Uso de IA en la empresa: cómo ordenarlo sin prohibirlo

Ordenar el uso de IA en la empresa no consiste en prohibir ChatGPT, sino en dar al equipo herramientas con acceso controlado, una política de uso de una página y formación mínima. Prohibirla solo mueve el uso a cuentas personales, donde no ves nada ni puedes auditar qué datos de clientes se han pegado en un chat. El marco legal europeo empuja en esa dirección: el artículo 4 del Reglamento de IA (AI Act) exige un nivel suficiente de alfabetización en IA a quienes desarrollan o usan sistemas de IA, y el RGPD sigue aplicando a cualquier dato personal que salga de tu organización.

Soy Oscar Álvarez, fundador de SEOscar, agencia de ecommerce en Barcelona. En casi todos los proyectos donde entro a montar automatizaciones o un agente de ventas IA aparece la misma escena: alguien del equipo de atención al cliente lleva meses pegando correos completos de clientes, con nombre, dirección y número de pedido, en su cuenta personal de ChatGPT para redactar respuestas más rápido. Nadie se lo ha prohibido y nadie se lo ha autorizado. Simplemente pasa.

Ese es el punto de partida real de la IA en la empresa hoy. No es si vas a usarla, es si vas a ordenar el uso que ya existe. Y el camino corto de prohibirla por circular interna tiene un efecto muy concreto: el uso no desaparece, se esconde.

El problema: IA en la sombra y datos de clientes

La IA en la sombra, o shadow AI, es el uso de herramientas de inteligencia artificial por parte de empleados con cuentas personales y sin conocimiento ni control de la empresa. El riesgo no es que el equipo use IA: es que lo haga en entornos donde la empresa no puede saber qué información ha salido, no tiene contrato de encargado de tratamiento y no puede borrar nada si un cliente ejerce sus derechos.

En las tiendas online que audito, los usos más habituales que me encuentro son estos cuatro. Ninguno es malintencionado, todos son personas intentando ir más rápido.

• Atención al cliente pegando hilos de email completos con datos personales para redactar la respuesta.

• Marketing subiendo exportaciones de pedidos o de la lista de Klaviyo para pedir segmentaciones o ideas de campaña.

• Alguien de operaciones pasando una hoja de proveedores con precios de compra para que le haga un resumen.

• Dirección pegando un contrato o una propuesta comercial para que se la reescriba.

El problema de fondo no es técnico, es de falta de alternativa. Si el equipo no tiene una herramienta corporativa aprobada, usará la suya. Cuando en un proyecto doy acceso a un entorno controlado y lo digo en voz alta, el uso con cuentas personales baja casi solo. No por miedo, por comodidad.

Cómo saber cuánta IA en la sombra tienes

No hace falta una auditoría cara para empezar. Pregunta en una reunión de equipo, sin tono de inspección, qué herramientas de IA usa cada uno y para qué. Yo lo hago en la fase de diagnóstico de cualquier proyecto de automatización y en una hora tengo un mapa bastante fiel. Si tienes gestión de dispositivos o control de red, puedes complementarlo mirando a qué dominios se conecta la gente, pero la conversación honesta suele dar más información que la herramienta.

Qué pide el AI Act (alfabetización, art. 4) y qué pide el RGPD

El artículo 4 del Reglamento Europeo de Inteligencia Artificial (AI Act, Reglamento UE 2024/1689) obliga a proveedores y responsables del despliegue de sistemas de IA a garantizar un nivel suficiente de alfabetización en IA entre su personal, teniendo en cuenta sus conocimientos técnicos, su experiencia y el contexto de uso. Esta obligación empezó a aplicarse el 2 de febrero de 2025 y, según el seguimiento del paquete Ómnibus de simplificación digital publicado por evosysthemia.com, sigue vigente aunque con una redacción matizada respecto al texto original.

