La transformación digital ha permitido a las empresas trabajar de forma más rápida y eficiente. Sin embargo, también ha dado lugar a un fenómeno cada vez más frecuente: el uso de aplicaciones y herramientas tecnológicas sin autorización del departamento de informática o de los responsables de protección de datos.

Este fenómeno recibe el nombre de Shadow IT y, con la llegada de herramientas como ChatGPT,  Copilot, Gemini o Claude, ha aparecido una nueva variante conocida como Shadow AI.

Desde CEMEBAL observamos que muchas empresas desconocen que este comportamiento puede generar importantes riesgos legales, técnicos y económicos relacionados con el Reglamento General de Protección de Datos (RGPD).

En este artículo explicamos qué son el Shadow IT y el Shadow AI, por qué representan un problema y cómo prevenirlos.

¿Qué es el Shadow IT?

El término Shadow IT hace referencia al uso de programas, aplicaciones, plataformas o servicios tecnológicos que los empleados utilizan para trabajar sin que hayan sido autorizados por la empresa.

Algunos ejemplos habituales son:

- Almacenar documentos corporativos en cuentas personales de Google Drive o Dropbox.

- Compartir archivos mediante plataformas gratuitas.

- Utilizar aplicaciones de mensajería no autorizadas.

- Instalar programas sin conocimiento del departamento informático.

- Crear bases de datos en aplicaciones online gratuitas.

En muchos casos el trabajador simplemente busca facilitar su trabajo, pero sin darse cuenta puede comprometer la seguridad de toda la organización.

¿Qué es el Shadow AI?

El Shadow AI es una evolución del Shadow IT.

Consiste en utilizar herramientas de inteligencia artificial sin autorización de la empresa para realizar tareas laborales.

Por ejemplo:

- Copiar contratos en un chatbot para resumirlos.

- Introducir datos de clientes para redactar un informe.

- Analizar currículums mediante una IA externa.

- Pedir a una IA que redacte informes utilizando información confidencial.

- Generar propuestas comerciales con datos reales de clientes.

Aunque estas herramientas ofrecen grandes ventajas, introducir información personal o confidencial puede vulnerar la normativa de protección de datos si no existen garantías suficientes.

¿Por qué supone un riesgo para el RGPD?

Cuando un trabajador utiliza aplicaciones no autorizadas, la empresa pierde el control sobre el tratamiento de la información.

Entre los principales riesgos encontramos:

Pérdida de confidencialidad

Los datos pueden almacenarse en servidores desconocidos o incluso fuera del Espacio Económico Europeo.

Accesos no autorizados

Muchas aplicaciones gratuitas no ofrecen suficientes garantías de seguridad.

Incumplimiento del principio de minimización

Con frecuencia se introducen más datos personales de los necesarios.

Dificultad para ejercer derechos

La empresa puede desconocer dónde se encuentran almacenados los datos personales.

Imposibilidad de auditar el tratamiento

Si nadie sabe qué herramientas utiliza cada empleado, resulta prácticamente imposible controlar el cumplimiento del RGPD.

Casos reales que pueden producirse en cualquier empresa

Aunque parezcan situaciones cotidianas, todas ellas pueden implicar riesgos importantes:

Un comercial

Sube la base de datos de clientes a una IA para redactar correos comerciales.

Recursos Humanos

Analiza currículums mediante una plataforma gratuita de inteligencia artificial.

Administración

Utiliza su cuenta personal de almacenamiento en la nube para trabajar desde casa.

Marketing

Introduce datos reales de clientes para generar campañas automáticas.

Atención al cliente

Comparte capturas con información personal en herramientas colaborativas externas.

En todos estos casos la empresa puede perder completamente el control sobre los datos personales.

¿Quién es responsable?

Uno de los errores más frecuentes consiste en pensar que la responsabilidad recae únicamente sobre el trabajador.

Sin embargo, el RGPD establece que el responsable del tratamiento debe implantar medidas técnicas y organizativas adecuadas para proteger los datos personales.

Esto implica que la empresa debe:

- Definir políticas claras.

- Autorizar las herramientas permitidas.

- Formar a los trabajadores.

- Supervisar su cumplimiento.

- Evaluar los riesgos derivados del uso de nuevas tecnologías.

Cómo prevenir el Shadow IT y el Shadow AI

Cómo prevenir el Shadow IT y el Shadow AI

a. Elaborar una política de uso de herramientas digitales

Debe especificar qué aplicaciones pueden utilizarse y cuáles están prohibidas.

b. Crear una política específica sobre inteligencia artificial

Cada vez resulta más recomendable disponer de normas internas sobre el uso de herramientas de IA.

Por ejemplo:

- Qué información puede introducirse.

- Qué herramientas están autorizadas.

- Qué datos nunca deben compartirse.

c. Formar periódicamente a los empleados

Muchos incidentes se producen por desconocimiento.

Una formación práctica ayuda a detectar situaciones de riesgo antes de que ocurran.

d. Revisar las aplicaciones utilizadas

Es recomendable realizar auditorías periódicas para identificar software no autorizado.

e. Aplicar el principio de mínimos privilegios

Cada empleado debe acceder únicamente a la información necesaria para desarrollar su trabajo.

f. Evaluar nuevas herramientas antes de implantarlas

Antes de utilizar cualquier plataforma es conveniente analizar:

- Dónde se almacenan los datos;

- Quién actúa como encargado del tratamiento;

- Qué medidas de seguridad ofrece;

- Si existen transferencias internacionales de datos.

Señales de alerta en una empresa

Existen algunos indicadores que pueden revelar la existencia de Shadow IT:

- Los empleados utilizan sus cuentas personales para trabajar.

- Se comparten documentos mediante enlaces públicos.

- Aparecen nuevas aplicaciones sin autorización.

- Existen diferentes herramientas para una misma función.

- Se utilizan chatbots con información confidencial.

Detectar estas situaciones a tiempo puede evitar incidentes de seguridad y posibles sanciones.

El papel de la protección de datos

La protección de datos no consiste únicamente en disponer de documentos legales.

También implica conocer cómo circula la información dentro de la empresa y qué herramientas utilizan realmente los trabajadores.

La rápida incorporación de la inteligencia artificial hace aún más importante mantener un control efectivo sobre el tratamiento de los datos personales.

¿Cómo puede ayudarte CEMEBAL?

En CEMEBAL ayudamos a empresas, autónomos y organizaciones a adaptar sus procesos a la normativa vigente en materia de protección de datos.

Nuestros servicios incluyen:

- Auditorías de cumplimiento del RGPD.

- Evaluación de riesgos tecnológicos.

- Elaboración de políticas internas sobre inteligencia artificial.

- Formación para empleados.

- Asesoramiento continuo ante nuevas herramientas digitales.

El objetivo es que las empresas puedan aprovechar la innovación tecnológica sin poner en riesgo la privacidad de clientes, trabajadores y colaboradores.

Conclusión

El Shadow IT y el Shadow AI representan uno de los desafíos más importantes para la protección de datos en los próximos años. La facilidad para acceder a aplicaciones en la nube y herramientas de inteligencia artificial hace que cualquier empleado pueda tratar información personal fuera del control de la organización.

Disponer de políticas claras, formar al personal y evaluar previamente las herramientas tecnológicas son medidas esenciales para cumplir con el RGPD y reducir el riesgo de incidentes de seguridad.

En CEMEBAL recomendamos abordar este problema de forma preventiva. La mejor protección no consiste únicamente en reaccionar ante una incidencia, sino en evitar que llegue a producirse.

Preguntas frecuentes sobre Shadow IT y el Shadow AI en la empresa