La pregunta ya no es si los empleados usarán inteligencia artificial en el trabajo. Ya la están usando. La pregunta es si la organización quiere gobernar esa energía o dejar que se convierta en shadow AI.
Durante años, las organizaciones aprendieron a gestionar el fenómeno del Bring Your Own Device (BYOD). Los empleados traían sus propios teléfonos, tablets y laptops al trabajo porque los dispositivos personales eran mejores, más rápidos o más cómodos que las herramientas corporativas.
La respuesta empresarial no fue inmediata. Primero hubo negación. Después prohibiciones parciales. Luego políticas de seguridad, MDM, gestión de identidades, segmentación de datos, acceso condicional y modelos más maduros de gobierno.
Con la inteligencia artificial estamos viviendo una versión más profunda del mismo patrón.
La diferencia es que ahora el empleado no trae solo un dispositivo. Trae una capacidad cognitiva externa: un asistente capaz de resumir documentos, escribir código, analizar hojas de cálculo, preparar presentaciones, redactar correos, interpretar políticas internas, generar imágenes, traducir textos, crear agentes y automatizar trabajo.
Eso es Bring Your Own AI (BYOAI).
Y, como suele ocurrir con las tecnologías realmente útiles, la adopción no está esperando a que los comités terminen de deliberar.
Los empleados no están esperando permiso#
La señal más importante del BYOAI es que nace de una necesidad real.
Los empleados no usan ChatGPT, Claude, Gemini, Perplexity, Copilot, Cursor o decenas de herramientas especializadas porque quieran desafiar a Seguridad o a Legal. Las usan porque resuelven trabajo. Porque reducen fricción. Porque les permiten entregar más rápido. Porque en muchos casos sienten que la herramienta corporativa todavía no existe, no es suficientemente buena o está demasiado limitada.
El dato de Microsoft y LinkedIn en su Work Trend Index 2024 fue contundente: el 75% de los trabajadores del conocimiento ya usaba IA generativa en el trabajo y, entre quienes la usaban, el 78% llevaba sus propias herramientas de IA al entorno laboral. La misma investigación señalaba una paradoja muy reveladora: mientras el 79% de los líderes decía que la adopción de IA era crítica para seguir siendo competitivos, el 60% reconocía que su compañía carecía de una visión y un plan para implementarla.
Ese vacío entre urgencia ejecutiva y capacidad organizacional lo llenan los empleados.
Slack, por su parte, reportó en 2025 que el 60% de los trabajadores ya usaba IA y que el uso diario había crecido 233% en seis meses. No estamos hablando de una moda marginal ni de un experimento de nicho. Estamos hablando de una nueva capa de productividad que empieza a formar parte del trabajo cotidiano.
La lectura correcta no es: “los empleados están desobedeciendo”.
La lectura correcta es: la organización todavía no ha diseñado una forma suficientemente buena de absorber esta capacidad.
El BYOAI no es un problema tecnológico. Es un síntoma organizacional.#
Cuando aparece shadow AI, la reacción instintiva suele ser de control: bloquear dominios, prohibir herramientas, enviar políticas restrictivas o exigir aprobación previa para cualquier uso de IA.
A veces hay que bloquear. Hay herramientas que no cumplen mínimos de seguridad. Hay datos que nunca deberían salir del entorno corporativo. Hay industrias donde la regulación exige trazabilidad estricta. Hay usos que son claramente inaceptables.
Pero si la respuesta se limita a prohibir, el problema se desplaza en lugar de desaparecer.
El BYOAI ocurre porque hay una brecha entre tres cosas:
- la velocidad con la que los empleados descubren nuevas capacidades,
- la velocidad con la que la organización puede comprar, integrar y gobernar herramientas,
- y la velocidad con la que los procesos internos se adaptan a nuevas formas de trabajar.
Esa brecha no se cierra con un memorándum.
Se cierra con arquitectura, gobierno, educación, medición y alternativas corporativas que sean suficientemente buenas.
Esta es la parte incómoda: muchas organizaciones quieren evitar el riesgo de BYOAI, pero no quieren pagar el coste de construir una experiencia oficial de IA que compita con las herramientas que los empleados ya usan. Entonces terminan en el peor punto intermedio: los empleados usan IA de todos modos, pero la organización no tiene visibilidad, no tiene contratos adecuados, no tiene trazabilidad, no tiene control de datos y no captura aprendizaje institucional.
El riesgo real no es que alguien use IA. Es que nadie sepa cómo la está usando.#
El riesgo de BYOAI no debe exagerarse hasta convertirlo en pánico, pero tampoco debe minimizarse.
Hay al menos cinco riesgos concretos.
El primero es la fuga de información sensible. Un empleado puede pegar en una herramienta personal datos de clientes, código fuente, información financiera, contratos, expedientes académicos, material de investigación, estrategias comerciales o documentos internos. Incluso cuando el proveedor tenga controles razonables, la organización puede perder gobierno sobre qué datos salieron, bajo qué términos, con qué retención y con qué capacidad de auditoría.
