TI en la sombra y herramientas de IA no autorizadas en las universidades: cómo detectarlas, clasificarlas y aprobarlas

Toda universidad utiliza software que el servicio central de TI nunca ha revisado: asistentes de IA gratuitos, extensiones de navegador, herramientas de encuestas pagadas con un proyecto de investigación, bots de transcripción que se unen a las reuniones. Esta guía explica por qué ocurre, qué riesgos plantea con el RGPD y NIS2, cómo detectar estas herramientas con las consolas de administración que ya tenéis y cómo crear un proceso de aprobación que los investigadores usen de verdad.

Publicado el 9 de octubre de 2026 · Fuentes verificadas el 9 de octubre de 2026

También disponible en: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Français · Português

1. ¿Qué es la TI en la sombra y qué es la IA en la sombra?

La TI en la sombra es el software, los servicios en la nube o el hardware que se usan para el trabajo universitario sin pasar por la revisión habitual de TI, seguridad de la información, protección de datos y contratación. La IA en la sombra es la parte que afecta a servicios de IA: chatbots, asistentes de redacción, bots de reuniones y herramientas de transcripción, traducción y búsqueda bibliográfica. Ninguno de los dos términos implica mala fe. La mayor parte de la TI en la sombra nace porque alguien necesitaba sacar adelante su trabajo.

Un grupo de investigación de la Universidad de Maryland, Condado de Baltimore (UMBC), que estudió la TI en la sombra en la educación superior mediante un estudio de caso y una encuesta a profesionales de TI, la describe como el software o hardware de un sistema o red que queda fuera del proceso de revisión habitual de la unidad de TI responsable. El mismo trabajo enumera posibles factores de vulnerabilidad frente a los incidentes de seguridad asociados, entre ellos el grado de descentralización de la TI y la actitud de la institución hacia la TI en la sombra.

En una universidad europea, son ejemplos típicos:

• un profesor que usa un generador gratuito de cuestionarios con IA con la lista de su grupo;
• un grupo de investigación que procesa sus entrevistas con una aplicación de transcripción de consumo;
• un departamento que paga una herramienta de encuestas en línea con una tarjeta de compras;
• una aplicación con «Iniciar sesión con Microsoft» o «Iniciar sesión con Google» a la que un empleado ha dado acceso a su correo, su calendario o sus archivos;
• una extensión de navegador que lee todas las páginas que abre el usuario para corregir la gramática o resumir textos;
• un asistente de reuniones con IA que se une a las reuniones en línea y las graba.

2. Por qué la TI en la sombra es endémica en las universidades

Las universidades están entre las organizaciones más descentralizadas de Europa. Es una fortaleza para la investigación y la docencia, y la razón por la que un proceso central de aprobación siempre irá por detrás de lo que la gente usa.

• Libertad académica y autonomía local. Los investigadores eligen sus propios métodos y herramientas, y las facultades y departamentos tienen a menudo su propio personal de TI y su propio presupuesto.
• Compras con fondos de proyectos. Los proyectos de investigación compran servicios con cargo a sus fondos, a veces con una tarjeta de compras o mediante liquidación de gastos personales, que pueden no llegar nunca a contratación central ni al delegado de protección de datos.
• Versiones gratuitas. Muchas herramientas son gratuitas para particulares. Sin compra no hay paso por contratación, pero las obligaciones del RGPD siguen a los datos, no a la factura.
• Extensiones de navegador y complementos. Se instalan en segundos, suelen necesitar permisos amplios para leer el contenido de las páginas y no aparecen en los inventarios de software tradicionales.
• Consentimiento OAuth. En Microsoft Entra ID, la documentación de Microsoft indica que, por defecto, "all users are allowed to consent to applications for permissions that don't require administrator consent" (todos los usuarios pueden dar su consentimiento a aplicaciones para permisos que no requieren el consentimiento de un administrador). Así, un usuario puede conectar una aplicación de terceros a su propio buzón sin que nadie más lo vea.
• Asistentes de IA. La IA generativa llegó más deprisa que los ciclos de contratación. Las universidades respondieron con orientaciones y servicios institucionales, pero las herramientas de consumo siguen a una pestaña del navegador.
• Investigadores visitantes, estudiantes y socios externos. Traen sus propias herramientas y cuentas, y la colaboración entre instituciones hace que los datos pasen por servicios que ninguna universidad ha aprobado por sí sola.

