La ilusión de control: por qué prohibir la inteligencia artificial en las empresas es un error jurídico

Por estos días, muchas organizaciones han comenzado a descubrir —no sin sorpresa— que sus propios trabajadores ya están utilizando inteligencia artificial en su trabajo cotidiano. No se trata de una política corporativa, ni de una implementación estratégica cuidadosamente diseñada. Se trata de algo mucho más incómodo: un uso extendido, silencioso y no autorizado (o supervisado) de herramientas como ChatGPT, Claude o Copilot, que se ha instalado en el corazón mismo del trabajo profesional.

Este fenómeno, conocido como Shadow AI, no es una hipótesis futura ni una advertencia teórica. Es una realidad operativa actual, transversal a sectores y niveles jerárquicos. Y, desde el punto de vista jurídico, plantea un problema más profundo que el mero uso de una tecnología no aprobada ya que evidencia una pérdida efectiva de control organizacional sobre la información, sin que la organización siquiera sea consciente de ello.

La forma en que esta tecnología ha sido adoptada explica parte del problema. A diferencia de las innovaciones anteriores —que ingresaban a la empresa por canales institucionales, tras procesos de evaluación y despliegue— la inteligencia artificial generativa ha entrado “por la puerta trasera”, es decir, a través del navegador del trabajador, sin autorización, sin supervisión y sin trazabilidad. El resultado es una inversión del modelo clásico de adopción tecnológica, esto es, primero se usa, luego —si acaso— se regula.

La reacción intuitiva frente a este escenario ha sido, en muchos casos, la prohibición. Bloqueos de acceso, circulares internas y advertencias disciplinarias buscan restablecer un control que parece haberse perdido. Sin embargo, esta respuesta —comprensible en su origen— resulta, en la práctica, profundamente ineficaz. Y no solo ineficaz, sino que además, según sostenemos, jurídicamente contraproducente.

La razón es estructural. La inteligencia artificial generativa no depende del perímetro tecnológico de la empresa. Basta un dispositivo personal, una cuenta de correo y una conexión a internet. La prohibición corporativa puede bloquear ciertos accesos, pero no elimina la posibilidad real de uso (por ejemplo, a través de un teléfono móvil). Lo que hace, en rigor, es desplazar ese uso fuera del alcance institucional.

Desde esta perspectiva, la prohibición no suprime el riesgo: lo transforma. Convierte un fenómeno visible —y, por tanto, gestionable— en un fenómeno invisible, que escapa a cualquier mecanismo de control, auditoría o trazabilidad (al menos, cuando es no supervisado). La organización pierde capacidad de detección, pero mantiene intacta —e incluso incrementa— su exposición jurídica.

Este punto es clave. El derecho contemporáneo, especialmente en ámbitos como la protección de datos personales, la ciberseguridad o la regulación de la inteligencia artificial, no exige eliminar el riesgo —algo imposible—, sino gestionarlo conforme a estándares de diligencia. Y gestionar supone conocer, supervisar y poder acreditar que se han adoptado medidas razonables y diligentes. Ninguna de esas condiciones se cumple -o es muy difícil que aquello ocurra- cuando el uso de tecnología ocurre en la sombra.

En este contexto, la Shadow AI no debe entenderse como un problema tecnológico, sino como un problema de gobernanza informacional. Lo que está en juego no es la existencia de la herramienta —que es inevitable—, sino la capacidad de la organización para integrarla dentro de un marco institucional que permita controlarla, canalizarla y hacerla jurídicamente defendible.

A ello se suma un elemento que suele pasarse por alto, esto es, la racionalidad del comportamiento del trabajador. En la mayoría de los casos, el uso de inteligencia artificial no responde a una intención de incumplir, sino a la búsqueda de eficiencia. El profesional que utiliza estas herramientas no actúa contra la organización, sino —paradójicamente— para cumplir mejor con sus objetivos. El problema es que lo hace sin visibilidad de los costos jurídicos asociados, generando una asimetría entre beneficio inmediato y riesgo latente.

La prohibición, en este escenario, introduce una segunda distorsión: desalinea a la organización con su propio personal. Cuando se prohíbe una herramienta que mejora sustantivamente la productividad, se genera una tensión estructural entre cumplimiento normativo y desempeño laboral. En la práctica, esa tensión suele resolverse en favor del resultado. El uso continúa, pero ahora fuera del conocimiento institucional.

Las consecuencias son evidentes. No solo se incrementa la exposición al riesgo —fugas de información, incumplimientos normativos, errores derivados de alucinaciones—, sino que se erosiona la credibilidad del sistema normativo interno. Una regla que no puede cumplirse de manera razonable termina siendo ignorada, y con ello se debilita el resto del marco de cumplimiento.

Frente a este panorama, la alternativa no es la permisividad irrestricta, sino un cambio de paradigma, esto es, pasar de un modelo de control prohibitivo a un modelo de control habilitante. Esto implica reconocer el uso, definir condiciones, establecer límites, proporcionar herramientas corporativas seguras y generar mecanismos de supervisión y trazabilidad.

Este enfoque presenta ventajas evidentes. Permite visibilizar el uso, integrar la tecnología en los procesos organizacionales y construir evidencia de cumplimiento. Pero, sobre todo, permite alinear la realidad operativa con el marco normativo, reduciendo la brecha entre lo que ocurre y lo que la organización es capaz de controlar.

Desde el punto de vista jurídico, esta es la única respuesta -o al menos la más coherente- con el estándar de diligencia exigido hoy a las organizaciones. No se trata de impedir el uso de inteligencia artificial, sino de gobernarlo. De lo contrario, la empresa no solo pierde control sobre su información, sino también sobre su propia responsabilidad.

En definitiva, el verdadero riesgo no es que los empleados utilicen inteligencia artificial, sino que lo hagan sin que la organización lo sepa, sin reglas claras y sin mecanismos de control. De esta manera, ignorar la Shadow AI no es una forma de neutralidad. Es, en rigor, una decisión implícita de asumir el peor escenario posible de exposición jurídica.

Felipe Diez Ringele

Profesor e investigador

Universidad del Desarrollo y de la Universitat de Girona

Candidato a doctor por ambas instituciones

Fundador de Lexinex, empresa asesora de cumplimiento normativo en materia de IA