Shadow AI: por qué prohibirlo no funciona

La conclusión: el shadow AI no es un problema técnico, es comportamiento cotidiano que ninguna prohibición apaga

El shadow AI es el uso de herramientas de inteligencia artificial (un chatbot público, un copiloto, un generador de texto o de código) por parte de los empleados sin aprobación ni conocimiento del área de seguridad. No es un ataque ni una falla del sistema: es una persona que pega el borrador de un contrato, un fragmento de código o una hoja de clientes en una herramienta que abre en otra pestaña, porque le resuelve el día.

Por eso prohibirlo no lo elimina, lo esconde. El riesgo no vive en la herramienta sino en la decisión de la persona sobre qué información entrega y bajo qué presión, y esa decisión se toma decenas de veces por semana en cualquier empresa. Quien quiera controlarlo tiene que mirar el comportamiento, no solo redactar una política que nadie lee. El resto de esta pieza desarrolla esa idea: qué es exactamente el shadow AI, en qué se diferencia del riesgo de un agente de IA, por qué la prohibición fracasa y qué observar en la conducta para reducir el riesgo sin frenar a la gente.

Qué es el shadow AI y por qué se disparó en un año

Llamamos shadow AI al uso no autorizado de herramientas de IA para tareas de trabajo. El término hereda la lógica del viejo shadow IT, esas aplicaciones que los equipos adoptaban por su cuenta sin pasar por el área de tecnología, pero con una diferencia que cambia todo: la barrera de entrada es cero. No hace falta instalar nada ni pedir un presupuesto. Basta abrir un navegador, escribir una pregunta y pegar el material sobre el que uno trabaja.

El salto del último año no fue gradual. El uso frecuente de asistentes de IA entre los empleados pasó de ser cosa de unos pocos curiosos a ser un hábito extendido en cuestión de meses, empujado por herramientas gratuitas, por copilotos que llegaron integrados a suites que la empresa ya paga y por la presión de producir más rápido. La adopción corrió por delante de cualquier política. Cuando el área de seguridad se sentó a escribir las reglas, la mitad de la oficina ya llevaba meses usando estas herramientas todos los días.

Ese desfase es el punto. El shadow AI no apareció por descuido ni por mala intención: apareció porque la herramienta es útil, está a un click de distancia y nadie dijo explícitamente que no. Tratarlo como una anomalía a erradicar es leer mal el fenómeno. Es comportamiento cotidiano, y el comportamiento cotidiano no se apaga con un memo.

En qué se diferencia del riesgo de un agente de IA con identidad y permisos propios

Conviene separar dos cosas que suelen confundirse. El shadow AI es una persona que usa una herramienta de IA sin permiso. Un agente de IA es un programa que actúa por su cuenta, con su propia identidad, sus credenciales y permisos para leer datos, ejecutar tareas o conectarse a otros sistemas. El primer riesgo es de conducta humana; el segundo es de gobierno de identidades y accesos de máquinas.

La distinción importa porque el control es distinto en cada caso. A un agente de IA se lo gobierna como a cualquier identidad con privilegios: se le limita el alcance, se auditan sus acciones, se revoca cuando sobra. Ese es un problema real y creciente, y lo tratamos aparte en nuestra pieza sobre el riesgo de los agentes de IA y el riesgo humano. Al shadow AI, en cambio, no se lo gobierna con permisos de máquina, porque quien decide qué información entrega es una persona que actúa dentro de sus accesos legítimos. No hay privilegio que revocar: hay un hábito que entender.

Mezclar los dos problemas lleva a soluciones que no aplican. Poner controles de identidad sobre agentes no cambia lo que un empleado pega en un chatbot desde su cuenta personal, y capacitar a la persona no gobierna a un agente autónomo. Esta pieza se ocupa del primer caso, el de la conducta.

Por qué prohibir la herramienta empuja el uso a la clandestinidad

La prohibición tiene un atractivo evidente: es rápida de anunciar y da la sensación de que el problema quedó cerrado. Pero choca con la realidad del trabajo. La herramienta le ahorra horas a la persona, y esa ganancia no desaparece porque una política diga que no. Lo que desaparece es la visibilidad. El uso sigue, ahora desde el celular, desde la cuenta personal o fuera de la red de la empresa, justo donde el área de seguridad ya no puede ver nada.

