Decision Layer y Shadow AI: control en vez de caos

Dos problemas. Una arquitectura.

Shadow AI y la falta de governance son los dos mayores obstaculos para escalar la IA en las empresas en 2026. El primer problema: los empleados usan herramientas de IA publicas sin control porque la empresa no ofrece alternativa. El segundo problema: incluso cuando la empresa proporciona IA, falta la arquitectura que separa análisis de decision.

El Decision Layer resuelve ambos problemas. Es la capa de governance que define quien puede decidir que: humano, reglamento o IA. Y es simultaneamente la base para ofrecer a los empleados una herramienta de IA controlada que supera las alternativas publicas.

Este artículo describe por qué Shadow AI es el riesgo del momento, cómo funciona el Decision Layer, qué papel juega la clasificación de datos y por qué sin esta arquitectura ni el Comité de Empresa, ni los auditores, ni la dirección aprobarán el escalado de la IA.

Shadow AI: el riesgo subestimado

Shadow AI es la Shadow IT de 2026. El termino describe el uso no controlado de servicios de IA publicos por parte de empleados, sin conocimiento del departamento de IT, sin governance, sin Audit Trail.

La realidad en la mayoria de las empresas: los empleados utilizan herramientas de IA publicas para su trabajo diario. Redactan correos, resumen informes, analizan contratos, crean presentaciones. No por mala intención, sino porque estas herramientas los hacen mas productivos. Y porque la empresa no ofrece una alternativa equivalente.

El problema no es el uso en si. El problema es lo que ocurre durante el proceso:

Fuga de datos. Cada entrada en una herramienta de IA publica abandona la red corporativa. Contenidos contractuales, datos financieros, información de personal, planes estrategicos. Todo lo que se introduce en un prompt queda fuera de su control.

Sin trazabilidad. ¿Que empleado transfirio que datos a que herramienta? Nadie lo sabe. No hay Audit Trail, no hay registro, no hay posibilidad de revisión retrospectiva.

Sin control de calidad. Los resultados de herramientas de IA publicas influyen en decisiones de negocio sin que sea visible sobre que base se generaron. Un borrador de contrato parcialmente creado por IA. ¿Quien revisa las clausulas?

Riesgo RGPD. Los datos personales transmitidos a servicios de IA publicos pueden constituir un incidente de protección de datos sujeto a notificación. No en teoria, sino según la interpretación legal vigente.

La solución no es prohibir. Las prohibiciones fracasan en la practica. Se eluden, se ignoran o se esquivan. La solución es una oferta mejor: un portal de IA interno que sea funcionalmente al menos equivalente, pero equipado con governance, protección de datos y Audit Trail. Como es ese portal lo describe el articulo Enterprise-AI-Portal: mas que un simple chat.

El Decision Layer: análisis no es decision

El Decision Layer es el principio arquitectonico que separa análisis de decision. Un modelo de IA puede analizar: resumir datos, detectar patrones, calcular probabilidades, emitir recomendaciones. Pero la decision de si y como actuar sobre ese análisis es una cuestión separada. Esa cuestión la responde el Decision Layer.

El principio: cada proceso de negocio se descompone en microdecisiones. Para cada microdecisión individual se define de antemano quien decide:

Evento entrante
|
+----------+
| Decision  |
|  Layer    |
+----------+
+----+------------+
v    v            v
REGLA   IA        HUMANO

REGLA: Decisiones deterministicas que siempre producen el mismo resultado. Verificaciones de plazos, aplicación de convenios colectivos, logica contable, umbrales de valor. El reglamento esta versionado. Cada cambio genera una nueva version; la anterior permanece trazable.

IA: Decisiones en las que el modelo puede actuar autonomamente dentro de limites definidos. Clasificaciones estandar, comunicación rutinaria con plantillas verificadas, asignaciones inequivocas. Solo con alta confianza y bajo riesgo.

HUMANO: Decisiones discrecionales, excepciones, casos con potencial discriminatorio, decisiones por encima de umbrales de valor definidos, todos los casos en que el Comite de Empresa ejerce su derecho de información y consulta.

