Fa un any, moltes gestories i assessories van enviar la mateixa circular al seu equip: «per motius de protecció de dades, queda prohibit fer servir ChatGPT i eines similars». Era una reacció raonable. Però un any després, les dades diuen que no ha funcionat.
Segons l'estudi de Cegid i OpinionWay de l'agost de 2026, el 82 % dels treballadors d'oficina a Espanya ja fa servir IA en el seu dia a dia, nou punts més que el 2025. I el 82 % dels que la fan servir reconeix haver recorregut a eines que l'empresa no li dona, sense informar-la. De l'altra banda, el Global CIO Report 2026 de Logicalis recull que el 57 % de les empreses creu que els seus treballadors ja posen en risc dades corporatives amb la IA, i que només el 37 % diu tenir control complet de les eines que es fan servir.
És a dir: la prohibició no ha tret la IA de l'oficina. Només l'ha treta de la vista.
Què és la IA a l'ombra
S'anomena IA a l'ombra l'ús d'eines d'IA que l'empresa no ha triat ni controla: el compte gratuït de cada persona, l'aplicació del mòbil, l'extensió del navegador que algú va instal·lar un dia. Ningú no ho fa amb mala intenció. Ho fan perquè funciona: una carta que costava vint minuts es fa en dos.
En una gestoria, el problema és el que viatja amb aquella carta. Nòmines, baixes mèdiques, declaracions de la renda, IBAN i DNI dels treballadors dels teus clients. Dades que tractes per compte d'altres i que, segons l'article 28 del RGPD, no pots lliurar a un tercer sense un contracte i sense l'autorització del teu client. Ho expliquem amb detall a la guia sobre com fer servir la IA en una gestoria sense posar en risc les dades dels teus clients.
Amb una prohibició, la direcció creu que aquest risc no existeix. Amb IA a l'ombra, existeix i a més és invisible.
L'obligació que ja és vigent
Hi ha un altre motiu per deixar de prohibir i començar a gestionar. Des del 2 de febrer de 2025, l'article 4 del Reglament europeu d'IA obliga les empreses que fan servir sistemes d'IA a adoptar mesures perquè el seu personal en tingui coneixements suficients. La reforma de l'Òmnibus digital del 2026 ha aclarit que no s'exigeix un nivell concret a cada persona, però l'obligació d'actuar continua. Ho resumim a la guia sobre el Reglament europeu d'IA per a pimes (en castellà).
Una empresa que prohibeix la IA i, alhora, sap que el seu equip la fa servir, difícilment pot dir que ha format ningú. I segons el mateix estudi de Cegid, el 56 % dels treballadors espanyols no ha rebut cap formació sobre IA de la seva empresa.
Tres passos per a una pime
No cal un gran projecte. Per a una gestoria de deu o vint persones, n'hi ha prou amb tres passos:
- Mesurar abans de bloquejar. Durant dues o tres setmanes, esbrina què es fa servir de debò: quines eines, per a quines tasques i amb quines dades. Una enquesta anònima és un bon començament. El que en surti et dirà quins riscos són reals i quins no.
- Decidir quines dades no surten mai. DNI, NIE, IBAN, números d'afiliació i dades de salut no haurien d'arribar mai en cru a una IA. Escriu-ho en una taula d'una pàgina i, si pots, fes que aquestes dades se substitueixin de manera automàtica abans d'enviar-les. Les regles que depenen de la memòria de les persones fallen just el dia de més feina.
- Donar a tot l'equip una eina oficial millor que la personal. Si l'opció de l'empresa és més lenta, més pobra o més incòmoda que el compte gratuït, la gent tornarà al compte gratuït. L'eina oficial ha de tenir els millors models, contracte amb el proveïdor, dades tractades a la UE i un registre que la direcció pugui consultar.
I una qüestió de diners
Hi ha un argument que sol convèncer més que el RGPD: el cost. Pagar una llicència d'IA d'uns 25 o 30 euros al mes per persona té sentit per a qui la fa servir cada dia. Per a la meitat de l'equip que la fa servir dos cops per setmana, no. Gestionar la IA en lloc de prohibir-la també permet pagar pel que es fa servir, en lloc de per caps.
Governar la IA és una decisió de direcció
La IA a l'oficina ja no és una qüestió d'informàtica. És una decisió de direcció, com ho va ser en el seu moment decidir qui tenia accés al compte del banc o als expedients dels clients.
Prohibir és més còmode, perquè permet no decidir res. Però les dades del 2026 són clares: la IA ja és a dins. L'única elecció que queda és si es fa servir a la vista o d'amagat.
Àlex Suquet Orús és enginyer informàtic per la FIB-UPC i fundador d'Acotia, una plataforma de Barcelona que protegeix les dades dels clients abans d'enviar-les a la IA i permet veure l'ús de tot l'equip des d'un sol lloc.
Fonts
- Cegid i OpinionWay: «La IA en la sombra: el 82 % de los empleados en España ya la utiliza» (agost de 2026).
- Logicalis Global CIO Report 2026, recollit per Europa Press (juny de 2026).
- Reglament (UE) 2024/1689, d'intel·ligència artificial (article 4, alfabetització en IA).
- Reglament (UE) 2026/1744, Òmnibus digital sobre IA.
- Reglament (UE) 2016/679, Reglament general de protecció de dades (article 28).