Tiempo de lectura: 5 minutos
La adopción de la IA es nueva para todas las organizaciones. Nadie lleva diez años gobernándola, ni las grandes ni las pequeñas. Y aun así no todas parten del mismo sitio: algunas empiezan a usarla con orden y sin frenar a nadie, y otras van dando tumbos entre el «aquí no se toca» y el «cada uno con la suya».
Esa diferencia casi nunca está en la tecnología. Está en dos cosas que se pueden mirar por separado: cuánto se usa la IA y cuánto se gobierna. Al cruzarlas salen cuatro niveles, y cada uno pide un siguiente paso distinto.
- Por qué te importa: en tu organización la IA ya se usa (o se debería estar usando), y el gobierno que montes ahora decide si ese uso crece con orden, se esconde o se frena.
- Qué aporta este artículo: una matriz de uso frente a gobierno con cuatro niveles (sin gobierno ni adopción, adopción en la sombra, gobierno burocrático y gobierno alineado y ágil), por qué hay organizaciones que empiezan mejor que otras y cómo se pasa de un nivel a otro.
- Qué te llevas: las señales para saber en qué nivel estás, los pasos para llegar al gobierno alineado y ágil desde cada uno (qué se decide, con quién y qué se mide), un plan de seis semanas y los recursos gratuitos para empezar.
Por qué unas organizaciones empiezan mejor que otras en el gobierno de la IA
Si la IA es nueva para todos, ¿por qué unas aciertan antes? Porque gobernarla no exige tanto saber de IA como saber hacer cuatro cosas que algunas organizaciones ya practicaban antes de que llegara.
1. Madurez organizativa. Las que tienen claro quién decide qué, y lo tienen escrito, solo tienen que añadir la IA a ese mapa. Las que deciden por quién insiste más, o por quién está más arriba, repiten el patrón con la IA: cada área decide por su cuenta, o todo sube a dirección.
2. Ejecución de la estrategia. Si la empresa ya convierte su estrategia en objetivos que se revisan (con OKR o con otro sistema), la pregunta «¿para qué queremos la IA?» tiene dónde encajar. Si no, la IA se queda en una lista de herramientas y se mide por licencias, no por lo que cambia.
3. Gestión del cambio. La IA cambia la forma de trabajar de la gente: qué hace cada uno, qué revisa, qué deja de hacer. Las organizaciones que ya han pasado por otros cambios (una transformación ágil, un ERP nuevo) saben que formar, escuchar y ajustar lleva tiempo, y lo planifican. Las demás anuncian la herramienta y esperan que la gente la adopte sola.
4. Gestión de la tecnología. Saber qué herramientas hay, quién las aprueba, qué datos tocan y cómo se dan de baja. Quien ya tenía esto ordenado para el resto del software tiene medio inventario de IA hecho.
Nada de esto es nuevo, y por eso es una buena noticia: si a tu organización le falta alguna de las cuatro, se puede trabajar con lo que ya se sabe de agilidad, estrategia y cambio. Lo conté desde otro ángulo en La última milla de la adopción de la IA.
Los cuatro niveles del gobierno de la IA: uso frente a gobierno
La matriz cruza dos preguntas. Uso: ¿cuánta gente usa la IA en su trabajo, y para cuántas tareas? Gobierno: ¿está decidido qué se puede hacer, con qué herramientas y datos, quién responde y para qué objetivos? Ninguna de las dos es de sí o no, pero basta con situarse en «bajo» o «alto» para saber qué toca después.
Sin gobierno, sin adopción: «A la espera»
Nadie ha decidido nada y casi nadie la usa. A veces es prudencia; muchas veces es falta de tiempo, o que nadie sabe por dónde empezar.
Las señales: la IA aparece en las conversaciones pero no en los planes, no hay herramienta aprobada y nadie sabría decir quién responde si algo sale mal. No es el nivel más arriesgado, pero sí el más caro a medio plazo, porque la oportunidad pasa de largo. Y en cuanto alguien empiece por su cuenta, la organización pasará a la sombra sin haberlo decidido.
Sin gobierno, adopción en la sombra: «IA en la sombra»
La gente usa la IA, y mucho, pero cada uno con la suya. No es que las personas hagan nada malo: la usan porque les ahorra tiempo.
Los datos lo confirman. En el estudio de KPMG y la Universidad de Melbourne de 2025, con más de 48.000 personas de 47 países, el 57 % reconoce que esconde que usa la IA y presenta como propio lo que ha generado, y casi la mitad admite haber subido información sensible de su empresa a herramientas públicas (KPMG y Universidad de Melbourne, 2025).
