La inteligencia artificial ha revolucionado la productividad en las empresas, pero su uso indiscriminado está generando shadow AI o IA en la sombra un fenómeno que expone a las pymes a graves riesgos legales y económicos.
Herramientas como ChatGPTClaude y Copilot se han convertido en aliadas cotidianas para millones de trabajadores, pero su uso sin regulación interna puede convertir una ventaja competitiva en un problema legal.
El fenómeno del shadow AI y sus riesgos
El shadow AI ocurre cuando los empleados utilizan herramientas de inteligencia artificial sin que la empresa tenga protocolos claros sobre qué información pueden subir o cómo deben usarlas. Jaume Feliu, fundador de PymeLegal explica que «un empleado puede subir una propuesta comercial o un archivo Excel con datos de clientes para que la IA le ayude a analizarlo o mejorar su redacción, sin ser consciente de que está realizando una transferencia internacional de datos a Estados Unidos».
Esta acción, aparentemente inofensiva, puede exponer a la empresa a sanciones económicas elevadas bajo el Reglamento General de Protección de Datos (RGPD) y la nueva normativa europea de IA. «El empleado gana tiempo con ChatGPT, pero la empresa asume un riesgo legal que desconoce», advierte Feliu.
Protocolos y formación: claves para una IA segura
Para mitigar estos riesgos, PymeLegal ha desarrollado un servicio que ayuda a las empresas a implementar protocolos de uso de la IA. El proceso se divide en dos fases: primero, un diagnóstico para entender qué herramientas se están utilizando y cómo; luego, la creación de un protocolo legal a medida que establece qué prácticas están permitidas y cuáles no.
Además, la consultora ofrece formación en alfabetización en IA para empleados y cursos de ciberseguridad para prevenir ataques como el phishing. «La formación es la primera barrera de defensa», afirma Marta Tudela, destacando la importancia de que todo el equipo sea consciente de los riesgos y las buenas prácticas.
La importancia de la transparencia y la responsabilidad
Pimec la patronal de pymes de Cataluña, advierte que el cumplimiento de la normativa europea por parte del proveedor de IA no exime a la empresa de sus responsabilidades. Desde el 2 de agosto de 2026, las pymes deben garantizar la transparencia en el uso de estas herramientas y formar a sus empleados en su correcta utilización.
Las empresas también deben determinar su papel regulatorio. La mayoría serán consideradas responsables del despliegue pero en algunos casos pueden asumir las obligaciones propias de un proveedor especialmente cuando desarrollan o modifican sistemas de IA para uso interno.
Sectores menos preparados y riesgos específicos
Según un estudio de Zerodays ocho de cada diez empresas peruanas no están preparadas para gestionar el uso de inteligencia artificial. Los sectores de mineríaconstrucciónlogística y automotriz son los menos preparados, debido a la gran cantidad de datos sensibles que manejan y la falta de políticas internas claras.
Luis Talavera, CEO de Zerodays, advierte que «el principal riesgo no es que una empresa utilice inteligencia artificial, sino que la utilice sin saber qué información está compartiendo, quién tiene acceso a ella y qué controles existen detrás». La falta de políticas puede llevar a la filtración de datos de clientes, contratos, credenciales y código fuente.
En un entorno de transformación digital acelerada, la seguridad y la confianza son más valiosas que nunca. Las empresas que adopten un enfoque proactivo hacia la IA, implementando protocolos claros y formando a sus empleados, estarán mejor preparadas para aprovechar sus beneficios sin exponerse a riesgos legales y económicos.