Análisis de Validemic La TI en la sombra es también una señal. Cuando mucha gente usa la misma herramienta no autorizada, suele significar que la institución no ofrece una alternativa aceptable o que el proceso de aprobación es demasiado lento o difícil de encontrar. Tratad los resultados de la detección como una lista de necesidades no cubiertas, además de una lista de riesgos.

3. Los riesgos: RGPD, transferencias, entrenamiento de IA, seguridad, accesibilidad, licencias, NIS2

El riesgo no es que las herramientas no autorizadas sean siempre peores que las aprobadas. Es que nadie las ha revisado, de modo que nadie puede demostrar que se cumplen las obligaciones siguientes.

Obligaciones del responsable en el RGPD (arts. 24, 28 y 32)

Cuando el personal usa una herramienta para el trabajo universitario, la universidad es normalmente la responsable de ese tratamiento. El artículo 24 del RGPD obliga al responsable a aplicar medidas técnicas y organizativas apropiadas y a poder demostrar que el tratamiento es conforme con el Reglamento. El artículo 28.1 dispone que el responsable «elegirá únicamente un encargado que ofrezca garantías suficientes», y el artículo 28.3 exige un contrato por escrito con cada encargado. El artículo 32 exige una seguridad adecuada al riesgo. Una herramienta gratuita aceptada con una licencia de consumo de un clic no suele tener ningún contrato del artículo 28 con la universidad, y un registro de actividades de tratamiento (art. 30) que no la recoja está incompleto. Nuestra página sobre el RGPD reproduce íntegramente estos artículos.

La autoridad neerlandesa de protección de datos (Autoriteit Persoonsgegevens, AP) ha sacado la conclusión práctica para los chatbots de IA. En su advertencia de 6 de agosto de 2024 señaló: "Often, employees use the chatbots on their own initiative and contrary to the agreements made with the employer" (a menudo, los empleados usan los chatbots por iniciativa propia y en contra de lo acordado con el empleador). Según la AP, si en esa situación se introducen datos personales, se produce una brecha de datos; cuando el uso del chatbot es política de la organización, "it is not a data breach, but often not permitted by law" (no es una brecha de datos, pero a menudo no está permitido por la ley). Puede ser necesario notificar las brechas en 72 horas (art. 33). Véase nuestra guía sobre la respuesta a brechas de datos en las universidades (en inglés).

Transferencias internacionales

Muchas herramientas gratuitas se gestionan desde fuera del Espacio Económico Europeo. El capítulo V del RGPD (desde el art. 44) solo permite las transferencias con un instrumento de transferencia, como una decisión de adecuación o las cláusulas contractuales tipo. Una persona que se da de alta en un servicio de consumo no los pone en marcha en nombre de la universidad. Nuestra guía sobre el Marco de Privacidad de Datos UE-EE. UU. y la herramienta de mecanismos de transferencia (en inglés) explican las opciones.

Entrenamiento de IA con los datos subidos

La AP advirtió de que "Most companies behind the chatbots store all data entered" (la mayoría de las empresas que hay detrás de los chatbots conservan todos los datos introducidos), a menudo sin que quien los introduce sea consciente. La Universidad de Copenhague informó a su personal en mayo de 2024 de que la mayoría de las herramientas de IA generativa conservan lo que introducen los usuarios y lo usan para desarrollar sus modelos, y le pidió que usara solo la herramienta con licencia institucional. El centro de IA de Oxford señala que, en las versiones de consumo, son los usuarios quienes deben vigilar la política del proveedor y desactivar por sí mismos el entrenamiento. El plan contratado importa: los planes educativos y empresariales suelen tener condiciones de entrenamiento y de conservación distintas de las de los gratuitos. Nuestras fichas sobre ChatGPT, Grammarly, Otter.ai, DeepSeek y Microsoft Copilot recogen lo que documenta públicamente cada proveedor, por plan.

