene nombres, opiniones sobre personas y, a veces, secretos de negocio. Es, en primer lugar, un asunto de RGPD. Parece indispensable respetar las reglas de consentimiento para el uso de datos personales. También es una cuestión de confianza entre colegas. Es necesario avisar al conjunto de los participantes en una reunión y asegurarse de su acuerdo explícito. Citaría igualmente la selección de personal. Hacer que una IA resuma o clasifique candidaturas parece anodino, pero esos usos pueden encuadrarse en los sistemas de alto riesgo del AI Act. El código viene después. Más de la mitad de las empresas que desarrollan declaran que al menos una cuarta parte de su código está asistida por IA. Estas herramientas aportan una verdadera ganancia de productividad, pero esa ganancia puede conllevar una deuda técnica cuando la revisión se retrasa, así como un riesgo de pérdida de competencias para los equipos.
Lo que retengo es que la gobernanza de la IA no puede limitarse al Shadow AI. Debe cubrir el conjunto de los usos, incluidos los que parecen anodinos. Es un trabajo de fondo, pero también una oportunidad. Las empresas que construyen una gobernanza completa e inteligente ganan en confianza, en conformidad y en productividad. También crean una cultura en la que la IA es una herramienta al servicio de los empleados, no una amenaza.
El AI Act y la gobernanza interna: dos niveles de regulación
Desde el 2 de agosto de 2026, las empresas están sujetas a nuevas obligaciones previstas por el AI Act, en particular en materia de transparencia. Este marco regulatorio es útil, pero tiene sus límites. El texto hace bien aquello para lo que fue escrito. Clasifica los sistemas según su riesgo. Desde el 2 de agosto, impone decir a una persona que intercambia con una máquina y hacer identificables los contenidos generados por la IA. Desde febrero de 2025, también pide a las empresas dar a sus equipos un nivel suficiente de conocimiento de estas herramientas. Son reglas útiles 📋.
Las obligaciones de los sistemas de alto riesgo, como la selección de personal, se aplicarán en diciembre de 2027. Pero el límite del AI Act está en su objeto. Encuadra sistemas, a quienes los proporcionan y a quienes los despliegan. El empleado que pega un documento en su asistente personal depende sobre todo de la política interna de la empresa y del RGPD. Una carta de uso bien hecha sigue siendo el complemento indispensable de la ley. Nuestro barómetro muestra sobre todo un problema de apropiación. Menos de tres encuestados de cada diez dicen que su empresa conoce bien el texto, y uno de cada ocho en las pequeñas estructuras. En Francia y en Reino Unido, este nivel se ha mantenido estable desde 2024. La prioridad es dar a conocer la regla.
Veo, por tanto, dos niveles de regulación que deben coexistir. El primero es legal, el AI Act. El segundo es interno, la carta de uso y la gobernanza. Ambos son necesarios. El AI Act fija una base mínima, pero es la gobernanza interna la que crea una cultura de confianza y responsabilidad. Las empresas que comprendan esto y que inviertan en los dos niveles serán las ganadoras de esta transición.
Los agentes de IA: la próxima frontera de la gobernanza
Los agentes de IA, capaces de encadenar tareas con una intervención humana limitada, empiezan a instalarse en las empresas. Más de una empresa de cada tres ya utiliza agentes autónomos en Francia según nuestro barómetro, y cerca de la mitad de las empresas europeas los utiliza o los prueba. Es un cambio mayor, y hace que el encuadre sea aún más complejo. ¿Por qué? Porque el agente actúa. Con un asistente, el empleado lee una respuesta antes de utilizarla. Con un agente, el correo se envía, el archivo se modifica, el pedido se realiza 🤖.
La pregunta cambia, por tanto. Antes nos preguntábamos qué datos entraban en la herramienta; ahora debemos decidir qué puede hacer la herramienta. Es una responsabilidad nueva y más pesada. Los medios de control existen, por suerte. Los desarrolladores hablan de arneses, es decir, de límites fijados al agente, con derechos de acceso reducidos, un registro de sus acciones y una validación humana antes de cualquier decisión irreversible. El desarrollo informático ha servido de campo de pruebas, con agentes encargados de revisar el trabajo de otros agentes. Aconsejo llevar un registro de los agentes, con un responsable para cada uno, desde el primer despliegue. Por otra parte, también existen marcos de gobernanza, como el NIST AI Risk Management Framework o las normas ISO 42001, 42005 y 23894. Estas herramientas existen, hay que utilizarlas 🛡️.
