Shadow AI: cuando las dos partes hablan a través de la IA y nadie entiende el fondo

Por Juan Camilo Calderón — Founder de c6n Publicado: 29 octubre 2026 Lectura: 14 min

¿Qué es el shadow AI y por qué en España se busca el doble que a finales de 2025?

El shadow AI (en español empieza a verse como «IA en la sombra») es el uso de herramientas de inteligencia artificial en el trabajo sin que la empresa lo haya autorizado ni lo sepa. IBM lo define como el uso no autorizado de cualquier herramienta o aplicación de IA por parte de empleados o usuarios finales. Cloudflare lo encuadra como un tipo de shadow IT: tecnología que se usa en la empresa sin la aprobación del departamento de TI. Y Microsoft distingue dos formas: las herramientas que cada empleado adopta por su cuenta y los agentes que alguien despliega dentro de la organización sin registrarlos.

En España la búsqueda «shadow ai» pasó de 140 al mes en el último trimestre de 2025 a 260 en el verano de 2026, con un pico de 480 en mayo (Google Keyword Planner; mediana de octubre de 2025 a septiembre de 2026: 260; análisis de c6n). Y quien paga por aparecer en esa búsqueda paga caro: la puja alta por clic llega a 20,71 €, la más alta de las 520 búsquedas que medimos para esta serie de artículos (Keyword Planner, exports del 28 y 29 de octubre de 2026). La primera página de Google para «shadow ai» la ocupan definiciones y proveedores de seguridad —Cloudflare, BBVA, Wikipedia, Proofpoint, Microsoft Purview y una escuela de negocios— (resultados copiados el 29 de octubre de 2026): el riesgo del que hablan es el de datos de clientes pegados en una herramienta que nadie ha revisado. Las variantes en español nacen ahora: «ia en la sombra» no tenía búsquedas hasta junio de 2026 y hoy tiene entre 10 y 20 al mes; «ia fantasma», unas 10 (Keyword Planner, octubre de 2025 a septiembre de 2026).

El riesgo de seguridad es real. Pero es el síntoma. Lo que el shadow AI revela es otra cosa: la gente ya trabaja con IA, con o sin permiso, y la empresa no ha decidido cómo. La propia IBM lo señala: los empleados recurren a IA no autorizada cuando las soluciones que tienen les parecen insuficientes o creen que las aprobadas son demasiado lentas.

¿Cómo se ve el shadow AI en una conversación entre cliente y proveedor?

La cara más visible del shadow AI en el trabajo es una conversación en la que las dos partes escriben y leen a través de la IA y ninguna entiende el fondo. Un ejemplo con los detalles inventados para ilustrar el patrón (no reproduce ninguna conversación real): un cliente sin perfil técnico pregunta a ChatGPT qué debe exigir a su agencia y envía la lista tal cual: «necesito datos estructurados con @id, un archivo llms.txt y que optimicéis para OAI-SearchBot». El proveedor, que tampoco domina el tema, pega el mensaje en otra IA, le pide que le explique cada punto y responde uno a uno. Dos personas, dos IA, cero criterio: nadie sabe si lo que se pide hace falta ni si lo que se promete se puede cumplir. Básicamente son dos IA conversando; las personas solo firman.

El fenómeno tiene nombre académico: comunicación mediada por IA (AI-Mediated Communication, AI-MC). Hancock, Naaman y Levy la definen en el Journal of Computer-Mediated Communication (2020) como la comunicación interpersonal en la que un agente inteligente actúa en nombre de quien se comunica modificando, ampliando o generando los mensajes para alcanzar sus objetivos de comunicación. Esta forma de shadow AI es AI-MC en los dos extremos a la vez, con un ingrediente más: la IA no amplía el criterio de la persona, lo sustituye.

No es lo mismo pedir a la IA que te ordene las ideas que delegarle la pregunta y la respuesta. La diferencia no está en la herramienta: está en si, al terminar, puedes explicar lo que acabas de enviar sin volver a abrirla.

¿Por qué el shadow AI aparece en los dos lados de la conversación a la vez?

Porque la licencia se reparte y el criterio no. Las empresas españolas están adoptando IA deprisa: el 21,1% de las de 10 o más empleados la usaba en el primer trimestre de 2025, 8,7 puntos más que un año antes, y el 13,4% de las de menos de 10 empleados, 5,9 puntos más (INE, Encuesta sobre el uso de TIC y del comercio electrónico en las empresas, datos definitivos del 22 de octubre de 2025). En la Unión Europea, el 20,0% de las empresas de 10 o más empleados usaba IA en 2025, frente al 13,5% de 2024 (Eurostat, 11 de diciembre de 2025).

