¿Qué es el Shadow AI en la pyme? Es el uso de ChatGPT, Copilot, Gemini u otras herramientas de IA que la empresa no tiene inventariadas ni gobernadas. No es una clasificación jurídica. Es un indicio de falta de visibilidad. El siguiente paso es explicar ese uso por correo. Si prefieres una foto breve, siguen las cinco preguntas. Definición y términos vecinos: glosario del AI Act.
En muchas pymes españolas el equipo ya usa IA: a veces con la cuenta de la empresa, a veces con una cuenta personal. Nadie lo ha listado. Nadie ha dejado por escrito con qué datos se puede usar. Eso es Shadow AI.
Qué es Shadow AI (definición operativa)
Es el uso de herramientas de IA que la organización no ve, no eligió y no tiene documentado. Incluye cuentas personales de ChatGPT, Copilot o Gemini, extensiones del navegador y pruebas «por si acaso» en un departamento.
No equivale a decir que el uso es ilegal. Tampoco a decir que el AI Act aplica o no aplica. Es una foto de visibilidad: si la empresa no sabe qué se usa, no puede documentar medidas ni revisar el contrato del proveedor.
Qué suele verse en una pyme
- Alguien pega un email o un contrato de cliente en ChatGPT. Eso puede implicar tratamiento de datos personales.
- Hay una herramienta «oficial» y, al mismo tiempo, cuentas personales. Prohibirlo del todo a veces empuja el uso fuera del inventario.
- Nadie tiene un listado de herramientas, usos y datos. Tampoco una política breve de uso de IA (medida recomendada, no una obligación con ese nombre).
- Hay que firmar ChatGPT Enterprise, Copilot o Gemini y el contrato no se ha revisado. Checklist: cláusulas de IA en contratos SaaS.
Copilot o Gemini «solo»
Usar solo Copilot o Gemini no clasifica a la empresa por sí solo. No es automático. Depende del uso, los datos y el papel potencial. El Assessment identifica ese uso; no es una clasificación jurídica definitiva. Hub: ChatGPT en la empresa.
Qué conviene hacer (medidas recomendadas)
- Ver el uso real: herramientas, qué información se comparte y qué tareas hay que revisar. Se explica por correo. Si prefieres una foto breve, siguen las cinco preguntas.
- Listar herramientas, para qué y con qué datos. Incluye el uso que no está en el inventario oficial.
- Dejar un criterio corto por escrito: herramientas, usos, datos, dudas.
- Si hay contrato de proveedor encima de la mesa, revisión humana bajo derecho español o de la UE.
- Formar al equipo en los límites reales. Formación orientada al artículo 4: medidas de alfabetización, no certificado oficial de la UE.
Si el indicio de las cinco preguntas es crítico o moderado, el siguiente paso es el AI Legal Assessment: inventario (incluido Shadow AI), necesidades y un plan documentado. En remoto. Alcance y precio se confirman antes de empezar.
Preguntas frecuentes
¿Qué es Shadow AI?
Es el uso de herramientas de IA que la empresa no tiene inventariadas ni gobernadas. No es una clasificación jurídica. Es un indicio de falta de visibilidad. Las cinco preguntas de Legal Stones están pensadas para detectarlo.
¿El AI Act aplica si solo usamos Copilot o Gemini?
No es automático. Usar solo Copilot o Gemini no clasifica a la empresa por sí solo. Depende del uso, los datos y el papel potencial. El primer paso en Legal Stones son cinco preguntas gratis. Si hace falta, el Assessment identifica el uso; no es una clasificación jurídica definitiva.
¿Hay que prohibir ChatGPT?
No necesariamente. Prohibirlo del todo a veces empuja el uso a cuentas personales. Lo habitual es acotar: para qué, con qué información y con qué herramienta.
¿Por dónde empiezo si no sé qué usa el equipo?
Por un correo que diga qué herramientas usáis, qué información se comparte y qué tareas hay que revisar. Si prefieres una foto breve, siguen las cinco preguntas. Si hay contrato del proveedor, revisión de contratos.
Las cinco preguntas, si prefieres una foto breve →
ChatGPT con datos de clientes →
Política de uso de IA en la empresa →
Fuentes
- Texto del AI Act, incluido el artículo 4: Reglamento (UE) 2024/1689 (EUR-Lex).
- Agencia Española de Protección de Datos: innovación y tecnología y la guía Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial.
- Agencia Española de Supervisión de la Inteligencia Artificial: AESIA.
Esta página enlaza esas fuentes. No reproduce el articulado y no clasifica un caso concreto.