Shadow AI en 2026: el 64% de tus empleados ya usa IA que la empresa no ha autorizado
Jorge García
Tecnea
Un 64% de los empleados de pequeña y mediana empresa admite usar herramientas de IA que su empresa no ha autorizado. No es una estimación: es lo que responden ellos mismos, de forma anónima, en la última gran encuesta de higiene digital del sector. Y va acompañado de un dato todavía más incómodo: menos del 30% de esas empresas cree tener un inventario preciso del software que se usa dentro de su propia organización.
Ya hablamos en su momento de que una parte importante del uso real de IA en las pymes españolas ocurre sin que la empresa lo sepa — el fenómeno conocido como shadow AI o BYOAI («trae tu propia IA»). Este nuevo estudio no cambia esa conclusión: la confirma con una muestra distinta, una metodología distinta, y la sitúa dentro de un problema más amplio de control digital que muchas empresas todavía no han empezado a abordar.
Lo que dice el informe, y quién lo firma
El 2026 Cybersecurity Hygiene Report de WatchGuard Technologies, publicado el 14 de julio de 2026, encuestó a 684 empleados de empresas de entre 50 y 500 personas en ocho países —Estados Unidos, Reino Unido, Alemania, Francia, España, Australia, México y Brasil—, todos ellos dentro del tramo de tamaño en el que se mueve buena parte del tejido empresarial español. El estudio no ofrece un desglose por país, así que la cifra del 64% es la media conjunta de los ocho mercados, no un dato exclusivo de España —conviene tenerlo presente antes de citarla como si lo fuera—.
Nota de objetividad: WatchGuard es una empresa de ciberseguridad que vende, entre otras cosas, herramientas para detectar precisamente el uso no autorizado de aplicaciones e IA en la red de una empresa. Tiene un interés comercial directo en que este problema se perciba como grave. Eso no invalida la cifra —la metodología (encuesta independiente, muestra de 684 personas) es pública y razonable—, pero es la clase de detalle que, como en el resto de estudios que citamos en el blog, preferimos dejar explícito.
Lo que hace distinto a este informe frente a otros que ya hemos citado no es solo el dato de IA, sino el contexto en el que aparece. No es un estudio centrado en IA: es un estudio de higiene digital general, y el uso no autorizado de IA sale a relucir como una pieza más de un problema de comportamiento más amplio:
- 76% de los empleados reutiliza contraseñas entre distintas cuentas; un 30% directamente las comparte.
- 70% trabaja conectado a redes wifi públicas; 50% accede a recursos corporativos sin VPN.
- 55% usa dispositivos de trabajo para actividades personales.
- Menos del 30% de las empresas cree tener un inventario preciso del software en uso; casi el 40% admite no tener visibilidad completa de qué aplicaciones usan sus empleados.
Buena parte del uso no autorizado de IA ocurre fuera de la vista de IT: en redes públicas, en dispositivos personales, sin que quede ningún registro.
Como resume Marc Laliberte, director de Operaciones de Seguridad de WatchGuard: "gestionar el comportamiento humano se está convirtiendo en un requisito central de ciberseguridad". La IA no es la excepción al patrón: es el ejemplo más reciente de él.
La distinción que de verdad importa: no es "usan IA o no", es "quién lo controla"
Aquí es donde conviene separar dos preguntas que se confunden con facilidad: ¿está tu empresa usando IA? y ¿sabe tu empresa cómo se está usando? La primera pregunta ya la respondimos en julio con datos de adopción contradictorios. La segunda es la que de verdad determina si esa IA suma valor o solo añade riesgo —y aquí sí hay un dato reciente que separa con bastante claridad a quién le está saliendo bien de a quién no—.
Un estudio de la Fundación Cotec junto al centro de investigación ISEAK, publicado en octubre de 2025 sobre datos oficiales del INE, encuentra que las empresas que usan al menos una tecnología de IA registran una productividad un 27% superior a las que no. No es un dato menor. Pero el mismo estudio explica por qué la mayoría todavía no llega a ese punto: casi ocho de cada diez empresas que no usan IA citan la falta de conocimiento interno como su principal barrera —no el coste, no la falta de casos de uso, sino no saber por dónde empezar ni con qué criterio—.
Esa combinación —beneficio real para quien lo hace bien, barrera de conocimiento para quien no sabe cómo empezar— es exactamente el hueco donde aparece el shadow AI. Un empleado que ve el beneficio (más rápido, mejores resultados) pero no tiene una vía oficial ni criterio de la empresa para conseguirlo, no espera. Lo resuelve por su cuenta, con la herramienta que tiene a mano, con los datos que tiene delante. El mismo estudio de Cotec confirma la otra cara del problema de fondo que ya señalamos en julio: hay una brecha de 44,9 puntos de adopción entre las grandes empresas (58,2%) y las microempresas (13,4%) —y es precisamente en las empresas más pequeñas, sin equipo de IT propio, donde ese vacío de criterio se cubre peor—.
