Riesgos y Seguridad en la IA Empresarial: Lo que Nadie Quiere Revisar en la Junta Directiva

El mayor riesgo de inteligencia artificial en la empresa hoy no es el modelo que se compró: es el Shadow AI, el que los equipos ya usan sin que nadie lo sepa. Cuando alguien pega un contrato o una base de clientes en una herramienta pública, esos datos salen del perímetro y no vuelven. Prohibirlo no funciona, porque la gente lo usa precisamente porque le resuelve el trabajo.

A continuación: qué implica en términos de riesgo, por qué es difícil de resolver y qué controles sí funcionan.

Hay una conversación que todavía no está ocurriendo con suficiente seriedad en la mayoría de las empresas de la región: qué pasa exactamente con los datos cuando alguien del equipo los pega en una herramienta de IA que nadie aprobó formalmente.

No es una pregunta técnica. Es una pregunta de gobierno corporativo. Y la respuesta, en la mayoría de los casos, es que nadie lo sabe con certeza.

El Shadow AI: el problema que ya existe

El término Shadow AI se refiere al uso de herramientas de inteligencia artificial dentro de una empresa sin la aprobación ni el conocimiento del área de TI o de seguridad. No es nuevo como concepto — el Shadow IT lleva años en el vocabulario de los CISOs — pero la IA le da una dimensión distinta.

Con las aplicaciones en la nube anteriores, el problema era que los datos entraban a un almacenamiento externo no controlado. Con las herramientas de IA, los datos pueden usarse para entrenar modelos, almacenarse en servidores de terceros en otras jurisdicciones, y eventualmente aparecer en las respuestas que esa herramienta genera para otros usuarios.

La magnitud del fenómeno ya está documentada:

• El 71% de los trabajadores usa herramientas de IA no aprobadas formalmente por su empresa. (Microsoft Work Trend Index 2025)
• El 43% de los empleados ha compartido información sensible con herramientas de IA sin permiso de su organización. (NCA / CybSafe 2025)
• El 33% ha compartido investigaciones o datasets empresariales; el 27% ha ingresado datos de empleados; el 23% ha introducido información financiera confidencial. (IBM 2025)
• Más del 58% lo hace a través de versiones gratuitas, donde los datos frecuentemente se usan para entrenar el modelo. El costo no es la suscripción. El costo es la información.

Lo que esto implica en términos de riesgo

Según el IBM Cost of Data Breach Report 2025, las brechas vinculadas a Shadow AI tienen un costo promedio $650,000 dólares más alto que las brechas estándar. Y 1 de cada 5 organizaciones ya ha experimentado un incidente de seguridad relacionado con el uso no controlado de IA.

El riesgo regulatorio también es relevante para América Latina. La LGPD en Brasil, la Ley Federal de Protección de Datos en México y otras legislaciones nacionales tienen requisitos específicos que el Shadow AI viola de manera sistemática y silenciosa. La exposición regulatoria puede ser tan dañina como la brecha técnica en sí misma.

Hay otro dato que merece atención: el 69% de los ejecutivos de nivel C priorizan la velocidad por encima de la privacidad de datos cuando adoptan nuevas herramientas de IA (Microsoft Data Security Index 2026). La cultura del riesgo empieza, con frecuencia, desde arriba.

Por qué ocurre y por qué es difícil de resolver

La razón más común es simple: los empleados quieren hacer su trabajo mejor y más rápido, y las herramientas disponibles funcionan. No hay intención maliciosa. Hay una brecha entre lo que la organización ofrece y lo que las personas necesitan.

El problema se agrava porque el 63% de las organizaciones no tiene un marco formal de gobernanza de IA (IBM / Gallup, 2025), y solo el 22% ha comunicado un plan claro de integración de IA a sus empleados. Cuando no hay política, la gente define la suya propia. Eso es completamente predecible.

