IA a l'ombra: per què els empleats s'aturen de la IT

La IA forma part ara de la feina diària de molts empleats, sovint múltiples vegades al dia. Però les eines a les quals recorren no sempre són les oficials que els dóna IT.

La «IA a l'ombra» és l'ús de productes d'IA no autoritzats a la feina, que inclou:

• Xatbot personal
• Agents d'IA
• Comptes d'assistent d'IA

Al voltant de la meitat dels empleats diuen que han utilitzat la IA de maneres que incompleixen les polítiques i directrius de la seva organització, segons una enquesta de KPMG a més de 48.000 persones en 47 països. Sovint, enganxen informació sensible de l'empresa en eines d'IA públiques.

L'alternativa s'ha convertit en un avís. Una enquesta de BCG a més de 10.000 empleats, gestors i líders va revelar que gairebé quatre de cada deu diuen que la seva empresa no proporciona les eines adequades.

Quan els empleats recorren a eines no autoritzades, es troben que:

• Racionat
• Limitat
• Pitjor que el que poden aconseguir per si sols

Quan les eines aprovades són prou bones, la majoria dels empleats deixen d'evadir IT. La lliçó: la demanda d'IA és forta, però la IA a l'ombra sovint és un senyal d'un problema de subministrament.

Què és la IA a l'ombra?

La IA a l'ombra significa que els empleats utilitzen les seves pròpies eines d'IA a la feina en lloc de les que proporciona la seva organització. Inclou:

• Xatbots que responen preguntes
• Agents que duen a terme tasques rutinàries
• Bots que guarden i transcriuen reunions
• Assistents que aborden rutines de treball senceres

Les eines es poden connectar a sistemes i aplicacions de treball. Algunes són productes independents, mentre que d'altres són funcions d'IA integrades en eines, dispositius i plataformes que els empleats ja tenen, com Copilot, Gemini i Apple Intelligence.

En una enquesta a 2.000 empleats encarregada per BlackFog, una empresa de seguretat, el 58% dels usuaris d'IA a l'ombra van afirmar que depenien de versions gratuïtes que sovint no inclouen:

• Seguretat de grau empresarial
• Governança de dades
• Proteccions de privadesa

principalment perquè valoraven la velocitat. Els alts càrrecs dirigents van declarar utilitzar la IA a l'ombra gairebé el doble de vegades que el personal júnior.

L'ús per part dels empleats pot ser difícil de detectar. Una enquesta de la Cloud Security Alliance va trobar que:

• El 82% dels enquestats van afirmar que les seves organitzacions tenien agents desconeguts executant-se als seus sistemes
• El 65% havia experimentat incidents relacionats amb agents, incloent-hi l'exposició de dades, la interrupció operativa i pèrdues financeres

IA a l'ombra vs. IT a l'ombra

La IT a l'ombra va ser primer. Aditya Patel, especialista en seguretat al núvol d'AWS, l'anomena el «cosí rebel» de la IA a l'ombra.

La IT a l'ombra descriu quan els treballadors s'塩n 盐 saltant els productes tecnològics preferits de la IT corporativa i utilitzen els seus propis, de vegades de manera deliberada i de vegades sense conèixer les normes. Un empleat inicia sessió en un compte personal de Google, Dropbox, WhatsApp o Trello en un navegador web d'un dispositiu de feina, o envia per correu electrònic un document a una adreça personal per acabar-lo a casa.

El que hi ha de nou amb la IA a l'ombra és l'escala i la persistència. Alguns exemples:

• Les dades enganxades en una eina pública poden romandre als sistemes d'un proveïdor indefinidament
• Els agents i assistents continuen funcionant mentre l'empleat fa una altra cosa, treballant de manera autònoma a través d'aplicacions, correu electrònic i plataformes

El programari de monitorització de seguretat tradicional no es va crear per veure'ls. Tancar la pestanya d'un navegador no atura la feina, que sovint és invisible per a tothom excepte per a la persona que l'ha executada.

