Definición. Descubrir la shadow IA es averiguar qué herramientas de IA usa hoy tu equipo sin que la empresa las haya aprobado, cruzando fuentes que ya tienes: gastos, extensiones, aplicaciones conectadas a la cuenta de trabajo y conversación con el equipo.
Para saber qué IA usa tu equipo no necesitas comprar una plataforma de monitorización: en una empresa de 10 a 50 personas puedes empezar con seis comprobaciones que haces tú. Lo que buscas se llama shadow IA (shadow AI, en inglés): herramientas de IA que alguien usa para trabajar sin que la empresa las haya aprobado ni lo sepa. Ningún método lo ve todo, así que se combinan. La tabla siguiente dice qué ve y qué se le escapa a cada uno.
Una plataforma de pago ofrece más detalle y vigila de forma continua. Pero antes de comprarla conviene saber qué buscas, y estas comprobaciones te lo dicen. Si después decides que necesitas una herramienta, sabrás qué pedirle.
¿Qué ve y qué no ve cada método?
A octubre de 2026, esto es lo que da cada comprobación y dónde tiene su punto ciego. Los plazos y los límites salen de la documentación de cada proveedor, enlazada en las secciones siguientes.
| Método | Qué ve | Qué no ve |
|---|---|---|
| Tarjetas y gastos | Suscripciones de pago de IA, con proveedor e importe, de la tarjeta de empresa y de los gastos que se reembolsan. | Todo lo gratuito y lo que alguien paga de su bolsillo sin pedir reembolso. |
| Extensiones del navegador | Cada extensión instalada en los navegadores Chrome inscritos en tu cuenta de Google Workspace, con el número de instalaciones. Se descarga en CSV y tarda hasta 24 horas en mostrar datos. | Los navegadores no inscritos y la IA que se usa abriendo una web, sin instalar nada. |
| Administración de Google Workspace y Microsoft 365 | La lista de aplicaciones de terceros con permiso sobre la cuenta de trabajo. En Google, con el número de usuarios y los servicios a los que acceden; se actualiza 48 horas después de dar o quitar un permiso. | Cualquier herramienta a la que nadie dio permiso con la cuenta de trabajo, como una cuenta creada con un correo personal. |
| Registros de acceso | Cuándo se autorizó cada aplicación y con qué permisos. Google suele guardarlos 6 meses. Microsoft Entra, 7 días en la versión gratuita y 30 días en P1 y P2. | Lo mismo que la fila anterior, y el historial se pierde si no lo miras o no lo archivas a tiempo. |
| DNS y cortafuegos | Qué dominios se consultan desde la red de la oficina, por ejemplo chatgpt.com o claude.ai, y a qué hora. En el plan gratuito de Cloudflare Gateway, el registro DNS dura 24 horas. | Lo que se escribe en cada web y todo lo que pasa fuera de la red o del dispositivo con ese filtro, como un móvil con datos propios. |
| Preguntar al equipo | La IA del móvil personal, las herramientas gratuitas y, sobre todo, para qué se usa cada una. | Lo que alguien no recuerda o prefiere no contar. Funciona solo si no hay castigo. |
¿Qué miro en Google Workspace y en Microsoft 365?
Es lo que más suele revelar. Cuando una aplicación de terceros recibe permiso para acceder a datos de la cuenta de trabajo, como los contactos, el calendario o los archivos de Drive, Google lo anota. Un resumidor de reuniones o un asistente que lee tu correo necesita ese permiso, y por eso aparece. La lista te dice qué es, cuántas personas lo usan y a qué accede.
En Google Workspace
- La lista de aplicaciones. En la consola de administración: Seguridad, Control de acceso y datos, Controles de API. En «Apps a las que se accedió», pulsa «Ver lista». Verás cada aplicación, cuántos usuarios acceden y qué servicios de Google pide, y puedes descargarla en CSV. Necesitas el privilegio de administrador de la configuración del servicio.
- El registro. En Informes, Auditoría e investigación, Eventos de registro de OAuth. Por defecto muestra los últimos 7 días y exige el privilegio de Auditoría y administración. Google explica que ahí queda el nombre de la aplicación y quién la usa. Según su página de retención, los eventos de registro que no enumera se conservan normalmente 6 meses.
En Microsoft 365
La lista está en el centro de administración de Microsoft Entra: Entra ID, Enterprise apps, All applications. Microsoft indica que ahí figuran las aplicaciones añadidas a tu entorno por el consentimiento de un usuario o de un administrador, y que hace falta ser al menos administrador de aplicaciones en la nube. Los registros de inicio de sesión duran 7 días en Entra ID Free y 30 días en P1 y P2. Si te interesa el historial, míralo pronto o archívalo.