Seguridad

Las aplicaciones no revisadas con acceso OAuth a buzones o archivos son una vía de ataque. La propia documentación de Microsoft sobre Defender for Cloud Apps señala que las aplicaciones OAuth "often behave unnoticed" (suelen pasar desapercibidas) mientras tienen permisos amplios sobre datos de otras aplicaciones. Las extensiones de navegador pueden leer y modificar el contenido de las páginas, incluidas las de los sistemas universitarios. Las herramientas de desarrollo propio también son un riesgo: el estudio de caso de la UMBC encontró vulnerabilidades típicas, como cross-site scripting e inyección SQL, en un sistema de gestión de subvenciones desarrollado internamente.

Accesibilidad

Las universidades públicas son, por lo general, organismos del sector público a efectos de la Directiva (UE) 2016/2102 sobre la accesibilidad de los sitios web y aplicaciones para dispositivos móviles de los organismos del sector público. Una herramienta que un profesor exige usar a todos sus estudiantes, pero cuya accesibilidad nadie ha comprobado, puede excluir a estudiantes con discapacidad. Véase nuestra página sobre la Directiva de accesibilidad web.

Incumplimiento de licencias

Las condiciones de consumo están pensadas para particulares. Pueden limitar el uso a fines no comerciales o personales, otorgar al proveedor derechos amplios sobre el contenido subido o prohibir subir material que no pertenezca al usuario. El personal que sube contenido bibliotecario con licencia, manuscritos inéditos o datos de terceros puede infringir la licencia o los derechos de los autores. Las condiciones de la Universidad de Utrecht para las herramientas de IA no aprobadas, por ejemplo, piden al personal que no suba material protegido por derechos de autor, confidencial o de propiedad exclusiva, ni entrevistas grabadas.

Obligaciones de NIS2 sobre la cadena de suministro, cuando proceda

NIS2 (Directiva (UE) 2022/2555) permite a los Estados miembros incluir a los centros de enseñanza, «en particular cuando lleven a cabo actividades críticas de investigación» (art. 2.5.b), y los organismos de investigación pueden estar incluidos por sí mismos. Las entidades incluidas deben adoptar medidas de gestión de riesgos que comprendan «la seguridad de la cadena de suministro, incluidos los aspectos de seguridad relativos a las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos» (art. 21.2.d), así como la gestión de activos. Los servicios que nadie conoce no pueden quedar cubiertos por esas medidas. Que vuestra universidad esté incluida depende de la transposición nacional; nuestra guía de NIS2 para universidades (en inglés) y la página sobre NIS2 recogen la situación por países.

Reglamento de IA: alfabetización en IA

Según el Reglamento de IA, modificado por el Reglamento (UE) 2026/1744, los responsables del despliegue deben adoptar medidas para apoyar la alfabetización en IA del personal que utiliza sistemas de IA (art. 4). Una institución que no sabe qué sistemas de IA usa su personal tendrá difícil cumplir esa obligación. Véase nuestra guía del Reglamento de IA para universidades (en inglés).

4. Qué dicen los reguladores y las organizaciones del sector

Ninguna autoridad europea de protección de datos ha dictado una norma específica sobre la TI en la sombra en las universidades, pero varias han publicado orientaciones sobre IA generativa que se aplican directamente.

Las directrices nacionales suecas abarcan ámbitos que van más allá de la protección de datos, como la contratación y el derecho laboral, lo que recuerda que la respuesta a la IA en la sombra no es solo un proyecto de protección de datos. Para las demás autoridades nacionales, consultad directamente sus páginas sobre IA; nuestra guía de servicios de IA nórdicos (en inglés) recoge los servicios compartidos que ofrecen las redes nacionales de investigación y educación.

