Disclaimer: This is guidance only, not legal advice. Consult qualified legal counsel before adopting this framework. | Este documento es solo orientativo, no constituye asesoramiento jurídico.

Shadow AI Detection Checklist

Document Reference: [ORG-CHECK-AI-002] Version: 1.0 Effective Date: [DATE] Owner: AI Officer / CISO Classification: Internal — Restricted

Part 1: Understanding Shadow AI

1.1 What Is Shadow AI?

Shadow AI refers to the use of artificial intelligence tools and services by employees or teams within an organisation without the knowledge, approval, or oversight of IT, security, or governance functions.

Shadow AI is distinct from:

Approved AI tools — formally assessed and registered tools
Experimental AI — tools being evaluated through formal processes
Legacy automation — rule-based automation systems predating the AI era

Shadow AI typically arises when:

Employees discover AI tools that solve genuine productivity problems
The formal AI approval process is perceived as too slow or burdensome
Employees are unaware of the policy requirement to seek approval
Business pressure incentivises speed over compliance
Consumer AI tools are so accessible and free that the barrier to use is essentially zero

1.2 Why Shadow AI Is a Material Risk

Risk Category	Specific Risks
Data Protection (GDPR)	Personal data entered into unapproved tools with no DPA; data processed outside EU/EEA without adequate safeguards; accidental disclosure to AI model training datasets
EU AI Act Compliance	Organisation may be using high-risk AI systems without required assessments, documentation, or human oversight
Confidentiality	Proprietary business information, client data, trade secrets uploaded to third-party AI tools with unknown retention and training policies
Legal Liability	AI-generated content used without review may be defamatory, infringe IP rights, or be factually incorrect — liability falls on the organisation
Security	Unapproved tools may have poor security posture; credentials may be entered in prompts; API keys may be exposed
Reputational	Client data processed without authorisation; public-facing AI outputs not meeting quality or accuracy standards
Operational	Undocumented AI dependencies; “key person” risk when only one employee knows an AI workflow; decisions made on unchecked AI output
Contractual	Terms of service of consumer AI tools often prohibit commercial use; IP ownership of AI-generated content may be unclear or vest in the provider

1.3 Common Shadow AI Examples Seen in Organisations

Employees using ChatGPT (free/personal) to draft client proposals, summarise contracts, or analyse data
Developers using AI coding assistants (personal subscriptions) that process internal codebase
HR using AI screening tools found online to filter CVs without formal procurement
Marketing using personal Midjourney/DALL-E accounts for campaign imagery
Finance using AI analytics tools to process financial data without IT knowledge
Employees using AI meeting summary tools (personal accounts) to transcribe sensitive meetings
Customer service using AI chatbot builders to create unofficial customer-facing bots
Project managers using AI workflow tools that integrate with corporate systems via personal OAuth connections

Part 2: Detection Methods

2.1 Technical Detection Methods

Use the following technical approaches to identify shadow AI use. Assign ownership and frequency before commencing.

Network and Traffic Analysis

Check	Method	Frequency	Owner
DNS query logs — identify requests to known AI domains (see Annex A)	Review firewall/DNS logs for domains in Annex A	Weekly	IT/CISO
HTTPS inspection for AI API calls	Configure SSL inspection appliance to flag AI API endpoints	Continuous	IT/CISO
Bandwidth usage spikes from individual workstations	Analyse per-device bandwidth to identify large uploads to AI services	Weekly	IT
Browser extension inventory	Audit installed browser extensions across managed devices; flag AI assistants	Monthly	IT
SaaS application discovery	Use CASB (Cloud Access Security Broker) or equivalent to identify SaaS connections	Continuous	CISO
OAuth authorisation review	Audit OAuth tokens granted to third-party applications — revoke unknown AI tool connections	Monthly	IT
Email forwarding rules	Check for email forwarding rules that may send data to AI-connected email services	Monthly	IT
Clipboard/file transfer monitoring	Review DLP alerts for data transfers to known AI domains	Continuous	CISO/DLP

Endpoint and Application Analysis

Check	Method	Frequency	Owner
Installed software inventory	Compare installed apps against approved software list; flag AI tools	Monthly	IT
Browser bookmarks and saved passwords	Targeted review on high-risk devices (IT must have authorised access policy)	Quarterly	IT
Meeting transcription tool connections	Review calendar integration apps for AI transcription services	Monthly	IT
IDE and coding environment plugins	Review developer IDE plugins for unapproved AI code assistants	Monthly	IT/DevOps
Mobile device management (MDM) review	Check work-enrolled mobile devices for AI applications	Monthly	IT

Cloud and SaaS Monitoring

Check	Method	Frequency	Owner
Microsoft 365 / Google Workspace app integrations	Review third-party apps connected via OAuth to corporate M365/GWS	Monthly	IT
API gateway logs	Review API calls from internal systems to external AI providers	Weekly	IT/DevOps
Credit card / expense report review	Flag expenses for AI subscriptions (monthly SaaS charges)	Monthly	Finance + AI Officer
Procurement records	Check purchasing records for AI tool licences not channelled through IT	Quarterly	Finance + IT

2.2 Human Intelligence Detection Methods

Technical tools alone will not catch all shadow AI. These human intelligence methods complement technical monitoring:

Method	Description	Frequency	Owner
Manager briefings	Brief all line managers on shadow AI risks; ask them to proactively flag observed tool use	Quarterly	HR + AI Officer
All-hands Q&A	Hold open Q&A sessions on AI policy; employees often self-disclose shadow AI when given amnesty	Semi-annual	AI Officer
Onboarding interviews	Ask new joiners about AI tools used at their previous employer and whether they plan to continue using them	Each onboarding	HR
Exit interviews	Ask departing employees if they are aware of any AI tools used by their team without approval	Each exit	HR
IT helpdesk ticket analysis	Review IT helpdesk tickets for requests to integrate, install, or troubleshoot AI tools	Monthly	IT/AI Officer
Informal team observations	AI Champions conduct informal team observation; report patterns of AI use not covered by policy	Quarterly	AI Champions
Anonymous reporting channel	Maintain an anonymous tip line or email for employees to report shadow AI concerns	Continuous	AI Officer

Part 3: Department Survey Questions

Conduct this survey annually (minimum) and after any period of significant change. The survey should be anonymous unless the organisation has strong cultural reasons to make it non-anonymous. Aim for >75% response rate per department.

Instructions for Survey Administrators

Distribute via [Survey Tool — e.g., Microsoft Forms, anonymous Google Form]
Allow 2 weeks for completion
Communicate clearly: the purpose is to improve tools and policy, not to identify and punish
Share anonymised, aggregated results with the AI Governance Committee
Use findings to update the approved tool list and training priorities

Section A: General AI Use

Q1. In your day-to-day work, how often do you currently use any AI tools (this includes tools like ChatGPT, Copilot, Gemini, Grammarly AI, translation tools, AI in Excel, etc.)?

Never
Occasionally (a few times a month)
Regularly (several times a week)
Daily

Q2. Which of the following categories of AI tools have you used for work purposes in the last 6 months? (Select all that apply)

Q3. For the tools you have used for work, are they:

Officially approved and provided by the organisation
Personal accounts/free versions I use on my own initiative
A mix of approved and personal tools
I am not sure whether the tools I use are approved

Q4. If you use personal or non-approved AI tools for work, what is the main reason? (Select all that apply)

I did not know I needed approval
The approval process takes too long
There is no approved alternative that does what I need
The approved tools do not work as well
My team or manager encouraged it
It is faster to use a free tool than go through IT
Other: ___________

Section B: Data Handling

Q5. Have you ever entered any of the following types of information into an AI tool that was not officially approved? (Select all that apply)

Client names or contact details
Internal project names or strategies
Financial data or forecasts
Employee names or HR information
Proprietary product or technical information
Contract text or legal documents
None of the above
I prefer not to say

Q6. When using AI writing tools, do you typically:

Write prompts from scratch with no sensitive information
Paste in sections of internal documents to help me edit or summarise
Paste in complete documents for the AI to work with
I do not use AI writing tools

Q7. Are you aware that entering personal data (e.g., client or employee information) into an unapproved AI tool may constitute a GDPR breach?

Yes, and I understand the implications
Yes, but I am not sure exactly what counts as personal data
No, I was not aware of this
I am not sure

Section C: Policy Awareness

Q8. Are you aware that the organisation has an AI use policy?

Yes, I have read it
Yes, I know it exists but have not read it in detail
I have heard of it but do not know what it says
No, I was not aware there was one

Q9. Do you know how to request approval for a new AI tool you want to use for work?

Yes — I know the process and who to contact
I think I know but I am not certain
No — I do not know how to do this

Q10. Have you received training on responsible AI use in the last 12 months?

Yes, formal training (e.g., online course, workshop)
Yes, informal (e.g., team briefing, email guidance)
No

Q11. How confident do you feel in identifying when AI-generated content contains errors, bias, or “hallucinations”?

Very confident
Fairly confident
Not very confident
Not at all confident — I often take AI outputs at face value

Section D: Team and Culture

Q12. Does your direct manager use AI tools in their work that you are aware of?

Yes — with tools that appear to be officially approved
Yes — with tools that I am not sure are approved
No / Not that I am aware of
I do not know

Q13. Would you feel comfortable raising a concern if you saw a colleague using an AI tool in a way that seemed risky or inappropriate?

Q14. What would make you feel more supported in using AI tools correctly? (Select all that apply)

Faster approval processes for new tools
Better guidance on what I can and cannot do with approved tools
More training on AI risks and responsible use
A wider range of approved tools to choose from
A dedicated person I can ask questions to
Nothing — the current support is sufficient

Q15. Is there a specific AI tool or type of tool that you wish was available for your work that is not currently approved?

Yes (please describe if comfortable): ___________
No

Q16. Have you ever observed a situation where AI tools were used to make a decision about a person (hiring, performance assessment, customer service outcome) without what seemed like meaningful human review?

Yes — and it concerned me
Yes — but it seemed fine
No
Not sure

Q17. Do you have any other comments about AI tools and their use in our organisation? (Free text)

Part 4: Remediation Steps

When shadow AI is detected, follow this structured remediation process.

