Tabla de Contenido
Expertos de IQSEC y Hitachi Vantara advierten que las organizaciones adoptaron la Inteligencia Artificial sin medir adecuadamente sus riesgos y llaman a establecer controles, gobernanza y políticas de uso
La adopción acelerada de herramientas de Inteligencia Artificial generativa está generando una nueva preocupación para los responsables de tecnología y seguridad: el crecimiento del denominado Shadow IA, es decir, el uso de plataformas de IA fuera del catálogo oficial de aplicaciones autorizadas por una organización.
Aunque la IA promete incrementos significativos en productividad, automatización y reducción de costos, especialistas de IQSEC y Hitachi Vantara advierten que muchas empresas han incorporado estas tecnologías sin establecer previamente mecanismos de control, monitoreo o gobernanza.
“Hemos adoptado la IA sin medir antes los riesgos“, es la conclusión que emerge de la experiencia acumulada por ambas organizaciones al acompañar proyectos de transformación digital y ciberseguridad en diversos sectores.
El problema: los empleados utilizan IA fuera del control corporativo
De acuerdo con Alejandro Vergara, IA Orchestration Manager de IQSEC, el fenómeno es mucho más amplio de lo que muchas organizaciones creen.
“Desconocemos la forma en que los empleados usan la Inteligencia Artificial, y cuántas plataformas usan; además, todos los días salen herramientas nuevas, de manera que se vuelve un reto muy complejo asegurar un ambiente con Shadow IA”.
De acuerdo con datos compartidos por el especialista, 67% de los usuarios de IA generativa en entornos corporativos acceden a estas herramientas mediante cuentas personales, fuera de los controles establecidos por las áreas de TI y seguridad.
La situación se vuelve particularmente delicada cuando los trabajadores cargan documentos corporativos, bases de datos, reportes financieros, estrategias comerciales o información confidencial en plataformas externas para obtener ayuda en tareas cotidianas.
En muchos casos no existe intención maliciosa. El objetivo suele ser mejorar la productividad, acelerar reportes o automatizar procesos. Sin embargo, la consecuencia puede ser la exposición involuntaria de información crítica.
La paradoja de la productividad
Para Adrián Galindo, director Senior de Ciberseguridad en Hitachi Vantara, el desafío consiste en encontrar un equilibrio entre innovación y protección.
“El problema del Shadow IA es que se usa sin pasar por estos controles que se estructuran desde la estrategia de ciberseguridad”.
El ejecutivo explicó que los empleados utilizan diferentes herramientas para tareas específicas:
- Elaboración de reportes para inversionistas.
- Generación de contenido comercial.
- Creación de imágenes.
- Edición de video.
- Planeación de estrategias de ventas.
- Automatización de tareas administrativas.
Cada nueva plataforma representa un posible punto de fuga de información y amplía la superficie de ataque de la organización.
Los 10 argumentos para convencer a una organización de controlar el uso de la IA
Desde la perspectiva de consultoría de procesos y transformación digital, estos son los argumentos más sólidos para impulsar programas de gobernanza de IA entre clientes empresariales:
1. La información confidencial puede salir de la empresa sin que nadie lo sepa
Los usuarios suelen compartir contratos, propuestas comerciales, bases de datos o información financiera para obtener mejores respuestas de la IA.
El problema es que muchas organizaciones ni siquiera tienen visibilidad de qué datos están siendo compartidos.
2. La IA puede anular inversiones millonarias en ciberseguridad
Vergara advierte que numerosas empresas han invertido durante años en controles de protección de datos, pero los propios colaboradores pueden eludir esas barreras al cargar información sensible en plataformas externas.
“Las organizaciones destinan parte del presupuesto al cuidado de su información, y los mismos empleados, sin malicia, incluso con fines productivos, la comparten”.
3. El riesgo crece más rápido que la capacidad de control
Cada semana aparecen nuevas aplicaciones basadas en IA.
Mientras más herramientas adopten los usuarios sin supervisión, más difícil será identificar vulnerabilidades, evaluar riesgos y aplicar controles.
4. La fuga de datos puede afectar ingresos y competitividad
Información de clientes, estrategias comerciales, planes de expansión o desarrollos propios pueden quedar expuestos.
Una filtración de este tipo puede traducirse en pérdida de ventaja competitiva y oportunidades de negocio.
5. La reputación corporativa está en juego
Un incidente relacionado con IA puede afectar la confianza de clientes, socios comerciales, inversionistas y organismos reguladores.
La reputación continúa siendo uno de los activos más valiosos de cualquier organización.
