Empieza por conocer el uso real de IA
Nota editorial (22 de septiembre de 2026): revisamos las referencias legales y los límites de los conectores. Conservamos la fecha original de publicación.
Pregúntate qué herramientas de inteligencia artificial usa tu equipo hoy y cuáles están registradas. Sin entrevistas y revisión de fuentes autorizadas, no es posible saberlo con certeza.
Alguien de marketing pega el borrador de un contrato en ChatGPT. Un desarrollador tiene Copilot activado en su editor. El equipo de ventas resume llamadas con una herramienta de transcripción con IA. Producto probó Claude para redactar la documentación. Nadie lo registró, nadie lo aprobó formalmente, y probablemente nadie lo ha revisado desde el punto de vista de cumplimiento.
Llamamos Shadow AI al posible uso de sistemas de IA fuera del inventario o proceso de aprobación. Una señal de ese uso merece investigarse; no demuestra por sí sola incumplimiento.
Cuándo importa el EU AI Act
El EU AI Act distingue, entre otros, al proveedor y al responsable del despliegue. El papel y las obligaciones de cada organización dependen del sistema y del uso concreto.
Si actúas como responsable del despliegue, pueden aplicarte obligaciones también al usar herramientas de terceros. Dependen del sistema y del caso:
- Transparencia (art. 50): determinados usos e interacciones requieren información o marcado, según el caso.
- Alfabetización en IA (art. 4): proveedores y responsables del despliegue deben tomar medidas para asegurar un nivel suficiente en las personas que operan los sistemas, atendiendo al contexto.
- Alto riesgo: algunos usos, como determinadas herramientas para selección de personal, exigen una evaluación específica y pueden activar deberes adicionales.
Un inventario revisado por los equipos ayuda a determinar qué obligaciones pueden aplicar. Ninguna mención a una marca basta para clasificar el uso.
Los riesgos concretos del Shadow AI
Más allá del cumplimiento, el Shadow AI trae riesgos muy tangibles:
- Fuga de datos: un empleado pega datos de clientes o código propietario en una herramienta cuyos términos permiten usar esos datos para entrenar modelos.
- Decisiones no auditables: si un sistema influye en una contratación o un precio y no está documentado, no puedes justificarlo ante un cliente, un regulador o un tribunal.
- Incoherencia con tu propia política: puede que tengas una política de uso de IA... que nadie sigue porque nadie sabe qué herramientas se usan realmente.
Cómo detectar la Shadow AI (paso a paso)
1. Inventaría lo que ya sabes. Empieza por lo obvio: pregunta a cada equipo qué herramientas de IA usa. Es un buen comienzo, pero incompleto — la gente olvida o no menciona lo "no oficial".
2. Busca señales con permiso y contexto. Las herramientas pueden dejar pistas en el trabajo diario:
- En Slack/Teams: "lo pasé por ChatGPT", "usa Copilot para esto".
- En Google Drive/Dropbox: documentos, actas, borradores generados con IA.
- En GitHub: dependencias (
openai,anthropic), manifiestos, integraciones.
3. Contrasta las señales con tu política. Una mención o dependencia es un candidato para investigar, no prueba de uso en producción ni de incumplimiento. Confirma la finalidad, los datos y la persona responsable antes de decidir.
4. Evalúa cada uso confirmado. No es lo mismo un corrector gramatical que un sistema que filtra CVs. Documenta la finalidad, el papel de tu organización y la evaluación de riesgo con revisión humana.
Automatizar la detección con Fencia
Fencia puede ayudar a ordenar candidatos, dentro de los permisos y límites de cada fuente conectada:
- Google Drive puede aportar nombres y texto de documentos accesibles según los permisos concedidos.
- Slack examina mensajes recientes de canales públicos a los que pertenece el bot; no ingiere documentos ni tiene patrullaje programado.
- GitHub, todavía en beta, examina manifiestos de dependencias de hasta 25 repositorios actualizados más recientemente; no lee documentos ni tiene patrullaje programado.
Estas señales son incompletas y necesitan confirmación humana. La disponibilidad de cada fuente depende del plan y de su configuración; el análisis programado no equivale a detección continua o en tiempo real.
El primer paso, hoy
Empieza identificando las herramientas conocidas y abriendo una vía para declarar usos nuevos. Después investiga las señales que encuentres.
La demo de Fencia muestra un flujo ilustrativo con datos de ejemplo. Para conocer qué podría detectarse en tu organización, revisa primero permisos, cobertura y plan de cada conector.
Fencia es una herramienta de apoyo al cumplimiento (RegTech). No sustituye el asesoramiento legal profesional.