Shadow AI: por qué la IA está trayendo de vuelta el problema del héroe y cómo BPM lo resuelve
La shadow AI (IA en la sombra) es el uso de herramientas personales de IA, prompts y automatizaciones fuera de los procesos y la gobernanza de una empresa. La shadow AI recrea el "problema del héroe": el conocimiento práctico se concentra en unas pocas personas en lugar de en la organización. La respuesta no es prohibir la IA. La respuesta es trasladar el conocimiento práctico de IA a los procesos de negocio como activos versionados, aprobados y auditables.
Durante unos veinte años, he visto a la comunidad de gestión de procesos resolver uno de los problemas más antiguos de las organizaciones. Hoy veo que ese problema vuelve a entrar por una nueva puerta. Este artículo explica por qué, qué está en juego y cómo el software BPM —incluido lo que estamos preparando en la próxima versión de HEFLO— puede cerrar esa puerta sin ralentizar a las personas que la abrieron.
¿Qué es la shadow AI?
La shadow AI es cualquier uso de inteligencia artificial en el trabajo que ocurre fuera de las herramientas, procesos y controles autorizados por la organización. La shadow AI incluye una cuenta personal de ChatGPT de un analista, un GPT personalizado creado por un gerente de ventas, una biblioteca de prompts guardada en una aplicación privada de notas o un script que llama a un modelo de IA con datos de la empresa.
La shadow AI no es lo mismo que la TI en la sombra. La TI en la sombra trata sobre software no aprobado. La shadow AI trata sobre razonamiento no aprobado: las decisiones, juicios y técnicas que una herramienta de IA aplica en nombre de alguien.
La escala es real. El Índice de Tendencias Laborales 2024 de Microsoft y LinkedIn, basado en 31.000 trabajadores del conocimiento de 31 países, descubrió que el 78% de los usuarios de IA llevan sus propias herramientas de IA al trabajo (Microsoft, mayo de 2024).
En resumen, la shadow AI no es un comportamiento marginal: es la forma en que la mayoría de los trabajadores del conocimiento adoptaron la IA en primer lugar.
¿Cómo resolvió BPM el “problema del héroe” durante los últimos 20 años?
El problema del héroe es simple. En muchas organizaciones, el conocimiento crítico vive en la cabeza de una sola persona. Esa persona sabe cómo se gestiona la excepción, qué cliente recibe un trato especial y qué proveedor necesita una segunda revisión. La organización se vuelve rehén de esa persona.
Durante las últimas dos décadas, el movimiento BPM —asociaciones profesionales, organismos de certificación, consultores y proveedores de software BPM— trabajó con paciencia en este problema. El método consistió en transferir el conocimiento tácito de las personas a procesos explícitos:
- Modelar el proceso en una notación compartida como BPMN 2.0.
- Documentar las reglas que antes vivían en la memoria de alguien.
- Automatizar el flujo para que el proceso se ejecute de la misma manera cada vez.
- Medir y mejorar el proceso en lugar de depender de la memoria individual.
El resultado fue un cambio cultural. La persona no dejó de ser importante. La persona dejó de ser indispensable. La inteligencia se trasladó al proceso, donde toda la organización podía verla, auditarla y mejorarla.
Dicho de otro modo, el mayor logro de BPM no fue la automatización: fue trasladar el conocimiento organizacional de los individuos a los procesos.
¿Por qué la IA está trayendo de vuelta el problema del héroe?
Los primeros adoptantes de la IA están logrando resultados reales. Escriben mejores propuestas, clasifican solicitudes más rápido y analizan documentos en minutos. Toda organización debería querer más personas como ellos.
El problema es dónde reside el conocimiento práctico. La técnica del primer adoptante vive en prompts personales, asistentes personalizados privados y automatizaciones que solo esa persona entiende. El diagrama del proceso todavía muestra "Analizar solicitud". El trabajo real ocurre en una pestaña del navegador que la organización no puede ver.