6. El cumplimiento normativo será cada vez más exigente
Las regulaciones relacionadas con privacidad, protección de datos y uso responsable de IA están evolucionando rápidamente.
Las empresas que construyan hoy marcos de gobernanza tendrán una posición más sólida frente a futuras exigencias regulatorias.
7. No todas las tareas requieren IA
Uno de los errores más frecuentes es asumir que cualquier proceso debe automatizarse mediante Inteligencia Artificial.
IQSEC recomienda evaluar cada caso de uso y determinar si realmente existe un beneficio frente a otras herramientas tradicionales.
8. El Shadow IA genera una superficie de ataque mucho mayor
Cada aplicación no autorizada representa nuevas credenciales, nuevos repositorios de datos y nuevas conexiones externas.
Esto incrementa significativamente el riesgo de ataques, robo de información o accesos indebidos.
9. La gobernanza reduce costos operativos
Las organizaciones que definen herramientas autorizadas, procesos de aprobación y mecanismos de monitoreo reducen la duplicidad de soluciones y optimizan inversiones tecnológicas.
10. La IA controlada sí genera valor de negocio
Tanto IQSEC como Hitachi Vantara coinciden en que el objetivo no es prohibir la IA.
La clave consiste en utilizarla dentro de un marco de seguridad que permita aprovechar beneficios como:
- Incremento de productividad.
- Automatización de procesos.
- Reducción de costos operativos.
- Mejora en la toma de decisiones.
- Optimización de recursos tecnológicos.
Tres acciones inmediatas para comenzar el control de la IA
Los especialistas recomiendan iniciar con tres medidas fundamentales:
1. Redefinir las políticas de uso
Las organizaciones deben establecer claramente:
- Qué herramientas están permitidas.
- Qué información puede compartirse.
- Qué actividades están prohibidas.
- Qué responsabilidades tiene cada usuario.
2. Implementar controles tecnológicos
Las políticas deben complementarse con herramientas capaces de:
- Monitorear aplicaciones.
- Controlar accesos.
- Aplicar cifrado.
- Gestionar identidades mediante Single Sign-On.
- Detectar intentos de fuga de información.
3. Capacitar continuamente al personal
La educación sigue siendo uno de los mecanismos más efectivos para reducir riesgos.
Los empleados necesitan comprender tanto los beneficios como las limitaciones de la IA.
Cómo construir una estrategia de gobernanza de IA
IQSEC y Hitachi Vantara recomiendan iniciar con una hoja de ruta gradual:
- Inventariar herramientas y datos existentes.
- Identificar qué aplicaciones de IA ya se utilizan.
- Clasificar la información según su nivel de sensibilidad.
- Definir políticas de uso.
- Establecer procesos de aprobación.
- Implementar monitoreo continuo.
- Crear métricas de cumplimiento.
- Revisar periódicamente riesgos y casos de uso.
Entre las tecnologías que pueden apoyar esta estrategia destacan:
- Monitoreo de aplicaciones.
- IA Firewall.
- Protección contra Prompt Injection.
- Controles de acceso.
- Cifrado de información.
- Gestión de identidades.
- Auditoría y trazabilidad de actividades.
El modelo de Hitachi Vantara
Como ejemplo práctico, Hitachi Vantara desarrolló un estándar interno para el uso de IA generativa.
La organización define:
- Qué herramientas están autorizadas.
- Qué áreas pueden utilizarlas.
- Qué casos de uso son válidos.
- Qué información está prohibido compartir.
Cuando un equipo requiere una nueva herramienta, debe presentar una solicitud formal para evaluación.
Posteriormente, un comité especializado analiza riesgos, beneficios, requerimientos técnicos y cumplimiento normativo antes de aprobar o rechazar su incorporación.
Prohibir la IA no es una estrategia viable
La discusión ya no gira en torno a si las empresas deben utilizar Inteligencia Artificial, sino a cómo hacerlo de forma segura, gobernada y alineada con los objetivos de negocio.
La experiencia de IQSEC y Hitachi Vantara demuestra que prohibir la IA no es una estrategia viable. Sin embargo, permitir su adopción sin controles puede comprometer activos críticos, generar costos inesperados y exponer a las organizaciones a riesgos operativos, regulatorios y reputacionales.
Para los integradores, consultores y responsables de transformación digital, la oportunidad consiste en ayudar a las empresas a construir marcos de gobernanza que conviertan a la IA en un acelerador de productividad, no en una nueva fuente de vulnerabilidades.
