La IA se ha instalado en el día a día de los empleados más rápido que las normas destinadas a regularla. Esto es lo que muestra la segunda edición del Barómetro IA Empresa y Sostenibilidad, realizada en marzo de 2026 entre 826 profesionales de las TI y del ámbito digital en Francia, Reino Unido, Alemania y España. Según el estudio, el 66 % de los encuestados constata Shadow AI, es decir, el uso de herramientas de IA no validadas por su empresa.
Coautor del barómetro con Laurent Inard (Forvis Mazars), Dejan Glavas, profesor de finanzas e IA en la ESSCA School of Management, analiza estos puntos ciegos y las normas que deben establecerse.
Herramientas validadas que luchan por competir
Para Dejan Glavas, la herramienta validada suele llegar después del hábito. Entre los encuestados que constatan un Shadow AI generalizado mientras su empresa proporciona sus propias herramientas, destacan tres razones. El hábito encabeza la lista, ya que los empleados habían adoptado un asistente antes de que su empleador propusiera uno. Le siguen el rendimiento, ya que la herramienta proporcionada generalmente se considera peor, y la comodidad de uso, pues las herramientas internas a veces son más lentas o menos prácticas.
Según él, una herramienta validada que pueda compararse favorablemente con las del mercado reduce el Shadow AI con más seguridad que un recordatorio del reglamento. El fenómeno es más marcado en Francia, donde una de cada cinco empresas lo describe como generalizado, frente a una de cada diez en los otros tres países. Propone dos vías. Primero, la regulación: menos de una de cada dos empresas francesas forma a sus empleados en IA, frente a tres de cada cuatro en el Reino Unido. «Cuando la norma y la formación llegan tarde, el uso se instala solo», resume. En segundo lugar, la oferta interna: más de cuatro de cada diez empresas francesas aún no tienen una herramienta para consultar sus documentos internos con IA.
Sobre la prohibición, el diagnóstico es severo. Una de cada ocho empresas constata que el Shadow AI continúa a pesar de una prohibición clara, mientras que la tolerancia es la respuesta más frecuente, con un 24 %. Dejan Glavas considera esta postura «la más frágil», porque la empresa sabe y lo permite, planteándose una cuestión de responsabilidad el día en que salgan datos. Considera que la prohibición mantiene su sentido cuando es específica, por ejemplo, para datos de clientes, elementos de nómina o un contrato en negociación. Para el resto, aboga por un marco regulatorio: decir qué usos están permitidos, con qué herramientas y sobre qué datos, y luego proporcionar una herramienta validada de buen nivel.
Usos aceptados, pero poco regulados
La transcripción de reuniones encabeza la lista de usos subestimados. Cuatro de cada cinco empresas utilizan modelos de lenguaje para tareas de oficina, especialmente para resúmenes, actas de videoconferencias y redacción de correos electrónicos. En Francia, cuatro de cada diez encuestados indican que el consentimiento para la grabación se solicita de forma explícita y se registra, mientras que para otros cuatro de cada diez, sigue siendo informal o ha desaparecido.
Una reunión contiene nombres, opiniones sobre personas, a veces secretos comerciales, lo que cae primero bajo el RGPD, el reglamento europeo de protección de datos. El reclutamiento es otro caso citado: hacer que una IA clasifique candidaturas parece inocuo, pero estos usos pueden entrar en la categoría de sistemas de alto riesgo de la AI Act. El código, finalmente, plantea la cuestión de la deuda técnica y las competencias. Más de la mitad de las empresas que desarrollan declaran que al menos una cuarta parte de su código está asistido por IA, una ganancia de productividad que puede venir acompañada de una deuda técnica cuando la revisión se retrasa.
Sobre el marco legal, Dejan Glavas considera que el texto cumple bien con el propósito para el que fue escrito. Desde el 2 de agosto de 2026, obliga a informar a una persona de que está interactuando con una máquina y a hacer identificables los contenidos generados por IA. Las normas aplicables a los sistemas de alto riesgo, como el reclutamiento, se aplicarán en diciembre de 2027. Su límite, según él, radica en su objeto: la AI Act regula los sistemas y a quienes los suministran o despliegan, mientras que un empleado que pega un documento en su asistente personal depende principalmente de la política interna y del RGPD. Menos de tres de cada diez encuestados afirman que su empresa conoce bien el texto.
Agentes y marco de gobernanza
Los agentes de IA, capaces de encadenar tareas con una intervención humana limitada, complican aún más el ejercicio, porque «el agente actúa». Con un asistente, el empleado lee una respuesta antes de usarla; con un agente, el correo se envía, el archivo se modifica, se realiza el pedido. Más de una de cada tres empresas ya utiliza agentes autónomos en Francia, según el barómetro, y cerca de la mitad de las empresas europeas los utilizan o los están probando.
Los medios de control existen, estima el profesor. Los desarrolladores hablan de arneses, es decir, límites establecidos para el agente: derechos de acceso reducidos, registro de sus acciones y validación humana antes de cualquier decisión irreversible. Aconseja mantener un registro de los agentes, con un responsable para cada uno, desde el primer despliegue, y cita marcos de referencia como el NIST AI Risk Management Framework o las normas ISO 42001, 42005 y 23894. Con Laurent Inard, recomienda partir de las prácticas reales, comenzando con un inventario anónimo de las herramientas utilizadas, y luego clasificar los usos en tres listas: lo que está permitido, lo que lo está bajo condiciones y lo que está prohibido. Dada la rapidez de la evolución, considera importante prever cláusulas de revisión.