5. Cómo detectar la TI en la sombra: siete técnicas

Para empezar a detectar no hace falta un producto nuevo. La mayoría de las universidades ya tienen los datos en su plataforma de identidad, su sistema de gestión económica y sus registros de red. Combinad varias fuentes, porque cada una solo ve una parte.

Técnica 1: auditoría del consentimiento de aplicaciones OAuth en Microsoft Entra ID

En Microsoft Entra ID, cada aplicación de terceros a la que un usuario o un administrador ha dado acceso aparece como aplicación empresarial con sus permisos. La guía de Microsoft para revisar los permisos concedidos a aplicaciones empresariales explica cómo ver el consentimiento de administrador y el de usuario para cada aplicación. Hay un límite: los permisos concedidos por los usuarios no pueden revocarse desde la pestaña de consentimiento de usuario del portal; Microsoft remite para ello a Microsoft Graph o a PowerShell.

1. Exportad la lista de aplicaciones empresariales con permisos delegados, el número de usuarios que han dado su consentimiento y el editor.
2. Marcad las aplicaciones con acceso al correo, los archivos, los calendarios o el directorio, las de editores no verificados y las que tienen muchos usuarios.
3. Cambiad la configuración del consentimiento de usuario. Microsoft recomienda permitirlo "only for applications that have been published by a verified publisher" (solo para aplicaciones publicadas por un editor verificado), y su directiva integrada lo limita además a los permisos que clasifiquéis como de bajo impacto (véase Configure how users consent to applications).
4. Activad el flujo de trabajo de consentimiento del administrador, para que los usuarios que no pueden dar su consentimiento puedan enviar una solicitud. Microsoft lo describe como el envío de la solicitud por correo a los administradores designados como revisores, que la resuelven, tras lo cual se avisa al usuario. Esta será la puerta de entrada a vuestra vía rápida.

Cambiar la configuración del consentimiento solo afecta a los consentimientos futuros; Microsoft señala que las concesiones existentes no cambian, así que hacen falta tanto la auditoría como el cambio de directiva.

Técnica 2: acceso de aplicaciones de terceros en Google Workspace

Los administradores de Google Workspace gestionan las aplicaciones de terceros en los controles de API. La página de ayuda de Google Control which apps access Google Workspace data describe una lista de aplicaciones con acceso que muestra las aplicaciones que han accedido a datos de Google, con el número de usuarios y los servicios solicitados, y cuatro niveles de acceso para cada aplicación: de confianza, limitado, datos específicos de Google y bloqueado. Los administradores también pueden decidir qué ocurre con las aplicaciones no configuradas, restringir los ámbitos de alto riesgo de servicios como Gmail y Drive y permitir que los usuarios soliciten acceso a una aplicación, que queda entonces pendiente de revisión. Las ediciones educativas tienen ajustes propios para los usuarios menores de 18 años. Google advierte de que los datos de aplicaciones con acceso pueden tardar entre 24 y 48 horas en aparecer.

Técnica 3: registros de inicio de sesión único

Los registros de inicio de sesión de Entra ID, de Google o del proveedor de identidad propio de la institución muestran en qué proveedores de servicios se autentican las personas, incluidos los servicios conectados mediante federación de identidades. Los registros de SSO solo muestran las herramientas que usan el acceso institucional, así que no revelan las herramientas gratuitas usadas con cuentas personales; pero, combinados con la auditoría de OAuth, sí muestran las herramientas usadas con una dirección de correo de la universidad en la página de acceso del propio proveedor.

Técnica 4: datos de gastos y de tarjetas de compras

Pedid a gestión económica un extracto anual de las operaciones con tarjeta y las liquidaciones de gastos cuyos comercios parezcan suscripciones de software. Agrupad por proveedor y por centro de coste. A menudo es la única forma de encontrar servicios de pago comprados con fondos de investigación. También indica con quién hablar, porque cada operación tiene un titular de tarjeta o un solicitante identificado.