El marco 90-5-5 de Cisco, que estima que cerca del 90 por ciento de las brechas involucran un factor humano, ayuda a entender por qué la prohibición falla como control. Ese mismo marco reparte el 5 y el 5 restantes entre herramientas que faltan o están mal configuradas y límites de recursos como el tiempo o el personal. Una política de prohibición es exactamente eso, una herramienta de gobierno, y una que está mal configurada para el problema: no cambia la conducta, solo la vuelve invisible. Se apoya en la esperanza de que la gente deje de hacer algo que le funciona, en lugar de darle una alternativa segura y observar cómo se comporta.

Hay un costo silencioso en esa ceguera. Cuando el uso se va a la clandestinidad, la empresa pierde la posibilidad de saber qué tipo de información está saliendo, con qué frecuencia y en qué contexto. Y sin esa señal, tampoco puede medir su propio riesgo ni reaccionar a tiempo si algo se filtra. El costo promedio global de una brecha de datos fue de 4,4 millones de dólares en 2025, una caída del 9 por ciento frente al año anterior que se explica, precisamente, porque las empresas que identifican y contienen más rápido pagan menos (IBM Cost of a Data Breach 2025). Prohibir sin ver es renunciar a esa velocidad de reacción.

Qué mirar en el comportamiento: qué datos pega la persona y bajo qué presión

Si el riesgo es de conducta, la observación tiene que ser de conducta. La pregunta útil no es "¿usan IA?", que ya sabemos que sí, sino "¿qué información entregan, en qué momento y por qué?". Ahí es donde está la diferencia entre un uso inofensivo y uno que expone a la empresa.

Vale la pena mirar tres cosas. Primero, qué clase de datos termina en estas herramientas: no es lo mismo pedir que reformule un correo genérico que pegar una base de clientes, código propietario o información financiera sin publicar. Segundo, bajo qué presión ocurre: el pegado apurado, el "necesito esto para dentro de diez minutos", es donde la persona salta los controles sin pensarlo, la misma dinámica que aprovecha cualquier ataque de ingeniería social. Y tercero, si existe una alternativa aprobada y a la mano, porque cuando no la hay, la herramienta de la sombra es la única salida y el uso clandestino está garantizado.

Ese enfoque desplaza la conversación de la culpa a la observación. No se trata de sorprender a nadie haciendo algo malo, sino de entender un patrón de comportamiento para poder intervenir donde de verdad importa. Es la misma lógica con la que conviene mirar cualquier riesgo que nace de una decisión humana bajo presión: primero se observa la conducta real, después se corrige la que expone.

Cómo un programa de riesgo humano aborda el hábito sin bloquear la herramienta

Un programa de gestión de riesgo humano (Human Risk Management, HRM), es decir el enfoque que mide y corrige cómo se comportan las personas ante el riesgo en lugar de solo qué saben, aborda el shadow AI por el lado del hábito, no del bloqueo. La premisa es que el empleado va a seguir buscando la herramienta que le resuelve, así que el objetivo no es apagar ese impulso sino educar la decisión que lo acompaña: qué se puede pegar y qué no, cómo reconocer cuándo la prisa está empujando a saltar un control, y a dónde ir cuando hace falta una alternativa segura.

Eso se logra con capacitación en el momento en que la conducta de riesgo aparece, no con un curso anual que nadie recuerda, y midiendo si la lección cambió el comportamiento en lugar de si el empleado asistió.

Aquí entra un concepto que vale la pena nombrar con precisión: el retest, que consiste en volver a probar a la persona semanas después, en una situación equivalente, para ver si de verdad cambió su forma de actuar o si solo recordó la instrucción por un rato. La diferencia no es menor: hay evidencia revisada por pares de que completar una capacitación no predice por sí solo la reducción de fallos reales, y que lo que demuestra el cambio es volver a probar la conducta (Ho et al., IEEE S&P 2025; Lain et al., IEEE S&P 2022). Profundizamos esa idea de volver a probar la conducta en nuestra pieza sobre qué es un programa de comportamiento y cultura de seguridad.

En Fensivo trabajamos ese caso de uso desde el comportamiento: medimos cómo actúan las personas bajo presión con simulaciones de phishing por correo personalizadas, entregamos capacitación específica en el momento en que alguien falla y validamos con retest que la lección quedó, no que se recordó. No detectamos qué herramientas de IA usa cada empleado, y no es ese el punto: el punto es preparar y comprobar la decisión de la persona cuando la prisa la empuja a entregar algo que no debería, sea en un chatbot o en un correo bien armado.

El shadow AI no es una moda que vaya a pasar ni un agujero que se tape con una política. Es la nueva cara de un problema viejo: personas capaces tomando atajos razonables bajo presión. ¿Su empresa sabe qué información está saliendo por esa puerta, o solo tiene una política que asume que la puerta está cerrada?