La mayor exposición de datos de muchas empresas no entró por un ataque: entró por una suscripción de veinte euros al mes pagada con una tarjeta corporativa. Se llama *shadow AI*: herramientas de inteligencia artificial contratadas y usadas por departamentos sin conocimiento del área de tecnología, de seguridad o del responsable de protección de datos.
No es un problema de disciplina. Es la consecuencia previsible de que estas herramientas sean baratas, útiles de inmediato y no requieran instalación.
Quando un report proveniva da un foglio di calcolo, qualcuno lo guardava con sospetto. Quando invece proviene da un sistema di intelligenza artificiale, se ne discute in una riunione.
El informe Cost of a Data Breach de IBM de 2025, en su vigésima edición y elaborado con Ponemon sobre unas 600 organizaciones, ofrece las cifras que cierran cualquier debate interno:
Ese último dato explica los otros tres. Cuando no existe una vía autorizada y razonable, la gente resuelve su trabajo con lo que encuentra.
La reacción instintiva de muchos comités es una circular prohibiendo el uso de herramientas de IA externas. Produce tres efectos y ninguno es el buscado:
El uso no desaparece: se oculta. Pasa del portátil corporativo al teléfono personal, donde no hay ninguna visibilidad.
Se pierde la información útil. Saber qué herramientas usa la gente indica qué problemas reales tiene la organización sin resolver.
Se penaliza a quien intenta trabajar mejor. El coste cultural es alto y duradero.
La alternativa que funciona es incómoda porque exige trabajo: ofrecer una vía autorizada que sea al menos igual de cómoda. Si la opción aprobada es más lenta que la de la tarjeta corporativa, la política pierde.
Riesgo | Cómo se materializa | Controllo efficace |
Fuga de información | Se pega un contrato, una nómina o código propietario en una herramienta pública | Vía autorizada con acuerdo de tratamiento de datos |
Decisión no trazable | Alguien decide con una respuesta que nadie puede reconstruir | Registro y obligación de citar fuente |
Incumplimiento normativo | Datos personales tratados fuera del marco declarado | Inventario y clasificación por caso de uso |
Dependencia invisible | Un proceso pasa a depender de una herramienta que nadie aprobó | Inventario y revisión periódica |
El cuarto es el menos comentado y el que más sorpresas da. Un departamento monta un flujo de trabajo alrededor de una herramienta, la herramienta cambia de precio o desaparece, y de pronto un proceso operativo se detiene sin que nadie de tecnología supiera que existía esa dependencia.
No hace falta un despliegue complejo. Cuatro vías cubren la mayor parte:
El resultado de estas cuatro vías es un inventario, que es el punto de partida de cualquier política de gobernanza. Sin inventario, la política es un documento sobre una realidad desconocida, como explicamos al hablar de las obligaciones del AI Act y por dónde empezar
Una vía autorizada, buena y rápida. Una o dos herramientas aprobadas, con contrato de tratamiento de datos, acceso sencillo y sin fricción burocrática para empezar a usarlas.
Una regla de datos comprensible. No un documento de veinte páginas. Tres líneas: qué información nunca sale de los sistemas propios, qué requiere aprobación y qué es libre. Si no cabe en una tarjeta, no se cumplirá.
Formación breve y concreta. Diez minutos sobre qué ocurre realmente cuando se pega información en una herramienta externa. La mayoría de la gente no lo hace por descuido, sino por desconocimiento del funcionamiento.
Un canal para pedir herramientas. Con respuesta en días, no en trimestres. La velocidad de este canal determina el nivel de shadow AI de la organización mejor que cualquier norma.
Revisión trimestral del inventario. Corta. Qué se añadió, qué dejó de usarse, qué accesos hay que revocar.
Este tema se defiende mal cuando se presenta como un problema de seguridad, porque compite con otras prioridades. Se defiende bien cuando se presenta con dos números.
El primero es el de IBM: 670.000 dólares de sobrecoste medio cuando hay IA no autorizada implicada en una brecha. El segundo es el propio: cuántas suscripciones de IA aparecen en los gastos del último trimestre que nadie de tecnología conocía.
Ese segundo número, obtenido en una tarde, suele terminar la discusión.
Es el uso de herramientas de inteligencia artificial contratadas o utilizadas por departamentos sin conocimiento ni aprobación de tecnología, seguridad o el responsable de protección de datos. Suele entrar por suscripciones de bajo importe pagadas con tarjeta corporativa.
Según el informe Cost of a Data Breach de IBM de 2025, el 20% de las brechas analizadas involucró IA no autorizada y esos incidentes añadieron de media 670.000 dólares al coste, sobre un coste medio de brecha de 4,44 millones.
Porque el uso no desaparece, se traslada a dispositivos personales donde no hay visibilidad; se pierde información valiosa sobre qué problemas tiene la organización sin resolver; y se penaliza a quien intenta trabajar mejor. La alternativa eficaz es ofrecer una vía autorizada igual de cómoda.
Por cuatro vías: revisión de suscripciones en tarjetas corporativas y notas de gasto, análisis de tráfico de red e inicios de sesión con cuentas corporativas, una encuesta interna con amnistía explícita, y revisión de las integraciones de terceros con acceso al correo, almacenamiento o CRM.
Una regla de datos de tres líneas —qué información nunca sale de los sistemas propios, qué requiere aprobación y qué es libre—, una o dos herramientas autorizadas con contrato de tratamiento de datos, un canal para solicitar nuevas herramientas con respuesta en días y una revisión trimestral del inventario.
Sí. Cualquier obligación del reglamento parte de saber qué sistemas de IA existen en la organización, con qué datos y quién responde de cada uno. Los sistemas no inventariados quedan fuera de la clasificación de riesgo y, por tanto, de cualquier medida de cumplimiento.
¿Sabes qué herramientas de IA se usan hoy en tu empresa? Levantamos el inventario real, clasificamos el riesgo por caso de uso y diseñamos la vía autorizada para que la gente no tenga que esquivarla. Parliamone → |
Español Español 
English
Français
العربية
Português
Deutsch
Italiano