El segundo es la pérdida de propiedad intelectual y contexto estratégico. La IA se usa cada vez más para explorar decisiones, resumir documentos, analizar productos, revisar código y preparar planes. Eso significa que no solo fluyen datos; fluyen intenciones, hipótesis, prioridades y conocimiento de negocio.
El tercero es la calidad no gobernada. Si una respuesta generada por IA entra en un documento, un contrato, una decisión técnica o una comunicación externa sin revisión suficiente, el problema ya no es solo de privacidad. Es de confiabilidad, responsabilidad y reputación.
El cuarto es la fragmentación económica. Decenas o cientos de suscripciones individuales pueden parecer baratas, pero producen una economía invisible: pagos duplicados, herramientas redundantes, licencias sin negociación, falta de descuentos empresariales y ausencia de medición de retorno.
El quinto es la fragmentación del aprendizaje organizacional. Cuando cada empleado experimenta por su cuenta, la organización pierde una oportunidad valiosa: saber qué casos de uso funcionan, qué prompts se repiten, qué tareas se automatizan, qué procesos deberían rediseñarse y dónde está realmente el valor.
En otras palabras: el BYOAI no solo expone datos. También dispersa conocimiento.
Los datos ya muestran el tamaño del problema#
La evidencia acumulada apunta en una dirección clara: la adopción informal de IA va más rápido que el gobierno.
Cyberhaven, en su análisis de uso real de herramientas de IA en entornos corporativos, reportó que entre marzo de 2023 y marzo de 2024 la cantidad de datos corporativos introducidos en herramientas de IA creció 485%. En su reporte 2026, la compañía señaló que un tercio de los empleados accedía a herramientas de IA mediante cuentas personales y que 82% de las 100 aplicaciones de IA generativa más usadas caían en categorías de riesgo medio a crítico.
IBM, en su Cost of a Data Breach Report 2025, introdujo una señal todavía más dura: las brechas asociadas a shadow AI fueron más costosas. Según análisis del reporte, los incidentes con altos niveles de shadow AI añadieron alrededor de 670.000 dólares al coste medio de una brecha.
Cisco, en su AI Readiness Index, también muestra el desfase estructural. Solo 13% de las compañías encuestadas se consideraban plenamente preparadas para capturar el potencial de la IA, y apenas 32% reportaba alta preparación desde la perspectiva de datos para adaptar, desplegar y aprovechar tecnologías de IA.
Estos datos no significan que la IA deba frenarse.
Significan que la adopción sin gobierno crea una deuda operacional que después se paga con incidentes, duplicidades, pérdida de confianza y decisiones reactivas.
El error de tratar BYOAI como si fuera solo compliance#
Muchas discusiones sobre BYOAI se quedan atrapadas en el lenguaje de cumplimiento: qué está permitido, qué está prohibido, qué datos se pueden compartir, qué proveedor tiene mejores términos, qué cláusulas deben revisarse.
Todo eso importa.
Pero si BYOAI se trata solo como un problema de compliance, se pierde la mitad estratégica del fenómeno.
La adopción informal de IA es también un mapa de demanda.
Cuando un equipo usa herramientas externas para resumir reuniones, quizá el proceso de documentación interna es demasiado pesado. Cuando un desarrollador paga Cursor o Claude Code de su bolsillo, quizá la plataforma oficial de ingeniería no le está dando suficiente palanca. Cuando un profesor, consultor o analista usa ChatGPT para preparar materiales, quizá la organización todavía no ha convertido la IA en una herramienta natural de creación. Cuando un equipo sube documentos a una herramienta externa para buscar respuestas, quizá el sistema interno de conocimiento no funciona.
El shadow AI no solo muestra riesgo.
Muestra dónde la organización está fallando en habilitar productividad.
Por eso la respuesta madura no es “apagar” BYOAI. Es convertirlo en inteligencia organizacional: descubrir qué se usa, por qué se usa, qué valor genera, qué riesgos introduce y qué parte debe institucionalizarse.
El modelo correcto: libertad dentro de un perímetro#
La organización madura no tiene que escoger entre libertad total y bloqueo total.
Necesita diseñar un perímetro de IA.
Ese perímetro debería tener al menos cinco capas.
La primera es una clasificación clara de datos. No todos los datos son iguales. Una política seria debe distinguir entre información pública, interna, confidencial, regulada, sensible, personal, contractual, académica, financiera o estratégica. Sin esta taxonomía, cualquier regla de IA se vuelve demasiado genérica para ser útil.
La segunda es un catálogo de herramientas aprobadas. Los empleados necesitan saber qué pueden usar para qué. No basta con decir “usa la herramienta corporativa”. Hay que especificar cuándo usar ChatGPT Enterprise, Copilot, Gemini, Claude, una herramienta interna, un modelo open source desplegado privadamente o un agente especializado.
La tercera es una política de casos de uso. La unidad de gobierno no debería ser solo la herramienta. Debería ser el caso de uso. No es lo mismo usar IA para corregir estilo en un texto público que para resumir expedientes sensibles. No es lo mismo generar ideas que generar una respuesta a cliente. No es lo mismo asistencia individual que automatización de decisiones.
