Pax8: dos tercios de las pymes con IA crean sus propias herramientas sin auditoría

Las pequeñas y medianas empresas han dejado de limitarse a comprar IA ya hecha y han empezado a construirla ellas mismas. Según una encuesta de Pax8 publicada el lunes 12 de octubre, dos tercios de las pequeñas empresas que ya usan IA desarrollan sus propias herramientas. En todos los mercados analizados, la mayoría lo hace sin una revisión formal y documentada. En total, participaron 1150 encuestados.

Pax8 es un marketplace con sede en Denver. Vende software en la nube y de IA a pequeñas empresas a través de proveedores de TI, es decir, MSP. Estos contratistas suelen funcionar como el departamento de TI externo de las firmas pequeñas. Por eso Pax8 ve el mercado desde un ángulo poco habitual: las cifras reflejan no solo el ánimo de los dueños de negocio, sino también lo que ocurre en la base de clientes de sus socios.

Qué construyen exactamente

En la parte disponible del material no hay una definición precisa de «herramienta propia». En este tipo de estudios, el término suele abarcar varios niveles de complejidad:

• asistentes personalizados basados en modelos ya hechos, ajustados a las tareas de un departamento;
• automatizaciones en plataformas no-code que conectan el correo, el CRM y los documentos;
• scripts y pequeñas aplicaciones con llamadas a la API de los modelos;
• agentes sencillos que ejecutan cadenas de acciones.

La barrera de entrada es baja. Para montar una herramienta así basta con un entusiasta en la oficina y una suscripción a un servicio. Eso explica la escala: pasar de comprar a construir por cuenta propia es hoy más fácil que hace uno o dos años.

IA en la sombra y sin papeles

Lo más importante del hallazgo está en otra parte. En cada uno de los mercados encuestados, la mayoría de las empresas no realiza una revisión formal y documentada de sus propios desarrollos de IA. En una gran corporación esto no ocurre: hay un equipo de seguridad, abogados y un comité de riesgos. En una empresa de 20 a 50 personas, esa cadena normalmente no existe. Decide quien sabe montar un prototipo funcional.

Los riesgos son muy concretos:

• los datos de los clientes acaban en una herramienta casera y nadie registra adónde van;
• las claves de API y los permisos de acceso se conceden con el criterio de «que funcione»;
• no está claro quién responde por los errores del modelo ni quién mantiene la herramienta si su autor deja la empresa;
• no hay registro de cambios, así que resulta difícil analizar un fallo.

Este conjunto es lo que suele llamarse IA en la sombra (shadow AI). Crece donde la herramienta es útil y la aprobación se percibe como burocracia innecesaria.

Datos clave de la encuesta

• Editor: Pax8, Denver, marketplace de IA y software en la nube para pequeñas empresas.
• Muestra: 1150 encuestados.
• Proporción de pequeñas empresas que usan IA y construyen sus propias herramientas: alrededor de dos tercios.
• Revisión formal y documentada: ausente en la mayoría de las empresas de todos los mercados analizados.
• Fecha de publicación: 12 de octubre de 2026.

Hay una salvedad al leer estos datos. Pax8 gana dinero vendiendo software y servicios a través de proveedores de TI, y la gestión de riesgos encaja directamente con sus intereses comerciales. Esto no invalida los datos, pero obliga a ser prudente con las conclusiones sobre su alcance. En el fragmento disponible no hay desglose por países, tamaño de empresa ni redacción de las preguntas, y de ello depende en qué medida la cifra de los dos tercios refleja la realidad.

Qué deberían hacer los dueños de negocio y los MSP

Para el dueño de una empresa pequeña, el conjunto mínimo de medidas no requiere un departamento de seguridad. Basta con crear un registro: qué herramientas de IA se han construido, quién las hizo, con qué datos y con qué accesos. Una página por herramienta es suficiente. Después conviene definir las categorías de datos que no se deben enviar a los modelos y nombrar a un responsable para cada herramienta.

Para los MSP, es una oportunidad de ofrecer a sus clientes un servicio de inventario y auditoría básica de las soluciones caseras, antes de que se conviertan en infraestructura crítica. Para quienes construyen por su cuenta, la regla es una: si la herramienta trabaja con datos de clientes o toma decisiones sin intervención humana, merece al menos una breve revisión por escrito antes de ponerse en marcha.