← Volver a la base de conocimientos

La paradoja de la participación

Por qué la formación obligatoria en seguridad y privacidad sube la participación pero no cambia el comportamiento, y qué enfoque sí funciona según la ciencia.

Actualizado recientemente

De la información a la acción

Descubra cómo convertir este tema en un programa de concienciación práctico con formación, simulaciones de phishing e informes claros para dirección.

Fundador y especialista en concienciación sobre seguridad · 2LRN4

En resumen

  1. Una obligación aumenta de forma fiable el número de empleados que finaliza la formación, pero el grado de finalización mide la actividad, no el resultado. La cifra que las organizaciones celebran, una finalización cercana al cien por cien, no es la que en realidad buscan, que es un comportamiento más seguro.
  2. La voluntariedad no es una alternativa. Sin obligación, la participación se mantiene tan baja que apenas hay nada que cambiar. La contraposición entre tener que hacerlo y querer hacerlo es, por tanto, una falsa oposición: la obligación aporta el alcance necesario, pero no realiza el trabajo de fondo.
  3. Que esa participación impuesta se traduzca en comportamiento depende del tipo de motivación que la obligación despierta. Ese tipo lo determina el diseño de la formación, no la obligación en sí. Una obligación que apoya la autonomía, la competencia y la vinculación del empleado se mueve hacia la elección propia, mientras que una obligación meramente controladora favorece la resistencia, el cansancio y la justificación para saltarse las normas.

Justificación

Tipo
Estudio de la literatura basado en investigación revisada por pares y en estándares de referencia.
Fuentes
Un metaanálisis de 69 estudios, estudios de campo a gran escala y trabajo empírico de las ciencias del comportamiento y de la seguridad de la información, incluyendo la teoría de la autodeterminación, la teoría de la reactancia y la investigación sobre fatiga de seguridad y neutralización.
Fecha de referencia
Junio de 2026.

01 · HallazgoLa participación sube, el resultado no la acompaña

Una obligación es un medio eficaz para poner las cifras en orden. Quien convierte en obligatoria la formación anual en línea y la acompaña de un recordatorio y un plazo de finalización ve cómo el grado de finalización trepa casi siempre hacia el cien por cien. Lo incómodo es que ese grado de finalización mide algo distinto de aquello para lo que se diseñó el programa. La finalización muestra que la formación ha tenido lugar, no que el comportamiento del empleado haya cambiado. Es una medida de actividad, mientras que el programa persigue un resultado.

Esa distinción no es un juego de palabras, porque las cifras la confirman. El metaanálisis de 69 estudios de la Universidad de Leiden muestra que la formación tiene un efecto grande sobre el conocimiento y la actitud de los empleados, pero que el efecto medio sobre el comportamiento real es pequeño (Prümmer, van Steen y van den Berg, 2024). Un empleado puede, por tanto, completar el módulo por entero, aprobar el cuestionario y demostrar que sabe más, sin que su comportamiento cambie en el momento decisivo. La finalización es real, el cambio de comportamiento no llega. Justo en esa brecha cae la organización que informa de un cien por cien de finalización y deduce de ello que el programa funciona.

Esta distancia entre saber y hacer no es una rareza de la formación en concienciación sobre seguridad, sino un hecho conocido en las ciencias del comportamiento. El Behaviour Change Wheel deja claro que el conocimiento es una condición para el comportamiento, pero por sí solo no basta. Junto a la capacidad hacen falta también la motivación para hacer lo correcto y la oportunidad de hacerlo (Michie, van Stralen y West, 2011). Una obligación incide sobre todo en la primera condición, la transmisión de conocimiento, y deja la motivación y la oportunidad en gran medida intactas. Con ello queda explicado de inmediato por qué la participación puede subir mientras el resultado se mantiene quieto.

Gran efecto sobre el conocimiento, pequeño efecto sobre el comportamiento

Tamaño del efecto (d de Cohen) de la formación en concienciación sobre seguridad

Figura 1 Un gran efecto sobre el conocimiento y la actitud frente a un pequeño efecto medio sobre el comportamiento. El grado de finalización se acerca a la columna izquierda, mientras que el programa persigue la columna derecha. Fuente: Prümmer, van Steen y van den Berg (2024). La d de Cohen es una medida estandarizada de la fuerza de un efecto, donde aproximadamente 0,2 es pequeño, 0,5 mediano y 0,8 grande.

