¿Qué es el «cortafuegos humano» en la gobernanza de la IA?
El «cortafuegos humano» es el nivel de criterio de la plantilla que ayuda a prevenir un uso arriesgado de la IA antes de que se convierta en un problema relacionado con los datos, el cumplimiento normativo o la confianza. En el ámbito de la gobernanza de la IA, esto significa que los empleados comprenden qué hacen las herramientas de IA, qué información no deben compartir, cuándo es necesario revisar los resultados, qué casos de uso entrañan un mayor riesgo y cómo plantear sus inquietudes antes de que un atajo se convierta en un incidente.
La IA en la sombra suele partir de una necesidad empresarial razonable. Un comercial quiere personalizar sus comunicaciones de forma más rápida. Un directivo quiere resumir un documento extenso antes de una reunión. Un analista de cumplimiento normativo necesita ayuda para interpretar un texto normativo. Las herramientas de IA de acceso público son fáciles de encontrar, fáciles de probar y, a menudo, más prácticas que los flujos de trabajo corporativos aprobados.
Esa comodidad supone un riesgo cuando los empleados carecen de unas directrices claras. Microsoft y LinkedIn informaron de que el 75 % de los trabajadores del conocimiento a nivel mundial utilizaban la IA generativa en el trabajo y que el 78 % de los usuarios de IA llevaban sus propias herramientas de IA al trabajo [*1]. Posteriormente, IBM informó de que una de cada cinco organizaciones estudiadas había sufrido una brecha de seguridad debido a la IA en la sombra, mientras que solo el 37 % contaba con políticas para gestionar la IA o detectar la IA en la sombra [*2].
El problema práctico no es que los empleados sean descuidados. El problema es que el trabajo ha avanzado más rápido que los mecanismos de control. La alfabetización en IA reduce esa brecha al proporcionar a las personas reglas de decisión prácticas en el momento en que deciden qué compartir, en qué confiar y qué hacer a continuación.
Imagen 1. La «Shadow AI» se vuelve manejable cuando las soluciones alternativas ocultas se convierten en una habilitación regulada.
Puntos clave
- La «Shadow AI» es una laguna en materia de visibilidad y gobernanza. A menudo surge cuando los empleados intentan resolver problemas reales del trabajo sin seguir un procedimiento claro y aprobado.
- La alfabetización en IA es ahora un requisito operativo y una exigencia normativa, en virtud del artículo 4 de la Ley de IA de la UE, para los proveedores y los responsables de la implantación de sistemas de IA.
- La formación general en materia de concienciación no es suficiente. Los empleados necesitan orientación específica para cada función en lo que respecta al intercambio de datos, la verificación de resultados, los casos de uso de alto riesgo y la escalación de incidencias.
- Un sólido «cortafuegos humano» ofrece a los empleados formas seguras de utilizar la inteligencia artificial, al tiempo que proporciona a los responsables pruebas de que las directrices, los controles, las aprobaciones y la supervisión están funcionando.
Por qué la «IA en la sombra» es un problema de gobernanza
Muchas organizaciones abordan inicialmente la «Shadow AI» como un problema de control tecnológico. Bloquean sitios web, publican una política y advierten a los empleados de que no peguen información confidencial en herramientas públicas. Esas medidas pueden ser necesarias, pero rara vez resuelven el problema de fondo.
Cuando las personas se enfrentan a la presión del volumen de trabajo y el procedimiento establecido no está claro, es lento o no está disponible, recurren a la improvisación. En ese momento, el riesgo se vuelve más difícil de detectar. Las indicaciones, los archivos, las transcripciones, el código fuente, los datos de los clientes, las condiciones contractuales y los análisis internos pueden acabar en herramientas que los equipos de seguridad, jurídico, de cumplimiento normativo y de TI no han evaluado.