Técnica 5: DNS, proxy y CASB

Los registros agregados de DNS o del proxy web muestran a qué servicios en la nube se accede desde la red del campus. Un agente de seguridad de acceso a la nube (CASB) añade un catálogo y valoraciones de riesgo. Microsoft describe Defender for Cloud Apps como una solución que usa el tráfico de red y un catálogo de aplicaciones para identificar las que están en uso, y que evalúa las aplicaciones detectadas con "more than 90 risk indicators" (más de 90 indicadores de riesgo). Otros productos CASB funcionan de forma parecida. Las redes universitarias son abiertas y mucha gente trabaja fuera del campus, así que conviene tratarlo como una muestra y no como un inventario completo.

El análisis de la red y de los registros es en sí mismo un tratamiento de datos personales del personal y de los estudiantes. Usad datos agregados siempre que sea posible, limitad el acceso, fijad un plazo de conservación, informad al personal en la cláusula informativa e implicad al DPD y, cuando proceda, a la representación del personal antes de empezar. Nuestra herramienta de cribado de EIPD ayuda a decidir si la propia monitorización necesita una EIPD.

Técnica 6: preguntar a la gente

Una encuesta breve, anónima por defecto, a departamentos y grupos de investigación suele descubrir herramientas que ningún registro muestra: software de escritorio, herramientas usadas en dispositivos personales y servicios usados por socios externos en un proyecto. Haced tres preguntas: qué herramientas usáis para docencia, investigación y gestión que no estén en la lista aprobada; qué datos introducís en ellas; y qué necesitaríais de la universidad para dejar de usarlas. Repetidla cada año.

Técnica 7: gestión de extensiones del navegador

En los equipos gestionados, las directivas del navegador muestran y controlan las extensiones. La guía de Microsoft para gestionar las extensiones de Microsoft Edge con directivas de grupo describe ExtensionInstallBlocklist y ExtensionInstallAllowlist (bloquear todo con «*» y después permitir las extensiones de la lista), ExtensionSettings para bloquear las extensiones que solicitan determinados permisos y runtime_blocked_hosts para impedir que las extensiones lean o modifiquen sitios concretos, como vuestro sistema de gestión académica. Añadir a la lista de bloqueo una extensión ya instalada la desactiva sin desinstalarla. Chrome ofrece directivas equivalentes.

Análisis de Validemic Un primer paso sensato no es bloquear todas las extensiones, lo que perturbaría la investigación y la docencia, sino usar runtime_blocked_hosts para mantener las extensiones alejadas de los sistemas con los datos más sensibles (expedientes académicos, recursos humanos, gestión económica, plataformas de investigación sanitaria) y elaborar una lista de permitidas a partir de lo que la detección muestre que se usa realmente.

¿Estáis evaluando a un proveedor? Validemic contrasta su documentación con el RGPD y el Reglamento de IA e indica la fuente de cada conclusión. Probad el entorno de demostración

6. Un modelo de clasificación por datos e integración

Una vez tengáis la lista, hay que decidir dónde invertir el esfuerzo de revisión. Dos preguntas hacen la mayor parte del trabajo: cuáles son los datos más sensibles que tocará la herramienta y en qué grado se integra con los sistemas de la universidad. Usad la clasificación de la información que ya tenga vuestra institución (muchas universidades usan tres o cuatro clases, por ejemplo pública, interna, confidencial y estrictamente confidencial o «roja»).

Los plazos de decisión son objetivos de planificación, no requisitos legales. Añadid dos modificadores. Las funciones de IA que generan contenido sobre personas, evalúan a estudiantes o hacen recomendaciones suben la herramienta un nivel, porque hay que revisar el análisis de roles, el uso para entrenamiento y la posición respecto al Reglamento de IA. Una herramienta que ya usa mucha gente adelanta puestos en la cola, porque la exposición ya existe.