Este es nuevamente el problema del héroe, en una forma más marcada. El antiguo héroe llevaba el conocimiento en su cabeza. El nuevo héroe lleva el conocimiento en su cabeza y en un conjunto de herramientas de IA que ejecutan parte del trabajo. Cuando el nuevo héroe se va, la organización pierde tanto el conocimiento como la maquinaria.
El Work Trend Index también encontró que el 52% de los usuarios de IA son reacios a admitir que usan IA para sus tareas más importantes (Microsoft, mayo de 2024). El conocimiento práctico invisible no se puede gobernar, compartir ni mejorar.
¿Por qué la shadow AI es más riesgosa que el antiguo silo de conocimiento?
La shadow AI es más riesgosa que el antiguo silo de conocimiento porque combina la dependencia de individuos con la ejecución fuera de cualquier control. La siguiente tabla compara tres eras del conocimiento organizacional.
| Dimensión | La era del héroe | La era de la shadow AI | La IA dentro del proceso |
|---|---|---|---|
| Dónde reside el conocimiento práctico | En la cabeza de una persona | En los prompts, asistentes y scripts de una persona | En habilidades y agentes aprobados vinculados a tareas del proceso |
| Qué se va cuando la persona se va | El conocimiento | El conocimiento y las herramientas que lo ejecutan | Nada — la propiedad se transfiere |
| Consistencia | Depende de la persona | Depende de la persona y del prompt del día | La misma versión aprobada para cada caso |
| Auditabilidad | Baja | Muy baja — no hay registro de lo que hizo la IA | Cada ejecución queda registrada con la versión utilizada |
| Exposición de datos | Limitada a lo que la persona sabe | Datos de la empresa enviados a herramientas fuera de la gobernanza | Los agentes solo ven los campos que el proceso permite |
| Mejora | Informal | Privada e invisible | Medida revisión por revisión |
Los datos de seguridad confirman el riesgo. El informe Cost of a Data Breach Report 2026 de IBM reveló que los incidentes relacionados con la shadow AI se duplicaron con creces en un año, del 20% al 43% (IBM, julio de 2026).
En definitiva, la shadow AI concentra tanto el conocimiento práctico como el riesgo en lugares que la organización no puede ver.
¿Deberían las empresas prohibir las herramientas personales de IA?
No. Prohibir las herramientas personales de IA castiga a las personas que están creando el mayor valor, y rara vez funciona. Los primeros adoptantes de IA son, en la práctica, los nuevos diseñadores de procesos. Están descubriendo mejores maneras de realizar el trabajo.
El argumento más sólido a favor del primer adoptante merece ser expresado con claridad. El primer adoptante no esperó permiso porque la organización no ofrecía una alternativa gobernada. Los prompts del primer adoptante suelen ser mejores que cualquier procedimiento oficial. Tratar a esa persona como un problema de cumplimiento desperdicia la mejor fuente de mejora de la organización.
El objetivo correcto es capturar, no castigar. La organización debería aprovechar lo que los primeros adoptantes construyeron, convertirlo en activos compartidos y devolverlo a todos, con los controles que las herramientas personales no pueden proporcionar.
¿Cómo trasladar los conocimientos de IA de las personas a los procesos?
Trasladar los conocimientos de IA a los procesos sigue la misma lógica que BPM aplicó al conocimiento tácito, adaptada a la IA. Lo llamamos el marco de Héroe a Proceso, en cinco pasos:
- Descubrir. Mapear dónde ya se utiliza la IA en cada proceso: qué tareas, qué personas, qué prompts, qué datos.
- Codificar. Convertir las mejores técnicas en habilidades escritas — manuales y políticas que un agente de IA pueda leer — bajo la responsabilidad de una persona designada.
- Vincular. Asociar agentes de IA a tareas específicas en el modelo BPMN, con límites explícitos sobre lo que el agente puede leer, escribir y gastar.
- Gobernar. Versionar cada agente, habilidad e integración, y exigir la aprobación de alguien que no sea el autor antes de que una versión se ejecute.
- Mejorar. Medir cada revisión con datos de ejecución y comentarios humanos, y publicar una versión mejorada en lugar de editar la existente.