Lo que buscan esas empresas lo cuenta Keyword Planner. En España, «microsoft 365 copilot» tiene 6.600 búsquedas al mes; «curso de ia para empresas», 110; «alfabetización en ia», 50, aunque crece: de 30 a 90 entre el último trimestre de 2025 y el verano de 2026 (Keyword Planner, medianas de octubre de 2025 a septiembre de 2026). Y «adopción de ia en empresas», «formación en ia para empleados» o «por qué fracasan los proyectos de ia» no tienen volumen propio. Se busca el producto 60 veces más que la formación para usarlo (6.600 frente a 110). El resultado es previsible: dos personas con la misma herramienta y sin el conocimiento para juzgar lo que produce.

Fuente: Google Keyword Planner, España, octubre de 2025 a septiembre de 2026, medianas; la tendencia compara la mediana de octubre–diciembre de 2025 con la de julio–septiembre de 2026 (análisis de c6n, 28 y 29 de octubre de 2026). Una búsqueda «sin volumen propio» es una que Keyword Planner devuelve vacía: está por debajo de su umbral o agrupada con otra.

¿Qué le hace el shadow AI a la confianza? Lo que miden los estudios

Hay tres estudios revisados por pares que miden justo esto, y un cuarto, de empresa, que lo ve en el trabajo:

1. El «efecto replicante». Jakesch, French, Ma, Hancock y Naaman (CHI 2019) hicieron tres experimentos con perfiles de anfitriones de Airbnb. La gente desconfió de los perfiles que creía escritos por IA, pero solo cuando pensaba que estaba viendo una mezcla de perfiles humanos y de IA; si todos eran de IA, la confianza fue la misma que con todos humanos. En una conversación real nunca sabes qué mezcla tienes delante: ahí nace la sospecha.
2. Las respuestas sugeridas aceleran y cuestan. Hohenstein y ocho coautores (Scientific Reports, 2023) midieron 219 parejas conversando con y sin respuestas sugeridas por IA. Las sugerencias fueron el 14,3% de los mensajes, la conversación fue más rápida y con lenguaje más positivo, y los participantes se evaluaron como más cercanos y cooperativos. Pero quien era sospechoso de usar respuestas algorítmicas fue evaluado más negativamente.
3. La IA como «zona de deformación moral». Hohenstein y Jung (Computers in Human Behavior, 2020; 113 participantes) vieron que las respuestas sugeridas aumentaban la confianza y que, cuando la conversación fracasaba, parte de la responsabilidad se desplazaba a la IA: como la zona de un coche que se deforma para absorber el golpe. Nadie se hace responsable del mensaje que «dijo la IA».
4. Lo que ve el que lo recibe. En la encuesta del workslop de Harvard Business Review (2025), alrededor de la mitad de quienes lo recibieron vieron a quien lo enviaba como menos creativo, capaz y fiable, y el 42% como menos digno de confianza.

Traducido al shadow AI: la IA hace la conversación más fluida y más amable mientras funciona; cuando falla, nadie se hace responsable, y la confianza cae en los dos lados a la vez.

¿Cómo se ve el shadow AI en el trabajo diario? El «workslop»

Se llama workslop. Lo acuñaron investigadores de BetterUp Labs y del Stanford Social Media Lab en Harvard Business Review (22 de septiembre de 2025): en su definición, contenido de trabajo generado con IA que se hace pasar por buen trabajo pero carece de la sustancia necesaria para hacer avanzar la tarea. En su encuesta a 1.150 empleados de EE. UU. a tiempo completo, el 40% había recibido workslop el último mes (la introducción del artículo redondea a 41%), cada caso le costó de media 1 hora y 56 minutos y los autores estiman un coste invisible de 186 $ al mes por persona (HBR, 22 de septiembre de 2025). Son cifras autodeclaradas y de Estados Unidos: no hay equivalente español que podamos citar.

En España la palabra pasó: «workslop» tuvo 880 búsquedas en octubre de 2025, el mes siguiente a la publicación del artículo, y entre 50 y 90 al mes desde el verano de 2026 (Keyword Planner). El problema no pasó. La mecánica del shadow AI en una conversación es la del workslop con una vuelta más: cada mensaje generado con IA traslada al otro lado el trabajo de entender. El otro lado lo devuelve con la misma herramienta. La pelota cambia de campo, el hilo crece y la decisión no llega.

¿Qué obliga la ley sobre la formación en IA de los empleados?

