Hay una conversación que se repite en las empresas del sector. Alguien de dirección afirma: “aquí no usamos IA; no está autorizado”. Y cuando se le pregunta si alguien la estará usando por su cuenta, la respuesta honesta es “no lo sé”. Esa combinación —no está autorizado, no sé si la usan— tiene en la práctica una sola lectura: la están usando. Lo que no existe es un cauce.

No hace falta mala fe para explicarlo. Un ingeniero con tres informes de verificación pendientes de revisar un viernes por la tarde tiene a un clic una herramienta que resume, coteja y redacta razonablemente bien. La prohibición genérica no compite con esa utilidad; solo consigue que el uso sea invisible. Y el uso invisible, en un entorno regulado, tiene tres problemas concretos.

El primero es la confidencialidad. Los documentos de desarrollo —protocolos, resultados, especificaciones— salen del perímetro de la empresa hacia servicios de consumo, con condiciones de uso pensadas para particulares y sin ninguna de las garantías que se exigirían a cualquier otro proveedor que tocara esa información. Nadie firmaría un contrato así con un tercero; con el shadow AI, la empresa lo está “firmando” sin saberlo, empleado a empleado.

El segundo es la ausencia de control de cambios. Los modelos de consumo se actualizan cuando su proveedor decide. El mismo prompt sobre el mismo documento puede producir resultados distintos de un mes a otro, sin aviso y sin registro. En un sector que exige validar las herramientas que intervienen en el proceso, una herramienta que cambia silenciosamente no es validable por definición — y su uso informal deja además cero trazabilidad de qué se hizo con qué versión.

El tercero es organizativo: el conocimiento de qué funciona y qué no queda atrapado en experimentos individuales. La empresa paga los riesgos del uso de IA sin capturar su aprendizaje.

La respuesta instintiva —endurecer la prohibición, capar dominios— trata el síntoma y suele empeorar el diagnóstico: el uso se desplaza al móvil personal y la dirección pierde la poca visibilidad que tenía. La respuesta que funciona es la misma que este sector aplica a cualquier otra herramienta: darle un cauce oficial con garantías proporcionales al riesgo. Definir qué usos se permiten y cuáles no; dar a los ingenieros una alternativa que no requiera sacar documentación del perímetro (los modelos abiertos desplegados en infraestructura propia existen precisamente para esto); y validar esa alternativa como se valida cualquier método del laboratorio. El Reglamento europeo de IA, que obliga a las organizaciones a gobernar el uso de estos sistemas, convierte además ese cauce en un requisito con nombre, no en una preferencia.

La pregunta útil para una dirección técnica no es “¿dejamos entrar la IA?” — ya está dentro. Es “¿entra controlada o sigue entrando por la ventana?”.

Si quiere dimensionar el uso real de IA en sus procesos documentales y darle un cauce seguro, esa es exactamente la primera parte de nuestro diagnóstico: Hablemos de tu caso →