Cuatro principios hacen efectivo el Decision Layer:

Reglas explícitas y versionadas. Cada regla de decision tiene un identificador, una version, una fecha de validez y un ambito de aplicación. Cuando un acuerdo de empresa cambia, se crea una nueva version de la regla. En una auditoria es trazable que regla estaba vigente en el momento de la decision.

Human-in-the-Loop impuesto arquitectonicamente. Para tipos de decision definidos, el sistema no puede continuar sin aprobación humana. Esto se impone tecnicamente, no se acuerda organizativamente. Un agente no puede eludir esta revisión porque la arquitectura no lo permite, no porque una política lo prohiba.

Audit Trail por microdecisión - el acta de decisión. Cada microdecisión individual genera un acta de decisión inmutable: input, regla de negocio aplicada con su versión, valor de confianza, versión del modelo, resultado, marca de tiempo y vía de impugnación. No es documentación retrospectiva. Es el registro técnico del proceso decisorio - y hace cumplible la explicación de la decisión individual conforme al art. 86 del EU AI Act.

Acuerdos de empresa como restricciones del sistema. Los requisitos del Comite de Empresa no se implementan como directrices organizativas, sino como reglas técnicas en el Decision Layer. El sistema no puede eludir el acuerdo de empresa porque es parte de la logica del sistema. El Comite de Empresa puede rastrear cada decision en el Audit Trail.

Clasificacion de datos como fundamento

Antes de que el Decision Layer pueda ser efectivo, hay que responder a una cuestión fundamental: ¿Que datos pueden ser procesados por que modelo de IA? La respuesta la proporciona un esquema de clasificación de cuatro niveles:

La clasificación determina automaticamente el routing del modelo. Cuando un empleado formula una pregunta sobre un contrato (nivel 3), el sistema dirige automaticamente la solicitud a un modelo self-hosted o pseudonimiza los datos antes de la transferencia. Un modelo publico no es opcion para datos de nivel 3. La arquitectura garantiza que sea tecnicamente imposible, no solo organizativamente prohibido. La pseudonimización, sin embargo, no hace anónimos los datos: sustituye nombres e identificadores, no el contenido, y el envío a un modelo en la nube sigue exigiendo un contrato con el proveedor.

La clasificación de datos no es una tarea puntual. Debe integrarse en los procesos existentes: cada nuevo documento, cada nueva fuente de datos, cada nuevo proceso recibe una clasificación. Idealmente de forma automatizada, basandose en tipo de documento, reconocimiento de contenido y asignación organizativa.

Sin clasificación de datos falta el fundamento para cualquier otra medida de governance. Es la primera decision que debe tomarse, antes de la selección del modelo, antes de construir la infraestructura.

Los cinco pilares del AI Governance

La clasificación de datos es el fundamento. Sobre el se construyen cinco pilares que conforman un AI Governance completo:

1. Control de acceso. ¿Quien puede usar que funciones de IA? ¿Que asistentes, que bases de conocimiento, que agentes estan disponibles para que roles? El control de acceso refleja la estructura organizativa existente: RRHH ve asistentes de RRHH, Finanzas ve asistentes de Finanzas. La integración SSO garantiza que no haya que gestionar accesos separados.

2. Auditoria y logging. Cada interacción con el sistema de IA se registra. No para vigilar empleados, sino para la trazabilidad de decisiones de negocio. ¿Quien formulo que pregunta y cuando? ¿Que modelo respondio? ¿Basandose en que fuentes? El Audit Trail es la base para auditoria interna, revisión financiera y evidencias de compliance. La arquitectura de referencia de governance describe la implementación técnica en detalle.

3. Human Oversight. La arquitectura define donde se requiere revisión humana. No es un requisito generico. Es una decision diferenciada por microdecisión. Las clasificaciones rutinarias no necesitan revisor humano. Las decisiones de personal con potencial discriminatorio, siempre. La granularidad de esta diferenciación distingue un governance eficaz de uno burocratico.

4. Aseguramiento de la calidad. Los resultados de IA deben verificarse, no cada uno, pero si sistematicamente. Muestreos, feedback de usuarios, evaluación automatizada. ¿Alucina el modelo? ¿Son correctas las referencias a fuentes? ¿Son correctas las aplicaciones de reglas? El aseguramiento de calidad es un proceso continuo, no un test puntual.

