Prohibir la IA no es gobernarla

En un banco central grande, hay empleados que trabajan en su computador corporativo —seguro, sin acceso a IA— con su laptop personal abierta al lado, en la página de inicio de su modelo de lenguaje favorito. Así lo reporta un directivo de esa institución a investigadores de BBVA y varias universidades, en un artículo publicado en Harvard Business Review. No es un caso aislado: es el patrón que describen al documentar cómo la demanda de IA dentro de las empresas se mueve por fuera de los canales oficiales, no por descuido, sino porque las herramientas corporativas no están a la altura de lo que las personas ya saben hacer con IA en su vida personal.

La reacción típica ante esto es tratarlo como una fuga: prohibir, bloquear dominios, sancionar. Pero la evidencia disponible apunta a otra cosa. Prohibir sin sustituir no elimina el uso — lo esconde. Y una organización que no ve lo que sus empleados ya hacen con IA no tiene menos riesgo: tiene menos visibilidad.

El shadow AI es una señal, no una fuga

Gartner encuestó a 302 líderes de ciberseguridad entre marzo y mayo de 2025: el 69% sospecha o tiene evidencia de que sus empleados usan IA generativa pública no autorizada. La proyección de la consultora es dura — más del 40% de las empresas experimentará incidentes de seguridad o cumplimiento vinculados a IA no autorizada para 2030 — pero la causa raíz no es que falte una prohibición. Es que falta una alternativa sancionada que compita con lo que cualquier persona obtiene gratis en un navegador personal.

Los investigadores de BBVA que escriben en Harvard Business Review lo plantean sin rodeos: el uso no autorizado de herramientas de consumo por parte de los empleados no debería tratarse como un problema de cumplimiento, sino como una señal de demanda no satisfecha que las empresas pueden redirigir. Cuando la herramienta oficial es más lenta, más limitada o simplemente no existe para una tarea, las personas no dejan de usar IA — cambian de canal.

Por qué las personas no avisan

Bloquear el acceso resuelve la parte visible del problema y empeora la parte invisible. Investigación reciente de Harvard Business Review sobre por qué los empleados no son transparentes respecto a su uso de IA encuentra que la variable que más predice si alguien comparte un flujo de trabajo útil con IA no es la política formal ni la herramienta disponible: es la confianza organizacional y la seguridad psicológica, por encima del efecto de las políticas o las herramientas sancionadas. Las personas se quedan calladas por razones racionales — temen que las juzguen como menos capaces, que les asignen más trabajo, o que las vuelvan más fáciles de reemplazar.

Esto tiene una implicancia incómoda para cualquier programa de gobernanza que dependa solo de reglas: una cultura que castiga la divulgación produce menos divulgación, no menos uso. El resultado es una organización que cree tener control porque tiene un documento de políticas, cuando en realidad tiene menos información que antes sobre cómo se usa la IA en su operación diaria.

La brecha real está en la gobernanza, no en la tecnología

La Encuesta de Madurez de Confianza en IA 2026 de McKinsey, con cerca de 500 organizaciones consultadas entre diciembre de 2025 y enero de 2026, muestra que el puntaje promedio de madurez en IA responsable subió a 2.3 este año, desde 2.0 en 2025 — pero solo alrededor del 30% de las organizaciones alcanza un nivel de madurez alto en estrategia, gobernanza y controles de IA agéntica, muy por debajo del avance técnico y de gestión de riesgo. Según el estudio, esa brecha de gobernanza es consistente en todas las regiones.

Casi dos tercios de los encuestados señalan las preocupaciones de seguridad y riesgo como la principal barrera para escalar IA agéntica — no la falta de casos de uso, sino la falta de confianza para desplegarla de forma segura. Y la distancia entre lo que las organizaciones perciben como riesgo relevante y lo que efectivamente mitigan es amplia en casi todas las categorías, especialmente en filtración de propiedad intelectual y privacidad.

El dato más revelador para cualquier líder que gestiona shadow AI: las organizaciones que asignan una responsabilidad explícita para IA responsable —un rol, un equipo, no solo un documento— alcanzan en promedio 2.6 puntos de madurez, contra 1.8 en las que no lo hacen. Gobernar de forma difusa produce, en la práctica, el mismo resultado que no gobernar.

Qué hacer en lugar de prohibir

Tres movimientos concretos, en orden de urgencia:

1. Audita antes de prohibir. Si nadie en tu organización puede decir con evidencia qué proporción de tu equipo usa IA no sancionada y para qué, no tienes gobernanza — tienes una política de papel. La auditoría no es punitiva; es la única forma de saber si el problema es de seguridad, de producto o de ambos.
2. Convierte la demanda oculta en hoja de ruta de producto. Si tus empleados usan una IA personal para una tarea específica, esa tarea es la especificación de tu próxima herramienta sancionada. Ignorar esa señal y comprar una plataforma genérica desconectada del uso real es la forma más cara de resolver el problema equivocado.
3. Asigna un dueño con nombre y apellido. La diferencia de madurez entre organizaciones con responsabilidad explícita y las que no la tienen no es marginal. Gobernar IA de forma difusa —"todos son responsables"— produce el mismo resultado que no gobernarla.

La pregunta que vale la pena hacerse esta semana

Pregunta a tres personas de tu equipo, en confianza, qué usan hoy que IT no aprobó formalmente. Si la respuesta es "nada", probablemente no estás preguntando bien. Si obtienes una respuesta honesta, tienes la primera línea del backlog de tu próxima herramienta de IA — y una medida más precisa de tu riesgo real que cualquier política que hayas firmado este año.