7. Un proceso de aprobación por vía rápida

La vía rápida existe para que, en la mayoría de las solicitudes, el camino aprobado sea más rápido que el no autorizado. Solo funciona si es fácil de encontrar, pide poco y responde pronto.

1. Una sola puerta de entrada. Un único formulario breve, enlazado desde el portal de servicios de TI, las páginas de orientación sobre IA y el mensaje del flujo de consentimiento del administrador. A modo de comparación, el cuestionario sobre herramientas de IA de la Universidad de Utrecht lleva unos 30 minutos.
2. Comprobar si ya hay respuesta. Antes de revisar nada, consultad las tres listas. Si la herramienta ya está aprobada, o encaja una alternativa aprobada, responded el mismo día.
3. Clasificar. Aplicad la matriz de datos e integración. Registrad el nivel y el motivo.
4. Recabar una sola vez las evidencias del proveedor. Para el nivel 1 suelen bastar las condiciones públicas, la política de privacidad y la configuración. Para el nivel 2 y superiores, pedid al proveedor el contrato de encargo, la lista de subencargados, el mecanismo de transferencia y las evidencias de seguridad. Nuestro generador gratuito de cuestionarios para proveedores crea un cuestionario adaptado al nivel.
5. Decidir con condiciones. La mayoría de las decisiones de la vía rápida son «aprobada con condiciones»: solo con acceso institucional, entrenamiento desactivado, sin más datos personales que las cuentas de usuario, solo para una asignatura o un proyecto concretos, revisión a los 12 meses.
6. Publicar el resultado. Añadid la herramienta a la lista correspondiente para que la siguiente persona obtenga una respuesta inmediata. Actualizad el registro de actividades de tratamiento (véase nuestra plantilla de registro de actividades, en inglés).
7. Vigilar. Las condiciones solo valen lo que valen las condiciones del proveedor. Estad atentos a los cambios de subencargados y de políticas, y volved a revisar cuando el proveedor añada funciones de IA. Nuestra herramienta gratuita de alertas de subencargados puede ayudar.

Aclarad quién decide. En Utrecht, la facultad que usa una herramienta aprobada la paga, normalmente comprándola directamente al proveedor. En Cambridge, las herramientas de IA generativa con licencia distintas de las centrales no están prohibidas, pero "must be procured in accordance with any applicable procurement policy or process" (deben contratarse conforme a la política o el procedimiento de contratación aplicable), y el departamento asume el riesgo. Ambos modelos funcionan si están por escrito.

8. Aprobadas, aprobadas con condiciones, no aprobadas

Las listas son el resultado más visible del proceso y la principal herramienta para cambiar comportamientos. La Universidad de Utrecht usa exactamente tres resultados para las herramientas de IA en la docencia: aprobada, aprobada con condiciones y rechazada. Las herramientas aprobadas pueden usarse con arreglo a sus condiciones y a las condiciones vinculadas a la aprobación.

Mantened la lista de «no aprobadas» breve y objetiva. Una larga lista de herramientas prohibidas invita a buscar la siguiente que no figure en ella. Una lista corta con alternativas claras funciona mejor. Para ver qué aprueban otras instituciones, consultad herramientas de IA aprobadas en universidades europeas y, para la redacción de políticas, nuestro modelo de política de IA para universidades (ambos en inglés).

9. Cómo lo hacen las universidades europeas

Las páginas siguientes muestran en la práctica los elementos principales: una alternativa institucional, normas sobre datos vinculadas a la clasificación, una posición sobre las herramientas no aprobadas y una vía para solicitar revisión. Se consultaron el 9 de octubre de 2026.

Análisis de Validemic El patrón se repite en todos los países: ofrecer primero una buena opción institucional, vincular las normas sobre datos a la clasificación existente y decir claramente qué no está permitido. Lo que menos se publica es la vía para solicitar cualquier otra herramienta. Utrecht es un buen ejemplo de publicación de la vía, el cuestionario y los posibles resultados.

