Shadow AI: el peligro invisible

Es lunes por la tarde. Una empleada de marketing copia datos confidenciales de clientes en ChatGPT para elaborar rápidamente un análisis de público objetivo. Un desarrollador de software pega código fuente propietario en un asistente de IA para encontrar un bug. Una directora de RRHH sube solicitudes de empleo a una herramienta de IA gratuita para preseleccionar candidatos. Ninguno ha informado al departamento de TI. Ninguno sabe adónde van a parar los datos.

Bienvenido al mundo de la Shadow AI, el uso invisible e incontrolado de herramientas de IA en las empresas. En esta lección aprenderás qué es la Shadow AI, por qué está tan extendida y qué riesgos concretos supone para tu empresa.

¿Sabías que? Un estudio de Salesforce de 2024 reveló que el 28% de los empleados utilizan herramientas de IA generativa en el trabajo pero lo ocultan a su empleador. Otra investigación de Cyberhaven (2024) mostró que el 77% de los empleados ya han introducido datos confidenciales en herramientas de IA, y el 82% lo hacen con cuentas personales en lugar de soluciones corporativas.

¿Qué es la Shadow AI?

La Shadow AI designa el uso de herramientas y servicios de IA por parte de empleados sin que la empresa lo sepa, lo haya aprobado o pueda controlarlo. El término sigue al de «Shadow IT»: el uso no autorizado de software y servicios, que ya lleva años siendo un problema. La Shadow AI es, sin embargo, incomparablemente más peligrosa porque:

Los datos salen de la empresa: Cada entrada en una herramienta de IA se transmite a servidores externos, a menudo en otros países, con un tratamiento de datos poco claro.
El uso es difícil de detectar: A diferencia del software instalado, el uso de herramientas de IA basadas en web apenas deja rastro en la red corporativa.
El umbral de acceso es extremadamente bajo: Basta con una pestaña del navegador. Sin instalación, sin descarga, sin aprobación.
Los riesgos crecen exponencialmente: Cuantos más empleados usen la IA sin control, mayor es la superficie de ataque y más probable es una filtración de datos.

¿Por qué lo hacen los empleados?

La Shadow AI no surge por mala fe. Las razones suelen ser comprensibles, pero eso no reduce los riesgos:

1. Presión de productividad: Las herramientas de IA realmente ahorran tiempo. Quien está bajo presión y no tiene una herramienta aprobada recurre a la más cercana. Un estudio de McKinsey (2024) mostró que los trabajadores del conocimiento con apoyo de IA son hasta un 40% más productivos. Esta ventaja es demasiado grande para ignorarla.

2. Falta de conciencia: Muchos empleados simplemente no saben que sus entradas se almacenan o pueden usarse para el entrenamiento. Tratan ChatGPT como una calculadora: una herramienta que «olvida» la entrada.

3. Sin alternativas: Si la empresa no proporciona herramientas de IA aprobadas, los empleados buscan sus propias soluciones. Es humano, pero peligroso.

4. Comodidad: La cuenta personal de ChatGPT es más accesible que una herramienta interna con SSO, conexión VPN y funcionalidad restringida.

Atención: La Shadow AI no es un fenómeno marginal. Según una previsión de Gartner, para 2027 más del 75% de todos los empleados usarán IA generativa, y una parte considerable lo hará sin conocimiento ni aprobación del empleador. Las empresas que lo ignoran se exponen a riesgos significativos de cumplimiento y seguridad.

Los riesgos reales de la Shadow AI

Los peligros de la Shadow AI no son teóricos: son concretos, mensurables y costosos:

Filtraciones de datos: Cada entrada en una herramienta de IA sale de la red corporativa. Datos confidenciales de clientes, secretos empresariales, cifras financieras: todo lo que se introduce llega a servidores externos. Con las cuentas gratuitas, estos datos se usan a menudo para el entrenamiento.

Infracciones de cumplimiento: El RGPD (o el nDSG suizo) exige que los datos personales solo se procesen con base jurídica y en condiciones controladas. La Shadow AI lo hace imposible, porque la empresa ni siquiera sabe que se están procesando datos.

Pérdida de propiedad intelectual: Código fuente, estrategias empresariales, solicitudes de patentes: lo que una vez se introduce en una herramienta de IA no puede recuperarse. En el peor de los casos, el código propietario aparece en las respuestas de otros usuarios.

Daño reputacional: Si se descubre que una empresa alimenta datos de clientes en herramientas de IA sin control, la pérdida de confianza es enorme y difícil de reparar.

¿Cómo detectas la Shadow AI en tu empresa?

Identificar la Shadow AI es difícil pero no imposible. Aquí hay cinco señales y medidas:

Monitoreo de red: Analiza el tráfico web en busca de accesos a servicios de IA conocidos (openai.com, claude.ai, gemini.google.com, etc.). Los registros DNS pueden ser reveladores.
Encuestas a empleados: Las encuestas anónimas sobre el uso de IA suelen dar resultados más honestos que la supervisión técnica. Importante: comunicarlas no como control, sino como evaluación de necesidades.
Auditar extensiones de navegador: Muchas herramientas de IA ofrecen extensiones de navegador que recogen datos adicionales. Una auditoría de las extensiones instaladas puede revelar la Shadow AI.
Notas de gastos: Si los empleados pagan suscripciones de IA de su bolsillo y las presentan como gastos, es una señal clara.
Análisis de contenidos: Si de repente mejoran notablemente la calidad de textos, presentaciones o código, puede haber IA de por medio.

Consejo práctico: La mejor protección contra la Shadow AI no es la vigilancia, sino una oferta atractiva. Las empresas que proporcionan herramientas de IA aprobadas, comunican directrices claras y ofrecen formación reducen la Shadow AI hasta en un 80%. Las prohibiciones por sí solas no funcionan: los empleados siempre encontrarán la manera.

Un empleado usa su cuenta personal de ChatGPT para mejorar una presentación confidencial para un cliente. ¿Cuál es el mayor riesgo?

¡Correcto! El mayor riesgo es la salida descontrolada de datos. Los datos confidenciales del cliente se transmiten a los servidores de OpenAI, y con una cuenta gratuita pueden usarse para el entrenamiento del modelo. La empresa pierde el control sobre los datos, una clara infracción de las normativas de protección de datos.

No del todo. Aunque los errores en los outputs de IA pueden ser un problema, el mayor riesgo de la Shadow AI es la salida descontrolada de datos. Los datos confidenciales del cliente salen de la empresa y llegan a servidores externos, una posible infracción del RGPD/nDSG con consecuencias significativas.

Puntos clave:

La Shadow AI designa el uso incontrolado de herramientas de IA sin conocimiento ni aprobación de la empresa, y según los estudios afecta al menos al 28% de todos los empleados.
Las principales causas son la presión de productividad, la falta de conciencia, la ausencia de alternativas aprobadas y la comodidad.
Los riesgos son graves: filtraciones de datos, infracciones de cumplimiento (RGPD/nDSG), pérdida de propiedad intelectual y daño reputacional.
La Shadow AI puede detectarse mediante monitoreo de red, encuestas anónimas, auditorías de extensiones y análisis de gastos.
La contramedida más eficaz no es la prohibición, sino una oferta atractiva: herramientas aprobadas + directrices claras + formación.