4.1 Immediate Response (Day 1–3)

Step	Action	Owner	Documented in
R1	Contain: suspend access to unapproved tool for relevant user(s) where risk is High or Critical	IT/CISO	Incident log
R2	Assess data exposure: determine what data was entered and what the tool’s data retention/training policy is	AI Officer + DPO	Incident log
R3	Determine if personal data was involved	DPO	GDPR incident form
R4	Notify line manager and HR	AI Officer	HR system
R5	Secure any outputs produced by the unapproved tool	System Owner	Incident log

4.2 Investigation (Day 3–10)

Step	Action	Owner
R6	Interview the user(s) involved — focus on understanding motivation, not blame	HR + AI Officer
R7	Review scope: are other employees using the same tool?	AI Officer + IT
R8	Assess whether data breach notification is required (AEPD 72-hour window)	DPO
R9	Review whether the tool should be considered for formal approval	AI Officer
R10	Document root cause: why did this happen? (Awareness gap, process gap, tool gap?)	AI Officer

4.3 Remediation (Day 10–30)

Step	Action	Owner
R11	If personal data breach confirmed: notify AEPD within 72 hours (from detection); notify affected individuals if required	DPO + Legal
R12	If tool has merit: fast-track through approval process	AI Officer + IT
R13	Targeted training for affected department	HR + AI Officer
R14	Issue policy reminder to all staff if incident reflects a widespread misunderstanding	HR + AI Officer
R15	Update DNS/firewall blocklist if tool is not approved and risk is unacceptable	IT/CISO
R16	Apply proportionate disciplinary action per HR policy (considering intent, harm caused, cooperation)	HR + Line Manager

4.4 Post-Incident Review (Day 30–45)

Step	Action	Owner
R17	Produce Post-Incident Report	AI Officer
R18	Present findings to AI Governance Committee	AI Officer
R19	Update risk register	AI Officer
R20	Update shadow AI monitoring procedures if gaps identified	CISO + AI Officer
R21	Consider whether to update approved tool list or accelerate approvals	AI Governance Committee

Part 5: Prevention Measures

5.1 Policy and Communication

Measure	Frequency	Owner
Communicate AI policy at onboarding	Every onboarding	HR
Annual all-staff AI policy reminder (email + intranet)	Annual	AI Officer + HR
Publish and maintain an easy-to-find list of approved tools on intranet	Continuous	AI Officer
Brief line managers on shadow AI risks and their reporting responsibility	Quarterly	AI Officer
Maintain a fast-track (5-day) AI tool request process for low-risk tools	Continuous	AI Officer
Publish “top tools employees ask for” on intranet to reduce need for workarounds	Quarterly	AI Officer

5.2 Technical Controls

Control	Description	Priority	Owner
DNS filtering	Block known unapproved consumer AI domains on corporate network	High	IT/CISO
DLP rules	Configure DLP to alert on data uploads to known AI endpoints	High	CISO
Browser extension management	Restrict installation of unapproved browser extensions on managed devices	Medium	IT
OAuth audit	Review and revoke third-party OAuth connections monthly	High	IT
CASB deployment	Implement Cloud Access Security Broker for comprehensive SaaS visibility	High	CISO
Endpoint agent	Deploy endpoint monitoring agent to detect AI tool installations	Medium	IT
MDM for mobile	Enrol all devices with work data in MDM; restrict unapproved app stores	Medium	IT
Expense monitoring	Flag AI-related SaaS charges in expense reporting system	Medium	Finance + AI Officer

5.3 Culture and Incentives

Measure	Description	Owner
Positive framing	Present the AI approval process as a service, not a gate — “we help you get the tools you need safely”	AI Officer + Communications
Fast-track for good-faith requests	Employees who submit a tool request receive a response within 5 days for low-risk tools	AI Officer
Recognition	Recognise employees who identify and report shadow AI in good faith	AI Officer + HR
Tool request feedback	When a request is declined, provide clear reasons and suggest alternatives	AI Officer
Quarterly AI newsletter	Share approved tools, tips, and regulatory updates to keep AI visible and positive	AI Officer

Part 6: Monitoring Tools

6.1 Recommended Technical Tools

Tool Category	Purpose	Examples	Notes
CASB (Cloud Access Security Broker)	Discover and monitor SaaS and AI tool usage across the organisation	Microsoft Defender for Cloud Apps, Netskope, Palo Alto SASE	Enterprise investment; high ROI for shadow AI visibility
DNS Filtering	Block unapproved AI domains; log DNS queries	Cisco Umbrella, Cloudflare Gateway, DNSFilter	Lower cost; good first step
DLP (Data Loss Prevention)	Detect uploads of sensitive data to AI endpoints	Microsoft Purview DLP, Forcepoint, Symantec DLP	Effective but generates false positives requiring tuning
Endpoint Detection and Response (EDR)	Detect AI tool installations and suspicious behaviour on endpoints	CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint	Broad security tool with shadow AI use case
Network Traffic Analysis	Identify AI API calls and data flows in network traffic	Darktrace, ExtraHop, Vectra AI	Advanced; requires expertise to interpret
Browser Management	Control and audit browser extensions	Chrome Enterprise, Microsoft Edge management	Effective for managed device fleets
MDM/EMM	Control applications on mobile and remote devices	Microsoft Intune, Jamf, VMware Workspace ONE	Essential for BYOD environments
SIEM	Correlate security events; detect shadow AI patterns	Microsoft Sentinel, Splunk, IBM QRadar	Requires rule development for AI-specific use cases