Traducido a tu tienda online: si tu equipo usa IA para trabajar, la empresa tiene que asegurarse de que entiende qué está usando, qué limitaciones tiene y qué no debe hacer con ella. No pide un certificado ni un curso homologado. Pide que la gente sepa lo que hace.

El Reglamento General de Protección de Datos (RGPD) va por otro camino y es el que más suele doler a corto plazo. Si un empleado pega datos personales de clientes en una herramienta de IA, estás haciendo una comunicación de datos a un tercero. Para que sea lícita necesitas base jurídica, un contrato de encargado de tratamiento con el proveedor, control de las transferencias internacionales y reflejarlo en tu registro de actividades de tratamiento. Con una cuenta personal de un empleado, nada de eso existe.

La pregunta útil no es si la IA es legal, sino quién firmó el contrato con el proveedor al que acabas de enviar los datos de tus clientes.

No soy abogado y esto no es asesoramiento jurídico. Si tratas volúmenes grandes de datos personales o categorías sensibles, habla con tu asesor en protección de datos. Lo que sí puedo decirte desde la parte técnica es que la mayoría del riesgo se elimina con decisiones de arquitectura y de proceso, no con un documento largo que nadie lee.

Política de uso en una página (plantilla)

Una política de uso de IA en la empresa funciona cuando cabe en una página y cualquiera del equipo puede recordarla sin releerla. Las que he visto fracasar eran documentos de quince páginas redactados por fuera y guardados en una carpeta compartida. La que funciona dice qué herramientas están aprobadas, qué se puede meter en ellas, qué no, y a quién preguntar cuando hay duda.

Esta es la estructura que uso cuando acompaño a un cliente a redactarla. Cópiala y adáptala con los nombres reales de tus herramientas y tus responsables.

• Herramientas aprobadas: lista cerrada con nombre y versión corporativa. Todo lo que no esté en la lista requiere pedir permiso antes.

• Qué puedes meter: textos públicos, borradores propios, documentación interna no confidencial, datos anonimizados o agregados.

• Qué NO puedes meter nunca: datos personales de clientes o empleados, credenciales, contratos firmados, precios de compra, código con claves, información sometida a acuerdo de confidencialidad.

• Regla de anonimización: si necesitas trabajar con un caso real, sustituye nombre, email, dirección y número de pedido por marcadores tipo [CLIENTE] antes de pegarlo.

• Revisión humana obligatoria: ningún texto generado por IA sale al cliente, al cliente final o a publicación sin que una persona lo lea y lo firme.

• Transparencia: si el contenido publicado o la respuesta al cliente se ha generado con IA, se indica cuando corresponda.

• Quién decide: nombre y apellido de la persona a la que se pregunta ante cualquier duda, con un canal concreto (un canal de Slack, un correo).

• Qué pasa si te equivocas: se avisa, se documenta y no hay sanción por reportar. Esto es lo que evita que los errores se oculten.

Ese último punto es el que más cambia el comportamiento real. Si reportar un error de uso tiene consecuencias, nadie reporta y pierdes la poca visibilidad que tenías. La política se firma una vez, se repasa en la incorporación de cada persona nueva y se revisa cuando entra una herramienta nueva.

Herramientas con acceso controlado vs cuentas personales

La diferencia práctica entre una cuenta personal y una cuenta corporativa de IA está en tres cosas: quién firma el contrato de tratamiento de datos, si las conversaciones se usan para entrenar modelos y si la empresa puede administrar accesos y revocarlos cuando alguien se va. Con una cuenta personal, las tres respuestas juegan en tu contra.

Las opciones realistas para una pyme que vende online, ordenadas de menos a más esfuerzo, son estas.

1. Planes de empresa de herramientas generalistas

Las versiones de equipo o empresa de los asistentes conocidos incluyen contrato con la empresa, control de usuarios y, normalmente, exclusión del entrenamiento con tus conversaciones. Es el paso más barato y el que más shadow AI elimina de golpe, porque le das al equipo exactamente lo que ya estaba usando pero dentro de casa. Revisa en el contrato las condiciones de tratamiento y las transferencias internacionales antes de firmar.