El ejemplo de Samsung sigue siendo útil porque muestra la rapidez con la que esto puede ocurrir. Reuters informó de que Samsung restringió temporalmente el uso de la IA generativa en los dispositivos de la empresa tras descubrir que un empleado había subido código confidencial a ChatGPT [*3]. La lección es sencilla: un comportamiento bienintencionado para mejorar la productividad puede convertirse en un riesgo para la empresa cuando no se comprenden las normas en el momento de su uso.
Los equipos de gestión deberían considerar la «IA en la sombra» como una señal. A menudo pone de manifiesto la discrepancia entre lo que necesitan los empleados y lo que la empresa ha considerado seguro, accesible y comprensible. Una respuesta madura reduce el uso inseguro, al tiempo que crea vías autorizadas para la experimentación, la productividad y la adopción responsable.
La alfabetización en IA es ahora una obligación operativa y legal
La Ley de la UE sobre la IA ha convertido los conocimientos sobre IA en una obligación normativa vigente. El artículo 4 exige a los proveedores y a quienes implementan sistemas de IA que adopten medidas para garantizar un nivel suficiente de conocimientos sobre IA entre el personal y otras personas que manejen dichos sistemas en su nombre. La Comisión Europea explica que dichos conocimientos deben tener en cuenta los conocimientos técnicos, la experiencia, la educación, la formación, el contexto en el que se utiliza la IA y las personas afectadas por el sistema [*4].
Esta obligación entró en vigor el 2 de febrero de 2025. La Comisión Europea señala asimismo que las normas de supervisión y cumplimiento de la Ley de IA se aplicarán a partir del 3 de agosto de 2026 [*4]. El calendario general de la Ley de IA sigue estando dividido en fases: las prácticas prohibidas y la alfabetización en IA ya están en vigor; las obligaciones relativas a los modelos de IA de uso general (GPAI) entrarán en vigor el 2 de agosto de 2025; y el resto de requisitos se irán introduciendo progresivamente a lo largo de 2026 y 2027 [*5].
Las organizaciones deben tener cuidado con el término «formación». El artículo 4 no se cumple en todos los casos con una simple presentación de diapositivas que se imparte una sola vez. La Comisión afirma que no existe un formato único obligatorio ni se exige ningún certificado, pero las organizaciones pueden mantener registros internos de la formación y otras iniciativas de orientación [*4]. Esto significa que la carga de gobernanza es de carácter práctico: definir lo que las personas necesitan saber, adaptarlo en función del puesto y el riesgo, impartirlo de forma que los empleados puedan aprovecharlo y conservar pruebas de que el programa existe.
| Implicaciones para la planificación:La alfabetización en IA debe gestionarse como un control, con responsables, alcance, registros de formación, ciclos de actualización, procedimientos de escalado y documentación acreditativa. No debe limitarse únicamente a una actividad anual de sensibilización. |
Imagen 2. Los conocimientos sobre IA permiten traducir las políticas en decisiones prácticas antes de que los empleados compartan datos o se basen en los resultados.
Por qué la formación en sensibilización se queda corta
La formación tradicional en materia de concienciación suele estar diseñada para alertar a las personas. La alfabetización en IA, en cambio, debe preparar a las personas para que sepan valorar la información. Esa diferencia es importante, ya que los empleados no solo están evitando una amenaza, sino que están utilizando una herramienta muy potente en el contexto de su trabajo diario.
Los mensajes basados en el miedo pueden llevar a que el uso de la IA pase a la clandestinidad. Un enfoque más adecuado consiste en explicar en qué ámbitos la IA puede ser de ayuda, en cuáles supone un riesgo y cómo utilizar de forma responsable las opciones autorizadas. Los empleados deben comprender por qué los datos de los clientes, el código confidencial, los registros regulados, las condiciones contractuales, la estrategia no pública y los datos personales requieren un tratamiento especial. También deben saber cuándo el resultado de la IA es un borrador, cuándo es una pista y cuándo necesita la validación de un experto antes de su uso.