5. Compliance y reporting. La EU AI Act exige documentación técnica, clasificación de riesgos y Conformity Assessment para sistemas de IA de alto riesgo. La clasificación de alto riesgo se mantiene; estas obligaciones se aplican desde el 2 de diciembre de 2027, fecha fijada por el Reglamento (UE) 2026/1744 (Omnibus Digital sobre IA, en vigor desde el 27 de julio de 2026). Las obligaciones de transparencia, en cambio, rigen desde el 2 de agosto de 2026. El AI Governance debe incorporar estos requisitos desde el principio, no anadirlos después. Informes periodicos sobre uso, rendimiento de modelos, calidad de decisiones y estado de compliance son la base para la gestión directiva.

Por que el Decision Layer es la clave para escalar

Las empresas que quieren escalar la IA - de un proyecto piloto a diez agentes en producción, de un departamento a toda la organización - se topan sin Decision Layer con un limite duro. No técnico, sino organizativo.

El Comite de Empresa no dara su consentimiento. En España, el Comite de Empresa tiene derechos de información y consulta sobre la implantación de sistemas de IA que afecten a las condiciones laborales, según el Estatuto de los Trabajadores. Sin logica de decision trazable, sin Human-in-the-Loop documentado, sin acuerdos de empresa como restricciones del sistema, ningun Comite de Empresa dara su aprobación. El Decision Layer proporciona exactamente la transparencia y controlabilidad que el Comite exige.

La auditoria interna no dara luz verde. Auditores y revisión interna necesitan trazabilidad. Cuando un agente AI genera asientos, evalua contratos o prepara decisiones de personal, la ruta decisoria debe ser auditable. Sin Audit Trail, cada decision del agente es un riesgo de auditoria. El Decision Layer genera automaticamente la evidencia que los auditores necesitan.

La dirección no aprobara el presupuesto. Los proyectos piloto se financian con presupuestos de innovación. Escalar requiere presupuestos de inversión, y estos exigen un business case con cifras solidas. El Decision Layer proporciona los datos: tiempos de proceso, tasas de error, coste por operación, tasas de escalación. Sin estos datos, la IA sigue siendo una partida de coste sin retorno demostrable.

El orden no es negociable: primero governance, luego escalado. No al reves.

Cookieless y Privacy by Design

Un portal enterprise de IA no solo debe proteger los datos de las consultas de los usuarios, sino tambien el propio uso. Esto significa: sin tracking, sin cookies analiticas, sin análisis de comportamiento.

SSO en lugar de cuentas separadas. Los empleados se autentican a traves del sistema de gestión de identidades existente de la empresa. Sin contrasenas separadas, sin perfiles de usuario separados en un proveedor externo.

Sin cookies de seguimiento. El portal de IA interno no utiliza cookies para análisis de comportamiento. Los datos de uso se recopilan exclusivamente para el Audit Trail - no para marketing, no para optimización de producto por terceros, no para perfilado.

Datos de uso solo para auditoria. Que empleado formulo que consulta se registra, pero exclusivamente para fines de governance: trazabilidad, compliance, aseguramiento de calidad. El acceso a estos datos esta restringido a roles autorizados (seguridad IT, Delegado de Proteccion de Datos (DPD), revisión). El superior jerarquico no ve las consultas individuales de sus empleados.

Privacy by Design. Los requisitos de protección de datos estan integrados en la arquitectura, no anadidos después. Pseudonimización de PII, clasificación de datos, routing de modelos - todos estos mecanismos operan automaticamente, basandose en la clasificación de los datos, no en la disciplina de los usuarios.

Este enfoque convence no solo al Delegado de Proteccion de Datos, sino tambien al Comite de Empresa: el sistema no vigila a los empleados. Documenta decisiones de negocio.

Decision Layer es el componente central de governance de Gosign. Agnostico respecto al modelo, compatible con el Comite de Empresa, con Audit Trail completo y un acta de decisión por microdecisión - impugnable conforme al art. 86 del EU AI Act. Mas sobre la arquitectura de governance.

Reservar una reunion. 30 minutos para determinar como seria un Decision Layer para sus procesos y como abordar Shadow AI en su empresa de forma controlada.

Bert Gogolin

Director General, Gosign

AI Governance Briefing

IA empresarial, regulación e infraestructura - una vez al mes, directamente de mi parte.