6.2 Known AI Domains to Monitor

(This list requires regular updates as the AI tool landscape evolves — AI Officer to review quarterly)

High-risk consumer AI services (commonly used for work):

Service	Domain(s)	Risk Level	Notes
ChatGPT (consumer)	chat.openai.com, openai.com	High	Free consumer version may train on inputs
Claude (consumer)	claude.ai	High	Consumer version — no business DPA
Google Gemini (consumer)	gemini.google.com, bard.google.com	High	Consumer version
Perplexity AI	perplexity.ai	High	Consumer AI search
Midjourney	midjourney.com, discord.com (AI channels)	Medium	Image generation
Otter.ai (personal)	otter.ai	High	Meeting transcription — audio data
Fireflies.ai (personal)	fireflies.ai	High	Meeting transcription
Notion AI (personal)	notion.so	Medium	Note-taking with AI features
Grammarly (personal)	grammarly.com	Medium	Writing assistant — processes all text
DeepL (personal)	deepl.com	Medium	Translation tool
Copy.ai	copy.ai	Medium	AI writing
Jasper AI	jasper.ai	Medium	AI writing
Runway ML	runwayml.com	Medium	Video/image generation
Character.ai	character.ai	Low-Medium	Conversational AI
Pi.ai	pi.ai	Low-Medium	Conversational AI

This is an illustrative list. Maintain and update a live version in the AI System Inventory.

6.3 Detection Metrics to Track

Metric	Target	Measurement	Frequency
Number of shadow AI instances detected	Trending towards 0	IT monitoring + survey	Quarterly
Time from detection to containment (High risk)	<4 hours	Incident log	Per incident
% employees who know how to request AI tool approval	>85%	Annual survey Q9	Annual
Employee AI survey completion rate	>75%	Survey tool	Annual
Number of unapproved AI tool expenses detected	Trending towards 0	Finance review	Monthly
% managers briefed on shadow AI risks	100%	Training records	Annual

Annex A — Shadow AI Quick Reference Card

(Print and post in team areas; include in onboarding pack)

IS THIS SHADOW AI?

Ask yourself:

Is this AI tool on the Approved Tools List? [Link to intranet page]
Did IT or the AI Officer approve this tool?
Did I submit a Tool Request Form?

If the answer to all three is NO — stop and submit a request first.

WHAT TO DO IF YOU SPOT SHADOW AI IN YOUR TEAM

Do not confront the colleague directly
Speak to your AI Champion or Line Manager
Or email [ai-incidents@organisation.com] (reports can be anonymous)

QUICK GUIDE: WHAT NOT TO PUT IN ANY AI TOOL (APPROVED OR NOT)

Client names, addresses, or contact details
Employee personal data (salary, performance, health)
Passwords, API keys, or credentials of any kind
Classified or Restricted documents
Legal privilege documents

Template provided by VORLUX AI | vorluxai.com This is guidance only, not legal advice. Version 1.0 | For EU AI Act compliance use | Last updated: 2026-04-05

Versión Española

Lista de Verificación para Detección de Shadow AI

Referencia: [ORG-CHECK-AI-002] Versión: 1.0 Fecha de vigencia: [FECHA] Propietario: AI Officer / CISO Clasificación: Interno — Restringido

Parte 1: Comprensión del Shadow AI

1.1 ¿Qué es el Shadow AI?

El Shadow AI se refiere al uso de herramientas y servicios de inteligencia artificial por parte de empleados o equipos sin el conocimiento, aprobación o supervisión de las funciones de TI, seguridad o gobernanza.

Se distingue de: herramientas de IA aprobadas, IA experimental en evaluación formal y automatización legacy basada en reglas.

Surge habitualmente cuando:

Los empleados descubren herramientas de IA que resuelven problemas reales de productividad
El proceso de aprobación se percibe como lento o gravoso
Los empleados desconocen la política de aprobación
La presión empresarial prioriza la velocidad sobre el cumplimiento
Las herramientas de IA de consumo son gratuitas y de acceso inmediato

1.2 Por qué el Shadow AI es un Riesgo Material

Categoría de riesgo	Riesgos específicos
Protección de datos (GDPR)	Datos personales introducidos en herramientas sin DPA; procesamiento fuera del EEE sin garantías; divulgación accidental a datasets de entrenamiento
Cumplimiento EU AI Act	Uso de sistemas de IA de alto riesgo sin evaluaciones, documentación ni supervisión humana requeridas
Confidencialidad	Información propietaria, datos de clientes y secretos comerciales subidos a herramientas de terceros con políticas de retención desconocidas
Responsabilidad legal	Contenido generado por IA usado sin revisión puede ser difamatorio, infringir PI o ser incorrecto — la responsabilidad recae en la organización
Seguridad	Herramientas no aprobadas con postura de seguridad deficiente; credenciales en prompts; API keys expuestas
Reputacional	Datos de clientes procesados sin autorización; salidas de IA públicas sin estándares de calidad
Operativo	Dependencias de IA no documentadas; riesgo de “persona clave”; decisiones basadas en salidas no verificadas
Contractual	Términos de servicio de IA de consumo a menudo prohíben uso comercial; propiedad intelectual del contenido generado puede ser del proveedor

