En casi cualquier empresa pasa lo mismo: nadie aprobó oficialmente una herramienta de IA, pero medio equipo ya la usa. Alguien pega un contrato en un chatbot para resumirlo, otra persona sube una base de clientes a una herramienta gratuita para segmentarla, y un tercero instala una extensión que “escribe mails solo”. Nada de eso es mala intención. Es gente tratando de trabajar más rápido con lo que tiene a mano.

A ese fenómeno se lo conoce como shadow AI: el uso de herramientas de inteligencia artificial por fuera de lo que la empresa conoce, aprobó o puede controlar. El problema no es que el equipo use IA; el problema es que lo haga sin criterio compartido. En esta guía te mostramos cómo pasar de la prohibición o el silencio a una política de uso de IA que la gente entienda y cumpla, y por qué la capacitación es la parte que más se suele olvidar.

Qué es shadow AI y por qué aparece aunque nadie la haya pedido

Shadow AI es la versión con inteligencia artificial de lo que IT conoce hace años como “shadow IT”: herramientas que entran a la empresa por la puerta de atrás porque resuelven un problema concreto más rápido que el canal oficial.

Aparece por tres motivos que conviene reconocer antes de intentar frenarla:

• La presión por productividad llegó antes que las reglas. Los líderes piden “hacer más con menos” y la IA está a un clic.

• Las herramientas oficiales no existen o no alcanzan. Si la empresa no ofrece una alternativa aprobada, la gente usa la versión gratuita que encontró.

• Nadie explicó qué está bien y qué no. Sin lineamientos, cada persona aplica su propio criterio, y ese criterio varía muchísimo entre áreas.

Por eso prohibir no suele funcionar. Cuando una empresa bloquea todo sin ofrecer alternativa, el uso no desaparece: se vuelve invisible, que es justamente el peor escenario.

Los riesgos reales (sin dramatizar)

No hace falta asustar al directorio para tomar el tema en serio. Alcanza con mapear los riesgos que aparecen con más frecuencia en empresas medianas de LatAm:

• Datos confidenciales fuera de la empresa. Información de clientes, contratos, datos financieros o personales cargados en herramientas cuyas condiciones de uso nadie leyó.

• Decisiones apoyadas en respuestas sin verificar. Un informe, un análisis o una respuesta a un cliente que sale de la IA sin revisión humana.

• Problemas de propiedad intelectual y de marca. Contenido generado que se publica sin saber de dónde viene o si respeta los lineamientos de la empresa.

• Cumplimiento normativo. En Argentina y en buena parte de la región hay normas de protección de datos personales que siguen aplicando aunque la herramienta sea “solo un chat” [DATO A VALIDAR con Legales según país y sector].

• Costos duplicados. Varias áreas pagando suscripciones parecidas con tarjetas corporativas, sin que nadie tenga la foto completa.

Ninguno de estos riesgos se resuelve con un documento solo. Se resuelve con un documento que la gente conoce, entiende y sabe aplicar en su tarea diaria.

Cómo armar una política de uso de IA en 6 pasos

Una buena política de uso de IA no tiene que ser un manual de 40 páginas. Tiene que responder rápido a la pregunta que se hace cualquier persona del equipo: “¿puedo usar esto para esta tarea?”.

1. Hacé un relevamiento honesto de lo que ya se usa

Antes de escribir reglas, preguntá qué herramientas usa cada área y para qué. Hacelo como encuesta anónima o en charlas cortas con líderes, y dejá claro que el objetivo es ordenar, no sancionar. Si la gente siente que va a haber castigo, vas a obtener una foto incompleta.

2. Clasificá la información en niveles

El corazón de la política es qué datos pueden ir a qué herramientas. Un esquema simple de tres niveles suele alcanzar:

• Pública: información que ya está publicada o que no genera riesgo. Se puede usar en cualquier herramienta.

• Interna: procesos, borradores, documentación de trabajo. Solo en herramientas aprobadas por la empresa.

• Confidencial: datos personales, de clientes, financieros, contratos, información estratégica. Solo en entornos específicos y con controles, o directamente no.

3. Definí las herramientas aprobadas (y ofrecé al menos una)

Una política que solo dice “no” empuja de nuevo al shadow AI. Elegí una o dos herramientas oficiales con condiciones empresariales y comunicá para qué tareas conviene cada una. Si ya tienen licencias de Copilot o Gemini, este es el momento de conectarlas con la política.

4. Escribí casos de uso permitidos y prohibidos por área

Las reglas generales se olvidan; los ejemplos concretos se recuerdan. Pedile a cada líder que sume tres o cuatro casos de su área: qué está bien (“resumir una reunión interna en la herramienta aprobada”) y qué no (“cargar la base de clientes en una herramienta gratuita para segmentarla”).

