La adopción acelerada de herramientas de inteligencia artificial sin supervisión del área de TI está comenzando a tener consecuencias tangibles en la seguridad de las organizaciones. El fenómeno conocido como shadow AI —uso de soluciones de IA al margen de los controles corporativos— se ha convertido en uno de los principales desafíos emergentes para los responsables de tecnología y ciberseguridad.

Según advierte ESET, el empleo desordenado de estas tecnologías puede derivar en exposición de información confidencial, errores críticos en procesos y desarrollo de software, así como en riesgos legales y regulatorios, al tratar datos empresariales en plataformas externas que escapan al control interno.

De la shadow IT a la shadow AI

Durante años, la shadow IT ha supuesto un reto para los equipos de seguridad. Sin embargo, la popularización de la IA generativa ha amplificado el problema. El punto de inflexión se produjo en 2023, cuando herramientas como ChatGPT alcanzaron una adopción masiva en tiempo récord, impulsando su uso en entornos laborales incluso antes de que muchas empresas definieran políticas claras para su implantación.

Desde ESET señalan que esta brecha entre adopción y gobernanza ha favorecido que empleados utilicen soluciones de IA por iniciativa propia para mejorar su productividad, sin que existan mecanismos formales que evalúen los riesgos asociados ni el impacto en la seguridad o el cumplimiento normativo.

Un uso extendido fuera del control corporativo

Datos de Microsoft reflejan la magnitud del fenómeno: cerca del 78% de los usuarios de IA emplea herramientas propias en el entorno laboral, mientras que una parte significativa de los responsables de TI reconoce que no existe un plan definido desde la alta dirección para su despliegue oficial. El acceso sencillo a plataformas de IA desde dispositivos personales y modelos de trabajo remoto ha acelerado aún más esta adopción no regulada.

Además, la shadow AI no se limita al uso de chatbots. Puede introducirse a través de extensiones de navegador, funcionalidades activadas sin control en software corporativo o mediante sistemas de IA agéntica, capaces de ejecutar tareas de forma autónoma. Sin una supervisión adecuada, estos agentes pueden acceder a información sensible o realizar acciones no autorizadas antes de ser detectados.

Riesgos de datos, cumplimiento y toma de decisiones

El uso de modelos públicos de IA para procesar información interna expone a las organizaciones a la filtración de datos sensibles, como propiedad intelectual, código fuente, documentación interna o datos personales. Al almacenarse en infraestructuras de terceros, a menudo fuera del marco jurisdiccional de la empresa, se incrementan los riesgos de incumplimiento de normativas como el RGPD o la CCPA.

A ello se suman posibles vulnerabilidades en las propias herramientas, versiones manipuladas con fines maliciosos o errores introducidos en desarrollos de software generados con IA sin una revisión adecuada. Asimismo, los sesgos en los modelos pueden traducirse en decisiones empresariales basadas en información incorrecta o incompleta.

En el caso de la IA agéntica, los riesgos se amplían con la generación de contenido erróneo, código defectuoso o la ejecución de acciones fuera de los límites establecidos, mientras que las cuentas asociadas a estos sistemas se convierten en objetivos atractivos para los atacantes.

Impacto económico y reputacional

Estos riesgos ya se reflejan en indicadores concretos. Estimaciones de IBM apuntan a que una de cada cinco organizaciones ha sufrido incidentes relacionados con el uso no controlado de IA, y que su presencia puede incrementar el coste medio de una brecha de seguridad en más de 500.000 euros, además de provocar daños reputacionales y posibles sanciones regulatorias.

Recomendaciones para gestionar la shadow AI

Ante este escenario, ESET recomienda a las empresas adoptar un enfoque equilibrado que combine control y habilitación. Entre las principales medidas propuestas se incluyen:

• Obtener visibilidad real sobre cómo y dónde se utiliza la IA dentro de la organización.
• Establecer políticas de uso claras y realistas, alineadas con el nivel de riesgo y acompañadas de evaluaciones de seguridad de los proveedores.
• Ofrecer alternativas corporativas cuando se limiten determinadas herramientas y facilitar procesos ágiles para solicitar nuevas soluciones.
• Impulsar la formación y concienciación de los empleados sobre los riesgos asociados al uso no supervisado de IA.
• Reforzar las capacidades de monitorización y seguridad para detectar fugas de información y accesos no autorizados.

La conclusión es clara: la inteligencia artificial se ha convertido en una palanca clave de productividad, pero su adopción sin gobernanza adecuada puede transformarse en un factor crítico de riesgo para las organizaciones en los próximos años.