Shadow AI en la pyme es el uso de ChatGPT, Copilot, Gemini u otras herramientas de IA que la empresa no tiene inventariadas ni gobernadas. No es una clasificación jurídica. Es un indicio de falta de visibilidad. El primer paso en Legal Stones son cinco preguntas gratis. Si hace falta, el AI Legal Assessment.
En muchas pymes españolas el equipo ya usa IA: a veces con la cuenta de la empresa, a veces con una cuenta personal. Nadie lo ha listado. Nadie ha dejado por escrito con qué datos se puede usar. Eso es Shadow AI.
Qué es Shadow AI (definición operativa)
Es el uso de herramientas de IA que la organización no ve, no eligió y no tiene documentado. Incluye cuentas personales de ChatGPT, Copilot o Gemini, extensiones del navegador y pruebas «por si acaso» en un departamento.
No equivale a decir que el uso es ilegal. Tampoco a decir que el AI Act aplica o no aplica. Es una foto de visibilidad: si la empresa no sabe qué se usa, no puede documentar medidas ni revisar el contrato del proveedor.
Qué suele verse en una pyme
- Alguien pega un email o un contrato de cliente en ChatGPT. Eso puede implicar tratamiento de datos personales.
- Hay una herramienta «oficial» y, al mismo tiempo, cuentas personales. Prohibirlo del todo a veces empuja el uso fuera del inventario.
- Nadie tiene un listado de herramientas, usos y datos. Tampoco una política breve de uso de IA (medida recomendada, no una obligación con ese nombre).
- Hay que firmar ChatGPT Enterprise, Copilot o Gemini y el contrato no se ha revisado. Checklist: cláusulas de IA en contratos SaaS.
Copilot o Gemini «solo»
Usar solo Copilot o Gemini no clasifica a la empresa por sí solo. No es automático. Depende del uso, los datos y el papel potencial. El Assessment identifica ese uso; no es una clasificación jurídica definitiva. Hub: ChatGPT en la empresa.
Qué conviene hacer (medidas recomendadas)
- Ver el uso real. Empieza por las cinco preguntas: ChatGPT, datos de clientes, política, inventario, herramientas personales.
- Listar herramientas, para qué y con qué datos. Incluye el uso que no está en el inventario oficial.
- Dejar un criterio corto por escrito: herramientas, usos, datos, dudas.
- Si hay contrato de proveedor encima de la mesa, revisión humana bajo derecho español o de la UE.
- Formar al equipo en los límites reales. Formación orientada al artículo 4: medidas de alfabetización, no certificado oficial de la UE.
Si el indicio de las cinco preguntas es crítico o moderado, el siguiente paso es el AI Legal Assessment: inventario (incluido Shadow AI), necesidades y un plan documentado. En remoto. Alcance y precio se confirman antes de empezar.
Preguntas frecuentes
¿Qué es Shadow AI?
Es el uso de herramientas de IA que la empresa no tiene inventariadas ni gobernadas. No es una clasificación jurídica. Es un indicio de falta de visibilidad. Las cinco preguntas de Legal Stones están pensadas para detectarlo.
¿El AI Act aplica si solo usamos Copilot o Gemini?
No es automático. Usar solo Copilot o Gemini no clasifica a la empresa por sí solo. Depende del uso, los datos y el papel potencial. El primer paso en Legal Stones son cinco preguntas gratis. Si hace falta, el Assessment identifica el uso; no es una clasificación jurídica definitiva.
¿Hay que prohibir ChatGPT?
No necesariamente. Prohibirlo del todo a veces empuja el uso a cuentas personales. Lo habitual es acotar: para qué, con qué información y con qué herramienta.
¿Por dónde empiezo si no sé qué usa el equipo?
Por las cinco preguntas gratuitas de Legal Stones. Luego, si hace falta, el Assessment y, si hay contrato del proveedor, revisión de contratos.
¿Tu empresa usa ChatGPT? 5 preguntas →
ChatGPT con datos de clientes →