Hace un año, muchas gestorías y asesorías mandaron la misma circular a su equipo: «por motivos de protección de datos, queda prohibido usar ChatGPT y herramientas similares». Era una reacción razonable. Pero un año después, los datos dicen que no ha funcionado.
Según el estudio de Cegid y OpinionWay de agosto de 2026, el 82 % de los empleados de oficina en España ya usa IA en su día a día, nueve puntos más que en 2025. Y el 82 % de quienes la usan reconoce haber recurrido a herramientas que su empresa no le da, sin informarla. Del otro lado, el Global CIO Report 2026 de Logicalis recoge que el 57 % de las empresas cree que sus empleados ya ponen en riesgo datos corporativos con la IA, y que solo el 37 % dice tener control completo de las herramientas que se usan.
Es decir: la prohibición no ha quitado la IA de la oficina. Solo la ha sacado de la vista.
Qué es la IA en la sombra
Se llama IA en la sombra al uso de herramientas de IA que la empresa no ha elegido ni controla: la cuenta gratuita de cada persona, la aplicación del móvil, la extensión del navegador que alguien instaló un día. Nadie lo hace con mala intención. Lo hacen porque funciona: una carta que costaba veinte minutos se hace en dos.
En una gestoría, el problema es lo que viaja con esa carta. Nóminas, bajas médicas, declaraciones de la renta, IBAN y DNI de los trabajadores de tus clientes. Datos que tratas por cuenta de otros y que, según el artículo 28 del RGPD, no puedes entregar a un tercero sin un contrato y sin la autorización de tu cliente. Lo explicamos con detalle en la guía sobre cómo usar la IA en una gestoría sin poner en riesgo los datos de tus clientes.
Con una prohibición, la dirección cree que ese riesgo no existe. Con IA en la sombra, existe y además es invisible.
La obligación que ya está en vigor
Hay otro motivo para dejar de prohibir y empezar a gestionar. Desde el 2 de febrero de 2025, el artículo 4 del Reglamento europeo de IA obliga a las empresas que usan sistemas de IA a adoptar medidas para que su personal tenga conocimientos suficientes sobre ellos. La reforma del Ómnibus digital de 2026 ha aclarado que no se exige un nivel concreto a cada persona, pero la obligación de actuar sigue ahí. Lo resumimos en la guía sobre el Reglamento europeo de IA para pymes.
Una empresa que prohíbe la IA y, a la vez, sabe que su equipo la usa, difícilmente puede decir que ha formado a nadie. Y según el mismo estudio de Cegid, el 56 % de los empleados españoles no ha recibido ninguna formación sobre IA de su empresa.
Tres pasos para una pyme
No hace falta un gran proyecto. Para una gestoría de diez o veinte personas, bastan tres pasos:
- Medir antes de bloquear. Durante dos o tres semanas, averigua qué se usa de verdad: qué herramientas, para qué tareas y con qué datos. Una encuesta anónima es un buen principio. Lo que salga te dirá qué riesgos son reales y cuáles no.
- Decidir qué datos no salen nunca. DNI, NIE, IBAN, números de afiliación y datos de salud no deberían llegar a una IA en crudo. Escríbelo en una tabla de una página y, si puedes, haz que esos datos se sustituyan de forma automática antes de enviarlos. Las reglas que dependen de la memoria de las personas fallan justo el día de más trabajo.
- Dar a todo el equipo una herramienta oficial mejor que la personal. Si la opción de la empresa es más lenta, más pobre o más incómoda que la cuenta gratuita, la gente volverá a la cuenta gratuita. La herramienta oficial tiene que tener los mejores modelos, contrato con el proveedor, datos tratados en la UE y un registro que la dirección pueda consultar.
Y una cuestión de dinero
Hay un argumento que suele convencer más que el RGPD: el coste. Pagar una licencia de IA de unos 25 o 30 euros al mes por persona tiene sentido para quien la usa a diario. Para la mitad del equipo que la usa dos veces por semana, no. Gestionar la IA en lugar de prohibirla también permite pagar por lo que se usa, en vez de por cabezas.
Gobernar la IA es una decisión de dirección
La IA en la oficina ya no es una cuestión de informática. Es una decisión de dirección, como lo fue en su día decidir quién tenía acceso a la cuenta del banco o a los expedientes de los clientes.
Prohibir es más cómodo, porque permite no decidir nada. Pero los datos de 2026 son claros: la IA ya está dentro. La única elección que queda es si se usa a la vista o a escondidas.
Àlex Suquet Orús es ingeniero informático por la FIB-UPC y fundador de Acotia, una plataforma de Barcelona que protege los datos de clientes antes de enviarlos a la IA y permite ver el uso de todo el equipo desde un solo sitio.
Fuentes
- Cegid y OpinionWay: «La IA en la sombra: el 82 % de los empleados en España ya la utiliza» (agosto de 2026).
- Logicalis Global CIO Report 2026, recogido por Europa Press (junio de 2026).
- Reglamento (UE) 2024/1689, de Inteligencia Artificial (artículo 4, alfabetización en IA).
- Reglamento (UE) 2026/1744, Ómnibus digital sobre IA.
- Reglamento (UE) 2016/679, Reglamento General de Protección de Datos (artículo 28).