1.3 Ejemplos comunes de Shadow AI

Empleados usando ChatGPT (gratuito/personal) para redactar propuestas, resumir contratos o analizar datos
Desarrolladores con asistentes de código IA (suscripciones personales) que procesan código interno
RRHH usando herramientas de screening IA para filtrar CVs sin proceso de adquisición
Marketing usando cuentas personales de Midjourney/DALL-E para imágenes de campaña
Finanzas usando herramientas analíticas IA para procesar datos financieros sin conocimiento de TI
Empleados usando herramientas de resumen de reuniones IA (cuentas personales) para transcribir reuniones sensibles
Atención al cliente creando chatbots IA no oficiales para clientes
Project managers usando herramientas de workflow IA integradas con sistemas corporativos mediante OAuth personal

Parte 2: Métodos de Detección

2.1 Métodos de Detección Técnica

Análisis de Red y Tráfico

Verificación	Método	Frecuencia	Propietario
Logs de consultas DNS — identificar solicitudes a dominios de IA conocidos (ver Anexo A)	Revisar logs de firewall/DNS para dominios del Anexo A	Semanal	TI/CISO
Inspección HTTPS para llamadas a API de IA	Configurar dispositivo de inspección SSL para marcar endpoints de API de IA	Continuo	TI/CISO
Picos de ancho de banda por estación de trabajo	Analizar ancho de banda por dispositivo para identificar grandes cargas a servicios de IA	Semanal	TI
Inventario de extensiones de navegador	Auditar extensiones instaladas en dispositivos gestionados; marcar asistentes de IA	Mensual	TI
Descubrimiento de aplicaciones SaaS	Usar CASB para identificar conexiones SaaS	Continuo	CISO
Revisión de autorizaciones OAuth	Auditar tokens OAuth otorgados a terceros — revocar conexiones de herramientas de IA desconocidas	Mensual	TI
Reglas de reenvío de correo	Verificar reglas de reenvío hacia servicios de correo con IA	Mensual	TI
Monitoreo de transferencia de archivos/portapapeles	Revisar alertas DLP para transferencias a dominios de IA	Continuo	CISO/DLP

Análisis de Endpoint y Aplicaciones

Verificación	Método	Frecuencia	Propietario
Inventario de software instalado	Comparar apps instaladas con la lista aprobada; marcar herramientas de IA	Mensual	TI
Marcadores y contraseñas guardadas del navegador	Revisión dirigida en dispositivos de alto riesgo	Trimestral	TI
Conexiones de herramientas de transcripción de reuniones	Revisar apps de integración de calendario para servicios de transcripción IA	Mensual	TI
Plugins de IDE y entorno de desarrollo	Revisar plugins de IDE para asistentes de código IA no aprobados	Mensual	TI/DevOps
Revisión MDM de dispositivos móviles	Verificar aplicaciones de IA en dispositivos móviles corporativos	Mensual	TI

Monitoreo Cloud y SaaS

Verificación	Método	Frecuencia	Propietario
Integraciones de apps Microsoft 365 / Google Workspace	Revisar apps de terceros conectadas vía OAuth	Mensual	TI
Logs de API gateway	Revisar llamadas API internas a proveedores de IA externos	Semanal	TI/DevOps
Revisión de tarjetas de crédito / informes de gastos	Marcar gastos por suscripciones de IA	Mensual	Finanzas + AI Officer
Registros de adquisiciones	Verificar licencias de herramientas de IA no canalizadas por TI	Trimestral	Finanzas + TI

2.2 Métodos de Detección por Inteligencia Humana

Método	Descripción	Frecuencia	Propietario
Briefings a managers	Informar a todos los responsables sobre riesgos de Shadow AI; pedir que reporten uso observado	Trimestral	RRHH + AI Officer
Q&A abierta	Sesiones abiertas sobre política de IA; los empleados suelen auto-reportar Shadow AI con amnistía	Semestral	AI Officer
Entrevistas de incorporación	Preguntar a nuevos empleados sobre herramientas de IA usadas en su empleador anterior	Cada incorporación	RRHH
Entrevistas de salida	Preguntar a empleados salientes si conocen herramientas de IA usadas sin aprobación	Cada salida	RRHH
Análisis de tickets de helpdesk	Revisar tickets para solicitudes de integrar, instalar o resolver problemas con herramientas de IA	Mensual	TI/AI Officer
Observaciones informales de equipo	AI Champions realizan observación informal; reportan patrones de uso no cubiertos por la política	Trimestral	AI Champions
Canal de reporte anónimo	Mantener línea de reporte anónima para preocupaciones sobre Shadow AI	Continuo	AI Officer

Parte 3: Preguntas de Encuesta Departamental

Realice esta encuesta anualmente (mínimo) y tras cualquier período de cambio significativo. La encuesta debe ser anónima salvo razones culturales justificadas. Objetivo: >75% de tasa de respuesta por departamento.