2. Acceso por API con tu propio entorno

Cuando necesitas más control, se monta un entorno propio que llama al modelo por API y guarda los registros en tu infraestructura. Es lo que hacemos Roger y yo en los proyectos que lo piden: un entorno en Node o Python donde la empresa decide qué se registra, qué se borra y quién accede. El código y los flujos quedan en propiedad del cliente.

3. Agentes anclados a tus datos (RAG)

Para los usos repetitivos, un asistente generalista es la peor herramienta posible: el empleado tiene que pegarle el contexto cada vez, y ahí es donde se filtran los datos. La alternativa es un agente anclado a los datos reales de la empresa mediante RAG, siglas de Retrieval Augmented Generation, una arquitectura que recupera la información de tus propias fuentes antes de generar la respuesta. Lo explico en detalle en qué es RAG. Así el empleado no pega nada: pregunta, y el sistema ya tiene el catálogo, las políticas de envío y el histórico de pedidos conectados.

En atención al cliente de ecommerce esto se nota mucho. Un agente de ventas IA que consulta tu catálogo y tus datos reales responde mejor que un empleado pegando el historial del cliente en un chat público, y además no saca esos datos de tu entorno. Es un asistente que vende, no un chatbot que molesta.

Qué medir una vez lo tienes montado

• Número de cuentas corporativas activas frente a personas del equipo que declararon usar IA.

• Casos de uso documentados por departamento, para saber qué automatizar después.

• Incidencias reportadas de datos pegados donde no tocaba. Que suban al principio es buena señal: significa que la gente reporta.

• Tiempo ahorrado estimado en las tareas donde se usa, preguntado al equipo cada trimestre.

Formación mínima para el equipo

La alfabetización en IA que pide el artículo 4 del AI Act se cubre, en una pyme, con una sesión inicial de una hora y media y un repaso trimestral corto. No necesitas un plan formativo elaborado: necesitas que la gente entienda qué hace la herramienta, dónde se equivoca y qué no puede entrar en ella. Y necesitas dejar registro de que esa formación se ha dado.

Este es el guion de sesión inicial que uso con los equipos de mis clientes.

• Qué es y qué no es un modelo de lenguaje: predice texto plausible, no consulta una base de datos de verdades. De ahí vienen las invenciones.

• Por qué se inventa datos y cómo detectarlo: nombres, cifras, referencias legales y enlaces son los puntos donde más falla.

• Qué pasa con lo que pegas: a dónde van los datos, quién puede verlos y por qué una cuenta personal no sirve.

• Prompting útil para su trabajo real, con ejemplos de sus tareas, no genéricos. Esta es la parte que engancha al equipo.

• Los límites de la política de uso, repasados uno a uno con casos concretos de la empresa.

• Dónde preguntar cuando hay duda.

El repaso trimestral son veinte minutos: qué herramienta nueva ha entrado, qué caso raro ha aparecido y qué hemos aprendido. Documenta la fecha y los asistentes en un documento simple. Eso es tu prueba de cumplimiento de la obligación de alfabetización, y además es cuando salen las mejores ideas de automatización, porque el equipo ya sabe dónde pierde el tiempo.

Qué haría yo desde SEOscar en tu caso

En los proyectos que llevo, el orden que funciona es este: primero mapear qué usos reales de IA ya existen en la empresa, segundo dar una herramienta corporativa para cerrar la vía de las cuentas personales, tercero escribir la política de una página con los nombres reales del equipo, y cuarto convertir los tres o cuatro usos más repetitivos en automatizaciones o en un agente anclado a los datos de la empresa.

Lo hago siempre sobre la plataforma que ya tienes, sea Shopify, WooCommerce o Magento, sin obligar a migrar nada, y con el código y los flujos en tu propiedad. Es el mismo enfoque de datos reales que aplico en el resto del trabajo y que puedes ver en el método.

