La inteligencia artificial ya está dentro de su empresa, aunque TI no la haya autorizado

La inteligencia artificial generativa ha transformado la forma de trabajar. Hoy es habitual utilizar herramientas como ChatGPT, Microsoft Copilot, Gemini o Claude para redactar documentos, resumir información, analizar datos o generar contenido.

El problema aparece cuando estas plataformas se utilizan sin autorización ni supervisión de TI.

Este fenómeno se conoce como Shadow AI o IA en la sombra.

Según el 2026 Cybersecurity Hygiene Report de WatchGuard Technologies, el 64% de los empleados utiliza herramientas de inteligencia artificial no autorizadas para realizar tareas laborales.

La preocupación no es solamente qué aplicación utilizan, sino qué información corporativa introducen en ella y qué ocurre posteriormente con esos datos.

---

¿Qué es la IA en la sombra?

La IA en la sombra es el uso de herramientas o servicios de inteligencia artificial dentro de una organización sin aprobación, evaluación o conocimiento de las áreas responsables de TI, Seguridad o Cumplimiento.

Es una evolución del conocido Shadow IT.

Un empleado podría, por ejemplo:

• Copiar un contrato para obtener un resumen.
• Introducir datos de clientes para redactar una propuesta.
• Analizar información financiera.
• Subir documentos internos.
• Utilizar una cuenta personal de IA para actividades laborales.

En muchos casos no existe una intención maliciosa.

El usuario simplemente intenta trabajar más rápido.

Pero desde el punto de vista de seguridad, podría estar transfiriendo información hacia servicios externos que la organización nunca evaluó.

---

El problema: productividad frente a seguridad

El informe de WatchGuard muestra que este comportamiento no está limitado a usuarios inexpertos.

Por eso, una política basada únicamente en:

“Está prohibido utilizar inteligencia artificial”

puede terminar provocando que la IA continúe utilizándose, pero de manera invisible.

---

El verdadero riesgo está en los datos

Las plataformas de inteligencia artificial pueden recibir información sensible como:

• Datos personales.
• Información financiera.
• Datos de clientes.
• Contratos.
• Estrategias comerciales.
• Código fuente.
• Propiedad intelectual.
• Credenciales.
• Comunicaciones internas.

OWASP identifica precisamente la divulgación de información sensible como uno de los principales riesgos relacionados con aplicaciones basadas en grandes modelos de lenguaje.

Una fuga puede comenzar con una acción tan sencilla como copiar un contrato y pedir:

“Resume este documento y dime las obligaciones principales.”

Ese archivo podría contener información confidencial, datos personales o condiciones comerciales.

La organización perdería entonces visibilidad sobre dónde y cómo está siendo procesada esa información.

---

El segundo problema: falta de visibilidad

WatchGuard señala además que el 39% de las organizaciones carece de un inventario preciso del software utilizado por sus trabajadores.

Esto plantea preguntas importantes:

¿Qué herramientas de IA utilizan nuestros empleados?

¿Acceden con cuentas personales o corporativas?

¿Qué datos están compartiendo?

¿Qué aplicaciones SaaS o extensiones están utilizando?

Si TI no puede responder estas preguntas, existe una brecha de gobernanza.

En un entorno moderno, proteger únicamente el perímetro de red ya no es suficiente.

La seguridad debe abarcar también:

usuarios + identidades + endpoints + aplicaciones cloud + datos.

---

La solución: gobernanza y visibilidad

Prohibir completamente la IA no es una estrategia sostenible.

El objetivo debe ser permitir que los trabajadores aprovechen estas tecnologías dentro de un marco controlado y seguro.

Una estrategia efectiva debería combinar personas, procesos y tecnología.

---

1. Crear una Política de Uso Aceptable de IA

La organización debe establecer reglas claras sobre:

• Qué herramientas están autorizadas.
• Qué tipos de datos pueden utilizarse.
• Qué información está restringida.
• Qué plataformas requieren evaluación previa.
• Qué responsabilidades mantiene el usuario.

Por ejemplo:

Clasificación	Uso con IA
Información pública	Permitido en herramientas autorizadas
Información interna	Solo IA empresarial aprobada
Información confidencial	Restringido
Información altamente confidencial	Prohibido salvo aprobación específica

Debe prestarse especial atención a datos personales, información financiera, datos de clientes, credenciales, secretos comerciales y propiedad intelectual.

---

2. Realizar una auditoría de Shadow AI

Antes de controlar el problema, hay que conocer su dimensión.

El área de TI debería identificar las herramientas que realmente utilizan los trabajadores mediante:

• Análisis de tráfico de red.
• Visibilidad sobre endpoints.
• Supervisión de aplicaciones SaaS.
• Revisión de extensiones de navegador.
• Análisis de identidades y permisos.

El resultado puede ser un inventario como este:

Herramienta	Usuarios	Función	Estado
Microsoft Copilot	75	IA generativa	Autorizado
ChatGPT	32	IA generativa	Evaluar
Herramienta de transcripción	14	Reuniones	Evaluar
Extensión IA	5	Navegador	Revisar

Esto permite que TI deje de preguntarse si existe Shadow AI y empiece a conocer qué herramientas están realmente en uso.