El marco convierte el talento individual en IA en una capacidad organizativa. El usuario pionero se convierte en el autor de una habilidad que sirve a toda la empresa.
En la práctica, el marco de Héroe a Proceso aplica a la IA la disciplina original de BPM: hacer que el conocimiento sea explícito, tenga un responsable y sea medible.
¿Qué funciones avanzadas debería ofrecer el software BPM para gobernar la IA?
Gobernar la IA requiere funciones avanzadas que van más allá de una ventana de chat añadida a un modelador. Una plataforma BPM preparada para la IA debería ofrecer al menos siete capacidades:
- Agentes de proceso con límites — un límite máximo sobre el efecto (lectura, escritura reversible, escritura irreversible), sobre el coste y sobre la duración por ejecución.
- Habilidades como activos versionados — conocimiento escrito una vez, con propietario, aprobado y reutilizado por muchos agentes.
- Vinculación a nivel de tarea — el agente trabaja en una tarea BPMN específica y ve solo los campos que esa tarea permite.
- Humano en el circuito por diseño — los valores escritos por la IA permanecen pendientes hasta que una persona los confirma; las acciones irreversibles esperan una confirmación explícita.
- Integraciones aprobadas — toda herramienta o conector que un agente pueda invocar se revisa y aprueba, incluidas las herramientas de servidores MCP externos.
- Una pista de auditoría completa — cada acción de la IA registrada con actor, versión, efecto y resultado.
- Un ciclo de retroalimentación — valoraciones, escalaciones y correcciones convertidas en acciones de mejora.
Estas funciones avanzadas de automatización son las que separan la automatización de procesos gobernada de una colección de experimentos personales con IA.
Por eso, en la era de la IA, "funciones avanzadas de BPM" significa funciones de gobernanza — límites, versiones, aprobaciones y auditoría — no solo más IA.
¿Qué son las habilidades de agente y por qué conservan el conocimiento práctico?
Una habilidad de agente es una guía escrita que un agente de IA lee antes de realizar un tipo de trabajo: cómo clasificar una solicitud de soporte, cómo verificar una factura contra un pedido, qué política de compras se aplica. Una habilidad es la técnica del adoptante temprano convertida en un activo organizacional.
Las habilidades conservan el conocimiento práctico por tres razones:
- Las habilidades están separadas de cualquier agente individual. Un cambio en una habilidad llega a todos los agentes que la utilizan.
- Las habilidades tienen propietarios y versiones. El autor de una habilidad puede irse; la habilidad permanece, con su historial.
- Las habilidades se pueden medir. Cada revisión se puede comparar con la anterior en ejecuciones reales.
En el próximo lanzamiento de HEFLO, las habilidades vienen en dos tipos. Una política es una regla que se aplica a un alcance: un entorno, una organización, un proceso, un agente o un participante. Una competencia es algo que un agente sabe hacer y lleva consigo. Cada habilidad tiene una línea de índice que le indica al agente cuándo leerla, contenido en Markdown, una nota de cambio y un ciclo de aprobación.
¿Cómo se obtiene trazabilidad sobre el uso de la IA?
Para obtener trazabilidad, cada acción de la IA debe registrarse en la instancia del proceso donde ocurrió, con la versión exacta del agente que actuó. La gobernanza y la trazabilidad deben formar parte de la plataforma de procesos, no ser un proyecto de monitoreo separado.
Una configuración de IA trazable responde cuatro preguntas para cualquier instancia de proceso:
- ¿Quién actuó? Una persona, un agente o el sistema.
- ¿Con qué versión? La revisión aprobada exacta del agente y sus habilidades.
- ¿Cuál fue el efecto? Solo lectura, un cambio reversible pendiente de confirmación o una acción irreversible confirmada por una persona.
- ¿Cuál fue el costo? Los recursos consumidos por cada paso.
En el área de gobernanza de HEFLO AI, el Rastro de Instancia muestra estas respuestas línea por línea para cualquier número de instancia. Los administradores y auditores también pueden revisar el uso por agente, excepciones como autoaprobaciones o acciones rechazadas, y cada cambio en la configuración de la IA.
