En este momento, en alguna área de tu empresa, alguien está pegando información interna en una herramienta de inteligencia artificial que el equipo de tecnología no conoce. No es un empleado desleal. Casi siempre es de los más productivos: descubrió que un reporte que le tomaba tres horas ahora sale en veinte minutos. Lo hace desde una cuenta personal, con la mejor intención del mundo, sin sospechar que acaba de enviar datos de la empresa a un servidor que nadie evaluó.
Ese fenómeno tiene nombre: shadow AI, el uso de herramientas de inteligencia artificial sin la aprobación ni la supervisión del área de tecnología o de seguridad. Es el heredero del viejo shadow IT, con una diferencia que cambia el tamaño del problema. Una aplicación no autorizada guardaba archivos. Un modelo de IA aprende de lo que recibe, y lo que recibe deja de estar bajo tu control.
¿Por qué crece tan rápido?
Porque la barrera de entrada desapareció. Cualquier persona con un navegador tiene acceso gratuito a modelos que redactan, programan, traducen y analizan mejor que muchas herramientas corporativas. Por primera vez, la tecnología más avanzada de la empresa no la compró la empresa: la trajo la gente.
Y porque muchas organizaciones respondieron con la peor estrategia posible: el silencio. Sin política, sin alternativas oficiales y sin conversación, cada empleado decide por su cuenta. Cuando escribí sobre la migración segura a la nube, el reto era otro: sabías qué contratabas y con quién firmabas. Con el shadow AI no hay contrato. Hay una cuenta gratuita abierta un martes por la tarde.
La adopción siempre corre más rápido que la gobernanza. El error estratégico es creer que esa distancia se cierra prohibiendo.
¿Qué dicen los datos?
El informe Cost of a Data Breach 2025 de IBM le puso números al fenómeno: una de cada cinco brechas analizadas involucró shadow AI, y las que tuvieron un nivel alto de IA no autorizada costaron en promedio 670,000 dólares más que el resto. Hay otro dato que me parece todavía más revelador: de las organizaciones que sufrieron incidentes relacionados con IA, el 97% no tenía controles de acceso adecuados sobre esas herramientas. No es que los controles fallaran. No existían.
También importa qué se filtra: sobre todo información personal de clientes y propiedad intelectual. Es decir, lo que un competidor quisiera tener y lo que un regulador sanciona.
¿Prohibir la IA? Esa batalla ya se perdió
La reacción instintiva de muchos comités es bloquear el acceso y dar el tema por cerrado. Lo que ocurre después es conocido: la gente migra al teléfono personal, a la red de la casa, a la herramienta nueva que el filtro todavía no registra. El uso no baja. La visibilidad sí.
Prohibir sin ofrecer alternativa convierte a tus mejores empleados en tu mayor punto ciego, y deja a la empresa en el peor de los dos mundos: asume el riesgo del shadow AI sin capturar el valor de la IA.
Gobernar sin frenar: cuatro movimientos
La respuesta madura no empieza por la tecnología, empieza por la gobernanza. En ZetTateK la trabajamos con clientes y también puertas adentro, en nuestro laboratorio de AI Labs. Estos cuatro movimientos son el punto de partida:
1. Haz un inventario honesto. Pregunta a cada área qué herramientas usa y para qué, sin castigos de por medio. Una amnistía de dos semanas revela más que seis meses de auditoría.
2. Publica una política corta. Una página que cualquiera entienda: qué datos jamás salen de la empresa (información de clientes, código fuente, contratos, cifras financieras), qué usos están permitidos y a quién preguntar en caso de duda.
3. Ofrece una vía oficial. Cuentas empresariales con acuerdos de protección de datos, aprobadas por tecnología. La alternativa oficial tiene que ser tan buena como la clandestina, o la clandestina gana.
4. Dale visibilidad continua. El tráfico hacia servicios de IA se monitorea igual que el resto de la red. Ahí aparece la herramienta nueva antes de que se vuelva costumbre.
Si buscas un marco de referencia formal, el AI Risk Management Framework del NIST ordena el tema en cuatro funciones: gobernar, mapear, medir y gestionar. Nuestro equipo de consultoría ayuda a aterrizarlo al tamaño y a la realidad de cada empresa.
El papel del liderazgo
El shadow AI no es un problema del área de sistemas. Es la señal de que tu organización ya decidió trabajar con IA y no encontró un cauce oficial para hacerlo. Por eso la respuesta tampoco se delega completa: alguien con nombre y apellido tiene que responder por el riesgo de IA en tu empresa.
Cinco preguntas para tu próximo comité directivo
- ¿Sabemos qué herramientas de IA usa realmente cada área?
- ¿Qué datos de la empresa ya salieron y hacia qué proveedores?
- ¿Tenemos una política de uso de IA que se entienda en dos minutos?
- ¿Ofrecimos una alternativa oficial o solamente prohibimos?
- ¿Quién responde por el riesgo de IA: tecnología, legal o la dirección?
Si alguna respuesta es “no sabemos”, ese es el punto de partida. Una evaluación de seguridad gratuita incluye una revisión del uso de aplicaciones e IA no autorizadas en tu red: sales sabiendo qué información está saliendo de tu empresa y por dónde.
La innovación no se gobierna prohibiéndola. Se gobierna dándole un cauce seguro.
