Shadow AI en tu empresa: tus empleados ya usan ChatGPT, Gemini y agentes con datos de clientes (cómo poner reglas sin frenar a nadie)

El 12 de octubre de 2026 salieron dos notas que cuentan la misma historia desde lados distintos. El Economista explica cómo la IA que nadie autorizó termina dando más trabajo al negocio en lugar de ahorrarlo. Y The Hacker News advierte algo más incómodo: los asistentes personales de tus empleados ya tienen sesión abierta en el correo, el Drive y el CRM de la empresa.

A eso se le llama shadow AI, o IA en la sombra: herramientas de inteligencia artificial que la gente usa para trabajar sin que la empresa lo sepa ni lo haya aprobado. Casi nunca es mala fe. Es prisa.

Qué es shadow AI y por qué da más trabajo

Piensa en el de contabilidad que pega el reporte de cuentas por cobrar en ChatGPT para que le arme un resumen. O en la de ventas que conecta un asistente a su Gmail para contestar más rápido. Les funciona. El problema llega después.

Respuestas que nadie revisó y que salen a un cliente. Un archivo con datos sensibles guardado en el historial de una cuenta gratuita. Un asistente que sigue conectado al correo cuando la persona ya se fue. Todo eso alguien lo tiene que limpiar.

Y del otro lado los ataques también se volvieron más listos: El Sol de México reporta que en México cada vez cuesta más detectarlos por el uso de IA. Una cuenta personal conectada a tu correo es una puerta más.

Cómo descubrir qué IA se usa hoy en tu empresa

Antes de poner reglas, mira qué hay. En nuestra experiencia, casi siempre aparece algo que el dueño no conocía. Cuatro lugares donde buscar:

• Logs de inicio de sesión. Microsoft 365 y Google Workspace registran cada vez que alguien entra a una app con su cuenta de la empresa.
• Apps OAuth. OAuth es el permiso que das cuando una app pide «entrar con Google» o «con Microsoft»: accede a tu cuenta sin conocer la contraseña. Aquí explicamos cómo auditar esas apps.
• Extensiones del navegador. Muchas «te ayudan a escribir» y de paso leen todo lo que hay en pantalla.
• Tráfico en el firewall. El firewall es el equipo que controla qué sale a internet; su reporte muestra qué servicios de IA se visitan y desde qué computadoras.

Qué datos nunca deben salir a una IA personal

Dato	Ejemplo	¿A una IA con cuenta personal?
Datos fiscales	RFC, constancia, sellos digitales	Nunca
Nómina	Sueldos, CURP, cuentas bancarias	Nunca
Facturación	CFDI, XML, estados de cuenta	Nunca
Clientes	Nombres, teléfonos, contratos, precios	Nunca
Accesos	Contraseñas, llaves, capturas del sistema	Nunca
Textos públicos	Borrador de un post, idea de campaña	Sí, sin nombres

Además del riesgo de negocio, los datos personales de clientes y empleados están protegidos por la ley mexicana. «Se lo pasé a la IA» no sirve como defensa.

La política de IA de una página

Nada de manuales eternos. Una hoja con esto:

1. Herramientas aprobadas. Cuáles sí, con nombre y para qué.
2. Cuentas empresariales. La versión de negocio de la herramienta, a nombre de la empresa, donde el contrato aclara qué pasa con tus datos. Lee esa cláusula antes de pagar.
3. Datos prohibidos. La tabla de arriba, tal cual.
4. Conexiones. Ningún asistente entra al correo, al Drive o al CRM sin visto bueno de sistemas.
5. A quién preguntar. Un nombre y un WhatsApp, no un correo genérico.

Opinión nuestra: prohibir todo no funciona. La gente sigue usando IA, solo que desde el celular personal, donde ya no ves nada.

Personas y datos, no permisos de un robot

Aquí hablamos de lo que hace tu gente con su propia IA. Si lo que te preocupa es un agente que actúa solo dentro de tus sistemas, eso lo vimos en qué permisos darle a un agente de IA.

La parte técnica que cierra el círculo se llama DLP, prevención de pérdida de datos: reglas en Microsoft 365 o Google Workspace que detectan un RFC, una tarjeta o un CFDI en un correo o archivo, y avisan o bloquean antes de que salga.

Hablemos

¿Y en tu empresa ya sabes qué IA se usa?

Dentro de la póliza de soporte TI de ProcessBi hacemos la auditoría de apps y accesos en Microsoft 365 o Google Workspace, configuramos DLP y te acompañamos a escribir y aplicar tu política de una página.

Empezamos con un diagnóstico sin costo para ver qué está conectado hoy.

Agenda tu diagnóstico — respondemos el mismo día hábil.