¿Cómo ayuda la IA gobernada al cumplimiento?
La IA gobernada ayuda al cumplimiento produciendo evidencias, no promesas. La gobernanza y el cumplimiento dependen de poder mostrar a reguladores, auditores y clientes qué hizo un sistema de IA y quién lo autorizó.
Un enfoque basado en procesos produce esas evidencias como subproducto del trabajo normal:
- Separación de funciones. En HEFLO AI, quien haya escrito o enviado una versión no puede ser su único aprobador, a menos que la organización lo configure explícitamente; una autoaprobación por parte de un único administrador requiere una justificación y aparece en el informe de excepciones.
- Registros de auditoría exportables. El registro de auditoría de IA puede exportarse en CSV o JSON Lines; la exportación nunca contiene transcripciones, valores de campos ni claves.
- Retención controlada. La retención de transcripciones puede configurarse entre 30 y 365 días, y cambiarla requiere la aprobación de otro administrador.
- Acceso de auditor con límite de tiempo. Los auditores obtienen acceso de solo lectura con una fecha de expiración y verificación obligatoria en dos pasos.
Los marcos regulatorios, como la Ley de IA de la UE (Reglamento (UE) 2024/1689) y el RGPD, elevan el nivel de exigencia en materia de documentación y supervisión. Este artículo no constituye asesoramiento legal; cada organización debe mapear sus propias obligaciones con asesores cualificados.
En pocas palabras, el cumplimiento para la IA es mucho más sencillo cuando la plataforma de procesos registra aprobaciones, versiones y acciones de forma predeterminada.
¿Dónde encaja MCP en una estrategia de IA gobernada?
El Protocolo de Contexto de Modelo (MCP) es un estándar abierto que permite que los asistentes y agentes de IA se conecten a sistemas externos a través de una interfaz común. MCP es importante para la shadow AI en dos direcciones.
Entrante: asistentes externos que actúan sobre la plataforma de procesos. En la próxima versión de HEFLO, un administrador podrá activar un servidor MCP para que Claude, ChatGPT, Mistral u otro cliente MCP pueda trabajar con HEFLO. El asistente actúa con los permisos propios de la persona, y las acciones que no se pueden deshacer —como publicar un proceso— requieren confirmación dentro de HEFLO. El servidor MCP está desactivado de forma predeterminada.
Saliente: sistemas externos que se convierten en herramientas de agentes. Un administrador puede registrar un servidor MCP externo, como un CRM, e importar sus herramientas como conectores de agentes. Cada conector lleva un efecto analizado y debe aprobarse antes de que cualquier agente pueda invocarlo.
Este es el puente entre la IA personal y la IA gobernada. Las personas conservan los asistentes que les gustan. La organización mantiene el control sobre lo que esos asistentes pueden tocar.
En otras palabras, MCP permite que las organizaciones den la bienvenida a las herramientas de IA que las personas ya usan, bajo las condiciones de la plataforma de procesos.
¿Qué aportará HEFLO AI a sus procesos?
HEFLO AI se encuentra actualmente en vista previa antes de su lanzamiento. HEFLO AI pone la inteligencia artificial a trabajar dentro de los procesos de negocio: agentes de proceso que realizan tareas o ayudan con ellas, un chat de IA que acompaña al usuario por las páginas, un asistente que modela procesos en el editor y una conexión MCP para asistentes de IA externos. Cada acción que realiza un agente está gobernada, auditada y medida en créditos de IA.
Los bloques de construcción se asignan directamente al marco Hero-to-Process:
| Paso del marco | Bloque de construcción de HEFLO AI |
|---|---|
| Codificar | Habilidades (políticas y competencias), versionadas y con propietario |
| Vincular | Vinculación de agente en una tarea de usuario BPMN: instrucción, campos legibles, campos editables, conectores y presupuesto |
| Gobernar | Aprobación de cada nueva versión de un agente, conector o habilidad antes de que se ejecute |
| Gobernar | Techo de efecto, límites por ejecución y modos (ejecutor, asistente, delegable) |
| Mejorar | Informe de impacto por versión de agente, historial de revisiones por habilidad y una vista de Mejoras |
Tres decisiones de diseño en HEFLO AI hablan directamente del problema del héroe:
- Una vinculación solo puede restringir, nunca ampliar. Un agente vinculado a una tarea nunca puede hacer más de lo que permite su versión aprobada.
