Abre cualquier herramienta de IA que haya salido este año. La primera pantalla casi siempre es la misma: un botón de “sign in with Google” y otro de “sign in with Microsoft”.

Eso significa que cualquier persona de tu empresa está a un clic de crear una cuenta con su correo corporativo, subir datos y empezar a trabajar. Sin pedir permiso, sin abrir un ticket, sin que IT se entere.

Durante años el control en IT se apoyó en una premisa cómoda: lo que no quieres que se use, lo capas. Dominio bloqueado, aplicación fuera del catálogo, fin del problema. Esa premisa se ha roto, porque el acceso a estas herramientas es hoy universal y no hay barrera técnica real que poner delante. Lo comentaba hace poco en el podcast Impulsores Digitales: desde que existe ese botón, muchas de las cosas que tienes capadas se acaban pasando igualmente.

El número que nadie quiere mirar

Mi estimación, y la etiqueto como estimación porque no tengo un estudio propio que la sostenga. Si tu empresa tiene más de 50 personas, asume que entre el 30 y el 60% de la plantilla usa ahora mismo herramientas de IA que tú no has aprobado. Herramientas que no conoces y de las que no sabes qué datos están recibiendo.

Casi nunca pasa por rebeldía. Pasa porque las herramientas aprobadas son lentas o no tienen la función que hace falta. Y pasa sobre todo por el escenario más común. Un manager le pide algo a alguien de su equipo, esa persona ve que es más fácil hacerlo con una herramienta y no tiene tiempo de esperar al proceso de aprobación. ChatGPT y Gemini están ya en el móvil de todo el mundo; nadie tiene que instalar nada raro.

Cuando eso ocurre, la lectura fácil es culpar al empleado. La lectura honesta es que el proceso de adopción ha fallado. Me incluyo: si alguien se salta mi proceso porque mi proceso es lento, el que tiene algo que arreglar soy yo.

Fricción contra visibilidad

El debate suele plantearse como innovación contra seguridad. Yo creo que el equilibrio real está en otro sitio: fricción contra visibilidad.

Con mucha fricción para usar la IA de forma correcta, la gente la usa igual, pero mal y a escondidas. Con caminos legítimos para probar herramientas, lo que hace la gente sale a la luz. Y solo lo que está a la luz se puede gobernar.

Una política de 60 páginas que nadie lee y que en la práctica nadie cumple no es gobernanza: es teatro. Lo era antes de la IA y lo sigue siendo, solo que ahora el público se va por la puerta de atrás con un clic.

El camino legítimo, en la práctica

El núcleo del camino legítimo es la velocidad. Si pedir una herramienta nueva significa esperar tres semanas, abrir un work order y rellenar una petición formal, la gente la usará por detrás. Mi objetivo es que nadie espere más de [NÚMERO: confirmar SLA de aprobación con José] por una respuesta. Una respuesta a tiempo, aunque sea un no con motivos, ya desmonta la excusa del atajo.

Aprobar rápido solo funciona si quien aprueba sabe de qué habla. Si la persona que evalúa no está en el día a día de lo que sale cada semana, evaluará despacio y evaluará mal. Esta es la parte que más cuesta, y lo digo como limitación: mantenerse al día es trabajo real, no se externaliza ni se automatiza.

Alrededor de ese proceso hay dos piezas más. Una es la regla de datos. Tiene que caber en 30 segundos: con la cuenta de empresa de la herramienta aprobada puedes meter datos de trabajo; con tu cuenta personal gratuita de cualquier otra, no. Ante la duda, pregunta. Si tu regla no se entiende en 30 segundos, el problema lo tiene quien escribió la política.

La otra es la visibilidad sin vigilancia. Necesitas auditar qué herramientas están en uso, y hay software de discovery de shadow IT haciendo exactamente eso desde hace años. Lo que no puedes hacer es monitorizar cada prompt que envía cada persona. La gente tiene que sentir que IT es un apoyo; si te conviertes en la policía de la IA, todo el mundo aprende a esconderse mejor.

Hay una frase que repito mucho en mis equipos: los usuarios no son tus enemigos, son tus aliados. En este tema más que en ningún otro. La persona que usa una herramienta por detrás te está enseñando una necesidad que tu catálogo no cubre.

Lo que este enfoque no te da

No te da control total. Te da visibilidad y una relación con los equipos en la que te cuentan lo que usan antes de que tengas que descubrirlo. Alguna herramienta aprobada rápido saldrá mal; si fallar sale barato y deja un aprendizaje, forma parte del trato.

Tampoco es cómodo. Exige que IT esté al día de lo que sale cada semana y que responda rápido incluso cuando no llega. Es más trabajo que publicar una política y cruzarse de brazos.

¿Cuánto tarda tu empresa en contestar cuando alguien pide una herramienta nueva? Ese número dice más de tu gobernanza que cualquier política escrita.