Microsoft y LinkedIn ya lo veían en 2024: de cada cinco personas que usan IA en el trabajo, cuatro se traen su propia herramienta (Work Trend Index 2024).
Las señales: cuentas personales con datos de clientes, resultados que nadie sabe si son de una persona o de un chat, y equipos que repiten por su cuenta lo que ya resolvió otro. Los riesgos no se ven, y el aprendizaje tampoco: lo que funciona en un equipo no llega al de al lado.
Gobierno burocrático: «Burocracia»
Aquí sí se ha decidido, y mucho: una política de veinte páginas, una lista de herramientas prohibidas y un comité que aprueba cada uso. El resultado suele ser el contrario del que se buscaba: la IA apenas se usa, y lo que se usa, se usa a escondidas. O sea, vuelve la sombra, esta vez con mala conciencia.
Las señales: peticiones que tardan semanas en tener respuesta, la misma regla para resumir un acta que para decidir sobre un candidato, y un comité que se reúne más para decir que no que para aprender. Suele nacer de un buen motivo (un susto, una auditoría, el Reglamento europeo de IA) y de una mala costumbre: tratar todos los usos igual.
Gobierno alineado y ágil: «IA con rumbo»
Es el nivel al que conviene llegar. Los equipos usan la IA con agilidad, con reglas proporcionales al riesgo y con objetivos claros. Se reconoce porque el caso habitual no pide permiso y el caso arriesgado no pasa sin dueño.
Detrás hay cuatro piezas, y ninguna pesa más que las otras:
- Registro: qué usos hay, quién los usa, con qué herramienta y con qué datos.
- Riesgo: de qué nivel es cada uso y qué exige cada nivel.
- Valor: a qué objetivos de la organización contribuye la IA y cómo se mide. Con OKR es fácil, y es lo que trabajamos en Integra IA con resultados.
- Reglas y personas: una política corta que se entienda, quién decide qué y formación para todos.
Y una idea que lo cambia todo: el gobierno no solo controla, también habilita. Da una herramienta aprobada, formación y acuerdos de equipo para que quien quiera usar la IA pueda hacerlo bien desde el primer día. Lo desarrollé en Cómo la IA ayuda a un CTO, con el gobierno proporcional al riesgo en tres niveles.
Cómo se pasa de «A la espera» a la sombra o a la burocracia
Desde «A la espera» casi nadie salta directo al nivel alineado. Lo normal es pasar por uno de los dos niveles intermedios, y cuál depende de quién empuja primero.
Hacia la sombra, cuando empuja la gente. Alguien prueba una herramienta gratuita, le ahorra una hora y se lo cuenta a un compañero. En pocas semanas medio equipo la usa y nadie lo ha decidido. Es un paso adelante en uso y uno atrás en control, y ocurre solo con que la organización no haga nada.
Hacia la burocracia, cuando empuja el miedo. Dirección, legal o seguridad se adelantan con un susto en la cabeza: un dato filtrado en otra empresa, una noticia sobre el Reglamento. Se escribe una política larga y se crea un comité antes de que nadie haya usado la IA en serio. Hay control, pero sin uso no hay nada que aprender.
Ninguno de los dos es un fracaso. Son puntos de paso, y cada uno deja algo aprovechable: la sombra deja usos reales que ya funcionan, y la burocracia deja conciencia del riesgo y alguien que se ocupa. El error es quedarse ahí.
Lo vi hace un tiempo con un product owner que empezó a usar la IA para resumir textos y analizar datos, pero no se lo decía a los desarrolladores. Ellos empezaron a repasar por su cuenta esas historias de usuario, también con IA. Era la sombra a escala de un equipo: nadie hacía nada malo, pero crecían los recelos.
Lo primero fue una retrospectiva temática para acordar cómo usar la IA de forma transparente, y desde entonces revisar esos acuerdos es un punto fijo de las retrospectivas. De hecho, fue la semilla para empezar a hablar de gobierno de la IA con el CTO y con otros equipos. En Acuerdos de equipo para usar IA tienes los acuerdos con los que se suele empezar.
Cómo llegar al gobierno alineado y ágil desde cada nivel
Ahora, lo práctico. Desde los tres niveles el destino es el mismo, pero el primer movimiento cambia: desde la espera hay que empezar, desde la sombra hay que aflorar y desde la burocracia hay que aligerar.
Desde «A la espera»: empezar pequeño, con reglas desde el primer día
Es el único nivel desde el que se puede ir directo al alineado, porque no hay nada que deshacer.