5. Asigná ownership

Alguien tiene que ser dueño de la política: actualizarla, responder dudas y aprobar herramientas nuevas. En empresas medianas suele ser un trío entre IT, Legales y People, con un sponsor de dirección. Sin un dueño claro, la política queda vieja en pocos meses.

6. Revisala seguido y con poca fricción

Las herramientas cambian rápido. Definí una revisión periódica liviana y un canal simple para que el equipo proponga herramientas nuevas en vez de usarlas a escondidas.

Qué tiene que incluir el documento (checklist)

Por qué la política falla sin capacitación

Este es el punto donde la mayoría de las empresas se queda corta. Se escribe el documento, se manda por mail, se pide que todos firmen que lo leyeron… y el comportamiento no cambia. La razón es simple: una política de uso de IA exige criterio, y el criterio no se transmite con un PDF.

Pensá en la regla “no cargues información confidencial en herramientas no aprobadas”. Para cumplirla, la persona tiene que saber reconocer qué es confidencial en su tarea, conocer la alternativa aprobada y saber usarla bien. Si la herramienta oficial le parece más lenta o peor que la gratuita, va a volver a la gratuita.

Por eso el uso responsable de la IA es, en la práctica, un tema de capacitación. Un plan mínimo incluye:

• Una base común para toda la empresa: qué es la IA generativa, qué puede salir mal, cómo verificar respuestas y cómo aplicar los niveles de información.

• Trayectos por área: Marketing, Ventas, Finanzas, People y Operaciones usan la IA de forma distinta y tienen riesgos distintos. El contenido tiene que reflejarlo.

• Práctica con las herramientas aprobadas: si querés que la gente deje las herramientas en la sombra, la oficial tiene que sentirse igual de útil. Eso se logra con práctica sobre tareas reales.

• Formación específica para líderes: son quienes aprueban entregables y modelan el comportamiento del equipo.

Si todavía no sabés qué nivel tiene cada área, te conviene arrancar por diagnosticar nivel y stack antes de armar el programa. Y si ya tienen licencias corporativas, mirá cómo pasar de “les dimos la herramienta” al uso real.

Un ejemplo típico: de la prohibición a la adopción ordenada

Imaginá una empresa mediana de servicios. Ante el primer susto (alguien subió un documento interno a una herramienta gratuita), dirección decide bloquear el acceso a los chatbots más conocidos desde la red corporativa. A las pocas semanas, el uso sigue, pero desde los celulares personales. Ahora es todavía más difícil de ver.

El segundo intento sale mejor. People e IT hacen un relevamiento anónimo y descubren que las áreas que más usan IA son Marketing, Atención al Cliente y Finanzas, cada una con necesidades distintas. Eligen una herramienta corporativa, arman una política corta con niveles de información y ejemplos por área, y lanzan una capacitación con una base común y un módulo práctico por equipo. El resultado no es “cero riesgo”, pero sí algo más valioso: el uso pasa a ser visible y los líderes saben qué revisar.

Errores comunes al lanzar una política de uso de IA

• Escribirla solo desde Legales. Queda técnicamente correcta e imposible de aplicar en el día a día.

• Prohibir sin ofrecer alternativa. Empuja el uso a canales personales.

• No diferenciar por área. Las reglas genéricas no responden las dudas concretas.

• Lanzarla sin capacitación. La gente firma, pero no cambia cómo trabaja.

• No medir nada. Sin indicadores mínimos (adopción de la herramienta oficial, consultas al canal, incidentes reportados), no sabés si funciona. Para ordenar esa parte te sirve esta guía sobre la evidencia que pide People para saber si la capacitación en IA funcionó.

Preguntas frecuentes

¿Hay que prohibir ChatGPT y herramientas similares?

En general no conviene una prohibición total sin alternativa. Funciona mejor definir herramientas aprobadas, niveles de información y casos de uso claros, y bloquear solo lo que represente un riesgo concreto.

¿Quién debería ser dueño de la política de IA?

Lo ideal es un ownership compartido entre IT, Legales y People, con un sponsor de dirección que destrabe decisiones. Lo importante es que haya una persona o equipo responsable de actualizarla y responder dudas.

¿Cada cuánto hay que actualizarla?

Con revisiones periódicas livianas y cada vez que entra una herramienta nueva o cambia una norma relevante. Una política de IA que no se revisa queda desactualizada rápido.

¿La capacitación tiene que ser obligatoria?

Para usar las herramientas aprobadas con datos internos, sí conviene que haya una base mínima obligatoria. Los trayectos por área pueden ser más flexibles según el rol.

Si en tu empresa ya hay shadow AI y querés convertirla en adopción ordenada, hablá con el equipo de Coderhouse Empresas. En una asesoría gratuita te ayudamos a armar el plan de capacitación que acompaña tu política de uso de IA, área por área.