Amplia

Exemples d'IA a l'ombra a la feina

La IA a l'ombra sol aparèixer en algunes situacions clau:

Per què els empleats utilitzen IA no autoritzada

Els empleats tenen molts motius per utilitzar IT no autoritzada.

• Alguns s'enfronten a pressió per utilitzar la IA, incloent-hi revisions de rendiment deficients o pèrdua de feina, mentre que les eines que subministren els seus ocupadors funcionen pitjor que les que utilitzen a casa.
• Recorren a la millor opció per fer la feina correctament.
• D'altres troben que l'eina aprovada triga massa a arribar, és massa complexa, massa inflexible o s'equivoca massa sovint.

L'ús intensiu d'IA pot arribar a ser car, la qual cosa ha portat a un nombre d'empreses conegudes a posar límits als usuaris de consum massiu de «tokens». El juny de 2026, Uber va limitar la despesa dels empleats a 1.500 dòlars al mes per a cada eina de codificació autònoma després d'esgotar el seu pressupost anual d'IA en quatre mesos.

El racionament empeny alguns empleats a pagar la versió de consum per compte propi en lloc d'enfrontar-se a un «tokenpocalipsi». Algunes de les mateixes empreses que diuen als empleats que utilitzin IA també restringeixen l'accés a aquesta.

Els empleats troben la manera d'evitar els límits.

• Enganxen dades de l'empresa en un xatbot públic per redactar un informe.
• Utilitzen un assistent personal d'IA o una eina de programació per accelerar les tasques rutinàries.

Alguns investigadors descriguin això com "innovació d'usuari a l'ombra". Molts empleats mai no s'adonen que estan incomplint una política de l'empresa. I entre els empleats que van utilitzar IA en contra de les normes, només al voltant de la mitad són descoberts, segons una enquesta de PagerDuty.

Què pot sortir malament amb la IA a l'ombra

Els riscos es divideixen en almenys cinc grups:

1. Violacions de seguretat: Una eina no aprovada pot oferir als atacants una via d'accés als sistemes interns. Vercel, un proveïdor d'infraestructura web, va revelar a l'abril de 2026 que pèrits informàtics sofisticats van vulnerar els seus sistemes després que un empleat connectés una aplicació de tercers de Context.ai a un compte corporatiu de Google. Els atacants van fugir amb credencials de clients, i les dades robades van ser ofertes posteriorment per 2 milions de dòlars.

2. Fugas de propiedad intelectual: Los datos patentados pueden salir de los servidores controlados por la empresa con un solo pegado en un chatbot. En marzo de 2023, los empleados de Samsung pegaron código fuente y transcripciones internas confidenciales en ChatGPT. El temor era que otros usuarios pudieran haber accedido a los datos. Samsung prohibió las herramientas de IA generativa semanas después.

3. Impactes regulatoris: Una bretxa o un fet inventat per la IA pot comportar un escrutini regulador, multes i danys a la reputació. CB Financial Services, la matriu de Community Bank, va presentar un formulari 8-K el maig de 2026 davant la Comissió de Borsa i Valors (SEC) on revelava un incident intern relacionat amb informació sensible de clients mitjançant una aplicació d'IA no autoritzada. Va ser el primer 8-K conegut presentat en resposta a l'ús d'IA a l'ombra.

4. Complicacions legals: Enganxar informació confidencial en un xatbot de consum pot posar en perill la protecció de secrets comercials d'una empresa. En una decisió de l'abril de 2026, un jutge federal de Califòrnia va desestimar una demanda per secrets comercials «amb prejudici» perquè el demandant havia desenvolupat el material amb ChatGPT i no havia pres mesures raonables per mantenir-lo confidencial. En una sentència separada, un tribunal va concloure que els registres de xat d'IA personals d'un demandat no estaven protegits pel privilegi d'advocat-client ni per la doctrina del producte del treball, la qual cosa els feia accessibles en el procés de descobriment judicial.