La cuarta es observabilidad sin paranoia. La organización necesita visibilidad sobre uso, coste, adopción, riesgos y patrones, pero debe evitar convertir la IA en una herramienta de vigilancia individual. Medir categorías de uso, flujos de datos, tipos de herramienta y volumen de consumo es distinto a fiscalizar cada prompt de forma intrusiva.
La quinta es educación práctica. La mayoría de los riesgos no se resuelven solo con políticas; se resuelven con criterio. Los empleados necesitan entender qué datos no deben compartir, cómo verificar respuestas, cómo citar fuentes, cómo revisar código generado, cómo evitar automatismos peligrosos y cuándo escalar un caso.
¿Quién paga la IA?#
El coste es una de las preguntas más delicadas del BYOAI.
Si la empresa no paga, los empleados con más iniciativa o más recursos pagarán herramientas personales. Eso crea desigualdad interna, falta de control y pérdida de visibilidad.
Si la empresa paga todo para todos, puede generar un gasto enorme y poco optimizado. No todos los empleados necesitan el mismo nivel de acceso, el mismo modelo o la misma herramienta.
Si la empresa centraliza demasiado, puede sofocar experimentación y quedarse por detrás de la frontera de mercado.
La respuesta razonable suele ser híbrida.
Una capa base corporativa para todos los trabajadores del conocimiento. Una capa avanzada para perfiles intensivos: desarrollo de software, análisis, investigación, operaciones, marketing, producto, atención compleja, finanzas, legal, docencia, diseño. Y una capa experimental controlada para probar nuevas herramientas con criterios claros de seguridad, datos y coste.
El objetivo no es reducir el gasto al mínimo.
El objetivo es pasar de gasto invisible a inversión gobernada.
La métrica correcta no es solo coste por licencia. Es coste por tarea mejorada, coste por hora liberada, coste por ciclo reducido, coste por error evitado, coste por experiencia mejorada.
De BYOAI a Enterprise AI Adoption#
El destino del BYOAI no debería ser su eliminación. Debería ser su absorción inteligente.
Las organizaciones que lo hagan bien seguirán permitiendo exploración individual, pero dentro de un marco claro. Aprenderán de los usos emergentes. Detectarán patrones. Convertirán los mejores experimentos en capacidades corporativas. Negociarán contratos adecuados. Protegerán datos sensibles. Medirán impacto. Y crearán una cultura donde usar IA bien sea parte del trabajo, no una actividad clandestina.
La secuencia madura podría verse así:
- Descubrir qué herramientas de IA ya se usan.
- Clasificar riesgos por tipo de dato y caso de uso.
- Definir un catálogo inicial de herramientas aprobadas.
- Crear una política simple, comprensible y accionable.
- Ofrecer alternativas corporativas competitivas.
- Medir adopción, valor, coste y riesgos.
- Convertir casos repetidos en productos internos o agentes gobernados.
- Revisar el modelo cada trimestre, porque el mercado cambia demasiado rápido para una política anual.
El punto clave es que la gobernanza de IA no puede ser un documento estático. Tiene que operar como un sistema vivo.
La pregunta para los líderes#
La pregunta equivocada es:
¿Cómo impedimos que la gente use herramientas externas de IA?
La pregunta correcta es:
¿Qué nos está diciendo el uso informal de IA sobre la forma en que nuestra organización trabaja?
BYOAI es una advertencia, pero también una oportunidad. Advierte que la inteligencia artificial está entrando en la organización por rutas no diseñadas. Pero también revela dónde hay energía, necesidad, iniciativa y valor.
Las organizaciones que solo vean riesgo reaccionarán con controles tardíos.
Las que vean el patrón completo construirán una capa de IA empresarial más útil, más segura y más alineada con el trabajo real.
Porque el futuro no será “cada empleado con su IA personal” ni “una IA corporativa única para todo”.
Será una arquitectura de inteligencia distribuida, gobernada y observable, donde las personas tengan libertad para aumentar su productividad sin obligar a la organización a renunciar a seguridad, privacidad, coste y aprendizaje colectivo.
El BYOAI no es el enemigo.
El enemigo es dejar que ocurra sin diseño.
Carles Abarca es VP de Transformación Digital en el Tec de Monterrey y ex-CTO de Banco Sabadell. Escribe sobre las implicaciones estratégicas de la IA, la infraestructura digital y la transformación tecnológica en carlesabarca.com.
Fuentes revisadas#
- Microsoft WorkLab: AI at Work Is Here. Now Comes the Hard Part
- Microsoft Source: Microsoft and LinkedIn release the 2024 Work Trend Index on the state of AI at work
- MIT Sloan: What leaders should know about Bring Your Own AI
- Salesforce / Slack Workforce Index: New Slack Workforce Index Reveals Higher Daily AI Use
- Cyberhaven: 2026 AI Adoption & Risk Report
- Cyberhaven: Shadow AI: how employees are leading the charge in AI adoption and putting company data at risk
- IBM: Cost of a Data Breach Report 2025
- Cisco: 2024 AI Readiness Index
- NIST: AI Risk Management Framework
- OpenAI: Business data privacy, security, and compliance
- Google Workspace: Generative AI in Google Workspace Privacy Hub