- Nada se ejecuta sin aprobación. Cada nueva versión de un agente, conector o habilidad se aprueba antes de ejecutarse, y una versión aprobada nunca cambia; un cambio se convierte en una nueva versión.
- La propiedad sobrevive a las personas. Cuando el propietario de un agente se va o pierde el acceso, el agente sigue funcionando, y los administradores transfieren la propiedad desde una vista dedicada en lugar de perder el activo.
El efecto neto: en HEFLO AI, el conocimiento práctico del adoptante temprano se convierte en una habilidad versionada, el agente se convierte en un participante del proceso y la propiedad pertenece a la organización.
¿Cómo están abordando otros proveedores de BPM la gobernanza de la IA?
Todos los proveedores serios de BPM y de orquestación de procesos coinciden ahora en que la IA debe formar parte de procesos gobernados. Cada uno aporta fortalezas reales:
- Camunda ofrece orquestación agéntica basada en BPMN para arquitecturas lideradas por desarrolladores y agnósticas respecto al proveedor.
- Appian incorpora agentes en los procesos con un fuerte enfoque en cargas de trabajo reguladas y críticas para la misión.
- Pega combina capacidades agénticas con una profunda gestión de casos y toma de decisiones.
- SAP Signavio conecta la inteligencia de procesos con agentes conversacionales para empresas centradas en SAP.
- Bizagi ofrece agentes de IA configurados en lenguaje natural sobre una base BPMN 2.0.
- Ofelia (anteriormente Bonitasoft) ha lanzado una oferta de orquestación de IA agéntica gobernada con aprobación humana integrada en el flujo, junto con Bonita BPM.
Las diferencias radican en el modelo de implementación, el ajuste al ecosistema, el esfuerzo de implementación y el costo. El enfoque de HEFLO es una aproximación low-code y nativa en la nube, en la que los equipos de negocio pueden modelar, automatizar y gobernar la IA en el mismo entorno, sin un proyecto de ingeniería separado.
La IA gobernada dentro de los procesos se está convirtiendo en el estándar del mercado; la elección depende del ajuste, el esfuerzo y el costo.
¿Está en riesgo el conocimiento de IA de tu organización? Una autoevaluación de 10 preguntas
Responde sí o no. Cada "no" marca un punto en el que el conocimiento de IA puede estar escapando de tus procesos.
- ¿Sabes qué tareas de proceso ya se realizan con ayuda de IA?
- ¿Sabes qué herramientas y cuentas de IA se utilizan para esas tareas?
- ¿Están documentadas en algún lugar propiedad de la empresa tus mejores técnicas de IA?
- ¿Cada técnica de IA tiene un responsable designado?
- ¿Sobreviviría la técnica si su autor se fuera mañana?
- ¿Cada cambio en una técnica de IA pasa por alguien que no sea su autor?
- ¿Puedes saber, para un caso determinado, qué hizo una IA y con qué versión?
- ¿Los valores escritos por IA esperan la confirmación humana antes de darse por válidos?
- ¿Se revisan las integraciones de IA con otros sistemas antes de usarse?
- ¿Mides si una nueva versión de una técnica de IA funciona mejor que la anterior?
Siete o más respuestas "no" indican que la organización depende de héroes de IA. El marco de Héroe a Proceso es un punto de partida práctico.
Devuelve la inteligencia al proceso
La comunidad BPM pasó veinte años enseñando a las organizaciones una lección simple: las personas son esenciales, pero ninguna persona debería ser indispensable. La IA no cambia esa lección. La IA la vuelve urgente otra vez.
