¿Qué es BYOAI y por qué repite, más rápido, los errores del BYOD?

BYOAI (bring your own AI, “traiga su propia inteligencia artificial”) es el uso que hacen los colaboradores de herramientas públicas de IA generativa, como las versiones personales de ChatGPT, Gemini, Claude o Copilot, para realizar tareas de trabajo sin que la organización las haya aprobado. Repite los errores del BYOD porque las empresas vuelven a reaccionar tarde, a confiar en la prohibición y a tratar como un asunto técnico lo que en realidad es un problema de gobernanza de la información. La diferencia es la velocidad. Lo que el BYOD tardó dos décadas en instalar, el BYOAI lo consiguió en dos o tres años, y lo hizo sobre el mismo dispositivo que ya concentraba el correo y las aplicaciones de la empresa.

Para un comité de dirección, la pregunta ya no es si sus colaboradores usan inteligencia artificial. Es cuánta información de la organización pasa cada día por herramientas que nadie inventarió.

Qué es BYOAI y en qué se diferencia del shadow AI

El término nació por analogía con BYOD (bring your own device), la práctica de usar teléfonos, tabletas y portátiles personales para trabajar. El Centro de Investigación de Sistemas de Información del MIT (MIT CISR) lo define con precisión: el uso de herramientas públicas de IA generativa, no aprobadas por la organización, para tareas laborales. Sus investigadores, Nick van der Meulen y Barbara Wixom, estudiaron el fenómeno y llegaron a una conclusión clara: prohibirlo no funciona.

Conviene despejar una confusión frecuente. Algunas fuentes presentan el BYOAI como un modelo que la empresa ofrece, una especie de libertad para que cada colaborador elija su herramienta favorita. Esa lectura describe una aspiración, no la realidad. En la mayoría de las organizaciones el BYOAI ocurre sin autorización y sin registro. Por eso se superpone casi por completo con el shadow AI o IA en la sombra, la versión actual del viejo shadow IT.

La distinción útil es sencilla. El shadow AI nombra el uso que la organización no ve; el BYOAI nombra su origen, la herramienta personal que entra al trabajo. Ambos conducen al mismo punto ciego.

Del BYOD al BYOAI: la misma puerta, abierta dos veces

Tres décadas en ambientes de TI empresarial permiten observar el patrón completo. A mediados de los años ochenta, en Costa Rica, los teléfonos móviles eran una noticia de sociedades más avanzadas. Hacia finales de los noventa llegaron al país y a sus empresas. En la década de 2000 ya formaban parte del día a día, y nadie anticipó la penetración que alcanzarían en la vida laboral y personal. Hoy el celular es un bien de uso básico y, en buena medida, una extensión de la persona.

Su entrada a la oficina siguió dos etapas. Primero, la empresa entregaba el dispositivo como un activo para comunicarse en horas laborales. Después, la reducción de costos llevó a promover el uso de celulares y tabletas propios. A esa presión desde arriba se sumó otra desde abajo, la consumerización de la tecnología: los colaboradores empezaron a llevar equipos personales más modernos que los corporativos y exigieron usarlos para trabajar.

El resultado fue un reto enorme de infraestructura y, sobre todo, de seguridad de la información. Darle acceso a la red y a los datos de la organización a un dispositivo cuyo control pertenece, por ley y por naturaleza, a su dueño abrió dudas que nunca se resolvieron del todo: virus, robos, pérdidas, intrusiones, datos corporativos mezclados con fotos familiares. El BYOD se convirtió en una vertiente adicional para controlar y medir, y en muchas organizaciones ese control terminó siendo difuso.

Esa puerta sigue entreabierta. Por ella entra ahora la IA generativa.