Instrucciones para Administradores de la Encuesta

Distribuir vía [herramienta de encuesta — p. ej., Microsoft Forms, Google Forms anónimo]
Permitir 2 semanas para completarla
Comunicar claramente: el propósito es mejorar herramientas y política, no identificar y sancionar
Compartir resultados anonimizados y agregados con el Comité de Gobernanza de IA

Sección A: Uso General de IA

P1. ¿Con qué frecuencia utiliza actualmente herramientas de IA en su trabajo diario?

Nunca
Ocasionalmente (algunas veces al mes)
Regularmente (varias veces por semana)
Diariamente

P2. ¿Qué categorías de herramientas de IA ha utilizado con fines laborales en los últimos 6 meses? (Seleccione todas las aplicables)

P3. Las herramientas que ha usado para el trabajo, ¿son?

Oficialmente aprobadas y proporcionadas por la organización
Cuentas personales/versiones gratuitas que uso por iniciativa propia
Una mezcla de herramientas aprobadas y personales
No estoy seguro/a de si las herramientas que uso están aprobadas

P4. Si utiliza herramientas de IA personales o no aprobadas para el trabajo, ¿cuál es el motivo principal? (Seleccione todas las aplicables)

No sabía que necesitaba aprobación
El proceso de aprobación tarda demasiado
No hay alternativa aprobada que haga lo que necesito
Las herramientas aprobadas no funcionan tan bien
Mi equipo o responsable lo fomentó
Es más rápido usar una herramienta gratuita que pasar por TI
Otro: ___________

Sección B: Manejo de Datos

P5. ¿Ha introducido alguna vez alguno de los siguientes tipos de información en una herramienta de IA no aprobada oficialmente? (Seleccione todas las aplicables)

Nombres o datos de contacto de clientes
Nombres de proyectos internos o estrategias
Datos financieros o previsiones
Nombres de empleados o información de RRHH
Información propietaria de productos o técnica
Textos contractuales o documentos legales
Ninguna de las anteriores
Prefiero no responder

P6. Cuando usa herramientas de escritura IA, ¿típicamente?

Escribo prompts desde cero sin información sensible
Pego secciones de documentos internos para que me ayude a editar o resumir
Pego documentos completos para que la IA trabaje con ellos
No uso herramientas de escritura IA

P7. ¿Sabe usted que introducir datos personales en una herramienta de IA no aprobada puede constituir una infracción del GDPR?

Sí, y entiendo las implicaciones
Sí, pero no estoy seguro/a de qué cuenta como dato personal
No, no era consciente de ello
No estoy seguro/a

Sección C: Conocimiento de la Política

P8. ¿Sabe usted que la organización tiene una política de uso de IA?

Sí, la he leído
Sí, sé que existe pero no la he leído en detalle
He oído hablar de ella pero no sé qué dice
No, no sabía que existía

P9. ¿Sabe cómo solicitar aprobación para una nueva herramienta de IA que desee usar en el trabajo?

Sí — conozco el proceso y a quién contactar
Creo que sí, pero no estoy seguro/a
No — no sé cómo hacerlo

P10. ¿Ha recibido formación sobre uso responsable de IA en los últimos 12 meses?

Sí, formación formal (p. ej., curso online, taller)
Sí, informal (p. ej., briefing de equipo, correo orientativo)
No

P11. ¿Cuán seguro/a se siente al identificar cuándo el contenido generado por IA contiene errores, sesgos o “alucinaciones”?

Muy seguro/a
Bastante seguro/a
No muy seguro/a
Nada seguro/a — a menudo acepto las salidas de IA sin cuestionar

Sección D: Equipo y Cultura

P12. ¿Su responsable directo utiliza herramientas de IA en su trabajo que usted conozca?

Sí — con herramientas que parecen aprobadas oficialmente
Sí — con herramientas que no estoy seguro/a de que estén aprobadas
No / No que yo sepa
No lo sé

P13. ¿Se sentiría cómodo/a planteando una preocupación si viera a un colega usando una herramienta de IA de manera arriesgada o inapropiada?

P14. ¿Qué le haría sentir más apoyado/a para usar herramientas de IA correctamente? (Seleccione todas las aplicables)

Procesos de aprobación más rápidos para nuevas herramientas
Mejor orientación sobre qué puedo y qué no puedo hacer con las herramientas aprobadas
Más formación sobre riesgos de IA y uso responsable
Una gama más amplia de herramientas aprobadas para elegir
Una persona dedicada a la que pueda consultar
Nada — el apoyo actual es suficiente

P15. ¿Hay alguna herramienta de IA específica o tipo de herramienta que desearía tener disponible para su trabajo y que actualmente no está aprobada?

Sí (describa si se siente cómodo/a): ___________
No

P16. ¿Ha observado alguna vez una situación en la que se usaron herramientas de IA para tomar una decisión sobre una persona (contratación, evaluación de rendimiento, resultado de atención al cliente) sin lo que pareciera una revisión humana significativa?