El modelo de formación debe basarse en funciones. Los equipos de ventas necesitan ejemplos relacionados con la información de los clientes y las reclamaciones de contacto. Los equipos de RR. HH. necesitan ejemplos relacionados con la contratación, el rendimiento y los datos de los empleados. Los equipos jurídicos y de cumplimiento normativo necesitan ejemplos relacionados con la información confidencial, la interpretación de la normativa y las pruebas. Los equipos tecnológicos necesitan ejemplos relacionados con el código fuente, los secretos, la arquitectura y los permisos de acceso.
Una política que no se comprende no se puede aplicar a gran escala. Una persona que entiende el motivo que subyace a una norma tiene más probabilidades de tomar una decisión segura cuando la situación concreta no esté contemplada en la política.
El «cortafuegos humano»: lo que los empleados realmente deben saber
El punto de control más importante es el momento de la decisión: el empleado elige la herramienta, redacta la solicitud, adjunta el archivo, acepta o rechaza la respuesta y decide si actuar en consecuencia. Las cuatro preguntas deben ser lo suficientemente sencillas como para recordarlas y lo suficientemente específicas como para cambiar el comportamiento.
| Pregunta de decisión | Lo que el empleado debe saber |
| ¿Qué datos estoy compartiendo? | Los empleados deben saber si la información es pública, interna, confidencial, regulada, propiedad del cliente, personal, privilegiada o exclusiva. |
| ¿Puedo fiarme de este resultado? | Los empleados deben saber que los resultados generados por la IA pueden ser incompletos, sesgados, inventados, obsoletos o mal fundamentados. Las normas de verificación deben ser explícitas. |
| ¿Se trata de un caso de uso de alto riesgo? | Los empleados deben identificar aquellos usos que puedan afectar al empleo, al crédito, al acceso a servicios esenciales, a la seguridad, a los derechos legales, a las decisiones en materia de cumplimiento normativo o a medidas empresariales de importancia. |
| ¿A quién debo dirigirme para elevar el asunto? | Los empleados necesitan una forma sencilla de solicitar autorizaciones, informar de comportamientos dudosos de las herramientas o solicitar una función de IA autorizada. |
Imagen 3. El «cortafuegos humano» es el punto de decisión en el que confluyen los datos, los resultados, el riesgo asociado a los casos de uso y la escalación.
Lo que las organizaciones líderes hacen de forma diferente
Los programas más sólidos consideran la alfabetización en IA como un mecanismo de control operativo. Evitan basarse únicamente en la difusión de políticas y crean un sistema de gestión basado en el uso autorizado, la formación adaptada a cada función, la experimentación segura y los datos empíricos.
Hacen que los límites sean fáciles de entender. Los empleados saben qué herramientas están autorizadas, qué datos no deben introducirse en ningún caso, qué casos de uso deben someterse a revisión y qué acciones requieren la aprobación de una persona. Las instrucciones están redactadas en un lenguaje sencillo, sin recurrir únicamente a términos jurídicos o técnicos.
Además, hacen visible la experimentación segura. Cuando la única respuesta es «no», los empleados crean sus propias soluciones alternativas. Cuando la organización proporciona herramientas autorizadas, canales de tramitación, entornos de prueba y un proceso de revisión de gobernanza, resulta más fácil identificar y gestionar la demanda.
El comportamiento de los líderes es fundamental. Los empleados aprenden qué es lo aceptable a partir del ejemplo que dan los líderes en las reuniones, las campañas de ventas, las decisiones sobre productos y las revisiones operativas. Una gobernanza que solo exista sobre el papel no resistirá la presión de la carga de trabajo.
Por último, la responsabilidad es interdepartamental. Los conocimientos sobre IA están relacionados con la seguridad, los aspectos jurídicos, el cumplimiento normativo, la privacidad, los recursos humanos, la tecnología y las operaciones empresariales. Cada departamento percibe una parte diferente del riesgo, y los empleados necesitan recibir un mensaje coherente.