10. Cómo hablar con investigadores y profesorado

La mayor parte de la TI en la sombra la crean personas que intentan hacer bien su trabajo. Una comunicación que las trate como el problema suele empujar el uso aún más fuera de la vista. Algunos principios ayudan:

• Empezar por la alternativa. «Usad UU AI-Chat, Aalto AI Assistant o GPT UiO para esto» es más útil que «no uséis ChatGPT». Cada entrada de «no aprobada» debe indicar una alternativa.
• Hacer normas sobre datos, no sobre marcas. La AP aconseja que las organizaciones dejen claro al personal qué datos puede y no puede introducir. Las normas vinculadas a clases de datos siguen siendo válidas cuando aparecen herramientas nuevas.
• Ofrecer una revisión sin culpables. Invitad a los departamentos a comunicar las herramientas que ya usan y revisadlas sin consecuencias para quienes las comunican. Los datos de detección son mucho más útiles cuando la gente colabora.
• Responder rápido. Publicad un plazo objetivo para las decisiones de la vía rápida e informad de su cumplimiento.
• Explicar el motivo en una frase. «El plan gratuito usa lo que introducís para entrenar y no tiene contrato de encargo» se entiende; «no cumple» no.
• Usar los canales existentes. El apoyo a la investigación, la biblioteca, los centros de innovación docente y el personal de TI de las facultades tienen la confianza del profesorado. Informadles primero.
• Conectar con los procesos de investigación. Preguntad por las herramientas en el plan de gestión de datos y en la solicitud al comité de ética, para que la revisión de herramientas se haga antes de recoger los datos, no después.

La formación también contribuye a la obligación del Reglamento de IA de adoptar medidas de alfabetización en IA. Nuestra guía el RGPD y las herramientas de IA en la investigación (en inglés) está escrita para investigadores y puede compartirse directamente.

11. Indicadores que muestran avances

Elegid un número reducido de indicadores que podáis obtener de los sistemas que ya tenéis. Informad de tendencias, no de cifras aisladas.

12. Un plan de 90 días

Este plan presupone un equipo pequeño con dedicación de seguridad TI, la oficina del DPD y contratación. Ajustad el alcance a vuestro tamaño.

Pasados 90 días, el trabajo se vuelve rutinario: el formulario de solicitud alimenta la vía rápida, la detección se repite cada mes y las listas se revisan al menos una vez al año. Revocar los consentimientos existentes y migrar a los usuarios desde las herramientas no aprobadas lleva más tiempo y debe hacerse cuando ya exista una alternativa.