Sí — y me preocupó
Sí — pero pareció correcto
No
No estoy seguro/a

P17. ¿Tiene algún otro comentario sobre las herramientas de IA y su uso en nuestra organización? (Texto libre)

Parte 4: Pasos de Remediación

4.1 Respuesta Inmediata (Día 1–3)

Paso	Acción	Propietario	Documentado en
R1	Contener: suspender acceso a la herramienta no aprobada cuando el riesgo sea Alto o Crítico	TI/CISO	Registro de incidentes
R2	Evaluar exposición de datos: determinar qué datos se introdujeron y cuál es la política de retención/entrenamiento de la herramienta	AI Officer + DPO	Registro de incidentes
R3	Determinar si hubo datos personales involucrados	DPO	Formulario de incidentes GDPR
R4	Notificar al responsable directo y RRHH	AI Officer	Sistema de RRHH
R5	Asegurar cualquier salida producida por la herramienta no aprobada	Propietario del sistema	Registro de incidentes

4.2 Investigación (Día 3–10)

Paso	Acción	Propietario
R6	Entrevistar a los usuarios involucrados — centrado en entender la motivación, no en culpar	RRHH + AI Officer
R7	Revisar alcance: ¿otros empleados usan la misma herramienta?	AI Officer + TI
R8	Evaluar si se requiere notificación de brecha de datos (ventana de 72 horas de la AEPD)	DPO
R9	Revisar si la herramienta debería considerarse para aprobación formal	AI Officer
R10	Documentar causa raíz: ¿por qué sucedió? (¿Brecha de conocimiento, proceso o herramienta?)	AI Officer

4.3 Remediación (Día 10–30)

Paso	Acción	Propietario
R11	Si se confirma brecha de datos personales: notificar a la AEPD en 72 horas (desde la detección); notificar a los afectados si es necesario	DPO + Legal
R12	Si la herramienta tiene mérito: vía rápida en el proceso de aprobación	AI Officer + TI
R13	Formación dirigida al departamento afectado	RRHH + AI Officer
R14	Recordatorio de política a todo el personal si el incidente refleja un malentendido generalizado	RRHH + AI Officer
R15	Actualizar lista de bloqueo DNS/firewall si la herramienta no está aprobada y el riesgo es inaceptable	TI/CISO
R16	Acción disciplinaria proporcionada según política de RRHH (considerando intención, daño causado, cooperación)	RRHH + Responsable directo

4.4 Revisión Post-Incidente (Día 30–45)

Paso	Acción	Propietario
R17	Elaborar Informe Post-Incidente	AI Officer
R18	Presentar hallazgos al Comité de Gobernanza de IA	AI Officer
R19	Actualizar registro de riesgos	AI Officer
R20	Actualizar procedimientos de monitoreo de Shadow AI si se identificaron brechas	CISO + AI Officer
R21	Considerar si actualizar la lista de herramientas aprobadas o acelerar aprobaciones	Comité de Gobernanza de IA

Parte 5: Medidas de Prevención

5.1 Política y Comunicación

Medida	Frecuencia	Propietario
Comunicar política de IA en la incorporación	Cada incorporación	RRHH
Recordatorio anual de la política de IA a todo el personal (correo + intranet)	Anual	AI Officer + RRHH
Publicar y mantener una lista fácil de encontrar de herramientas aprobadas en la intranet	Continuo	AI Officer
Informar a los responsables sobre riesgos de Shadow AI y su responsabilidad de reporte	Trimestral	AI Officer
Mantener un proceso de solicitud de herramienta IA rápido (5 días) para herramientas de bajo riesgo	Continuo	AI Officer
Publicar “herramientas más solicitadas” en la intranet para reducir la necesidad de alternativas no autorizadas	Trimestral	AI Officer

5.2 Controles Técnicos

Control	Descripción	Prioridad	Propietario
Filtrado DNS	Bloquear dominios de IA de consumo no aprobados en la red corporativa	Alta	TI/CISO
Reglas DLP	Configurar DLP para alertar sobre cargas de datos a endpoints de IA	Alta	CISO
Gestión de extensiones del navegador	Restringir instalación de extensiones no aprobadas en dispositivos gestionados	Media	TI
Auditoría OAuth	Revisar y revocar conexiones OAuth de terceros mensualmente	Alta	TI
Despliegue de CASB	Implementar Cloud Access Security Broker para visibilidad SaaS completa	Alta	CISO
Agente de endpoint	Desplegar agente de monitoreo para detectar instalaciones de herramientas de IA	Media	TI
MDM para móviles	Inscribir todos los dispositivos con datos laborales en MDM; restringir tiendas de apps no aprobadas	Media	TI
Monitoreo de gastos	Marcar cargos SaaS relacionados con IA en el sistema de informes de gastos	Media	Finanzas + AI Officer

5.3 Cultura e Incentivos

Medida	Descripción	Propietario
Enfoque positivo	Presentar el proceso de aprobación como un servicio, no como una barrera — “le ayudamos a obtener las herramientas que necesita de forma segura”	AI Officer + Comunicación
Vía rápida para solicitudes de buena fe	Los empleados que solicitan una herramienta reciben respuesta en 5 días para herramientas de bajo riesgo	AI Officer
Reconocimiento	Reconocer a los empleados que identifican y reportan Shadow AI de buena fe	AI Officer + RRHH
Feedback en solicitudes	Cuando se rechaza una solicitud, proporcionar razones claras y sugerir alternativas	AI Officer
Newsletter trimestral de IA	Compartir herramientas aprobadas, consejos y actualizaciones regulatorias	AI Officer