Imagen 4. Un programa de alfabetización en IA necesita un modelo operativo práctico, no un recurso formativo puntual.
Cómo crear un cortafuegos humano en 5 pasos
De cara a la planificación para 2026, los responsables de riesgos y cumplimiento normativo deberían considerar los conocimientos sobre IA como parte del entorno de control de la gobernanza de la IA. El objetivo es reducir el uso inseguro de la IA y, al mismo tiempo, facilitar su adopción responsable. Para ello se requieren normas claras, procedimientos aprobados, supervisión y registros que puedan superar una revisión.
Sigue estos cinco pasos para convertir los conocimientos sobre IA de una actividad formativa en un control de gobernanza operativo:
- Analiza tu panorama de herramientas de IA.Documenta todas las herramientas de IA que utilizan los empleados —herramientas públicas, funciones SaaS integradas, copilotos y flujos de trabajo autónomos— para que los controles de gobernanza puedan definirse y orientarse correctamente.
- Define los límites del intercambio de datos.Establece normas claras sobre lo que los empleados pueden y no pueden compartir con las herramientas de IA, utilizando clasificaciones de datos que les sirvan de guía, y no solo categorías técnicas o jurídicas.
- Impartir formación según el puesto, el riesgo y el caso de uso.Sustituir los módulos anuales genéricos por orientaciones específicas para cada función. Los equipos de ventas, recursos humanos, jurídico, tecnología y operaciones se enfrentan a diferentes riesgos relacionados con la IA y necesitan ejemplos distintos.
- Crea vías de escalación con pocos obstáculos.Ofrece a los empleados una forma sencilla de solicitar autorizaciones, informar sobre comportamientos dudosos de la IA o acceder a vías de experimentación autorizadas. Cuando la vía reglamentaria resulta más complicada que la solución alternativa, la «IA en la sombra» se extiende.
- Recopilar y mantener pruebas de gobernanza.Documentar las medidas de alfabetización en IA, las aceptaciones de políticas, las aprobaciones, las excepciones, los incidentes, el seguimiento y las medidas correctivas. Esto es lo que convierte un programa de formación en un control capaz de resistir un examen regulatorio.
- Estos pasos trasladan el debate de la finalización de la formación a la eficacia de la gobernanza. Un curso completado es útil. Una plantilla que toma sistemáticamente decisiones más seguras en materia de IA es más valiosa.
Creación del «cortafuegos humano» con Archer
Archer ayuda a las organizaciones a convertir la gobernanza de la IA de una simple declaración de principios en una capacidad operativa estructurada. En lo que respecta a la «IA en la sombra» y a la alfabetización en IA, la prioridad es conectar a las personas, los sistemas, las herramientas, los riesgos, los controles, las pruebas y la rendición de cuentas en un único modelo de gobernanza.
Esto implica mantener un inventario de IA, evaluar los casos de uso de la IA, relacionar los riesgos con los controles y las obligaciones, asignar responsables, registrar las autorizaciones, realizar un seguimiento de los problemas y crear pruebas que demuestren cómo se gestiona la IA en toda la empresa. También significa proporcionar a los responsables una visión clara de dónde se está adoptando la IA, dónde pueden estar surgiendo riesgos y qué medidas es necesario adoptar.
Un sólido «cortafuegos humano» no frena la adopción responsable de la IA. Ofrece a los empleados opciones más claras y proporciona a los equipos de gobernanza una base más sólida para la supervisión. Las organizaciones que gestionen adecuadamente los riesgos de la IA en 2026 no se basarán únicamente en herramientas de bloqueo. Combinarán la formación, los procedimientos aprobados, las pruebas de control y una gobernanza continua.
Más información sobre Archer AI Governance: https://www.archerirm.com/ai-governance
Más información sobre las soluciones GRC de Archer: https://www.archerirm.com/
Preguntas frecuentes
¿Qué es Shadow AI?