---

3. Entender por qué los empleados utilizan herramientas no autorizadas

La auditoría no debería plantearse únicamente desde una perspectiva sancionadora.

También debe responder:

¿Qué necesidad está intentando resolver el usuario?

Si un departamento utiliza una herramienta de IA no autorizada porque no dispone de una alternativa corporativa, bloquearla sin ofrecer una solución puede provocar que busque otra aplicación similar.

El enfoque debería ser:

Descubrir → Evaluar → Ofrecer alternativa → Autorizar, restringir o bloquear.

---

4. Proporcionar herramientas corporativas de IA

Una de las mejores formas de reducir Shadow AI es proporcionar alternativas empresariales previamente evaluadas.

El mensaje debería cambiar de:

“No puedes utilizar IA.”

a:

“Puedes utilizar IA, pero estas son las herramientas aprobadas y estas son las reglas.”

Esto permite mantener la productividad sin renunciar a la seguridad.

---

5. Implementar controles técnicos

Las políticas deben complementarse con controles como:

• Data Loss Prevention (DLP).
• Clasificación de información.
• Protección de endpoints.
• Gestión de identidades.
• MFA.
• Acceso condicional.
• Control de aplicaciones web.
• Seguridad de navegadores.
• Supervisión de SaaS y aplicaciones cloud.
• Auditoría y registros.

El objetivo no debe ser bloquear todo, sino proteger la información según su nivel de riesgo.

---

6. Capacitar a los usuarios

La formación debe utilizar situaciones reales.

Por ejemplo:

¿Puedo subir un contrato a una IA?

¿Puedo utilizar información de un cliente?

¿Puedo usar mi cuenta personal?

¿Puedo confiar completamente en la respuesta generada?

Los usuarios deben comprender que la IA puede ser una excelente herramienta de productividad, pero que la responsabilidad sobre la información y el resultado final continúa siendo humana.

---

De Shadow AI a IA gobernada

El desafío de 2026 no es adoptar IA, sino gobernarla

Durante los últimos años las empresas se preguntaban:

¿Cómo podemos utilizar inteligencia artificial?

En 2026 deben añadir nuevas preguntas:

¿Qué IA están utilizando realmente nuestros empleados?

¿Qué información están compartiendo?

¿Podemos detectar herramientas no autorizadas?

¿Tenemos políticas y controles adecuados?

El dato de WatchGuard resume el desafío:

64% de los empleados utiliza herramientas de IA no autorizadas.

Y cuando 39% de las organizaciones carece de un inventario preciso del software, la IA en la sombra deja de ser únicamente un problema tecnológico.

Se convierte en un problema de visibilidad, seguridad y gobernanza empresarial.

---

¿Su empresa sabe qué herramientas de IA utilizan realmente sus colaboradores?

En Xentic ayudamos a las organizaciones a fortalecer su estrategia de ciberseguridad mediante soluciones que proporcionan visibilidad y protección sobre usuarios, identidades, endpoints, redes y servicios cloud.

Una estrategia contra Shadow AI puede comenzar respondiendo tres preguntas:

¿Qué herramientas se están utilizando?

¿Qué información está saliendo de la organización?

¿Qué controles existen actualmente para detectarlo?

Con tecnologías de WatchGuard y soluciones complementarias de seguridad es posible construir un entorno donde la organización pueda aprovechar los beneficios de la inteligencia artificial sin perder el control de sus datos.

La pregunta ya no es si sus empleados utilizan inteligencia artificial.

La pregunta es si su empresa puede verla y gobernarla.

---

Fuentes

WatchGuard Technologies — 2026 Cybersecurity Hygiene Report / Global Survey
Estudio que reporta que el 64% de los empleados utiliza herramientas de IA no autorizadas para actividades laborales.
https://www.watchguard.com/wgrd-news/press-releases/employees-drive-rising-cybersecurity-risk-shadow-ai-and-unsafe-work-habits

WatchGuard Technologies — The 443 Podcast, Episode 379
Análisis del informe de higiene de ciberseguridad 2026 y de la falta de visibilidad sobre el software utilizado dentro de las organizaciones.
https://www.watchguard.com/wgrd-security-hub/podcast-the-443/episode-379

WatchGuard Technologies — Uncovering Shadow AI Before It Becomes Your Biggest Risk
Contenido sobre descubrimiento y gestión de aplicaciones de IA no administradas.
https://www.watchguard.com/wgrd-events/uncovering-shadow-ai-it-becomes-your-biggest-risk-0

NIST — Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile
Marco de gestión de riesgos para inteligencia artificial generativa.
https://www.nist.gov/publications/artificial-intelligence-risk-management-framework-generative-artificial-intelligence

OWASP GenAI Security Project — Sensitive Information Disclosure
Referencia sobre exposición de información sensible en aplicaciones basadas en modelos de lenguaje.
https://genai.owasp.org/llmrisk/llm022025-sensitive-information-disclosure/