Lo que vengo diciendo hace meses tiene nombre: shadow AI

Hace meses que escribo sobre esto. Que los abogados están usando IA con datos de clientes en herramientas que no controlan. Que las empresas tienen una adopción fantasma que confunden con estrategia. Que los modelos avanzan más rápido de lo que las organizaciones procesan.

Hasta acá era una observación de campo. Cosas que veía en consultorías, en demos, en conversaciones con socios.

Esta semana Thomson Reuters publicó un informe sobre 1.816 profesionales del derecho, los impuestos, la auditoría y la contabilidad en 62 países. Y por primera vez los números le ponen nombre y forma a lo que muchos veníamos viendo a ojo. La práctica se llama shadow AI —IA en la sombra— y los datos son más fuertes de lo que esperaba.

Los tres números que importan

74% de los profesionales encuestados usa IA varias veces por semana. 44% varias veces por día.

Eso resuelve cualquier debate sobre adopción. La pregunta “¿la van a usar?” quedó vieja. Ya la usan. Lo que sigue es entender cómo.

34% admite usar herramientas que su organización nunca aprobó.

Uno de cada tres profesionales del sector legal-contable está procesando información sensible en herramientas que su firma no eligió, no audita y no puede ver. No es sabotaje. Es gente competente resolviendo problemas reales con las herramientas que tiene a mano.

41% no tiene acceso a una herramienta profesional que cumpla con lo mínimo que ellos mismos exigen.

Este es el dato más importante de todo el informe, y el que casi nadie va a citar. Los profesionales saben perfectamente qué necesitan: el 96% pide protección de datos confidenciales, el 94% pide contenido verificable, el 90% pide razonamiento explicable y defendible. Y a dos de cada cinco la empresa no se los da.

El problema no es la gente

Es muy fácil leer este informe y concluir que los profesionales son irresponsables. Que cargan información sensible donde no deben. Que no piensan en las consecuencias.

Lo que veo en los estudios donde trabajo es otra cosa. Es gente con cargas de trabajo enormes, deadlines reales, y la presión cotidiana de producir más con los mismos recursos. Cuando aparece una herramienta que les ahorra una hora por documento, la usan. No están midiendo el costo de confidencialidad porque su firma nunca les explicó cuál era. No están eligiendo entre herramientas porque la firma nunca les dio una alternativa profesional.

El 41% que no tiene acceso a una herramienta de nivel profesional no está haciendo nada raro al usar ChatGPT. Está haciendo su trabajo con lo que tiene. La responsabilidad, en ese caso, no es solo individual.

La cuenta que sí cierra

Hay una línea del informe que tendría que estar enmarcada en la pared de cada socio gerente: el 47% sostiene que cuando un trabajo hecho con IA termina en error, la responsabilidad final es del profesional individual.

Eso es coherente con cómo funciona el oficio. El abogado firma su escrito. El contador firma su balance. Con la firma viene la cuenta.

Pero esa cuenta solo cierra cuando el profesional trabaja con instrumentos que su firma conoce y respalda. Cuando el trabajo crítico pasa por una herramienta que nadie aprobó ni revisó, la persona carga con una responsabilidad que la firma no puede acompañar —porque ni siquiera sabe que existe.

Eso es lo más grave. No es que la firma no esté protegiendo a su gente. Es que ni siquiera puede protegerla, porque no ve qué está pasando.

Lo que falta no es prohibir. Es proveer.

La respuesta inicial de muchas firmas frente al riesgo de shadow AI fue la peor posible: prohibir el uso de IA externa, bloquear chatbots, mandar mails amenazantes a los empleados. El resultado es predecible —la gente sigue usándolas, solo que ahora desde el celular y con más cuidado de no dejar rastro.

La respuesta correcta es la opuesta. Si el 41% usa herramientas no aprobadas porque no tiene alternativa profesional, lo que la firma necesita no es más prohibición. Necesita darle a su gente una herramienta de nivel profesional que cumpla las condiciones que ellos mismos exigen.

Y esas condiciones no son negociables. Protección real de datos confidenciales. Citas y referencias verificables. Razonamiento que pueda explicarse y defenderse frente a un tribunal o ante un cliente.

Una IA pública gratuita no cumple ninguna de las tres. Una IA empresarial puede cumplir dos. Una IA privada, soberana, entrenada para el contexto profesional específico, cumple las tres.

La parte que toca a la firma

Hay tres cosas que cualquier estudio que adopte IA en serio tiene que tener resueltas. No son sofisticadas. Son la base mínima.

Una decisión explícita sobre qué herramienta se usa. No “tenemos Copilot habilitado”. Sí “esta es la herramienta corporativa, así se usa, con estos datos sí, con estos datos no, y acá está el contacto para excepciones”. Una política de una página vale más que un manual de cien. Es exactamente lo que resuelve un programa de gobernanza de IA.

Capacitación real. No un webinar de una hora. Práctica supervisada sobre casos del negocio, con tiempo asignado para que cada profesional aprenda. La brecha entre quien sabe usar estos modelos y quien los usa como un buscador es enorme —y se hace más grande con cada generación nueva.

Una infraestructura que respete lo que la profesión exige. Esto significa una IA donde los datos del cliente vivan en infraestructura controlada, donde las citas sean verificables, donde la trazabilidad sea real y donde el deber de confidencialidad no dependa de la letra chica de un proveedor extranjero.

Las primeras dos cosas son decisiones internas. La tercera es lo que en Mixia construimos hace tres años, justamente porque vimos que el problema iba a llegar antes de que las firmas lo procesaran.

Lo que esta semana confirma el informe de Thomson Reuters es que ya llegó.

El último dato, el que se les escapa a muchos

El 62% de los profesionales dice que el acceso a IA de nivel profesional pesaría en su decisión de aceptar un nuevo puesto. Entre los que ya la usan, casi uno de cada tres rechazaría una oferta que no la incluya.

Eso significa que la firma que no resuelva el tema no solo está empujando a su gente a la sombra. La está dejando lista para irse a la primera oferta que sí lo resuelva.

Hace tres meses, cuando empecé a escribir sobre todo esto, sentía que estaba adelantándome. Que el problema era visible para mí porque trabajo con esto todos los días, pero que iba a tomar tiempo que el mercado lo viera.

Esta semana, el mercado lo vio. La conversación cambió. Y los que decidieron antes van a estar parados en otro lugar que los que sigan esperando.