Shadow AI: cuando prohibir la IA la vuelve más riesgosa

Carlos: Las once de la noche. Una vicepresidenta de un banco, un banco regulado, tiene una reunión de junta a las ocho de la mañana y la presentación no está terminada. En la oficina, toda herramienta de IA está bloqueada. Entonces reenvía el paquete de la junta a su correo personal, lo abre en su laptop en casa y lo pega en su cuenta personal de IA. Veinte minutos después el resumen está listo, y es bueno. Se va a dormir.

Mite: Y el banco jamás lo sabrá.

Carlos: El banco jamás lo sabrá. Esa historia me la inventé yo. Pero díganme que no la reconocieron.

Carlos: Bienvenidos a Inteligencia de Negocios 20/20. Soy Carlos Miranda Levy, Coordinador de Impacto, Innovación e Inteligencia.

Mite: Y yo soy Mite Nishio. He trabajado en tecnología y transformación digital en la República Dominicana por más de tres décadas.

Fabiola: Soy Fabiola Herrera, asesora en Transformación Digital, IA y Ciberseguridad. Llevo más de treinta años en transformación digital, sistemas de pago, ciberseguridad y regulación financiera.

Carlos: Llamamos «20/20» a este programa porque ese es el trabajo: ver con claridad. No lo que la política dice que está pasando, sino lo que realmente está pasando. Así que para el episodio uno quiero empezar con una provocación. Mite, creo que la mayoría de las políticas de IA en las organizaciones reguladas son ficción.

Mite: Yo lo diría un poco distinto. La política describe lo que la organización quiere que ocurra. La práctica muestra lo que la gente necesita. Cuando las dos están muy lejos, hay una brecha, y en la brecha es donde vive el riesgo.

Carlos: Y esa brecha tiene nombre. IA en la sombra, Shadow AI.

Mite: Déjame definirlo primero, porque el término se usa con holgura. La IA en la sombra es usar herramientas de IA para el trabajo sin que la organización lo sepa, lo apruebe o lo controle: cuentas personales, dispositivos personales, aplicaciones gratuitas, extensiones del navegador. Como patrón no es nuevo. Durante años tuvimos TI en la sombra: almacenamiento personal, grupos de chat para trabajo con clientes, los propios teléfonos de la gente.

Carlos: Entonces, ¿qué es distinto ahora?

Mite: Lo que la herramienta hace con lo que le das. Una carpeta compartida guarda tu documento. Una herramienta de IA lo lee, lo procesa y, según el plan y sus términos, puede conservarlo.

Carlos: Ahora déjame cuestionar la imagen que todos tienen en la cabeza. Cuando dices «IA en la sombra», la gente imagina al pasante, al analista junior.

Mite: Pero llega hasta arriba.

Carlos: Hasta arriba: gerentes, directores, vicepresidentes, presidentes. ¿Y quién maneja la información más sensible en cualquier organización? El paquete de la junta, el expediente de la fusión, la carta del regulador. Las mismas personas con la menor supervisión diaria de sus propias herramientas.

Mite: Y en la práctica se ve muy ordinario: enviarse un archivo a uno mismo, una foto de una pantalla con el teléfono, un contrato pegado en una ventana de chat, un asistente de programación personal trabajando con código de la empresa en casa. Nada de eso se siente como un incidente de seguridad mientras lo haces.

Carlos: ¿Qué tan extendido está?

Carlos: Entonces aquí va mi pregunta, y quiero desafiar la lógica, no la decisión de nadie. ¿Por qué la IA en la sombra crece justo donde más se prohíbe la IA?

Mite: Porque una prohibición cierra el canal, pero no la necesidad. La gente ve lo que estas herramientas pueden hacer. Ve a otros avanzar más rápido, y la brecha se siente personal. Si la institución cierra la puerta oficial, la demanda no desaparece. Encuentra otra entrada.

Carlos: La prohibición no saca la IA de la organización. Solo la saca de la vista. Y diré algo que ya he dicho antes, porque lo creo más cada mes: «Si tratamos de que el cambio se parezca al pasado o responda a las expectativas y estructuras del pasado, no es un cambio verdadero, ¿no?» Una prohibición es un intento de que el futuro se parezca al pasado.

Mite: Y los sectores que más prohíben son los regulados: finanzas, salud, gobierno, telecomunicaciones, legal. De modo que la sombra es más profunda justo donde los datos son más sensibles.