02 · HallazgoPor qué la voluntariedad no es una salida

La reacción evidente ante lo anterior es renunciar a la imposición y apostar por la voluntariedad, en la creencia de que quien participa por iniciativa propia también aprende más motivado. El problema es que ese razonamiento encalla en un hecho sencillo: sin obligación, casi nadie participa. En un estudio de campo a gran escala se comprobó que la formación voluntaria, no obligatoria, alcanzaba a tan pocos empleados que no podía tener un efecto medible (Lain, Kostiainen y Čapkun, 2022). Lo que nadie hace tampoco puede cambiar el comportamiento de nadie.

Con ello, la contraposición entre tener que hacerlo y querer hacerlo aparece bajo otra luz. Es una falsa oposición. La voluntariedad alcanza a demasiado pocas personas como para poder mover algo, y una obligación aporta precisamente el alcance que hace falta para siquiera poder trabajar el cambio de comportamiento. En ese sentido, la obligación no es un mal que haya que evitar, sino un suelo que se necesita. El verdadero problema no está en si se impone o no, sino en la suposición tácita que a menudo se esconde detrás, a saber, que la obligación hace el trabajo. En cuanto la participación queda forzada, la organización considera cumplida la tarea, cuando en realidad el trabajo de fondo apenas comienza entonces.

La pregunta correcta no es, por tanto, si la formación debe ser obligatoria, sino qué hace una obligación con la motivación del empleado y bajo qué condiciones la participación forzada se traduce en otro comportamiento.

03 · ExplicaciónQué hace una obligación con la motivación

Para entender por qué una formación obligatoria cala y otra no, la teoría de la autodeterminación (self-determination theory) de Deci y Ryan resulta un marco útil (Ryan y Deci, 2000). Esa teoría no distingue la motivación simplemente en mucha o poca, sino en tipos. En un extremo está el comportamiento que se fuerza por completo desde fuera, por ejemplo porque de lo contrario llega una sanción. En el otro está el comportamiento que el empleado vive como elección propia, porque encaja con lo que considera importante. Entre ambos hay una transición gradual que la teoría llama interiorización: el proceso por el que algo que al principio se impuso pasa poco a poco a sentirse como propio del empleado.

La teoría señala tres necesidades psicológicas que alimentan esa interiorización. La primera es la autonomía, la sensación de que actúas por voluntad propia en lugar de que te lo imponen. La segunda es la competencia, la sensación de que eres capaz y de que tu esfuerzo conduce a algo. La tercera es la vinculación, la sensación de formar parte de un conjunto mayor en el que el comportamiento tiene sentido. La investigación sobre el cumplimiento de las políticas de seguridad confirma que estas tres necesidades influyen positivamente en la intención de cumplimiento, y que los empleados siguen las políticas de la forma más duradera cuando las viven como elección propia (Alzahrani y Johnson, 2019).

Aquí se hace también visible por qué la imposición es un arma de doble filo. Una obligación puede, precisamente, socavar la autonomía del empleado, y entonces entra en juego el mecanismo que en psicología se llama reactancia: una restricción percibida de la propia libertad despierta resistencia, y esa resistencia se dirige justo contra el comportamiento que se impuso (Wall, Palvia y Lowry, 2013). El empleado completa el módulo, porque es obligatorio, pero el tipo de motivación que hay debajo sigue siendo del todo externo. En cuanto desaparece la presión, también decae el comportamiento. Esa es la esencia de la paradoja: la obligación compra participación, pero el tipo de motivación que despierta determina si, una vez pasados los créditos, queda algo.

El continuo de la motivación: de lo impuesto a la elección propia

Según la teoría de la autodeterminación (Ryan y Deci, 2000)

Figura 2 El continuo de la motivación, del comportamiento del todo impuesto al comportamiento que el empleado vive como elección propia. Una obligación sitúa al empleado en el lado izquierdo, y solo un diseño que apoya las tres necesidades psicológicas lo mueve hacia la derecha. Según Ryan y Deci (2000).

04 · ExplicaciónLos efectos secundarios de un enfoque meramente controlador

Cuando una obligación se plantea solo como medio de control, es decir, como una lista de módulos que marcar con una sanción al final, aparecen efectos secundarios que minan el programa. El primero es la fatiga de seguridad, conocida en la literatura como security fatigue. Investigadores del instituto estadounidense de normalización NIST describieron cómo los empleados, saturados de exigencias de seguridad, desarrollan una sensación de resignación y de pérdida de control, por la que empiezan a evitar decisiones y a desoír las recomendaciones (Stanton, Theofanos, Prettyman y Furman, 2016). Una obligación que cada año vuelve a exigir lo mismo a todo el mundo alimenta precisamente esa fatiga en lugar de la vigilancia.

