Por qué el uso no autorizado de IA pone en riesgo su empresa

Desde fugas de datos hasta código vulnerable, descubra los riesgos del uso no autorizado de IA y cómo proteger su empresa frente a Shadow AI.

11 Nov 2025
 • 
,
6 min. read

El Shadow IT (TI en la sombra) ha sido durante mucho tiempo un dolor de cabeza para los equipos de seguridad. El panorama se complica aún más con la escala, el alcance y el poder de la inteligencia artificial (IA), que convierten al Shadow AI (IA en la sombra) en una nueva preocupación para cualquier responsable de TI o seguridad. Al fin y al cabo, no se puede gestionar ni proteger lo que no se ve. Si todavía no lo ha hecho, este podría ser el momento de analizar lo que quizá sea su mayor punto ciego en seguridad

¿Qué es Shadow AI?

Las herramientas de inteligencia artificial IA forman parte de las TI corporativas hace años. Han ayudado a los equipos de seguridad a detectar actividades inusuales y filtrar amenazas como el spam desde principios de la década de 2000.  Pero, desde el gran éxito de ChatGPT, el chatbot de OpenAI que alcanzó los 100 millones de usuarios en sus dos primeros meses, los empleados se han sentido cautivados por el potencial de la IA generativa para simplificar tareas y hacerlas más rápidas.

Aun así, muchas organizaciones no han reaccionado con la misma rapidez y este retraso ha abierto un vacío que los usuarios están llenando por su cuenta. Según Microsoft, el 78% de quienes usan IA lo hace con herramientas propias, y el 60% de los responsables de TI teme que la dirección no tenga un plan claro para regular su uso.

El riesgo se alimenta de las lagunas entre las políticas de uso para todos los colaboradores de la organización. Chatbots populares como ChatGPT, Gemini o Claude pueden utilizarse y/o descargarse fácilmente en un teléfono personal o cualquier dispositivo para trabajar desde casa, y reducir la carga de trabajo, aligerar los plazos y liberarles para trabajar en tareas de mayor valor.

Más allá de los modelos públicos de IA

Las aplicaciones independientes como ChatGPT son una parte importante del reto que plantea el Shadow AI, pero no representan todo el alcance del problema. La tecnología también puede infiltrarse en la empresa mediante extensiones del navegador o incluso a través de funciones integradas en productos de software empresarial legítimos que los usuarios activan sin conocimiento del área de TI.

A esto se suma la IA de agentes: la próxima ola de innovación se centra en agentes autónomos diseñados para ejecutar tareas específicas de forma independiente. Sin los controles adecuados, podrían acceder a repositorios de datos confidenciales y realizar acciones no autorizadas o maliciosas. Para cuando alguien lo detecte, puede ser demasiado tarde.

¿Cuáles son los riesgos del shadow AI?

Todos estos escenarios plantean riesgos significativos de seguridad y cumplimiento para las organizaciones. Consideremos primero el uso no autorizado de modelos públicos de IA: con cada solicitud, existe el peligro de que los empleados compartan datos sensibles o regulados, como notas de reuniones, propiedad intelectual, código o información personal identificable (PII) de clientes y empleados. Todo lo que se introduce puede utilizarse para entrenar el modelo y, en consecuencia, ser reproducido para otros usuarios en el futuro. Además, se almacena en servidores de terceros, posiblemente en jurisdicciones que no cumplen las mismas normas de seguridad y privacidad que su organización.

Esto no será bien recibido por los reguladores de protección de datos (como GDPR, CCPA, entre otros). Además, expone aún más a la organización al permitir, potencialmente, que empleados del proveedor del chatbot accedan a información sensible. Los datos también podrían filtrarse o verse comprometidos por ese proveedor, como ocurrió recientemente con el proveedor chino DeepSeek.

