El 97% de las pymes españolas ya usa IA: el problema no es la adopción, es que va sin gobierno de datos

Esta semana ha salido un dato que, a primera vista, suena a buena noticia: el 97% de las pymes españolas ya utiliza inteligencia artificial en sus operaciones. Prácticamente la totalidad del tejido empresarial. Pero como suele pasar con las cifras grandes, la lectura interesante está en la letra pequeña: alrededor de un 39-41% de esas empresas usa la IA sin ninguna política formal que regule cómo, con qué datos ni con qué límites. Es decir, casi cuatro de cada diez pymes tienen a sus equipos usando herramientas de IA por su cuenta, sin que nadie en la empresa haya decidido qué se puede subir a esas herramientas y qué no.

Llevo semanas viendo esta misma foto en las auditorías que hacemos en Millennialsconsulting, así que el dato no me sorprende. Lo que sí me parece importante es pararme a explicar por qué esto no es un tecnicismo de departamento de sistemas, sino una decisión de estrategia empresarial que le corresponde a dirección, no a cada empleado por separado.

La IA ya no se «implanta», ya está dentro

Durante años, la conversación sobre IA en las pymes giraba en torno a si merecía la pena adoptarla. Ese debate ya está cerrado: con un 97% de adopción, la pregunta relevante ya no es «¿debería usar IA mi empresa?», sino «¿sé realmente qué está haciendo mi equipo con la IA ahora mismo?». Y en casi cuatro de cada diez empresas, la respuesta honesta es que no. Un comercial puede estar pegando datos de un cliente en un chat de IA gratuito para redactar una propuesta, un administrativo puede estar subiendo una factura para que se la resuma, y nadie en la dirección lo sabe ni lo ha autorizado formalmente.

Esto es exactamente lo que en ciberseguridad se llama «shadow IT», aplicado ahora a la IA: herramientas que entran en la empresa por la puerta de atrás, sin pasar por ningún filtro de qué datos son sensibles y cuáles no. El riesgo no es la IA en sí, es la ausencia de una política que diga qué información de clientes, de contratos o financiera puede salir de la empresa hacia una herramienta externa.

Por qué esto también es un problema de generación de leads

Hay una conexión directa con algo que repito constantemente a nuestros clientes: los datos de tus leads y de tus clientes son el activo más valioso que tiene tu empresa para vender más y mejor. Si esos datos circulan sin control por herramientas de IA sueltas, no solo hay un riesgo legal (piensa en el RGPD) y de ciberseguridad, hay también un problema de negocio: pierdes trazabilidad sobre dónde vive realmente la información de tus clientes, y eso es justo lo contrario de lo que necesitas para que tu proceso comercial funcione.

La buena noticia es que la solución no es prohibir la IA ni frenar su adopción, sería absurdo dado el punto en el que estamos. La solución es la misma que aplicamos siempre en Millennialsconsulting como partners de Zoho y de Google: centralizar el dato en un sitio gobernado, y aplicar la IA dentro de ese perímetro, no fuera de él.

Cómo cerramos esa brecha con Zoho y Google

• Un único lugar de verdad para el dato del cliente: con Zoho CRM como sistema central, la información comercial no vive repartida en capturas de pantalla, notas sueltas o chats de IA personales, sino en un sistema con permisos y trazabilidad.
• IA aplicada dentro del perímetro corporativo: las funciones de IA de Zoho (Zia) y de Google Workspace (Gemini) trabajan sobre los datos que ya están dentro de esos sistemas, con los controles de acceso y privacidad de la propia plataforma, en lugar de exportar información a herramientas externas sin control.
• Una política simple, no un manual de 40 páginas: no hace falta un protocolo complejísimo para empezar. Basta con definir por escrito qué tipo de datos no pueden salir nunca de las herramientas corporativas (datos de clientes, contratos, cifras financieras) y qué herramientas de IA están autorizadas para el resto de tareas.
• Formación mínima pero obligatoria: la mayoría de los usos de riesgo no nacen de mala intención, nacen de desconocimiento. Una sesión breve explicando qué se puede y qué no se puede hacer con IA evita buena parte del problema.

Mi conclusión

El dato de esta semana no debería leerse como una alarma sobre la IA, sino como un aviso sobre la falta de gobierno del dato en las pymes españolas. La adopción ya está hecha, la ha hecho el propio equipo por su cuenta. Lo que falta, en cuatro de cada diez empresas, es que la dirección se siente a decidir cómo se usa esa IA con los datos de la empresa. Esa decisión no es un proyecto de IT que se pueda posponer: es, directamente, estrategia empresarial, y cuanto antes se tome, menos riesgo se acumula mientras tanto.