Su clasificación de la Ley de IA de la UE está completa. La IA en la sombra no está en la lista.

Un equipo de cumplimiento termina su inventario de sistemas para la Ley de IA de la UE. Cuatro herramientas, cada una asignada a una categoría de riesgo según la Ley y con un responsable documentado. El ejercicio es exhaustivo, defendible y completo, sobre el papel.

Pero también responde a la pregunta equivocada. El inventario captura cada sistema del que el departamento de compras tenía conocimiento. No dice nada sobre la herramienta de IA que un empleado de marketing abrió en una pestaña del navegador el martes pasado para terminar una presentación más rápido; esa herramienta por la que nadie preguntó porque nadie sabía que debía hacerlo.

El punto ciego que la clasificación de la Ley de IA de la UE no puede ver

La IA en la sombra —herramientas de IA generativa utilizadas sin la aprobación o visibilidad de la organización— no es una nueva categoría de riesgo. Es el mismo problema de TI en la sombra que las organizaciones han gestionado durante años, con la diferencia de que la herramienta ahora escribe, resume y razona sobre cualquier dato que un empleado le proporcione, lo que cambia la rapidez con la que una pequeña comodidad se convierte en una exposición imprevista.

Gartner encuestó a 302 líderes de ciberseguridad en noviembre de 2025. El 69 % ya sospecha o tiene pruebas de que sus empleados utilizan herramientas de IA generativa que nunca fueron aprobadas. Esa cifra describe el presente, no un riesgo futuro.

"Todos los CISO con los que hablo han descubierto alguna forma de IA en la sombra", afirma Andrew Walls, vicepresidente analista de Gartner (CSO Online, marzo de 2026). La cita es notable no tanto por lo que revela sobre una organización en particular, sino por lo universal que se ha vuelto este patrón.

Las herramientas involucradas rara vez son exóticas. Son los mismos asistentes de chat y ayudas de escritura de nivel consumidor que aparecen en el uso personal, adoptados en el trabajo porque resuelven un problema real más rápido que la alternativa aprobada, o porque simplemente no existe una alternativa aprobada para esa tarea específica.

Lo que los datos indican que está por venir

La investigación de Gartner va más allá de describir la situación actual. La firma espera que más del 40 % de las empresas experimenten un incidente de seguridad o cumplimiento relacionado con la IA en la sombra no autorizada para 2030 (Gartner, noviembre de 2025). Es una predicción de que esta será la forma en que ocurra una parte significativa de los incidentes relacionados con la IA: no a través de los sistemas que fueron clasificados y monitoreados, sino a través de aquellos que no lo fueron.

Ese futuro ya es visible en el presente. El Informe sobre el coste de una brecha de datos de 2025 de IBM reveló que la IA en la sombra ya está involucrada en el 20 % de las brechas, añadiendo un promedio de 670 000 dólares al coste de un incidente. Entre las organizaciones que sufrieron una de esas brechas, el 63 % no tenía ninguna política de gobernanza de IA.

Donde la clasificación de la Ley de IA de la UE y la IA en la sombra chocan

El artículo 6 de la Ley de IA de la UE establece cómo las organizaciones deben clasificar los sistemas de IA según su nivel de riesgo. El proceso de clasificación solo funciona con los sistemas que la organización sabe que utiliza. No tiene ningún mecanismo para una herramienta que nadie registró, porque el artículo asume que la lista a la que se aplica está completa.

Una organización puede tener una clasificación totalmente documentada y conforme al artículo 6 de cada sistema en su inventario oficial y, aun así, estar expuesta a los riesgos que describe Gartner, porque las herramientas que provocan esa exposición nunca estuvieron en la lista desde el principio. El programa de cumplimiento no está mal; es que responde a una pregunta más limitada que la que determina la exposición real.

Cómo es la aplicación de la Ley de IA de la UE

Esta no es una brecha teórica. Las disposiciones sobre sanciones de la Ley otorgan a los reguladores el poder de multar a las organizaciones por incumplimiento de las obligaciones operativas —incluidos los fallos de clasificación— con niveles que alcanzan los 15 millones de euros o el 3 % del volumen de negocios anual global, lo que sea mayor. Esos poderes de aplicación se aplican independientemente de si la exposición provino de un sistema que la organización conocía o de uno que no.

Esa distinción es importante para entender cómo una junta directiva debe interpretar este riesgo. Un sistema que nunca se clasificó porque nadie sabía que existía no conlleva una sanción menor que uno que se clasificó incorrectamente. Desde la perspectiva de un regulador, ambos representan el mismo fallo subyacente: una organización que no puede demostrar que sabe qué IA está utilizando.

Perspectiva clave: la brecha de cumplimiento de la IA en la sombra es conductual, no administrativa

El instinto cuando surge esta brecha es redactar una política mejor o realizar otra campaña de concienciación recordando a los empleados qué herramientas están aprobadas. Ninguna de estas acciones aborda la razón por la que existe la brecha.

Los empleados adoptan herramientas de IA no aprobadas por una razón sencilla: la herramienta hace que una tarea sea más rápida y el proceso de aprobación —si es que existe alguno— es más lento que la fecha límite. La mayoría de los empleados que utilizan una herramienta no aprobada saben que existe una política. Están tomando una decisión bajo presión de tiempo sobre qué riesgo parece más inmediato: perder una fecha límite o romper una regla que parece abstracta y distante.

Cerrar esa brecha requiere observar el comportamiento en tiempo real —en el tráfico de red, en la actividad del navegador, en los patrones de movimiento de datos— y no describirlo a posteriori en un documento de políticas. Una herramienta en uso activo genera señales reales mucho antes de que se produzca un incidente.

Para los líderes de cumplimiento y seguridad que están desarrollando un programa para la Ley de IA de la UE, esto implica cuatro puntos clave.

Primero, un inventario de IA basado exclusivamente en registros de adquisiciones siempre será incompleto. Refleja lo que se aprobó, no lo que se está ejecutando, y cualquier ejercicio de clasificación basado únicamente en ese inventario heredará esa brecha.

Segundo, detectar el uso de IA en la sombra no es principalmente una decisión de adquisición tecnológica. Es un problema de visibilidad que debe resolverse antes de que la clasificación pueda completarse, ya que una organización no puede clasificar un sistema cuya existencia no ha confirmado.

Tercero, la respuesta ante una herramienta de IA en la sombra descubierta es tan importante como el descubrimiento en sí. Tratar cada caso como un evento disciplinario empuja el uso a la clandestinidad. Tratarlo como una señal —preguntando por qué alguien recurrió a esa herramienta y qué necesidad no pudo cubrir una alternativa aprobada— cierra la brecha más rápido que una política más estricta por sí sola.

Cuarto, trate el hallazgo como un insumo para el proceso de clasificación, no como una limpieza única. Una herramienta descubierta y eliminada hoy no evita que aparezca otra el próximo mes bajo la misma presión que generó la primera. La visibilidad debe ser continua, no un ejercicio de auditoría realizado una sola vez antes de una fecha límite.

La Ley de IA de la UE ofrece a las organizaciones una estructura real para gestionar el riesgo de la IA. Esa estructura nunca fue diseñada para resolver el problema de no saber qué IA se está utilizando.

Las organizaciones que reduzcan esta exposición en los próximos años no serán las que tengan la documentación de clasificación más completa. Serán aquellas capaces de ver lo que su personal realmente utiliza, antes de que un regulador o un incidente lo descubra por ellas.