La IA en la sombra (shadow AI) es el uso de herramientas, modelos y flujos de trabajo de IA dentro de una organización sin el conocimiento, la aprobación o la supervisión de gobernanza de los equipos de TI, seguridad o cumplimiento. En 2026, la IA en la sombra es el mayor riesgo de IA no gestionado en las empresas. La investigación del MIT reveló que los empleados de más del 90% de las organizaciones utilizan cuentas personales de IA para tareas laborales. El informe Mimecast State of Human Risk 2026 constató que el 80% de las organizaciones se preocupa por la fuga de datos a través de la IA generativa, aunque el 60% no cuenta con una estrategia para abordarla. Solo el 37% de las organizaciones cuenta con políticas de gobernanza de IA. La solución no es la prohibición, sino la habilitación gobernada: proporcionar alternativas aprobadas, políticas claras y una supervisión que funcione a la velocidad a la que realmente operan los empleados.

Por qué la IA en la sombra es diferente de la TI en la sombra

La TI en la sombra implicaba que los empleados utilizaran software no autorizado, Dropbox en lugar de SharePoint, Slack en lugar de la mensajería corporativa. El riesgo era la dispersión de datos y las brechas de seguridad. La IA en la sombra hereda todos los riesgos de la TI en la sombra y añade tres más: la exposición de datos de entrenamiento (la información introducida en herramientas de IA de consumo puede utilizarse para entrenar modelos), el riesgo de precisión de los resultados (contenido generado por IA utilizado en decisiones empresariales sin validación) y las obligaciones regulatorias específicas de la IA que marcos normativos como el Reglamento de IA de la UE (EU AI Act) y el RGPD ya exigen. Cuando un empleado pega datos de un cliente en una cuenta gratuita de ChatGPT, la organización se enfrenta simultáneamente a riesgos de protección de datos, confidencialidad y cumplimiento normativo, de los cuales es poco probable que el empleado sea consciente.

La magnitud del problema

Los datos sobre la adopción de la IA en la sombra son consistentes en múltiples fuentes. El informe Lenovo Work Reborn Research 2026 constató que entre una quinta parte y un tercio de los trabajadores utilizan IA al margen de la gobernanza de TI. El Verizon 2026 Data Breach Investigations Report identificó la IA en la sombra como una de las principales amenazas internas. La investigación de Microsoft reveló que el 29% de los empleados utiliza agentes de IA no autorizados para tareas laborales. Gartner proyecta que el 40% de las aplicaciones empresariales incorporará agentes de IA para finales de 2026. El Netskope Cloud and Threat Report 2026 constató que la mayoría de los usuarios de IA generativa acceden a las herramientas a través de cuentas personales, eludiendo por completo los controles empresariales. Cuando se proporcionan herramientas aprobadas, el uso no autorizado se reduce hasta en un 89%, lo que demuestra que la causa raíz no es la rebeldía de los empleados, sino la falta de alternativas aprobadas adecuadas.

Marco de gobernanza para la IA en la sombra

La gobernanza eficaz de la IA en la sombra sigue un enfoque de clasificación en tres niveles. Nivel uno: herramientas plenamente aprobadas con acuerdos empresariales de tratamiento de datos, utilizadas con controles estándar de gestión de datos. Nivel dos: herramientas de uso limitado aprobadas para trabajos no sensibles con restricciones de datos específicas. Nivel tres: herramientas prohibidas que presentan un riesgo inaceptable. Esta clasificación debe comunicarse con claridad, actualizarse periódicamente y aplicarse mediante una combinación de controles técnicos (políticas de prevención de pérdida de datos o DLP, supervisión de la red, gestión de endpoints) y medidas culturales (formación, alternativas aprobadas, vías de escalado claras).

Los pasos prácticos son los siguientes: mantener un inventario de IA completo que cubra todas las herramientas de IA en uso, incluidas las que los empleados han adoptado de forma independiente. Implantar alternativas de nivel empresarial; cuando los empleados tienen acceso a herramientas aprobadas que igualan la funcionalidad de la IA de consumo, el uso en la sombra se reduce drásticamente. Aplicar políticas de clasificación de datos que especifiquen qué categorías de datos pueden y no pueden utilizarse con cada nivel de herramienta de IA. Formar a los empleados sobre los riesgos específicos de la IA en la sombra, no mediante formación de concienciación genérica, sino con ejemplos concretos de lo que puede salir mal. Supervisar el uso de la IA en la sombra mediante análisis de red, gestión de endpoints y auditorías periódicas, centrándose en la detección y la habilitación en lugar de en el castigo.

La carta a la industria de abril de 2026 de la APRA (Australian Prudential Regulation Authority, Autoridad Australiana de Regulación Prudencial) aborda directamente la IA en la sombra a través de su expectativa de contar con inventarios exhaustivos de casos de uso de IA. Si su organización no puede enumerar todos los sistemas de IA en uso, incluidos los que los empleados han adoptado por su cuenta, no podrá demostrar la madurez de gobernanza que los reguladores exigen actualmente.

Fuentes principales consultadas: Carta de la APRA a la Industria sobre Inteligencia Artificial, 30 de abril de 2026 | Principios de IA de la OCDE

Lecturas relacionadas