Por qué la Inteligencia Artificial en la Sombra es el próximo gran riesgo empresarial, y cómo puedes hacerle frente

La «IT en la sombra» —el uso de aplicaciones o dispositivos no autorizados— es un problema conocido desde hace años, pero la «IA en la sombra» conlleva riesgos más profundos y sistémicos. Las cifras de la encuesta de TI de Komprise para 2025, realizada a 200 ejecutivos de empresas estadounidenses, revelan riesgos significativos relacionados con la IA: el 90 % teme amenazas a la seguridad y la privacidad derivadas de la IA en la sombra, el 80 % ha sufrido incidentes relacionados con la IA y el 13 % ya ha sufrido pérdidas económicas, de clientes o de reputación.

Tres de las principales preocupaciones para las organizaciones son:

1. Se están introduciendo datos sensibles en sistemas externos: el análisis de TechAhead muestra que los datos corporativos introducidos en herramientas de IA aumentaron un 485 % en un año, mientras que el intercambio de datos sensibles dentro de esas entradas casi se triplicó, pasando del 10,7 % al 27,4 %. El estudio también reveló que el 75 % de los trabajadores del conocimiento ya usa herramientas de IA en el trabajo y, lo que es preocupante, que casi la mitad seguiría haciéndolo aunque se les prohibiera. El análisis de TechAhead también destacó que la «IA en la sombra» suele implicar el uso de herramientas no verificadas que procesan información sensible sin cifrado, sin controles ni rendición de cuentas.
2. Riesgos de incumplimiento del RGPD y de la Ley de IA de la UE: Según el RGPD, las organizaciones siguen siendo responsables de cómo se tratan los datos personales, incluso si un empleado los sube a una herramienta de IA externa sin permiso. La Ley de IA de la UE, que entró oficialmente en vigor el 1 de agosto de 2024, añade más obligaciones, como requisitos de transparencia, gobernanza de datos y controles de calidad, gestión de riesgos para sistemas de alto riesgo, y requisitos de documentación y auditabilidad. La IA en la sombra entra en conflicto directo con estos requisitos, lo que expone a las organizaciones a sanciones normativas y a daños a su reputación.
3. Resultados incoherentes o inexactos: Las herramientas de IA no reguladas pueden generar datos falsos, análisis sesgados o incompletos, y resultados que no se pueden auditar ni explicar. Esto socava la toma de decisiones y genera riesgo operativo, especialmente en sectores sensibles como las finanzas, la sanidad, los servicios jurídicos y la administración pública.

Los riesgos de la IA en la sombra no se resuelven prohibiendo las herramientas: los empleados decididos simplemente encontrarán la forma de sortear las restricciones. En cambio, las organizaciones necesitan un enfoque equilibrado que combine gobernanza, tecnología y cultura.

Sin embargo, controlar la IA en la sombra puede resultar complicado, sobre todo para las empresas que no cuentan con expertos internos capaces de analizar y evaluar las herramientas que se utilizan. Lo más lógico es eliminar la necesidad de recurrir a la IA en la sombra sustituyéndola por sistemas de IA seguros, homologados y eficaces, que ayuden a los empleados a cumplir con sus tareas sin poner en riesgo a la empresa.

A continuación te presentamos un marco práctico que ayuda a una organización a ajustarse a las expectativas normativas europeas y a las mejores prácticas del sector:

1. Ser consciente de qué IA se está utilizando ya: A medida que la IA se vuelve esencial para las operaciones, las auditorías internas son fundamentales para garantizar que la tecnología se utilice de forma segura. Aunque el enfoque ha pasado del software estándar a algoritmos complejos, los objetivos principales —evidencia, trazabilidad y responsabilidad— siguen siendo los mismos. El proceso empieza por crear un inventario claro de todos los modelos de IA, integraciones y API, documentando su finalidad, la sensibilidad de los datos y quién es el responsable. Esta base permite a las empresas gestionar el riesgo de forma eficaz. Al adoptar estándares del sector como el NIST o la norma ISO/IEC 42001, las organizaciones pueden convertir la supervisión técnica en una responsabilidad empresarial clara y verificable.
2. Establecer una política clara de uso de la IA para toda la organización: Los empleados pueden recurrir a herramientas no autorizadas si no hay normas formales sobre el uso de la IA. Una política de IA sólida ofrece una orientación clara y establece normas vinculantes en toda la organización. Debe definir las herramientas de IA aprobadas, especificar qué datos se pueden compartir y cuáles no, y establecer requisitos obligatorios para el tratamiento de la información personal y confidencial. También debe fijar expectativas claras en cuanto a la transparencia y la trazabilidad en el uso de la IA. Esto proporcionará una base sólida para garantizar que todos los sistemas cumplan con el RGPD y la Ley de IA de la UE.
3. Ofrecer herramientas de IA seguras y de nivel empresarial: Como ya hemos comentado, la forma más eficaz de reducir la «IA en la sombra» es ofrecer herramientas autorizadas oficialmente que sean seguras, auditables y estén integradas en los flujos de trabajo existentes. Por ejemplo, soluciones como Copilot de Microsoft 365 proporcionan gobernanza de nivel empresarial, cifrado y controles de residencia de datos, lo que ofrece a los empleados las ventajas de productividad que buscan sin riesgos.
4. Fomentar la alfabetización y la concienciación en IA: Como hemos visto, un estudio de Microsoft muestra que solo el 32 % de los empleados se preocupa por los riesgos de privacidad al usar herramientas de IA de consumo. Esto significa que se necesitará una formación eficaz —a menudo denominada «alfabetización en IA» o «fluidez en IA»— para ayudar a los empleados a entender cómo las herramientas de IA almacenan y procesan los datos, qué constituye un comportamiento de alto riesgo, las implicaciones normativas según el RGPD y la Ley de IA de la UE, y destacar cuándo se requiere supervisión humana. También conviene recordar que cualquier marco de gobernanza es tan eficaz como la cultura que lo respalda. Mientras que las políticas establecen límites, la cultura dicta el comportamiento, transformando el cumplimiento normativo de un requisito obligatorio en un hábito organizativo arraigado.
5. Implementar una gobernanza de datos sólida y controles de acceso: Como se ha destacado anteriormente, los resultados de TechAhead muestran que el volumen de datos sensibles introducidos en herramientas de IA casi se triplicó en un año, lo que refuerza la necesidad de controles robustos. Las organizaciones deberían clasificar los datos, restringir el intercambio externo e implementar herramientas de prevención de pérdida de datos (DLP) para evitar subidas no autorizadas. También deberían supervisar la actividad relacionada con la IA en busca de anomalías y garantizar el cifrado y los registros de auditoría para todos los sistemas aprobados. Esto se ajusta directamente a los requisitos de la Ley de IA de la UE en materia de transparencia y gestión de riesgos.
6. Crear un equipo central de gobernanza de la IA: Lo ideal es que una organización designe un grupo multifuncional —normalmente formado por responsables de TI, seguridad, asuntos jurídicos, RR. HH. y líderes empresariales— que pueda supervisar el uso de los sistemas de IA. Esto puede incluir la evaluación y aprobación de herramientas, evaluaciones de riesgos, la diligencia debida con los proveedores y la supervisión del cumplimiento normativo. Este grupo de gestión de la IA garantiza que la adopción de la IA sea estratégica, coherente y esté alineada en toda la organización.
7. Fomentar la experimentación responsable: Aunque existen posibles problemas, la IA en la sombra suele surgir de la innovación. En algunos casos, en lugar de frenar estos esfuerzos, las organizaciones pueden convertir la curiosidad por la IA en creación de valor estructurada, canalizando este enfoque y ofreciendo entornos de prueba para probar nuevas herramientas, procesos claros para proponer nuevos casos de uso y apoyando la experimentación con una supervisión adecuada.
8. Comunica las ventajas de usar herramientas aprobadas: Los empleados que entienden claramente por qué se permiten algunas herramientas de IA mientras que otras deben prohibirse son más propensos a seguir las normas. Por eso, es importante explicar cómo las herramientas aprobadas protegen los datos de los clientes y de la empresa, cómo reducen el riesgo personal y cómo respaldan la estrategia de IA a largo plazo. Esto ayudará a crear una cultura de confianza y responsabilidad compartida.
9. Supervisar, medir y mejorar continuamente: El uso de la «IA en la sombra» no es algo puntual: irá evolucionando y cambiando a medida que surjan nuevas herramientas en el futuro. Teniendo esto en cuenta, las organizaciones deberían hacer un seguimiento de las tendencias de uso de la IA, revisar los incidentes o los conatos de incidente, actualizar las políticas a medida que cambien las normativas y asegurarse de que la formación se renueve con regularidad. Así se crea un modelo de gobernanza dinámico que se adapta al ritmo de la innovación en IA.

Abordar con éxito la «IA en la sombra» puede resultar abrumador para las empresas que no cuentan con la experiencia ni los conocimientos necesarios para hacerlo de forma eficaz. Ahí es donde la ayuda de expertos marca una gran diferencia.

En Konica Minolta, ayudamos a las organizaciones a sacar el máximo partido a la tecnología, ya sea mediante la implantación eficaz y planificada de la IA en Microsoft 365 Copilot o el procesamiento inteligente de documentos. Combinamos nuestra experiencia tecnológica con nuestro conocimiento del mundo empresarial para ayudar a tu empresa a optimizar los procesos, mejorar la productividad y tomar mejores decisiones mediante un enfoque basado en la información.