Los chatbots pueden contener vulnerabilidades de software o puertas traseras que, sin saberlo, exponen a la organización a amenazas específicas. Además, cualquier empleado que descargue un chatbot para trabajar podría instalar accidentalmente una versión maliciosa diseñada para robar información de su equipo. Existen numerosas herramientas de IA generativa falsas creadas explícitamente con este fin.

Los chatbots pueden contener vulnerabilidades de software y/o puertas traseras que exponen a la organización, sin saberlo, a amenazas específicas. Y cualquier empleado dispuesto a descargar un chatbot por motivos de trabajo puede instalar accidentalmente una versión maliciosa, diseñada para robar secretos de su máquina. Existen multitud de herramientas GenAI falsas diseñadas explícitamente para este fin.

Los riesgos van más allá de la exposición de datos. El uso no autorizado de herramientas de codificación, por ejemplo, podría introducir errores explotables en productos orientados al cliente si los resultados no se revisan adecuadamente. Incluso el uso de herramientas analíticas basadas en IA puede ser peligroso si los modelos se entrenaron con datos sesgados o de baja calidad, lo que podría conducir a decisiones erróneas y afectar la estrategia empresarial.

Los agentes de IA también pueden introducir contenido falso, código defectuoso o ejecutar acciones no autorizadas sin que sus supervisores humanos lo adviertan. Las cuentas que estos agentes necesitan para operar podrían convertirse en objetivos frecuentes de secuestro si sus identidades digitales no se gestionan de forma segura.

Algunos de estos riesgos siguen siendo teóricos, pero otros son muy reales. De hecho, IBM señala que el año pasado el 20% de las organizaciones sufrió una brecha vinculada a incidentes de seguridad relacionados con shadow AI. En aquellas con altos niveles de uso no controlado, el coste medio de una brecha podría aumentar hasta 670.000 dólares. Las infracciones asociadas a inteligencia artificial “en la sombra” pueden provocar daños financieros y reputacionales significativos, incluidas sanciones por incumplimiento normativo. Pero las decisiones empresariales basadas en resultados defectuosos o corruptos pueden ser igual de perjudiciales —si no más—, sobre todo porque es probable que pasen desapercibidas.

Luz en las sombras

Añadir cada nueva herramienta no autorizada a una “lista de denegados” no será suficiente para mitigar el riesgo. Es fundamental reconocer que estas tecnologías se están utilizando, comprender en qué medida y con qué fines, y luego definir una política realista de uso aceptable. Esto debe complementarse con pruebas internas y diligencia debida sobre los proveedores de IA, para identificar riesgos de seguridad y cumplimiento en herramientas específicas.

No hay dos organizaciones iguales, por lo que las políticas deben adaptarse al apetito de riesgo corporativo. Cuando ciertas herramientas estén prohibidas, ofrezca alternativas que faciliten la migración de los usuarios. Además, establezca un proceso ágil para que los empleados soliciten acceso a nuevas herramientas aún no evaluadas.
Combine estas acciones con formación para los usuarios finales. Explique al personal los riesgos asociados al uso de la inteligencia artificial desde las sombras: las violaciones graves de datos pueden derivar en inercia corporativa, freno a la transformación digital e incluso pérdida de empleos. Considere también herramientas de supervisión y seguridad de red para reducir el riesgo de fuga de datos y mejorar la visibilidad del uso de IA.

La ciberseguridad siempre ha sido un equilibrio entre mitigar riesgos y mantener la productividad. Superar el desafío del shadow AI no es diferente: implica proteger la organización y garantizar el cumplimiento, pero también apoyar el crecimiento del negocio, que en los próximos años estará impulsado por la IA.

¡Para todos nuestros lectores!

Aprovechen esta oportunidad de obtener un trial gratuito de 30 días para Google Workspace, la mejor solución para tu empresa. Disfruta de todas sus funcionalidades, como correo electrónico personalizado, almacenamiento en la nube y herramientas de colaboración.

Comienza tu prueba gratuita