- Elegir dos o tres usos de riesgo bajo que ahorren tiempo de forma evidente: redactar, resumir, preparar reuniones. Lo decide dirección con los responsables de las áreas que más lo van a notar.
- Dar una herramienta aprobada y una política de una página: qué se puede hacer, qué datos no entran nunca y a quién se pregunta. Puedes partir de la plantilla de política de uso de la IA.
- Formar a todo el mundo en lo básico, no solo a quien ya tiene ganas. El curso gratuito de Alfabetización en IA está pensado para eso.
- Conectar el primer uso con un objetivo que ya exista, y decidir antes de empezar qué se va a medir y cuándo se revisa.
Qué medir: cuántas personas usan la herramienta aprobada al cabo de un mes, y si los usos elegidos ahorran el tiempo que se esperaba. Si todavía no sabes por dónde empezar con tu equipo, Cómo preparar a tu equipo para comenzar con la IA y la plantilla Readiness para empezar con IA en tu equipo ayudan a elegir.
Desde la sombra: aflorar lo que ya se usa, sin buscar culpables
Aquí la mitad del trabajo ya está hecha, porque hay uso real. Lo que falta es verlo y ordenarlo.
- Hacer el inventario preguntando, no persiguiendo. Una encuesta corta y anónima, y una conversación con cada área: qué herramienta, para qué y con qué datos. Si se pregunta buscando culpables, nadie lo contará.
- Clasificar cada uso por riesgo. La mayoría saldrán de riesgo bajo, y eso ya es una buena noticia. Los de riesgo alto (datos de personas, decisiones sobre candidatos o clientes) se paran o se pasan a un canal aprobado esa misma semana.
- Dar una alternativa mejor que la cuenta personal: una herramienta corporativa, con los datos protegidos e igual de cómoda. Si la alternativa es peor, la sombra sigue.
- Convertir lo que funciona en estándar. Los usos que ya ahorran tiempo en un equipo se documentan y se comparten con el resto. Esa es la parte de habilitar.
- Acordar en cada equipo cómo se usa y revisarlo en las retrospectivas, como en el caso de arriba.
Qué medir: qué parte de los usos inventariados ya va por la herramienta aprobada, y cuántos usos de riesgo alto quedan sin dueño.
Desde la burocracia: aligerar sin perder lo aprendido
Aquí el riesgo ya está sobre la mesa. Lo que falta es que la IA se pueda usar.
- Reclasificar las normas por riesgo. Lo de riesgo bajo pasa a estar permitido por defecto, sin pedir permiso. Lo de riesgo medio lo revisa el propio equipo dentro de su flujo de trabajo. Solo el riesgo alto sigue pasando por el comité.
- Poner plazo a las respuestas. Toda petición tiene respuesta en una fecha conocida (p.e. una semana). Si el comité no llega, es señal de que revisa demasiadas cosas.
- Cambiar la pregunta del comité, de «¿lo permitimos?» a «¿qué aprendemos y qué escalamos?». Un comité que solo dice que no empuja a la gente a la sombra.
- Acortar la política hasta que lo del día a día quepa en una página, con el detalle legal aparte para quien lo necesite. Para la parte del Reglamento, el checklist del AI Act ayuda a separar lo obligatorio de lo que se añadió por precaución, y Legalidad de la IA en la empresa lo explica con más calma.
- Medir el tiempo de aprobación y el uso real de las herramientas aprobadas. Si el uso no sube, el gobierno sigue pesando demasiado.
Qué medir: los días que tarda una petición en tener respuesta, y cuántas peticiones de riesgo bajo siguen pasando por el comité (deberían ser cero).
Qué medir para saber en qué nivel estás (y si avanzas)
No hace falta un cuadro de mando complejo. Cinco preguntas bastan para situarte, y conviene repetirlas cada trimestre:
| Pregunta | Si la respuesta es «no» o «no lo sé» |
|---|---|
| ¿Sabes qué usos de IA hay y con qué datos? | Estás en la sombra o a la espera: falta el registro |
| ¿Los usos de riesgo bajo se pueden hacer sin pedir permiso? | Tu gobierno pesa demasiado: es burocrático |
| ¿Hay una herramienta aprobada que la gente prefiera a la suya? | La sombra sigue, aunque haya normas |
| ¿Cada uso importante está conectado con un objetivo de la organización? | Hay uso, pero sin rumbo: falta medir el valor |
| ¿Toda la plantilla ha recibido una formación básica? | El riesgo está en las personas |
Cada «sí» es un paso hacia el gobierno alineado y ágil.