Lo que esto significa para una pyme española, en concreto
La combinación de estos dos estudios deja un mensaje bastante directo para cualquier empresa española de tamaño medio: si no ha decidido activamente cómo se usa la IA dentro de la organización, probablemente ya se está usando igualmente —sin que nadie sepa con qué datos, ni con qué garantías—.
Eso no es solo un problema de eficiencia. Tiene implicaciones normativas concretas:
- El RGPD exige saber qué tratamiento reciben los datos personales de clientes y empleados. Si esos datos entran en una herramienta de IA pública sin que la empresa lo sepa, ese control ya no existe.
- El Reglamento Europeo de IA, en plena aplicación desde el pasado 2 de agosto, amplía las obligaciones de transparencia y documentación sobre los sistemas de IA que una empresa usa —algo materialmente imposible de cumplir si, como dice el propio informe de WatchGuard, menos del 30% de las empresas sabe qué software corre realmente en su organización—.
- La alfabetización en IA del personal que la usa es obligatoria desde febrero de 2025. Formar a un equipo sobre una herramienta que la empresa no sabe que se está usando es, en la práctica, imposible.
Qué hacer con esto
No hace falta frenar la adopción de IA para resolver este problema —de hecho, según el propio dato de Cotec, frenarla tiene un coste de productividad real—. Lo que hace falta es dejar de tratarlo como un fenómeno espontáneo y empezar a gestionarlo como cualquier otra herramienta de trabajo:
- Preguntar, sin buscar culpables, qué se usa ya. Es la única forma de partir de la realidad y no de lo que la empresa cree que ocurre.
- Decidir qué datos pueden salir de la empresa hacia una IA pública, y cuáles no deben salir nunca: clientes, expedientes, datos de empleados.
- Ofrecer una vía oficial mejor que la oficiosa. Si la alternativa de la empresa es peor que lo que un empleado ya usa por su cuenta, seguirá optando por lo segundo —es la conclusión más repetida en este tipo de estudios, y la más ignorada—.
- Para lo que de verdad importa al negocio, construir sobre datos propios. Una aplicación a medida, con los datos en un entorno controlado, resuelve a la vez el problema de productividad (el 27% de mejora que ya está sobre la mesa) y el de cumplimiento, en vez de dejar que cada empleado decida por su cuenta con qué herramienta y con qué datos.
Gestionar el uso de la IA como cualquier otra herramienta de trabajo no frena la productividad: la ordena.
Preguntas frecuentes
¿Qué es el "shadow AI"? Es el uso de herramientas de inteligencia artificial (como ChatGPT, Claude u otras) por parte de empleados de una empresa sin que esta lo haya autorizado, supervisado ni tenga visibilidad de ello —un caso particular del fenómeno más amplio de "shadow IT"—.
¿Es legal que un empleado use IA por su cuenta en el trabajo? No es ilegal usar IA en sí, pero sí puede suponer un incumplimiento del RGPD si esos datos incluyen información personal de clientes o empleados que sale del control de la empresa sin base legal ni garantías. La responsabilidad del tratamiento sigue siendo de la empresa, la use o no de forma consciente.
¿Cómo sé si mi empresa tiene un problema de shadow AI? Según el informe de WatchGuard, menos del 30% de las empresas cree tener un inventario preciso de su software: el primer paso realista no es asumir que no hay uso no autorizado, sino preguntar directamente al equipo qué usa y para qué, sin plantearlo como una sanción.
¿Basta con prohibir el uso de IA de consumo en la empresa? Los estudios citados aquí y en nuestro artículo anterior coinciden en que no: si la alternativa oficial de la empresa es peor que la que el empleado ya usa, la prohibición simplemente empuja el uso a la clandestinidad, sin resolver el problema de fondo.
Es justo el tipo de orden que ayudamos a poner en Tecnea: saber qué herramientas de IA se usan de verdad, decidir qué datos pueden salir de la empresa, y construir sobre eso una IA privada que cumple la ley, en vez de dejarlo en manos de cada empleado. Si quieres ver cómo encajaría en tu caso, descubre cómo lo garantizamos.
Este artículo es informativo y no constituye asesoramiento legal. Se ha procurado indicar junto a cada dato su fuente, el tamaño de muestra cuando se conoce, y si quien lo publica tiene un interés comercial en el resultado.