Las organizaciones que triunfen con la IA no serán las que tengan los mejores ingenieros de prompts. Las organizaciones que triunfen con la IA serán aquellas cuyos prompts, habilidades y agentes vivan en sus procesos: versionados, aprobados, trazables y mejorados por todos. La gobernanza y la trazabilidad no son obstáculos para la adopción de la IA; son lo que hace que la adopción de la IA perdure.
Eso es lo que estamos incorporando en la próxima versión de HEFLO. Espero compartir más a medida que nos acerquemos al lanzamiento.
Preguntas frecuentes
¿Qué es la shadow AI?
La shadow AI es el uso de herramientas, prompts o automatizaciones de IA en el trabajo fuera de las herramientas, procesos y controles aprobados por la organización. La shadow AI incluye cuentas personales de chatbots, asistentes personalizados privados y scripts que envían datos de la empresa a modelos de IA sin supervisión.
¿Por qué la shadow AI es un riesgo para las empresas?
La shadow AI es un riesgo porque concentra el know-how en individuos y ejecuta trabajo fuera de cualquier rastro de auditoría. Cuando la persona se va, el conocimiento y las herramientas también se van. La shadow AI también puede exponer datos de la empresa a servicios fuera de la gobernanza.
¿Deberían las empresas prohibir ChatGPT y otras herramientas personales de IA en el trabajo?
Prohibir herramientas personales de IA suele ser contraproducente. Un mejor enfoque es capturar lo que construyeron los primeros usuarios, convertirlo en activos compartidos y gobernados, y conectar las herramientas que las personas prefieren con la plataforma de procesos bajo reglas claras.
¿Cómo puede una empresa capturar el know-how de IA de sus empleados?
Una empresa puede capturar el know-how de IA mapeando dónde se usa la IA, documentando las mejores técnicas como habilidades con propietario, vinculando agentes de IA a tareas específicas del proceso, aprobando cada versión y midiendo cada revisión. Este es el marco Hero-to-Process.
¿Qué es una habilidad de agente en un software BPM?
Una habilidad de agente es una guía escrita que un agente de IA lee antes de realizar un tipo de trabajo, como un manual de soporte o una política de compras. En un software BPM, una habilidad se versiona, tiene propietario y se aprueba, de modo que un cambio llega a todos los agentes que la usan.
¿Puede un software BPM gobernar agentes de IA y asistentes de IA?
Sí. Un software BPM puede vincular agentes de IA a tareas de proceso, limitar lo que leen y escriben, requerir confirmación humana para acciones sensibles, aprobar cada versión y registrar cada acción. A través de MCP, el software BPM también puede gobernar asistentes de IA externos que actúan en la plataforma.
¿Cuáles son las funciones avanzadas del software BPM para IA?
Las funciones avanzadas de BPM para IA incluyen agentes con límites de efecto y costo, habilidades versionadas, vinculación de agentes a tareas BPMN, confirmación humana, conectores aprobados y un rastro de auditoría completo.
¿Cómo rastrea HEFLO lo que hizo la IA en un proceso?
HEFLO AI registra cada paso de IA en la instancia del proceso en un Registro de instancia que muestra el actor, la versión del agente utilizada, el efecto, el resultado y los créditos consumidos. Los administradores y auditores también pueden revisar el uso por agente, las excepciones y los cambios de configuración. HEFLO AI está actualmente en vista previa.
¿Puedo conectar Claude o ChatGPT a HEFLO?
En el próximo lanzamiento de HEFLO, un administrador puede habilitar un servidor MCP que permite que Claude, ChatGPT, Mistral o cualquier otro cliente MCP se conecte a HEFLO. El asistente actúa con los permisos propios del usuario, y las acciones irreversibles requieren confirmación dentro de HEFLO.
¿Cómo garantizan la gobernanza y la trazabilidad de la IA en los procesos?
Para garantizar la gobernanza y la trazabilidad de la IA, los agentes de IA deben integrarse en los procesos: cada versión aprobada por otra persona, cada acción registrada con la versión utilizada y cada acción irreversible confirmada por un humano.