El Reglamento de Inteligencia Artificial de la UE (Reglamento (UE) 2024/1689) dedica su artículo 4 a la alfabetización en IA: los proveedores y los responsables del despliegue de sistemas de IA deben adoptar medidas para garantizar, en la medida de lo posible, un nivel suficiente de alfabetización en IA de su personal y de las demás personas que operan esos sistemas en su nombre. Según las preguntas y respuestas de la Comisión Europea sobre alfabetización en IA, el artículo se aplica desde el 2 de febrero de 2025.

En 2026 cambió la letra, no la obligación. El Reglamento (UE) 2026/1744 (el «Ómnibus digital» de IA, adoptado el 8 de julio de 2026 y en vigor desde mediados de julio, según la Comisión) mantiene el deber de proveedores y responsables del despliegue de adoptar medidas de alfabetización en IA, pero deja de exigir un nivel concreto: el texto dice que no obliga a garantizar ningún nivel determinado a ninguna persona. La supervisión corresponde a las autoridades nacionales de vigilancia del mercado desde el 2 de agosto de 2026, por el calendario del propio Reglamento de IA que recoge la Comisión. Dos avisos: lo anterior lo hemos leído en las preguntas y respuestas de la Comisión y en fragmentos del texto legal, no en el reglamento completo, y no es asesoramiento jurídico. Qué te obliga en tu caso, y qué cuenta como «medidas», lo tienes que ver con tu asesor. Lo que sí podemos decir es que repartir licencias sin ninguna medida de formación es, además de una mala idea, algo que la norma te pide revisar. El mercado lo nota: «alfabetización en ia» pasó de 30 a 90 búsquedas al mes en España entre el último trimestre de 2025 y el verano de 2026 (Keyword Planner).

¿El shadow AI se arregla con un curso de IA o rediseñando el trabajo?

El mercado vende cursos: «curso de ia para empresas» tiene 110 búsquedas al mes en España, una competencia publicitaria de 78 sobre 100 y pujas de hasta 9,47 € por clic (Keyword Planner). Un curso enseña a usar la herramienta. No decide quién revisa lo que la herramienta produce ni con qué información trabaja.

Nuestra posición, y es una opinión de c6n, no un dato: el shadow AI no se arregla con más IA genérica en manos de quien no entiende la pregunta, sino con un agente que tenga el conocimiento real del negocio dentro del flujo de trabajo. Es lo que hace CA.IA en nuestra web: responde con una base de conocimiento propia, tiene la instrucción explícita de no inventar lo que no sabe y, cuando toca, pasa la conversación a una persona (hola@c6n.eu) o a agendar una llamada. La persona decide; el agente le ahorra el trabajo de buscar. Cómo se construye y cuánto cuesta lo explicamos en agentes de IA para empresas; la diferencia entre delegar la pregunta y dar contexto, en cómo dar contexto a Claude sin sonar genérico. Y qué cambia en el negocio cuando el agente ya no solo responde sino que ejecuta, en IA agéntica en la empresa.

¿Cómo saber si tu empresa tiene shadow AI? Siete señales

Son criterios de c6n, no un test validado. Si marcas tres o más, el problema no es de herramientas: es de criterio y de proceso.

1. La prueba de los dos minutos. Quien envió el mensaje no puede explicarlo en una llamada de dos minutos sin abrir la herramienta.
2. Peticiones técnicas sin motivo. Llegan términos exactos —«schema», «@id», «llms.txt»— y nadie sabe qué problema resuelven.
3. El hilo crece y la decisión no. Más de tres idas y vueltas sobre el mismo punto sin un acuerdo escrito en una frase.
4. Los dos lados escriben igual. Misma estructura, mismas muletillas, misma longitud: los mensajes parecen salidos del mismo sistema, porque lo son.
5. Contestar cuesta más que llamar. Responder «punto por punto» lleva más tiempo que hablar diez minutos.
6. Herramientas de IA que la empresa no conoce. Suscripciones en los gastos de tarjeta, extensiones en el navegador, documentos de clientes pegados en servicios que nadie revisó. Es la forma de shadow AI que miran los proveedores de seguridad.
7. Nadie sabe quién revisó. Cuando algo sale mal, la respuesta es «lo dijo la IA»: la zona de deformación moral del estudio de Cornell.

"El shadow AI no es solo un problema de permisos: es un problema de criterio, dos personas que firman lo que ninguna entiende. Eso no se arregla con una política; se arregla devolviendo el conocimiento al flujo de trabajo." — Juan Camilo Calderón, fundador de c6n