Los tres errores del BYOD que el BYOAI repite

Llegar tarde a la política

Con el BYOD, la mayoría de las organizaciones escribió sus reglas cuando los dispositivos ya estaban conectados. Con la IA ocurre lo mismo. Según el Work Trend Index 2024 de Microsoft y LinkedIn, tres de cada cuatro trabajadores del conocimiento ya usaban IA en su trabajo, y el 78 % de ellos lo hacía con herramientas propias, sin esperar las corporativas. Un año después, el informe de IBM sobre el costo de las brechas de datos de 2025 encontró que el 63 % de las organizaciones afectadas no tenía una política de gobernanza de IA o aún la estaba elaborando.

Confiar en la prohibición

Bloquear el acceso a estos servicios desde la red corporativa parece la respuesta más rápida. Con el BYOD tampoco funcionó: el colaborador simplemente cambiaba de red. Con la IA el atajo es todavía más simple. Basta tomar una fotografía de la pantalla y consultarla desde el teléfono personal, con datos móviles, fuera de cualquier control. La investigación del MIT CISR coincide: la prohibición empuja el uso hacia la sombra en lugar de eliminarlo.

Esperar que el colaborador declare el uso

El BYOD al menos dejaba rastro, porque el dispositivo se conectaba a la red. El BYOAI no avisa. Los colaboradores no confiesan libremente que consultan modelos de IA desde su celular, en parte porque lo viven como un hábito personal y en parte porque temen que se cuestione la calidad de su trabajo. Consultar a ChatGPT se volvió tan natural como antes era preguntarle a Google, dentro y fuera del horario laboral. Y lo que se normaliza deja de declararse.

Por qué esta vez todo ocurre más rápido

El BYOD necesitó que las personas compraran un dispositivo, que el mercado madurara y que las redes móviles se extendieran. Fueron cerca de dos décadas. El BYOAI no requirió nada de eso. Desde la llegada masiva de la IA generativa a finales de 2022, y con mayor intensidad entre 2024 y 2026, cualquier colaborador con un celular tuvo acceso gratuito a un modelo de lenguaje, sin instalar nada y sin pedir permiso.

A eso se suma la presión de la industria. Los fabricantes de modelos compiten con inversiones de enorme escala, publican versiones nuevas con una frecuencia que ningún departamento de TI alcanza a evaluar y diseñan sus productos para el consumidor individual. La adopción no espera a TI. La precede.

La diferencia que agrava el riesgo: la IA consume información

Aquí está el punto que muchas organizaciones todavía no dimensionan. El riesgo clásico del BYOD era pasivo; el del BYOAI es activo. En el primer caso, la amenaza era un dispositivo perdido, una aplicación maliciosa o una red insegura. En el segundo, el propio colaborador entrega la información, casi siempre con buena intención, para resumir un informe, redactar una respuesta o revisar un contrato.

Y lo hace en el mismo celular donde conviven el correo empresarial, las aplicaciones web progresivas (PWA) de los sistemas internos, las aplicaciones empresariales y los documentos descargados. Sobre esa capa operan asistentes integrados en el sistema operativo, teclados con funciones de IA y aplicaciones de chat cuyo funcionamiento depende, por diseño, de consumir datos. Las empresas que consideran que este fenómeno no las afecta pasan por alto que su perímetro ya vive en el bolsillo de cada colaborador.

El riesgo tampoco es teórico. En 2023, Samsung restringió el uso de herramientas de IA generativa después de que algunos de sus ingenieros introdujeran código fuente confidencial en ChatGPT. El informe de IBM de 2025 indica, además, que una de cada cinco organizaciones sufrió una brecha relacionada con shadow AI.

Existe un efecto menos visible. Cada consulta transfiere fragmentos de contexto organizacional: criterios, decisiones, problemas internos. Ese conocimiento queda disperso en cuentas personales que la organización no controla y que se van con la persona el día que renuncia. El BYOAI agrava así un problema antiguo, la pérdida de conocimiento organizacional, y lo vuelve más difícil de rastrear.

Qué debe hacer una organización frente al BYOAI

La respuesta no es prohibir, pero tampoco tolerar en silencio. Es gobernar. La secuencia que mejor funciona parte de lo que el BYOD enseñó y casi nadie aplicó a tiempo.