Prohibir el uso de herramientas de IA no resuelve el problema. Solo lo hace invisible. La solución más efectiva combina habilitación con control: proveer herramientas aprobadas y seguras, establecer políticas claras sobre qué datos pueden procesarse, e implementar controles técnicos que sean prácticos.

Los controles que sí funcionan

1. Visibilidad: Si no sabes qué herramientas de IA están usando tus equipos, no puedes gestionar el riesgo. Herramientas de descubrimiento de SaaS, monitoreo de tráfico de red y soluciones de Data Loss Prevention (DLP) dan esa visibilidad. El 86% de las organizaciones actualmente carece de ella (Reco, 2025).

2. Lista de herramientas aprobadas: Con criterios claros: dónde se procesan los datos, si se usan para entrenar modelos, qué garantías de privacidad ofrece el proveedor. Esa lista debe actualizarse con regularidad porque el mercado de herramientas de IA cambia muy rápido.

3. Clasificación de datos: Definir qué puede procesarse con herramientas externas, qué requiere garantías específicas y qué debe quedarse exclusivamente en sistemas internos. Es un ejercicio que muchas organizaciones no han hecho de forma sistemática.

4. Capacitación específica: Muchos empleados no son conscientes de los riesgos que toman. Una capacitación práctica, con ejemplos concretos de qué está en juego, cambia comportamientos más efectivamente que cualquier política escrita que nadie lee.

El marco que hace todo esto sostenible

La gestión del riesgo de IA no es un proyecto de TI. Es una responsabilidad de la organización entera, que empieza en el nivel directivo. La IA va a seguir expandiéndose en las organizaciones, con o sin política. La pregunta es si esa expansión ocurrirá de manera controlada, o seguirá siendo el tipo de adopción silenciosa que ya está generando incidentes reales en empresas que todavía no saben que los tuvieron.

Vale la pena elegir la primera opción antes de que la segunda se vuelva urgente.

Fuentes: Microsoft Work Trend Index 2025, NCA / CybSafe 2025, IBM Cost of Data Breach Report 2025, Reco State of Shadow AI 2025, Gartner, Gallup 2025, ISACA 2025, Microsoft Data Security Index 2026.

—
Andrés Lozada
Executive Director, SUMāTO Group · Cloud · Infrastructure · Cybersecurity · Digital Transformation
linkedin.com/in/andreslozada/

Siga explorando

• Inteligencia Artificial
• Ciberseguridad
• Cloud
• ¿Quiere ver esto en su operación? Agende un diagnóstico.

Preguntas frecuentes

¿Qué es exactamente el Shadow AI?

Es el uso de herramientas de inteligencia artificial dentro de la empresa sin la aprobación ni el conocimiento de las áreas de TI o seguridad. El concepto viene del Shadow IT, pero la IA lo agrava: basta pegar un documento en una herramienta pública para que información confidencial salga del perímetro.

¿Cuánto cuesta una brecha relacionada con Shadow AI?

Según el IBM Cost of a Data Breach Report 2025, las brechas vinculadas a Shadow AI tienen un costo promedio 650.000 dólares superior al de una brecha estándar. Una de cada cinco organizaciones ya ha sufrido un incidente de seguridad por uso no controlado de IA.

¿Sirve de algo prohibir estas herramientas?

No. Los empleados las usan porque les resuelven el trabajo, sin intención maliciosa. Prohibirlas empuja el uso a la clandestinidad y elimina la poca visibilidad que quedaba. El control efectivo pasa por ofrecer alternativas aprobadas y ganar visibilidad, no por vetar.

¿Cuál es el primer control que hay que implantar?

La visibilidad. Si no se sabe qué herramientas de IA usan los equipos, no se puede gestionar el riesgo. Herramientas de descubrimiento de SaaS, monitoreo de tráfico y soluciones de prevención de fuga de datos dan esa visibilidad, que hoy falta en la gran mayoría de las organizaciones.