Carlos: Mite, pasaste años dentro de instituciones reguladas, en banca y en telecomunicaciones. ¿Por qué el primer reflejo siempre es «no»?

Mite: Es un reflejo comprensible. Una institución regulada está construida para ver el riesgo primero; esa es su responsabilidad. Decir que no te protege a corto plazo. El problema es que el "no" también conlleva riesgo, solo que no lo ves en ningún informe. Y hay una diferencia entre digitalizar y transformar: puedes bloquear una herramienta, pero no puedes bloquear un cambio en la forma en que la gente trabaja.

Carlos: O sea que el «no» se siente como riesgo cero.

Mite: Es un riesgo que has decidido no medir.

Carlos: Fabiola, tú estuviste al otro lado de la mesa en el Banco Central. ¿Qué ve un regulador que nosotros no vemos?

Fabiola: Un regulador responde por la confianza que la gente deposita en todo el sistema, así que la primera pregunta es qué pasa cuando falla. Pero una regla que nadie puede cumplir no protege a nadie. La gente es gente, y hará lo que necesite hacer. El trabajo es escribir reglas para las personas como son, y creer que pueden hacerlo mejor.

Carlos: Entonces midámoslo.

Mite: Seamos concretos, porque una junta necesita una lista, no una sensación. Primero: los datos salen del perímetro. Datos de clientes, finanzas y secretos comerciales terminan en dispositivos y cuentas que la organización no controla, no puede borrar y no puede auditar.

Carlos: Segundo: no hay rastro de auditoría. Si un regulador pregunta «¿salió algún dato de clientes hacia un servicio externo de IA?», la respuesta honesta es «no lo sabemos».

Mite: Tercero: términos que nadie leyó. Los planes de consumo y los planes empresariales pueden tratar tus datos de forma muy distinta: cuánto tiempo se conservan, si se usan para entrenamiento.

Carlos: Cuarto: exposición regulatoria. Protección de datos, secreto bancario, confidencialidad sectorial, transferencias transfronterizas.

Fabiola: La exposición es cuestión de confianza antes que de multas. Yo lo dije así: “Sin confianza no hay adopción. Y sin adopción no hay transformación.”

Mite: Quinto: calidad y responsabilidad. Un resultado que nadie revisó alimenta una decisión real, y nadie sabe que se usó IA. Si el resumen estaba equivocado, ¿quién es responsable?

Carlos: Y sexto, el que nadie pone en el registro de riesgos: la organización no aprende nada. Nuestra vicepresidenta terminó su presentación en veinte minutos, y el banco jamás sabrá que el proceso podría tomar veinte minutos para todos. Cada mejora queda privada: sin medir, imposible de repetir, invisible.

Mite: Esa es la parte que yo subrayaría para cualquier ejecutivo. No es solo un problema de seguridad, es un problema de conocimiento. Se está procesando información cada noche, y nada de eso se convierte en conocimiento organizacional.

Carlos: Toda la exposición, nada del aprendizaje.

Mite: Y fíjate que los seis comparten algo: no puedes gestionar lo que no mides. Hoy la mayoría de las organizaciones no podría poner un solo número a ninguno de ellos.

Carlos: Y yo agregaría un séptimo que ningún tablero te mostrará: el escenario en que tu competidor deja de esconderlo y empieza a gobernarlo. ¿Cómo se ve tu mercado en dos años si ellos aprenden y tú no?

Mite: Ese es más difícil de medir.

Carlos: Justamente por eso nadie lo está mirando.

Carlos: Ahora quiero provocarte, Mite, porque aquí es donde mi propio pensamiento ha avanzado este año. Mira lo que hizo realmente nuestra vicepresidenta. Usó la IA para hacer lo mismo que siempre hizo, solo que más rápido.

Mite: El mismo proceso, una herramienta nueva.

Carlos: Y mi posición, desde febrero, es esta: la IA nos reemplazará. Sí, puede aumentarnos. Pero si insistimos en hacer lo que hacíamos antes, solo que más rápido, más barato, con más comodidad o mejor, inevitablemente seremos reemplazados. El camino hacia adelante es reinventarnos. Así que el usuario en la sombra está acelerando justo el trabajo que la IA terminará haciendo en su lugar.