Un consejo práctico: antes de fiarte de una lista, haz una prueba. Entra con tu cuenta de trabajo en una herramienta de IA nueva y comprueba si aparece. Así sabes qué ve de verdad tu configuración.
¿Qué más puedo mirar: extensiones, tarjetas y red?
Extensiones. Si gestionas el navegador Chrome del equipo, el informe está en la consola de Google, en Dispositivos, Chrome, Informes, Uso de aplicaciones y extensiones. Google explica que hay que activar antes los informes del navegador y que los datos tardan hasta 24 horas. Si no gestionas los navegadores, no hay informe: toca preguntar. Una extensión puede ser un resumidor de reuniones, un asistente de escritura o un traductor con IA, y las gratuitas no salen en ningún extracto.
Tarjetas. No hace falta ninguna herramienta. Revisa los movimientos recurrentes de los últimos meses, de la tarjeta de empresa y de los gastos que se reembolsan, y pregunta, sin juzgar, qué es cada cargo que no reconoces.
Red de la oficina. Si tu router, tu cortafuegos o un filtro DNS guardan las consultas, puedes buscar dominios de herramientas de IA. Cada consulta queda con el dominio, la hora y la acción aplicada, no con el contenido. Y el plazo importa: según la documentación de Cloudflare, su plan gratuito guarda el registro DNS 24 horas, así que o lo miras cada día o no te sirve de historial.
¿Y lo que ningún registro ve?
Una cuenta creada con un correo personal, la IA del móvil o una web que no pide iniciar sesión no pasan por la cuenta de trabajo. Si la cuenta de la empresa no interviene, no deja rastro en sus listas. Esa parte solo te la puede contar tu equipo.
En una empresa de 10 a 50 personas bastan dos preguntas en una reunión: «¿Qué IA te ayuda en el día a día?» y «¿Para qué la usas?». Dilo antes de empezar, también cuando vayas a mirar las listas de la consola. La confianza del equipo es parte del método, y sin ella las respuestas serán cortas.
Este ejercicio es de descubrimiento, no de castigo. Lo que buscas es la lista de herramientas, no el historial de cada persona. Cada herramienta que aparece resolvía, en su momento, un problema real de quien la activó.
¿Qué haces con la lista una vez la tienes?
Clasifica lo que has encontrado en tres cajones: lo que sigue como está porque no toca datos sensibles, lo que necesita una conversación rápida con quien lo activó antes de seguir, y lo que conviene apagar porque el riesgo no compensa lo que aporta. No hace falta resolver los tres el mismo día.
Fecha la lista y revísala cada pocos meses: las herramientas que usa un equipo cambian más rápido que cualquier política escrita sobre ellas. Si quieres entender por qué aparece este uso y qué riesgos tiene, lo explicamos en agentes de IA que nadie autorizó: el problema del shadow AI.
¿Se puede usar ChatGPT en el trabajo?
Este artículo no responde a la parte legal de esa pregunta. Para eso está tu asesor y, en lo que toca a datos de clientes, nuestra guía ¿es legal usar ChatGPT (o cualquier IA) con datos de tus clientes?. Lo que sí puedes hacer es llegar a esa conversación con lo necesario para decidir con calma:
- Parte de la lista que acabas de hacer. Decide sobre las herramientas que ya se usan y las tareas para las que se usan, no sobre las que imaginas.
- Separa por tipo de dato, no solo por herramienta. Un texto público, un documento interno y un dato de un cliente no piden la misma respuesta.
- Mira con qué cuenta se usa: la personal o una de la empresa. Qué cambia entre una y otra lo cuenta dónde acaban tus datos cuando usas IA en la empresa.
- Escribe la decisión en una página: qué herramientas valen, para qué tipo de dato y quién decide las nuevas. La plantilla está en la guía de gobernanza de IA en una empresa pequeña, en dos páginas.
- Cuéntalo al equipo con la lista delante y empezando por lo que sí se puede hacer. Cómo hacerlo sin prohibir nada: encauzar la shadow AI en cuatro pasos.
Las dudas legales que te queden, llévalas por escrito a tu asesor con esa lista. Tendrá algo concreto que valorar.
El orden importa: primero descubrir, después decidir. Una regla escrita sobre un mapa real se aplica; una escrita sobre suposiciones se archiva. Y si entre lo que encuentras hay agentes que actúan solos, mira cómo controlar un agente de IA en tu empresa y las señales de un agente de IA fuera de control.