Si quieres una primera foto en tres minutos, el autodiagnóstico gratuito de gobierno de la IA te la da.
Por dónde empezar: un plan de seis semanas
Sea cual sea tu nivel, las seis primeras semanas se parecen. Lo que cambia es dónde se pone el peso:
| Semanas | Qué se hace | Quién decide | Qué tienes al final |
|---|---|---|---|
| 1-2 | Inventario de usos (encuesta anónima y conversaciones por área) y clasificación por riesgo | Dirección, con una persona de tecnología y otra de RRHH o legal | Un registro con cada uso y su nivel de riesgo |
| 3 | Política de una página y herramienta aprobada para los usos de riesgo bajo | Dirección y tecnología | La política publicada y la herramienta disponible para todos |
| 4 | Dos o tres OKR de la IA conectados con objetivos que ya existen | Dirección, con los responsables de área | Para qué se usa la IA y cómo se va a medir |
| 5 | Formación básica para toda la plantilla y acuerdos de uso en cada equipo | RRHH y cada equipo | Personas formadas y acuerdos escritos |
| 6 | Primera revisión: qué se ha usado, qué ha funcionado y qué regla sobra | Un comité de IA pequeño | Ajustes a la política y fecha de la siguiente revisión trimestral |
Desde la sombra, las semanas 1 y 2 pesan más, porque hay mucho que aflorar. Desde la burocracia, la semana 3 es de quitar reglas, no de añadirlas. Y desde la espera, la semana 4 es la que evita que la IA se quede en una herramienta sin rumbo.
Los costes y los límites: esto no sustituye un análisis legal cuando hay usos de alto riesgo, y la primera revisión casi siempre descubre una regla que sobra o un uso que nadie había contado. Es parte del método, no un fallo.
En mi propia web lo aplico a pequeña escala. La desarrollo yo solo, con agentes de IA, y también he tenido que decidir qué pueden hacer solos y qué no: el agente que revisa la calidad cada noche propone los arreglos, pero solo los aplica cuando yo apruebo el cambio. Es el mismo semáforo, a escala de una persona.
Preguntas frecuentes
¿Cuáles son los niveles del gobierno de la IA en una empresa?
Si se cruza cuánto se usa la IA con cuánto se gobierna, salen cuatro niveles: sin gobierno ni adopción (a la espera), adopción en la sombra (cada uno usa la suya, sin reglas), gobierno burocrático (muchas normas y poco uso) y gobierno alineado y ágil (uso amplio, con reglas según el riesgo y objetivos claros). El último es al que conviene llegar.
¿Qué es la IA en la sombra (shadow AI)?
Es el uso de herramientas de IA en el trabajo sin que la organización lo sepa ni lo haya decidido: cuentas personales, datos de la empresa en herramientas públicas y resultados que nadie sabe de dónde salen. Aparece porque la IA ahorra tiempo y no hay una alternativa aprobada. Se corrige aflorando los usos sin buscar culpables y dando una herramienta corporativa igual de cómoda.
¿Cómo evitar que el gobierno de la IA se convierta en burocracia?
Con reglas proporcionales al riesgo: los usos de riesgo bajo, permitidos por defecto con una política de una página; los de riesgo medio, revisados dentro del flujo de trabajo; y solo los de riesgo alto, por un comité. Ayuda poner plazo a las respuestas y medir el tiempo de aprobación y el uso real de las herramientas aprobadas.
¿Por qué unas empresas gobiernan mejor la IA que otras?
Porque gobernar la IA se apoya en capacidades que algunas ya tenían: claridad sobre quién decide qué, una estrategia que se ejecuta con objetivos que se revisan, experiencia en gestión del cambio y la tecnología bien inventariada. Quien las tiene añade la IA a lo que ya funciona; quien no, tiene que construirlas a la vez.
¿Por dónde empezar a gobernar la IA si todavía no se usa?
Por dos o tres usos de riesgo bajo que ahorren tiempo de forma evidente, una herramienta aprobada, una política de una página y una formación básica para todos. Y conectando el primer uso con un objetivo que ya exista, para que la IA tenga rumbo desde el principio.
Recursos relacionados
- Autodiagnóstico de gobierno de la IA (gratis)
- Política de uso de la IA en la empresa (plantilla)
- Checklist de preparación para el AI Act
- 7 preguntas que un directivo debería hacerse sobre la IA
- Cómo la IA ayuda a un CTO
- Acuerdos de equipo para usar IA
- IA sin gobernanza es un riesgo: cómo Scrum y OKR amplifican (y protegen) tu IA