Mite: Comparto el diagnóstico sobre el proceso. Cambiar la herramienta sin cambiar el proceso ni la cultura aporta muy poco. Donde yo sería más cauteloso es con la palabra «reemplazar». Yo separaría las tareas de las personas: muchas tareas se automatizarán, y lo que pase con las personas depende mucho de las decisiones que tomen ahora las organizaciones y los países, sobre todo en formación.

Carlos: Y precisamente por eso digo reinventar, no resistir. Mi abuelo era herrero, tan famoso que la gente venía de otros pueblos a caballo para que él herrara sus caballos. Luego llegó el automóvil y transformó su oficio. Herrar caballos más rápido nunca iba a ser la respuesta.

Mite: Entonces la pregunta para el banco no es «¿cómo evitamos que la gente resuma presentaciones?».

Carlos: Es «¿qué puede hacer ahora nuestra gente que hace un año no era posible?». Esa es la pregunta que una prohibición nunca te deja hacer.

Mite: Y aquí es donde normalmente tú y yo nos separamos. Tú eres el economista, así que vas a los escenarios: qué pasaría si, qué podría ser, la ambición audaz. Yo soy el ingeniero, así que pregunto cómo sabríamos que funciona. Una reinvención sin indicadores es una hipótesis.

Carlos: Y un indicador sin un escenario solo mide el pasado. Mide la fragua de cualquier herrero en su apogeo y cada número dice «sigue adelante», hasta que llega el automóvil.

Mite: Justo. Entonces necesitamos ambas cosas: el escenario para saber a dónde ir, y el indicador para saber si estamos llegando.

Fabiola: Ustedes dos pueden discutir el escenario y el indicador. Yo pregunto para quién es. La gente es gente: cansada, con miedo, queriendo llegar a casa, y por eso toma el atajo. Pero yo siempre he creído que podemos hacer mejores a las personas, y para eso debería servir todo esto.

Carlos: Por eso este programa tiene tres anfitriones.

Carlos: Entonces, ¿prohibirla o permitirla?

Mite: Acabamos de ver que prohibirla fracasa. Permitirlo todo también fracasa, sin reglas de datos, sin estándares y sin responsabilidad. Eso es simplemente IA en la sombra con permiso.

Carlos: Así que la respuesta es ni lo uno ni lo otro, o ambas: permitirla y gobernarla, bien hecho. Mi propio principio aquí es el que he vivido por años. NUNCA AYUDAR: Involucrar, Habilitar, Inspirar, Empoderar y Conectar. No «ayudes» a tu gente a usar IA desde arriba. Involúcralos, habilítalos, inspíralos, empodéralos y conecta lo que aprenden.

Mite: Y hagámoslo práctico. Yo lo pondría en pasos.

Mite: Uno: descubrir antes de decidir. Averiguar qué usa realmente la gente, no con una cacería, que solo empuja las cosas más hacia la sombra, sino con algo más cercano a una amnistía: «Cuéntennos qué usan y para qué. Queremos aprender.»

Carlos: Eso es «involucrar». Y ahí encontrarás tus mejores casos de uso, ya probados por tu propia gente.

Mite: Dos: herramientas autorizadas, con términos de datos empresariales, para que el camino seguro sea también el fácil. Si la herramienta aprobada es más difícil de usar que la gratuita en un teléfono, la gente usará el teléfono.

Carlos: «Habilitar». El camino autorizado tiene que ser más fácil que el camino en la sombra. Todo el juego es eso.

Mite: Tres: clases de datos claras, explicadas en una página: públicos, internos, confidenciales, restringidos. Una persona debería poder decidir en cinco segundos qué puede ir a dónde.

Mite: Cuatro: acceso consciente de los permisos. El asistente lee solo lo que cada persona ya puede abrir. No se convierte en una puerta trasera a toda la empresa.

Mite: Cinco: una persona decide y firma. La IA redacta y analiza, y un humano responde por la decisión. Esto importa más a medida que pasamos de asistentes que responden preguntas a agentes que ejecutan flujos de trabajo. Esos necesitan supervisión, controles de acceso y una responsabilidad clara.

Carlos: Seis: trabajar a través de los comités que ya tienes: riesgo, seguridad, protección de datos. No construyas una burocracia paralela de IA.

Mite: Y siete: formar a la gente y medir. Fijar una línea base antes del piloto. Luego tiempo por tarea, tasa de error, retrabajo, adopción, satisfacción. Si a los noventa días no puedes mostrar un número, tienes un experimento, no una adopción.

