La IA en la sombra (shadow AI) es el uso de herramientas de IA en el trabajo sin que la organización lo sepa o lo apruebe. La gobernanza de la IA en la sombra es el conjunto de reglas y controles que sacan ese uso a la luz. Para un equipo de marketing basta una política de una página para empezar: herramientas aprobadas, clases de datos, revisión humana, registro y una vía para los incidentes.
Puntos clave
- La IA en la sombra es un comportamiento normal de personas que intentan trabajar más rápido; las políticas que solo prohíben tienden a empujarla fuera de la vista.
- Los principales riesgos son la fuga de datos, las afirmaciones sin verificar, los derechos de autor, la deriva de la voz de marca y los compromisos sin registrar.
- Una buena política cabe en una página y responde cinco preguntas: qué herramientas, qué datos, quién revisa, qué se registra y qué hacer cuando algo sale mal.
- Acompaña la política con una lista de herramientas aprobadas que de verdad sea lo bastante buena para usarla.
- Revisa la página cada trimestre; las herramientas y las reglas cambian rápido.
¿Qué es la IA en la sombra?
Es cualquier herramienta de IA, plug-in, extensión de navegador o agente que el personal usa para trabajar sin que lo haya revisado TI, el área legal o la persona responsable de marketing. Un redactor que pega el brief de un cliente en un chatbot gratuito es el caso clásico. También lo es un freelance que usa un generador de imágenes que el contrato no menciona.
La causa no suele ser mala intención. La gente adopta la herramienta que le ayuda. La misma presión impulsa la proliferación de herramientas de IA, que es un problema de costos además de un riesgo.
¿Por qué importa la IA en la sombra en marketing?
Marketing maneja datos de clientes, planes sin lanzar, material confidencial de clientes y afirmaciones públicas. Cualquiera de ellos puede salir mal por una IA no aprobada.
- Fuga de datos. Datos confidenciales o personales introducidos en una herramienta cuyos términos permiten conservarlos o usarlos para entrenamiento.
- Afirmaciones falsas. Los modelos inventan estadísticas, citas y precios. Consulta las alucinaciones de la IA en marketing.
- Derechos y transparencia. Propiedad poco clara de los activos generados y falta de aviso cuando las normas lo exigen.
- Deriva de marca. Cuando muchas personas redactan prompts de maneras distintas, el contenido resultante suena a nadie.
- Compromisos ocultos. Agentes que responden a clientes o publican sin dejar registro. Nuestro artículo sobre el libro mayor en la sombra lo explica.
¿Hay un marco reconocido en el que apoyarse?
Sí. El Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST) publicó su AI Risk Management Framework el 26 de enero de 2023 como recurso voluntario. El NIST también publicó un Perfil de IA generativa (NIST-AI-600-1) el 26 de julio de 2024 para ayudar a las organizaciones a identificar los riesgos propios de la IA generativa. El marco está pensado para organizaciones que desarrollan o implementan IA, así que un equipo de marketing debe tomar prestadas sus ideas (gobernar, mapear, medir y gestionar) en lugar de adoptarlo entero. La página del NIST indica que el marco se está revisando, por lo que conviene consultar la versión vigente.
Es posible que tu responsable legal, de seguridad o de protección de datos tenga que aplicar además normas locales. Este artículo no es asesoramiento jurídico.
¿Qué debe decir la política de una página?
Usa estas seis secciones. Que cada una ocupe pocas líneas.
- Propósito y alcance. A quién cubre: empleados, freelances y agencias que trabajan para tu marca.
- Herramientas aprobadas. Una lista con nombres, con un responsable y una forma de solicitar una herramienta nueva. Todo lo que no esté en la lista necesita aprobación previa.
- Clases de datos. Indica qué puede entrar en cada herramienta.
- Públicos (contenido publicado): permitidos en las herramientas aprobadas.
- Internos (planes, borradores): herramientas aprobadas, solo con condiciones comerciales.
- Confidenciales (datos de clientes, lanzamientos sin anunciar, contratos): solo en herramientas aprobadas para ello.
- Datos personales (nombres de clientes, correos electrónicos, listas de audiencia): no en herramientas de IA salvo que privacidad lo haya autorizado.
- Revisión humana. Una persona designada revisa los datos, las cifras, las citas, las afirmaciones, la voz de marca y la redacción legal antes de publicar nada. Usa nuestra lista de control de calidad para contenido de IA.
- Registro. Anota la herramienta, la fecha, el propósito y quién revisó el trabajo publicado con ayuda de IA. Los agentes que actúan por su cuenta necesitan un registro de auditoría y un punto de aprobación.
- Incidentes. Si se pegaron datos sensibles en una herramienta no aprobada o se publicó una afirmación falsa: avisa a la persona de contacto designada dentro de un plazo fijado, no borres las pruebas y no esperes reproches por avisar pronto.
¿Cómo sacar a la luz el uso que ya existe en la sombra?
- Pregunta primero. Haz una encuesta breve y sin reproches: ¿qué herramientas de IA usas y para qué?
- Clasifica las respuestas en aprobar, sustituir y dejar de usar.
- Ofrece una buena opción aprobada para cada tarea habitual o la lista se ignorará.
- Capacita brevemente. Una hora sobre la política y sobre cómo revisar los resultados de la IA. Consulta cómo capacitar en IA a los marketers junior.
- Revisa cada trimestre y actualiza la lista de herramientas.
FAQ
¿La IA en la sombra es lo mismo que el shadow IT?
Es una forma de él. El shadow IT es cualquier software no aprobado; la IA en la sombra es el caso específico de la IA, con riesgos añadidos por el uso de datos para entrenamiento y por contenido que parece correcto pero no lo es.
¿Deberíamos prohibir las herramientas de IA?
Una prohibición total es difícil de hacer cumplir y suele empujar el uso fuera de la vista. Una lista clara de herramientas aprobadas, junto con reglas de datos, da a las personas una vía segura para obtener el mismo beneficio.
¿Quién debería ser el responsable de la política de IA en un equipo de marketing?
La persona al frente de marketing debería encargarse de ella en el día a día, con aportes de legal, seguridad y protección de datos. Designa a una sola persona para que las dudas tengan un destinatario.
¿Los freelances y las agencias tienen que cumplirla?
Sí. Incluye la política en los contratos o los briefs y pregunta a tus socios qué herramientas de IA usan en tu trabajo y qué datos introducen.
¿Con qué frecuencia deberíamos actualizar la política?
Revísala cada trimestre y siempre que una herramienta, una ley o un incidente cambien el panorama. Una página desactualizada es peor que ninguna, porque da una falsa tranquilidad.
Fuentes
- NIST, AI Risk Management Framework.
- Publicaciones de SOMIN: El libro mayor en la sombra y Las alucinaciones de la IA en marketing.