La IA en la sombra consiste en el uso de herramientas, modelos, funciones o agentes de IA sin la aprobación, supervisión o control de la organización. Incluye herramientas de IA de acceso público, funciones de IA en modelos SaaS no revisadas, cuentas personales utilizadas con fines laborales y flujos de trabajo de IA creados al margen de los procesos de gobernanza aprobados.
¿Por qué es importante tener conocimientos sobre IA para reducir la «IA en la sombra»?
La alfabetización en IA proporciona a los empleados el criterio necesario para utilizar la IA de forma segura, lo que reduce el riesgo de que un comportamiento bienintencionado destinado a mejorar la productividad se convierta en un incidente de cumplimiento normativo. Les ayuda a comprender qué datos no deben compartirse, cuándo es necesario verificar los resultados, qué casos de uso requieren autorización y a quién deben dirigir sus inquietudes.
¿Qué establece el artículo 4 de la Ley de la UE sobre la IA?
El artículo 4 exige a los proveedores y a los responsables de la implantación de sistemas de inteligencia artificial que garanticen un nivel suficiente de conocimientos sobre inteligencia artificial entre el personal y otras personas que trabajen con inteligencia artificial en su nombre. Las medidas deben tener en cuenta los conocimientos, la experiencia y la formación de la persona, el contexto de uso de la inteligencia artificial y las personas afectadas por el sistema.
¿Es suficiente con la formación anual sobre concienciación en materia de IA?
Por lo general, la formación anual de sensibilización no suele ser suficiente por sí sola. Las organizaciones también necesitan orientación específica para cada función, procedimientos aprobados para el uso de herramientas, ejemplos prácticos, vías de escalación, ciclos de actualización y pruebas internas que demuestren que se han aplicado y mantenido las medidas de alfabetización.
¿Qué deben saber los empleados antes de utilizar la IA en el trabajo?
Los empleados deben saber si la herramienta está autorizada, qué datos pueden compartir, si los resultados deben someterse a revisión y a quién deben dirigirse en caso de duda. También deben comprender que los resultados generados por la IA pueden ser erróneos, sesgados, incompletos o inadecuados para su uso directo.
¿Cómo puede Archer contribuir a la alfabetización en IA y a la gobernanza de la IA en la sombra?
Archer ayuda a las organizaciones a crear una estructura de gobernanza para la alfabetización en IA, al integrar el inventario, la evaluación de riesgos, los controles, la rendición de cuentas y las pruebas en un único modelo operativo. Esto incluye la gestión de los flujos de trabajo de aprobación, el seguimiento de incidencias y la facilitación a los responsables de una visión clara de dónde se está adoptando la IA y dónde pueden estar surgiendo riesgos.
Fuentes
[*1] Microsoft y LinkedIn, Informe anual del Índice de Tendencias Laborales 2024: https://news.microsoft.com/source/2024/05/08/microsoft-and-linkedin-release-the-2024-work-trend-index-on-the-state-of-ai-at-work/
[*2] Comunicado de prensa de IBM sobre las infracciones relacionadas con la IA y la «IA en la sombra»: https://newsroom.ibm.com/2025-07-30-ibm-report-13-of-organizations-reported-breaches-of-ai-models-or-applications,-97-of-which-reported-lacking-proper-ai-access-controls
[*3] Reuters, La fiebre por ChatGPT se extiende a los lugares de trabajo de EE. UU., lo que hace saltar las alarmas para algunos: https://www.reuters.com/technology/chatgpt-fever-spreads-us-workplace-sounding-alarm-some-2023-08-11/
[*4] Comisión Europea, Preguntas y respuestas sobre alfabetización en IA: https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
[*5] Comisión Europea, calendario de aplicación de la Ley de IA: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
[*6] Servicio de asistencia de la Ley de IA de la Comisión Europea, Calendario para la aplicación de la Ley de IA de la UE: https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act