Fuentes

1. Reglamento (UE) 2016/679 (RGPD), artículos 24, 28, 30, 32, 33 y 44 (consultado el 9 de octubre de 2026).
2. Directiva (UE) 2022/2555 (NIS2), artículos 2.5 y 21 (consultado el 9 de octubre de 2026).
3. Reglamento (UE) 2024/1689 (Reglamento de IA), artículo 4, y Reglamento (UE) 2026/1744 (Ómnibus Digital sobre IA) (consultado el 9 de octubre de 2026).
4. Directiva (UE) 2016/2102 sobre la accesibilidad de los sitios web y aplicaciones para dispositivos móviles de los organismos del sector público (consultado el 9 de octubre de 2026).
5. Autoriteit Persoonsgegevens: Caution: use of AI chatbot may lead to data breaches, 6 de agosto de 2024 (consultado el 9 de octubre de 2026).
6. IMY: GDPR vid användning av generativ AI, IMY-2024-9162, 5 de febrero de 2025 (consultado el 9 de octubre de 2026, en sueco).
7. IMY: National guidelines for generative AI in public administration are launched (consultado el 9 de octubre de 2026).
8. CNIL: IA, la CNIL finalise ses recommandations sur le développement des systèmes d'IA, 22 de julio de 2025 (consultado el 9 de octubre de 2026, en francés).
9. Jisc: Generative AI, a primer, actualizado el 1 de febrero de 2024 (consultado el 9 de octubre de 2026).
10. Microsoft Learn: Configure the admin consent workflow (consultado el 9 de octubre de 2026).
11. Microsoft Learn: Configure how users consent to applications (consultado el 9 de octubre de 2026).
12. Microsoft Learn: Review permissions granted to enterprise applications (consultado el 9 de octubre de 2026).
13. Google Workspace Admin Help: Control which apps access Google Workspace data (consultado el 9 de octubre de 2026).
14. Microsoft Learn: Overview of Microsoft Defender for Cloud Apps (consultado el 9 de octubre de 2026).
15. Microsoft Learn: Use group policies to manage Microsoft Edge extensions (consultado el 9 de octubre de 2026).
16. UMBC Cyber Defense Lab: Shadow IT in Higher Education: Survey and Case Study for Cybersecurity, 2021 (consultado el 9 de octubre de 2026).
17. Trinity College: Higher Education Community Vendor Assessment Toolkit (HECVAT) (consultado el 9 de octubre de 2026).
18. Universidad de Utrecht: Allow-listing process for AI tools (consultado el 9 de octubre de 2026).
19. Universidad de Utrecht: Conditions of use of AI tools by teachers and educational support staff (consultado el 9 de octubre de 2026).
20. Universidad de Utrecht: AI platforms at UU (consultado el 9 de octubre de 2026).
21. University of Oxford AI Competency Centre: GenAI tool features (consultado el 9 de octubre de 2026).
22. Universidad de Cambridge: Data protection guidance on AI (consultado el 9 de octubre de 2026).
23. Universidad de Edimburgo: Generative AI guidance for staff (consultado el 9 de octubre de 2026).
24. Universidad de St Andrews: Approved AI software (consultado el 9 de octubre de 2026).
25. Universidad de Reading: Generative AI and AI meeting assistants (consultado el 9 de octubre de 2026).
26. Universidad de Helsinki: Generative artificial intelligence at the University (consultado el 9 de octubre de 2026).
27. Universidad Aalto: Aalto AI Assistant (consultado el 9 de octubre de 2026).
28. Universidad de Ámsterdam: UvA AI Chat (consultado el 9 de octubre de 2026).
29. Universidad de Uppsala: AI tool for students (consultado el 9 de octubre de 2026).
30. KTH Real Instituto de Tecnología: AI services (consultado el 9 de octubre de 2026).
31. Universidad de Oslo: GPT UiO and red data (consultado el 9 de octubre de 2026).
32. Universidad de Copenhague: Three guidelines and a new tool for using AI, 8 de mayo de 2024 (consultado el 9 de octubre de 2026).
33. Universidad de Aarhus: Microsoft 365 for students (consultado el 9 de octubre de 2026).

Sobre esta página

Fuentes verificadas el 9 de octubre de 2026. Leímos la documentación para administradores de Microsoft y Google, las páginas de las autoridades de protección de datos y las páginas universitarias citadas; los textos jurídicos de la UE se citan según sus versiones del Diario Oficial. Las citas en inglés se reproducen en su versión original con una traducción entre paréntesis; las citas del RGPD y de NIS2 siguen su texto oficial en español. Las páginas universitarias cambian a menudo, así que comprobad la versión vigente antes de basaros en un detalle. Nuestra interpretación propia figura señalada como análisis de Validemic. Los plazos de decisión de la sección de clasificación son objetivos de planificación, no requisitos legales. Esta página ofrece información general, no asesoramiento jurídico; el derecho nacional, los acuerdos con la representación del personal y las políticas de vuestra institución pueden añadir requisitos, sobre todo en la monitorización del uso de la TI por el personal. Si detectáis un error o queréis proponer otro ejemplo universitario, escribidnos y lo corregiremos.