El segundo efecto secundario es más sutil y se llama neutralización. Es el fenómeno por el que alguien justifica para sí mismo una infracción antes de cometerla, por ejemplo con la idea de que por esta vez no hace daño o de que la norma no está pensada para esta situación (Sykes y Matza, 1957). En la seguridad de la información, la neutralización ha resultado ser un predictor importante de la transgresión deliberada de las políticas de seguridad (Moody, Siponen y Pahnila, 2018). La relación con la imposición y la fatiga es directa, pues la investigación muestra que la probabilidad de esa justificación aumenta a medida que crecen el estrés y el agotamiento ligados a la seguridad (D'Arcy y Teh, 2019). Un programa que se apoya sobre todo en la presión y la repetición no solo genera fatiga, sino que además le brinda al empleado el margen mental para acabar esquivando las normas.

Aquí cabe, eso sí, un matiz importante, porque la evidencia sobre la imposición y las sanciones es mixta y no concluyente. Una parte de la investigación encuentra que una amenaza de castigo percibida eleva, precisamente, la intención de cumplimiento, mientras que otra parte no halla ninguna relación o incluso una contraria. Un análisis de referencia de la literatura sobre la disuasión concluye, por ello, que los resultados se contradicen entre sí y dependen mucho del contexto (D'Arcy y Herath, 2011). La conclusión correcta no es, por tanto, que la imposición siempre resulte contraproducente, sino que la motivación que la imposición despierta es frágil, y que un planteamiento meramente controlador tiene efectos secundarios que minan el cambio de comportamiento pretendido.

Una idea muy extendida merece aquí una observación aparte. La idea de que los empleados, tras completar su módulo obligatorio, se creen vacunados y por ello se vuelven menos atentos resulta atractiva y no inverosímil, pero por ahora le falta un respaldo sólido en la investigación sobre seguridad. Se apoya en el fenómeno psicológico más amplio de la licencia moral (moral licensing), que en este contexto concreto aún no se ha demostrado con firmeza. Por eso la recogemos como hipótesis y no como hallazgo, y los mecanismos sí fundamentados de la fatiga de seguridad y la neutralización sostienen el razonamiento en este punto lo suficiente.

05 · EnfoquePlantear una obligación para que la participación se convierta en comportamiento

Si la obligación aporta el suelo y el diseño marca la diferencia, entonces la tarea está en ese diseño. La investigación señala una serie de decisiones que ayudan a que la participación forzada bascule hacia una motivación que el empleado vive como elección propia.

  1. Explica el porqué, no solo el qué.Una obligación que se limita a prescribir lo que hay que hacer no apoya la autonomía. Una explicación que deja claro por qué importa el comportamiento, precisamente para este empleado y esta organización, ayuda a que la norma externa se interiorice como convicción propia (Ryan y Deci, 2000).
  2. Da margen de elección donde sea posible.La obligación afecta al hecho de participar, pero deja margen en el cómo y el cuándo. Cierto control sobre el momento, el ritmo o el orden recupera parte de la autonomía sin poner en peligro el alcance.
  3. Hazlo relevante según el puesto.Un único módulo obligatorio para toda la organización ignora que los riesgos y el contexto varían según la función. Un contenido que encaja con el trabajo diario refuerza tanto la sensación de competencia como la relevancia percibida, y con ello la motivación para aplicar lo aprendido.
  4. Construye competencia, no solo conocimiento.Una práctica corta, repetida y ajustada a la realidad funciona mejor que un largo módulo anual, porque da la sensación de que eres capaz y mantiene la materia viva sin agotar al empleado.
  5. Mide el comportamiento, no la finalización.Mientras la organización tome el grado de finalización como medida, optimizará para el resultado equivocado. Las medidas que se aproximan al comportamiento real, como reportar mensajes sospechosos o tratar los datos correctamente, mantienen a la vista lo que el programa realmente persigue.

El hilo conductor de estas decisiones es que la obligación se usa para hacer entrar a las personas, y el diseño para moverlas. Un programa que se apoya solo en la obligación deja la motivación externa y, con ello, fugaz. Un programa que apoya las tres necesidades psicológicas le da a la participación forzada la oportunidad de crecer hasta convertirse en un comportamiento que también se sostiene cuando ya nadie mira.