Conocer el uso real. Antes de redactar cualquier política, la organización necesita saber qué herramientas se usan, para qué tareas y con qué tipo de información. Una encuesta anónima, sin consecuencias disciplinarias, revela más que cualquier bloqueo. Las herramientas de monitoreo de tráfico y de descubrimiento de aplicaciones completan ese inventario.

Ofrecer una alternativa corporativa. El colaborador usa su propia IA porque le resuelve algo. Si la organización no ofrece una opción aprobada, con condiciones contractuales que impidan el uso de sus datos para entrenar modelos, la sombra seguirá creciendo.

Escribir una política de uso aceptable específica para IA generativa. Debe definir qué información puede ingresar a una herramienta externa y cuál nunca: datos personales de clientes, información financiera no publicada, código fuente o estrategia. La norma ISO/IEC 27001:2022 ofrece la base con sus controles sobre uso aceptable de la información, dispositivos de usuario final y trabajo remoto. La norma ISO/IEC 42001 aporta el marco para un sistema de gestión de la inteligencia artificial.

Separar contextos en el dispositivo. Los perfiles de trabajo de Android, la inscripción de usuario de Apple y las soluciones de gestión de aplicaciones móviles permiten aislar las aplicaciones corporativas y limitar el traslado de información hacia aplicaciones personales. No resuelven todo, pero cierran el camino más corto.

Considerar el marco legal. En Costa Rica, la Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales regula cómo se tratan y transfieren los datos personales. Ingresar datos de clientes en una herramienta externa sin las garantías debidas puede generar responsabilidad para la organización. Conviene revisar cada caso con asesoría jurídica.

Capacitar. La alfabetización en IA reduce más riesgo que cualquier control técnico. Un colaborador que entiende qué hace un modelo con la información que recibe toma mejores decisiones sin necesidad de vigilancia.

La lección pendiente

El BYOD dejó una enseñanza que muchas organizaciones prefirieron ignorar: cuando una tecnología personal entra al trabajo, la gobernanza debe llegar antes que la costumbre. No llegó entonces y está llegando tarde otra vez, ni en la cantidad ni en la calidad que el fenómeno exige. La diferencia es que hoy el margen se mide en meses, no en años, y que la información ya no solo corre el riesgo de perderse con un dispositivo. Ahora sale, consulta tras consulta, por voluntad de quien la maneja.

La pregunta que conviene plantear en cada comité de dirección es directa: si hoy se revisara el celular de cada colaborador, ¿sabría la organización cuánta de su información ya entregó a una inteligencia artificial que nunca aprobó?

Preguntas frecuentes

¿Qué significa BYOAI? Son las siglas en inglés de bring your own AI, “traiga su propia IA”. Describe el uso de herramientas públicas de IA generativa, no aprobadas por la organización, para realizar tareas laborales.

¿Cuál es la diferencia entre BYOD y BYOAI? El BYOD se refiere al dispositivo personal que se usa para trabajar; el BYOAI, a la herramienta de IA personal que procesa información de trabajo. El primero expone datos cuando el dispositivo se compromete. El segundo los expone cada vez que alguien los ingresa en un modelo externo.

¿Es lo mismo BYOAI que shadow AI? En la práctica casi siempre coinciden. El shadow AI designa cualquier uso de IA que la organización no ve ni controla; el BYOAI pone el acento en que la herramienta pertenece al colaborador.

¿Conviene prohibir ChatGPT y otras herramientas de IA en la empresa? La prohibición aislada suele trasladar el uso al celular personal, donde la organización pierde toda visibilidad. Funciona mejor una combinación de alternativa corporativa, política de uso aceptable y capacitación.

¿Qué normativa aplica en Costa Rica? La Ley 8968 regula el tratamiento de datos personales y resulta pertinente cuando esos datos ingresan a herramientas de IA. Como la regulación específica sobre inteligencia artificial evoluciona con rapidez en la región, conviene revisar cada caso con asesoría legal.