5. Privadesa: Un bot de reunió pot gravar persones sense el seu permís o coneixement. Un cas davant del Tribunal de Districte dels EUA contra Otter.ai qüestiona si un sistema de presa de notes automàtic pot gravar participants sense el consentiment de totes les parts, i si Otter pot utilitzar les converses per entrenar el seu model. Per separat, el 2024, l'investigador Alex Bilzerian va declarar a The Washington Post que va abandonar un acord després que Otter li enviés per correu electrònic la transcripció completa d'una reunió de la qual ja havia marxat, en la qual els inversors discutien passos estratègics falsos i mètriques manipulades.

Amplia

Per què fracassen les prohibicions

Hi ha empreses que han prohibit productes d'IA específics i després han fet marxa enrere.

• Samsung va prohibir les eines d'IA generativa el 2023 i va adoptar ChatGPT, Gemini i Claude a tota l'empresa el 2026.
• Citigroup va restringir ChatGPT el 2023 i va desplegar les seves pròpies eines d'IA als empleats el 2024.
• Després que Itàlia bloquegés ChatGPT el 2023, la producció dels desenvolupadors de programari italians va caure aproximadament a la meitat durant dos dies i després es va recuperar, mentre que les descàrregues d'eines per saltar-se el bloqueig van augmentar bruscament, segons van descobrir dos economistes en un document de treball.
• A Reddit, un professional de seguretat de xarxes va escriure que després que l'empresa on treballava bloquegés ChatGPT, els empleats van canviar a les funcions d'IA de les aplicacions corporatives aprovades, les quals no es podien desactivar.

Les prohibicions sovint desplacen la feina a altres llocs en lloc de detener l'ús no autoritzat de la IA.

• En una enquesta de KPMG, el 67% dels empleats que prohibeixen les eines d'IA públiques van afirmar haver introduït material sensible o protegit per drets d'autor en una eina, en comparació amb el 33% a les organitzacions sense cap política formal.
• El bloqueig agressiu desplaça l'ús de la IA cap a dispositius personals i limita el que l'organització pot veure, segons la recerca.
• Una captura de pantalla o foto d'una pàgina web pot vèncer els controls basats en fitxers.

Com acabar amb les alternatives d'IA a l'ombra

Les empreses amb menys IA a l'ombra fan que la via autoritzada sigui la més fàcil. Les polítiques d'ús d'IA efectives, la formació contínua en alfabetització en IA, les salvaguardes tècniques i la rendició de comptes humana són la base. Quatre pràctiques van més enllà:

• Trieu l'eina que els empleats haurien escollit de totes maneres. Una enquesta de Recon Analytics va revelar que el 68% dels empleats als quals només se'ls va donar Copilot el van nomenar com la seva eina d'IA principal, en comparació amb el 8% quan se'ls van donar tres eines principals. Moderna va comparar el seu propi assistent amb Copilot i ChatGPT Enterprise en proves d'usuari, i després va triar el que els empleats van valorar més alt.
• Subministreu l'alternativa abans de restringir l'alternativa. Un estudi australià sobre professionals d'infraestructures crítiques va revelar que diverses organitzacions van bloquejar eines d'IA públiques només després de començar a oferir l'opció autoritzada, un enfocament que els autors van anomenar «primer la substitució». «Si no els doneu les eines, trobaran la manera d'aconseguir-les», va dir un participant. Netskope Threat Labs, la branca de recerca del proveïdor de seguretat al núvol, va informar que l'ús de comptes d'IA personals entre els seus clients de serveis financers va caure del 76% al 36% amb les solucions oficials, mentre que l'ús aprovat va pujar del 33% al 79%.
• Oferiu una gamma d'opcions de formació a mida. En la prova pilot de Copilot del govern australià, tres quartes parts de les persones que van rebre tres o més formes de formació tenien confiança en l'ús de l'eina, 28 punts percentuals per damunt dels que en van rebre una. Una enquesta de BCG va revelar que el 18% dels empleats que no van rebre cap formació eren usuaris habituals d'IA, en comparació amb el 82% dels que van rebre de cinc a deu hores d'instrucció, sessions presencials i coaching. Només el 36% dels empleats van declarar estar satisfets amb la seva formació en IA, qualificant-la de massa curta o superficial.
• Comenceu per les persones que ja volen una eina. Peter Tucker, en aquell moment director de IT d'IK Partners, una empresa de capital privat de 250 persones, va utilitzar una estratègia impulsada per la demanda sense cap mandat per arribar a 190 usuaris de ChatGPT Enterprise. Va començar amb 20 voluntaris, que es van convertir en defensors interns quan van veure com els podia estalviar temps. Va construir connectors amb les eines amb les quals la gent ja treballava, com ara Exchange, Egnyte i Notion. I va dur a terme sessions voluntàries amb un científic de dades a les quals van assistir 120 dels 250 empleats de l'empresa. BBVA va passar de 3.300 llicències a 11.000 amb formació per a 250 líders, inclòs el seu conseller delegat, presentant l'eina de l'empresa com una alternativa més segura a la IA a l'ombra.

