Shadow AI en la empresa: cómo los empleados filtran datos corporativos sin saberlo

Shadow AI es el uso de herramientas de inteligencia artificial, como ChatGPT, Gemini o traductores de IA gratuitos, sin el conocimiento ni la aprobación del departamento de IT o de la dirección. En la mayoría de las empresas, esto ya está ocurriendo: los empleados copian y pegan ofertas, contratos, correos de clientes e incluso código fuente en herramientas de IA, a menudo en versiones gratuitas que pueden utilizar los datos introducidos para entrenar sus modelos.

TL;DR — Aspectos clave

• Las investigaciones indican que más de la mitad de los empleados utilizan herramientas de IA no aprobadas por la empresa.
• El mayor riesgo es la filtración de secretos comerciales y datos personales a servicios de IA públicos.
• Prohibirlo no funciona: los empleados seguirán usando la IA, pero de forma oculta.
• La solución es una combinación de herramientas aprobadas, normas claras y control técnico (DLP, Entra ID, Intune).

Por qué el Shadow AI es peligroso

En el "Shadow IT" tradicional, se trataba de un Dropbox o WhatsApp no autorizado. Con la IA, el riesgo es mayor porque el empleado entrega voluntariamente el contenido: no solo un archivo, sino el resumen, el contexto y, a menudo, toda la correspondencia con un cliente.

Cómo saber si tiene Shadow AI en su organización

Si no tiene control sobre el tráfico de red y las aplicaciones en la nube, la respuesta es casi seguro que sí. Las señales incluyen visitas a dominios de servicios de IA en los registros del firewall, consentimientos de OAuth para aplicaciones desconocidas en Microsoft Entra ID y extensiones de navegador en los equipos corporativos.

5 pasos para un uso controlado de la IA

1. Inventario: mediante los registros del firewall y Microsoft Defender for Cloud Apps, identifique qué herramientas de IA se están utilizando realmente.
2. Herramienta aprobada: ofrezca a los empleados una alternativa segura, como Microsoft 365 Copilot o Copilot Chat con protección de datos empresariales.
3. Normativa: adopte una política de IA corporativa breve que defina qué datos no se permite introducir.
4. Control técnico: bloquee los servicios de IA de riesgo, limite los consentimientos de OAuth e implemente reglas de DLP.
5. Capacitación: la Ley de Inteligencia Artificial exige, a partir de febrero de 2025, la alfabetización en IA de los empleados.

Ley de Inteligencia Artificial: lo que las empresas deben saberObligaciones, plazos y multas para las empresas.

Preguntas frecuentes

¿Está prohibido usar ChatGPT en el trabajo?

No, la ley no lo prohíbe. Sin embargo, la empresa debe garantizar que los datos personales y secretos comerciales no se procesen ilegalmente y asegurar la formación en IA de los empleados.

¿Podemos simplemente bloquear el Shadow AI?

Técnicamente sí, pero una prohibición total suele llevar al uso en teléfonos personales. Es mejor ofrecer una herramienta aprobada y bloquear solo los servicios de alto riesgo.

¿Cuál es el primer paso más rápido?

Revisar los registros del firewall y las aplicaciones en Entra ID permite obtener en un solo día una imagen clara de lo que está ocurriendo.