06 · ConclusiónLa obligación determina la participación, el diseño determina el cambio

La paradoja de la participación se resume en pocas palabras. Una obligación aumenta de forma fiable la participación, pero la participación no es el objetivo. El objetivo es otro comportamiento, y este no se sigue por sí solo de completar un módulo. La voluntariedad no es una salida, pues alcanza a demasiado pocas personas como para poder cambiar algo. La obligación determina así quién está en la sala, mientras que el diseño de la formación determina si algo cambia.

La contraposición entre tener que hacerlo y querer hacerlo es, por tanto, falsa. No se trata de tener que hacerlo o querer hacerlo, sino de tener que hacerlo y querer hacerlo, unidos por el proceso de interiorización. Una obligación que apoya la autonomía, la competencia y la vinculación del empleado usa la imposición como punto de partida y no como punto final, y le da a la participación impuesta la oportunidad de convertirse en elección propia. Una obligación que solo controla produce presencia con fatiga y justificación como efectos secundarios. La ganancia no está en un grado de finalización más alto, sino en si esa finalización se traduce en comportamiento, y eso no es cuestión de imponer con más rigor, sino de diseñar mejor.

Limitaciones

  • Este informe es un estudio de la literatura que resume investigación científica existente, y no contiene investigación propia nueva.
  • Los estudios citados se realizaron en organizaciones y contextos diversos, por lo que los efectos pueden variar según el entorno.
  • La evidencia sobre el efecto de la imposición y las sanciones es mixta, y este informe resume esa dispersión en lugar de resolverla.
  • El llamado efecto de vacunación se recoge en este informe como hipótesis y no como hallazgo, porque por ahora falta un respaldo directo en la investigación sobre seguridad.

Fuentes

  1. Alzahrani, A., y Johnson, C. (2019). AHP-based Security Decision Making: How Intention and Intrinsic Motivation Affect Policy Compliance. International Journal of Advanced Computer Science and Applications, 10(6). dx.doi.org/10.14569/IJACSA.2019.0100601
  2. D'Arcy, J., y Herath, T. (2011). A review and analysis of deterrence theory in the IS security literature: making sense of the disparate findings. European Journal of Information Systems, 20(6), 643-658. doi.org/10.1057/ejis.2011.23
  3. D'Arcy, J., y Teh, P. L. (2019). Predicting employee information security policy compliance on a daily basis: The interplay of security-related stress, emotions, and neutralization. Information & Management, 56(7), 103151. doi.org/10.1016/j.im.2019.02.006
  4. Lain, D., Kostiainen, K., y Čapkun, S. (2022). Phishing in Organizations: Findings from a Large-Scale and Long-Term Study. IEEE Symposium on Security and Privacy, 842-859. arxiv.org/abs/2112.07498
  5. Michie, S., van Stralen, M. M., y West, R. (2011). The behaviour change wheel: a new method for characterising and designing behaviour change interventions. Implementation Science, 6:42. doi.org/10.1186/1748-5908-6-42
  6. Moody, G. D., Siponen, M., y Pahnila, S. (2018). Toward a unified model of information security policy compliance. MIS Quarterly, 42(1), 285-311. doi.org/10.25300/MISQ/2018/13853
  7. Prümmer, J., van Steen, T., y van den Berg, B. (2024). Assessing the effect of cybersecurity training on end-users: A meta-analysis. Computers & Security, 150, 104206. doi.org/10.1016/j.cose.2024.104206
  8. Ryan, R. M., y Deci, E. L. (2000). Self-determination theory and the facilitation of intrinsic motivation, social development, and well-being. American Psychologist, 55(1), 68-78. doi.org/10.1037/0003-066X.55.1.68
  9. Stanton, B., Theofanos, M. F., Prettyman, S. S., y Furman, S. (2016). Security Fatigue. IT Professional, 18(5), 26-32. doi.org/10.1109/MITP.2016.84
  10. Sykes, G. M., y Matza, D. (1957). Techniques of Neutralization: A Theory of Delinquency. American Sociological Review, 22(6), 664-670. doi.org/10.2307/2089195
  11. Wall, J. D., Palvia, P., y Lowry, P. B. (2013). Control-Related Motivations and Information Security Policy Compliance: The Role of Autonomy and Efficacy. Journal of Information Privacy & Security, 9(4), 52-79. doi.org/10.1080/15536548.2013.10845690
Siguiente paso

Use este artículo como base y luego vea cómo 2LRN4 traduce el tema en segmentación de audiencias, formación e informes.