Conclusió

Quan els empleats s'塩n 盐 saltant les eines que la seva empresa els proporciona, posen de manifest exactament en què fallen aquestes eines. Bloquejar-les amaga aquesta informació. Les empreses amb menys ús d'IA a l'ombra subministren una bona eina, trien la que els empleats haurien escollit de totes maneres i tracten qualsevol ús a l'ombra restant com una llista de funcions que encara falten.

Com pot ajudar Perplexity

Perplexity Enterprise ofereix a les empreses una eina segura que els empleats trien per mèrits propis, amb inici de sessió amb el compte de treball que els administradors poden fer complir; permisos basats en rols perquè cadascú vegi només el que IT permet; registre d'auditoria de les entrades d'usuari, els passos dels agents i les respostes; informació de l'empresa que mai s'utilitza per entrenar models d'IA; i enllaços a les fonts en cada resposta perquè qualsevol pugui verificar un fet abans de passar-lo a un client. I el navegador Comet for Enterprise segueix els estàndards de seguretat i els controls que l'empresa ja té implementats.

Preguntes freqüents

Com puc saber si estic utilitzant IA a l'ombra sense pretendre-ho?

Comproveu si una eina d'IA figura a la llista aprovada de l'empresa. Les extensions de navegador, les eines de presa de notes i les funcions d'IA automàtiques compten, i la majoria de les persones que incompleixen la política no se n'adonen mai.

Què he de fer si he enganxat informació sensible en una eina d'IA personal?

Expliqueu-ho a algú de l'equip de IT o de seguretat el mateix dia, i concreteu exactament què s'ha compartit. Les empreses i els tribunals han tractat la revelació ràpida i voluntària de manera diferent a l'ocultació, i el dany pràctic sol dependre de la rapidesa amb què es pugui revocar l'accés i canviar les credencials.

I si un company de feina porta un assistent d'IA a una reunió?

Pregunteu abans que comenci la conversa, perquè l'elecció d'un participant grava tothom. Les normes de consentiment de gravació varien segons l'estat i cobreixen totes les persones d'una trucada, no només l'amfitrió, així que parleu aviat o demaneu que les parts sensibles no siguin transcrits.

Proporcionar una eina d'IA aprovada fa desaparèixer la IA a l'ombra?

No, i pocs estudis fiables mesuren directament l'ús abans i després del llançament d'una eina aprovada. Les eines sancionades efectives eliminen un dels motius principals per recórrer a mitjans externs, però una part de la gent sempre continuarà utilitzant ambdues opcions, i val la pena prestar atenció a aquest senyal en lloc de castigar-lo.

Com pot un gestor distingir un problema de disciplina d'un problema d'eines?

Mireu a què recorren i per què. Si l'alternativa estalvia temps real, revela què li falta a l'eina aprovada. La resposta més pràctica és solucionar la mancances. L'ocultació sol indicar por a les conseqüències, no mala intenció.