Carlos: Y junto al tablero, yo mantendría una página que no es un número: tres escenarios de lo que la organización podría llegar a ser si esto funciona. La línea base te dice dónde estás. Los escenarios te dicen qué vale la pena medir después.

Mite: Siempre que cada escenario termine teniendo su indicador.

Carlos: Trato hecho.

Carlos: Y sobre la formación, voy a empujar un paso más, porque esto me importa profundamente: se trata de la experiencia de aprendizaje, no de la experiencia de enseñanza. No diseñes un curso sobre IA. Diseña las condiciones para que tu gente aprenda haciendo, con seguridad, y luego deja que se enseñen unos a otros. Eso es «inspirar», «empoderar» y «conectar».

Carlos: Mite, ¿dónde aterriza esto para la República Dominicana y América Latina?

Mite: Tenemos una razón adicional para hacerlo bien. Si nuestras organizaciones solo consumen IA de afuera, a través de cuentas personales y sin estrategia, también perdemos la oportunidad de formar nuestro propio talento y nuestras propias capacidades. Y las pymes necesitan reglas especialmente sencillas y accesibles. No tienen grandes departamentos de cumplimiento. La gobernanza tiene que ajustarse a su tamaño.

Carlos: Una pausa breve, y les diré con claridad qué es: una palabra de nuestra casa. ibizai es parte del ecosistema CEMI en el que Mite y yo trabajamos.

Carlos: Si este episodio le sonó a su organización, las Estrategias de Adopción y Transformación con IA de ibizai empiezan donde acabamos de terminar: diagnosticar, transformar, escalar. Comienzan con una evaluación de preparación en ocho dimensiones, con una autoevaluación gratuita en línea para empezar. Luego viene un programa de 90 días, semana a semana, en cuatro fases: evaluación y descubrimiento, diseño de la estrategia, implementación y pilotos, y escala y optimización. La gobernanza viene integrada: permisos revisados antes de cada conexión de datos, trabajo dentro de sus comités existentes de riesgo, seguridad y datos, y una persona que decide y firma. Los resultados se miden en cada proyecto, nunca se prometen. ibizai.ai, en Servicios, Adopción de IA.

Carlos: Cerremos con algo útil para cada persona que nos escucha. Mite, empieza tú.

Mite: Presidentes y juntas directivas: asuman que la IA en la sombra ya existe en su organización. No pidan una prohibición. Pidan el mapa: quién usa qué, para qué, con qué datos.

Fabiola: Vuelvan ustedes mismos al aula. Entendí que un líder tiene que estar tan preparado como su equipo. O más. Empecé con tarjetas perforadas. Sigo aprendiendo.

Carlos: CIO y CISO: hagan que el camino autorizado sea el más fácil del edificio. Y sueñen un poco: pregúntense qué podría hacer la organización con IA que antes no podía imaginar.

Mite: Y luego pongan un número junto al sueño.

Fabiola: Reguladores: una guía clara que permita el uso gobernado reduce más el riesgo que el silencio o una prohibición general. Las instituciones necesitan saber cómo se ve «bien hecho». Y recuerden: la tecnología cambia cada año. El criterio para gobernarla, no. Y esto incluye la IA.

Carlos: Y si usted es la persona que se reenvía archivos a sí misma a las once de la noche: ya sabe lo que esta tecnología puede hacer. Llévelo a su organización. Vaya mañana con su jefe y diga «esto es lo que he estado haciendo, y esto es lo que ahorró». Puede ser el campeón que les ha faltado.

Mite: Y todos, háganse una segunda pregunta. No solo «¿cómo hace la IA esto más rápido?», sino «¿sigue siendo este el proceso correcto?»

Carlos: O, en mis palabras: «No trunquen, limiten ni mutilen artificialmente la innovación. Sean parte de ella, acompáñenla.» Gobiérnenla, y reinventen con ella.

Carlos: Ese es nuestro primer episodio de Inteligencia de Negocios 20/20. Si les sirvió, compártanlo con la persona de su organización que necesita escucharlo. Usted sabe quién es.

Mite: Cada episodio sale en español y en inglés, con la transcripción completa, en podcast.cemi.ai. Suscríbanse donde escuchan.

Carlos: La próxima vez: (tema por definir)

Mite: Hasta entonces, vean con claridad.

Carlos: 20/20.