Ordenar el uso de IA en la empresa es, además, el paso previo a cualquier plataforma de IA interna seria. Sin política, sin cuentas controladas y sin equipo formado, montar agentes sobre tus datos solo amplifica el desorden que ya tenías.

Si quieres ver en qué punto está tu empresa y qué usos de IA conviene ordenar y cuáles automatizar primero, reserva un diagnóstico. Es una semana de trabajo con tus datos reales y el plan es tuyo, sigas conmigo o no.

Preguntas frecuentes

¿Es legal que mis empleados usen ChatGPT en el trabajo?

Sí, usar herramientas de IA en el trabajo es legal en la Unión Europea. Lo que puede ser ilícito es introducir datos personales de clientes o empleados en una cuenta personal sin base jurídica, sin contrato de encargado de tratamiento y sin reflejarlo en el registro de actividades, porque eso incumple el RGPD. La solución es dar cuentas corporativas con contrato firmado y una política de uso clara, no prohibir la herramienta.

¿Qué es el shadow AI o IA en la sombra?

El shadow AI es el uso de herramientas de inteligencia artificial por parte de empleados con cuentas personales, sin conocimiento ni control de la empresa. El riesgo principal es la fuga de datos de clientes y de información confidencial hacia proveedores con los que la empresa no tiene ningún contrato. Aparece casi siempre cuando el equipo no dispone de una alternativa corporativa aprobada.

¿Qué exige el artículo 4 del AI Act sobre alfabetización en IA?

El artículo 4 del Reglamento Europeo de Inteligencia Artificial obliga a proveedores y responsables del despliegue de sistemas de IA a garantizar un nivel suficiente de alfabetización en IA entre su personal, ajustado a sus conocimientos y al contexto de uso. Se aplica desde el 2 de febrero de 2025 y, según el seguimiento publicado por evosysthemia.com, sigue vigente tras el paquete Ómnibus con una redacción matizada. En una pyme se cubre con una sesión formativa inicial, repasos periódicos y registro de quién ha asistido.

¿Qué debe incluir una política de uso de IA en la empresa?

Una política de uso de IA eficaz cabe en una página e incluye la lista de herramientas aprobadas, qué información se puede introducir, qué está prohibido meter nunca (datos personales, credenciales, contratos, precios de compra), la obligación de revisión humana antes de publicar o enviar, quién decide ante una duda y qué ocurre cuando alguien se equivoca. Si reportar un fallo tiene consecuencias, nadie reporta y pierdes visibilidad.

¿Es mejor prohibir la IA o darle cuentas corporativas al equipo?

Dar cuentas corporativas funciona mucho mejor que prohibir. La prohibición no elimina el uso, lo traslada a cuentas personales donde la empresa no ve nada, no puede auditar qué datos salieron ni revocar accesos. Con una cuenta corporativa tienes contrato con el proveedor, control de usuarios y normalmente exclusión del entrenamiento con tus conversaciones.

¿Cómo evito que el equipo pegue datos de clientes en un chat de IA?

La forma más efectiva es eliminar la necesidad de pegarlos. Si montas un agente anclado a los datos de la empresa mediante RAG, el sistema ya tiene conectados el catálogo, las políticas y el histórico de pedidos, y el empleado solo pregunta sin aportar contexto sensible. Como medida complementaria, establece una regla de anonimización con marcadores tipo [CLIENTE] para los casos en que haya que trabajar con un ejemplo real.

¿Cuánta formación en IA necesita realmente un equipo pequeño?

Para una pyme suele bastar una sesión inicial de hora y media y un repaso trimestral de veinte minutos. La sesión debe cubrir qué es un modelo de lenguaje y por qué inventa datos, qué ocurre con la información que se introduce, prompting aplicado a las tareas reales del equipo y los límites de la política de uso. Documenta fecha y asistentes: ese registro es tu prueba de cumplimiento de la obligación de alfabetización.