Parte 6: Herramientas de Monitoreo

6.1 Herramientas Técnicas Recomendadas

Categoría	Propósito	Ejemplos	Notas
CASB	Descubrir y monitorear uso de SaaS y herramientas de IA	Microsoft Defender for Cloud Apps, Netskope, Palo Alto SASE	Inversión empresarial; alto ROI para visibilidad de Shadow AI
Filtrado DNS	Bloquear dominios de IA no aprobados; registrar consultas DNS	Cisco Umbrella, Cloudflare Gateway, DNSFilter	Menor coste; buen primer paso
DLP	Detectar cargas de datos sensibles a endpoints de IA	Microsoft Purview DLP, Forcepoint, Symantec DLP	Efectivo pero genera falsos positivos que requieren ajuste
EDR	Detectar instalaciones de herramientas de IA y comportamiento sospechoso en endpoints	CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint	Herramienta de seguridad amplia con caso de uso para Shadow AI
Análisis de tráfico de red	Identificar llamadas API de IA y flujos de datos	Darktrace, ExtraHop, Vectra AI	Avanzado; requiere experiencia para interpretar
Gestión de navegador	Controlar y auditar extensiones de navegador	Chrome Enterprise, Microsoft Edge management	Efectivo para flotas de dispositivos gestionados
MDM/EMM	Controlar aplicaciones en dispositivos móviles y remotos	Microsoft Intune, Jamf, VMware Workspace ONE	Esencial para entornos BYOD
SIEM	Correlacionar eventos de seguridad; detectar patrones de Shadow AI	Microsoft Sentinel, Splunk, IBM QRadar	Requiere desarrollo de reglas específicas para IA

6.2 Dominios de IA Conocidos a Monitorear

(Esta lista requiere actualizaciones regulares — el AI Officer debe revisarla trimestralmente)

Servicio	Dominio(s)	Nivel de riesgo	Notas
ChatGPT (consumo)	chat.openai.com, openai.com	Alto	Versión gratuita puede entrenar con inputs
Claude (consumo)	claude.ai	Alto	Versión de consumo — sin DPA empresarial
Google Gemini (consumo)	gemini.google.com, bard.google.com	Alto	Versión de consumo
Perplexity AI	perplexity.ai	Alto	Búsqueda IA de consumo
Midjourney	midjourney.com, discord.com	Medio	Generación de imágenes
Otter.ai (personal)	otter.ai	Alto	Transcripción de reuniones — datos de audio
Fireflies.ai (personal)	fireflies.ai	Alto	Transcripción de reuniones
Notion AI (personal)	notion.so	Medio	Toma de notas con funciones de IA
Grammarly (personal)	grammarly.com	Medio	Asistente de escritura — procesa todo el texto
DeepL (personal)	deepl.com	Medio	Herramienta de traducción
Copy.ai	copy.ai	Medio	Escritura IA
Jasper AI	jasper.ai	Medio	Escritura IA
Runway ML	runwayml.com	Medio	Generación de vídeo/imagen
Character.ai	character.ai	Bajo-Medio	IA conversacional
Pi.ai	pi.ai	Bajo-Medio	IA conversacional

6.3 Métricas de Detección a Seguir

Métrica	Objetivo	Medición	Frecuencia
Nº de instancias de Shadow AI detectadas	Tendencia hacia 0	Monitoreo TI + encuesta	Trimestral
Tiempo desde detección hasta contención (riesgo Alto)	<4 horas	Registro de incidentes	Por incidente
% empleados que saben solicitar aprobación de herramienta IA	>85%	Encuesta anual P9	Anual
Tasa de finalización de encuesta de IA	>75%	Herramienta de encuesta	Anual
Nº de gastos en herramientas IA no aprobadas detectados	Tendencia hacia 0	Revisión financiera	Mensual
% managers informados sobre riesgos de Shadow AI	100%	Registros de formación	Anual

Anexo A — Tarjeta de Referencia Rápida de Shadow AI

(Imprimir y colocar en áreas de equipo; incluir en el pack de incorporación)

¿ES ESTO SHADOW AI?

Pregúntese:

¿Esta herramienta de IA está en la Lista de Herramientas Aprobadas? [Enlace a la intranet]
¿TI o el AI Officer aprobaron esta herramienta?
¿Presenté un Formulario de Solicitud de Herramienta?

Si la respuesta a las tres es NO — deténgase y presente una solicitud primero.

QUÉ HACER SI DETECTA SHADOW AI EN SU EQUIPO

No confronte al colega directamente
Hable con su AI Champion o Responsable directo
O envíe un correo a [ai-incidents@organización.com] (los reportes pueden ser anónimos)

GUÍA RÁPIDA: QUÉ NO INTRODUCIR EN NINGUNA HERRAMIENTA DE IA (APROBADA O NO)

Nombres, direcciones o datos de contacto de clientes
Datos personales de empleados (salario, rendimiento, salud)
Contraseñas, API keys o credenciales de cualquier tipo
Documentos clasificados o restringidos
Documentos con privilegio legal

Plantilla proporcionada por VORLUX AI | vorluxai.com Este documento es solo orientativo, no constituye asesoramiento jurídico. Versión 1.0 | Para uso de cumplimiento del EU AI Act | Última actualización: 2026-04-05