De la IA invisible a la IA gobernada: el nuevo deber empresarial ante la regulación europea

Por Sridhar Iyengar, director general de Zoho en Europa.

 

Agosto de 2026 marca una nueva etapa en la aplicación del AI Act europeo. A las obligaciones que ya estaban vigentes se suman ahora nuevos requisitos de transparencia, mientras que otras exigencias relacionadas con determinados sistemas de alto riesgo seguirán desplegándose progresivamente. Más allá del calendario regulatorio, esta evolución refuerza una necesidad mucho más inmediata para las empresas: saber qué herramientas de IA se utilizan dentro de la organización, con qué finalidad, qué información procesan y bajo qué controles. El reto, por tanto, no consiste únicamente en incorporar IA, sino en conseguir que su uso sea visible, comprensible y gobernable en toda la organización.

 

Cuando la herramienta aparece antes que la política

Un empleado que introduce un documento en un chatbot para resumirlo, utiliza una cuenta personal para redactar una propuesta o recurre a una aplicación no homologada para acelerar una tarea puede estar actuando con la mejor intención, por ejemplo, para ahorrar tiempo, resolver un problema o aumentar su productividad. El problema es que, desde el punto de vista corporativo, esa decisión aparentemente individual puede generar consecuencias que no lo son.

Una vez que información comercial, datos de clientes, documentación contractual o conocimiento interno entran en una plataforma que la compañía no ha evaluado, la organización puede perder visibilidad sobre su tratamiento. También puede desconocer durante cuánto tiempo se conserva esa información, qué condiciones contractuales se aplican o si determinados datos pueden utilizarse para mejorar servicios o entrenar modelos.

La dificultad aumenta cuando llega una auditoría, una investigación o un conflicto contractual. En ese momento, no basta con afirmar que la empresa no autorizó aquella herramienta. La capacidad de reconstruir qué se hizo con la información pasa a formar parte del propio problema. Una organización que carece de visibilidad sobre sus usos de IA tampoco dispone de una visión completa de su exposición. Sin embargo, la Shadow AI no debería entenderse únicamente como una cuestión de ciberseguridad o disciplina interna. A menudo revela una desconexión entre las necesidades reales de los empleados y las herramientas que la empresa pone a su disposición. Gobernar la IA implica gestionar el riesgo, pero también comprender por qué los usuarios buscan alternativas fuera del entorno corporativo.

 

España adopta IA mientras muchas empresas siguen experimentando

La adopción de la IA también está avanzando fuera de los canales formalmente establecidos por las empresas. Según el Future of Professionals Report 2026 de Thomson Reuters, el 34% de los profesionales reconoce utilizar herramientas de IA que su organización no ha autorizado y cuyo uso no puede supervisar. Al mismo tiempo, el 41% de quienes utilizan IA en el trabajo afirma no disponer de herramientas específicamente diseñadas para un entorno profesional. Esta brecha ayuda a explicar por qué la Shadow AI no es simplemente una consecuencia de una falta de control, sino también de la distancia entre las necesidades de los empleados y las soluciones que las empresas ponen a su disposición.

Los datos del Estudio sobre Salud Digital de Zoho 2026 también apuntan a una relación clara entre madurez digital y capacidad para formalizar el uso de estas herramientas. Mientras el 82% de las empresas españolas con buena salud digital ya dispone de una política formal y comunicada sobre el uso de IA generativa por parte de los empleados, esa proporción cae al 17% entre las empresas con mala salud digital. Esta diferencia muestra hasta qué punto establecer marcos claros de uso puede desempeñar un papel importante a la hora de reducir la aparición de Shadow AI dentro de las organizaciones.

En este contexto, el marco regulatorio añade una dimensión adicional. Aspectos como la alfabetización en IA, los usos prohibidos o la transparencia de determinados sistemas forman ya parte del marco que deben considerar las empresas. Para los responsables tecnológicos, sin embargo, el reto práctico es más amplio: traducir estos principios en decisiones concretas sobre qué herramientas pueden utilizarse, con qué información, bajo qué permisos y con qué nivel de supervisión.

 

El coste de no estar preparado

El principal riesgo asociado a la Shadow AI no empieza necesariamente con una sanción, sino con una pérdida de visibilidad. Cuando distintos equipos utilizan aplicaciones, modelos y cuentas sin un marco común, las empresas pueden terminar con información repartida entre múltiples proveedores, controles de acceso inconsistentes y procesos cuya trazabilidad resulta difícil de reconstruir.

A ello se suma el riesgo operativo. Una decisión basada en una respuesta incorrecta de un modelo puede provocar pérdidas económicas, conflictos contractuales o daños reputacionales. Un sistema que redacte un contrato y omita una cláusula esencial, por ejemplo, puede exponer a la empresa a un riesgo que nunca habría aceptado de forma consciente.

El riesgo regulatorio también sigue siendo significativo. Las infracciones más graves del AI Act, incluidas determinadas prácticas prohibidas, pueden dar lugar a multas de hasta 35 millones de euros o el 7% del volumen de negocio mundial anual, mientras que otras infracciones pueden conllevar sanciones de hasta 15 millones de euros o el 3% del volumen de negocio mundial anual. Por eso, la trazabilidad adquiere tanta importancia. Las organizaciones necesitan saber qué herramienta intervino, con qué información trabajó, para qué finalidad y bajo qué nivel de supervisión humana.

 

Gobernar la IA sin frenar su adopción

El primer paso consiste en hacer visible el ecosistema de IA de la empresa. Las organizaciones necesitan saber qué herramientas se están utilizando, para qué tareas, por qué equipos y con qué tipos de información. Este conocimiento permite identificar dónde existen riesgos, pero también dónde están apareciendo nuevas necesidades que las herramientas corporativas quizá todavía no cubren.

A partir de ahí, deben establecerse reglas claras sobre qué aplicaciones están autorizadas, qué información puede introducirse en ellas y en qué situaciones resulta necesaria la intervención humana. Pero estas políticas solo serán eficaces si los empleados entienden los motivos que hay detrás y disponen de alternativas útiles. Reducir la Shadow AI no consiste únicamente en vigilar qué hacen los empleados. Consiste en construir un entorno en el que utilizar la IA de forma segura sea también la opción más sencilla y útil. Las empresas que consigan cerrar la distancia entre innovación individual y gobernanza corporativa estarán mejor preparadas para aprovechar estas tecnologías sin perder visibilidad sobre sus datos, sus procesos y sus riesgos.