Lo que veo es que los agentes de IA obligarán a las empresas a ser más rigurosas en su gobernanza. Es algo bueno. Las empresas que construyan una gobernanza sólida ahora estarán preparadas para los agentes. Las demás tendrán que recuperar su retraso, y será más difícil. Recomiendo, por tanto, no esperar. Empiece por los usos actuales, construya un marco y luego adáptelo para los agentes. Es un proceso continuo, no un destino final.
Construir una gobernanza completa: de la teoría a la práctica
¿Cómo construir concretamente un marco completo que cubra el conjunto de los usos sin puntos ciegos? Es la pregunta que me hago desde el principio de este artículo, y voy a darle mi respuesta basada en el barómetro y en mi experiencia. Empezaría por un inventario. Pregunte a los equipos qué herramientas utilizan, para qué tareas y con qué datos, garantizando el anonimato de las respuestas. Este inventario es crucial, porque le muestra la realidad, no lo que usted cree que es la realidad. Probablemente descubrirá usos que no sospechaba 📊.
Después clasifique esos usos con dos preguntas sencillas. ¿Qué datos entran en la herramienta? ¿El resultado sirve para tomar una decisión sobre una persona? Obtendrá tres listas: lo que está permitido, lo que lo está bajo condiciones y lo que está prohibido. Razonar por uso en lugar de por herramienta ayuda mucho, porque las herramientas cambian cada trimestre. Una regla basada en una herramienta específica queda obsoleta rápidamente. Una regla basada en un uso sigue siendo pertinente. Por último, hace falta un responsable identificado, una formación y una revisión periódica con los representantes de los trabajadores. Dada la velocidad a la que se desarrollan estas tecnologías, es importante prever cláusulas de revisión para seguir su evolución. Recomiendo una revisión cada seis meses, como mínimo.
Lo que veo en las mejores prácticas es que las empresas que tienen éxito combinan tres elementos. Primero, una gobernanza clara y comprensible. Los empleados deben comprender las reglas y por qué existen. Después, una formación continua. La IA evoluciona rápido, y los empleados deben mantenerse al día. Por último, una cultura de confianza. Los empleados deben sentir que se confía en ellos, que se les escucha y que se adaptan las reglas en función de sus comentarios. Es un equilibrio delicado, pero es posible.
Conclusión
El Shadow AI no es un problema que deba resolverse por la fuerza; es un síntoma que hay que comprender. Revela un desfase entre la velocidad de adopción de la IA por parte de los empleados y la velocidad de implementación de la gobernanza por parte de las empresas. En Francia, ese desfase está especialmente marcado, y es una oportunidad para las empresas que actúan ahora. Estoy convencido de que las empresas que construyen una gobernanza inteligente, basada en la comprensión de los usos reales y no en la prohibición, ganarán en productividad, en conformidad y en confianza. También crearán una cultura en la que la IA es una herramienta al servicio de los empleados, no una amenaza. Es una inversión, pero también una necesidad.
Los agentes de IA van a complicar las cosas, es cierto. Pero también van a obligar a las empresas a ser más rigurosas. Es algo bueno. Recomiendo, por tanto, empezar ahora, por los usos actuales, y construir un marco que pueda evolucionar. Razonar por uso en lugar de por herramienta, nombrar responsables, formar a los equipos y revisar periódicamente. Es sencillo en teoría, pero es trabajo en la práctica. También es un trabajo que compensa.
📝 En resumen
- El Shadow AI persiste en Francia porque las herramientas validadas suelen llegar después de la costumbre, y los empleados prefieren soluciones eficaces y fáciles de usar
- Francia está dos veces más afectada por el Shadow AI que sus vecinos europeos, debido a una formación insuficiente y a una carencia de oferta interna de herramientas de IA
- El encuadre inteligente funciona mejor que la prohibición general: hay que definir usos permitidos, bajo condiciones o prohibidos, y después proporcionar herramientas validadas
- Los agentes de IA van a complicar la gobernanza al pasar de la pregunta «¿qué datos?» a «¿qué puede hacer la herramienta?», lo que exige arneses y un registro de los agentes
