¿Qué es la IA en la sombra? Una guía práctica sobre riesgos, detección y reducción

En algún momento puede que haya visto a alguien pegar un documento en una pestaña del navegador para resumirlo y no haya pensado nada al respecto. Nadie ocultaba nada, y el trabajo salió bien. Pero esa pestaña era una herramienta gratuita de inteligencia artificial (IA) que su empresa nunca ha aprobado.

Eso es la IA en la sombra, y es más habitual de lo que la mayoría de las organizaciones cree. Según datos de la Investigación sobre Inteligencia Artificial 2026 de Aptean, realizada con Vanson Bourne entre más de 1500 encuestados de distintos sectores, países y funciones, la adopción de la IA ha alcanzado el 98%. Pero el 40% de los líderes encuestados también nos dijo que utiliza herramientas de IA para trabajos que su organización nunca ha aprobado formalmente. El uso de la IA avanza más rápido de lo que la mayoría de los equipos de TI y seguridad pueden controlar.

En la mayoría de las empresas, eso no es descuido. Es probable que sus equipos trabajen con una combinación de soluciones desarrolladas internamente a lo largo de los años y sistemas genéricos listos para usar que cubren mucho terreno, pero que son anteriores a las capacidades actuales de la IA. Cuando la vía aprobada no llega a lo que alguien necesita hoy, una herramienta gratuita está a un paso de distancia.

La IA en la sombra suele señalar una brecha entre lo que las personas necesitan y lo que se les ha dado, lo que la convierte en algo que se puede solucionar en lugar de simplemente bloquear.

Esta guía explica qué es la IA en la sombra, por qué ocurre, los riesgos que conlleva, cómo detectarla en su propia organización y qué puede hacer para reducirla.

¿Qué es la IA en la sombra?

La IA en la sombra es cualquier herramienta, modelo o función de inteligencia artificial utilizada para el trabajo sin aprobación formal, revisión de seguridad ni visibilidad para sus equipos de TI. Incluye chatbots públicos utilizados a través de cuentas personales, extensiones de navegador impulsadas por IA y complementos añadidos a aplicaciones cotidianas.

Verá que el término se usa junto al de TI en la sombra, que describe cualquier tecnología adoptada sin aprobación. La diferencia está en lo que las herramientas hacen con sus datos. Las herramientas de IA absorben todo lo que se les proporciona, pueden conservarlo y producir resultados que parecen fiables, independientemente de si el razonamiento subyacente se sostiene o no.

Rara vez es malintencionado. Casi siempre es una solución improvisada. Alguien recurre a una herramienta no autorizada porque la aprobada tarda demasiado en conseguirse, no hace el trabajo concreto que tiene entre manos o todavía no existe. A veces incluso hay una herramienta aprobada disponible, pero la persona no lo sabe. La mayoría de los desafíos de adopción de la IA comienzan en el mismo punto: personas que quieren usar la tecnología, pero no pueden acceder a ella con suficiente facilidad.

En la práctica, el uso de la IA en la sombra suele verse así:

• Un miembro del equipo de calidad pega la especificación de un proveedor en un chatbot gratuito para redactar de nuevo una declaración de alérgenos

• Un técnico de presupuestos introduce la solicitud de cotización de un cliente en una herramienta pública para obtener un precio más rápido

• Un desarrollador de producto resume presupuestos de proveedores y hojas de costes en una herramienta no autorizada

• Un planificador redacta una descripción de mercancía aduanera con un chatbot

• Un asesor de servicio convierte las notas de un técnico en un presupuesto de reparación usando IA que nadie ha aprobado

En cada caso, el trabajo se hace. El problema es que tanto los datos como el resultado acaban en un lugar que sus equipos de seguridad no pueden ver.

Por qué el uso de la IA en la sombra se extiende por su empresa

La IA en la sombra crece en el espacio entre lo que se pide a sus equipos que entreguen y lo que pueden hacer las herramientas que tienen a su disposición.

Las estadísticas sobre la IA en la sombra apuntan a una causa por encima de las demás.Las herramientas aprobadas no dan de sí lo suficiente. En nuestra investigación, el 77% de las organizaciones afirmó que las herramientas de IA de propósito general son insuficientes para operaciones grandes y complejas, y el 88% dijo que una IA específica del sector y diseñada a propósito es crítica o muy importante. Cuando la opción aprobada es de propósito general, la mayoría de los líderes ya acepta que no está a la altura de la complejidad del trabajo, así que no sorprende que sus equipos busquen algo que sí lo esté.

La velocidad también importa. Conseguir la aprobación de una nueva herramienta implica elaborar un caso de negocio, y nuestra investigación reveló que las decisiones de inversión en IA se basan en un caso de negocio claro con retorno cuantificado (57%), alineación con la estrategia (52%) y facilidad de implementación (49%). Es una forma razonable de gastar dinero, pero una forma lenta de resolver un problema que surgió esta misma mañana. Una herramienta gratuita o no autorizada se salta todos esos obstáculos.

Luego está la brecha entre lo que está disponible y lo que la gente conoce. Muchas empresas tienen herramientas de IA aprobadas integradas en sus sistemas actuales, pero nadie se las ha explicado a sus equipos.Un directivo de una marca de moda nos contó cómo la IA terminó encargándose de la primera fase del trabajo de diseño, sin ningún despliegue formal detrás ni formación ofrecida. Lo descubrieron por su cuenta.

El último motivo es fácil de pasar por alto. El software que aprobó hace años ahora incluye funciones de IA que no existían cuando pasó la revisión, por lo que sus equipos pueden estar usando IA dentro de un sistema autorizado sin que nadie haya tomado la decisión de empezar a hacerlo. El riesgo aquí suele ser menor, porque ya confía en el proveedor. Pero esas funciones todavía deben documentarse y comprobarse frente a sus estándares de gobernanza.

Tampoco se limita a una sola parte de la empresa. Nuestra investigación sobre IA mostró que el uso no autorizado de IA entre directivos de alto nivel y líderes sénior se da al mismo ritmo que entre los mandos intermedios y junior, por lo que un recordatorio de políticas no lo solucionará. Las personas que enviarían ese recordatorio también lo hacen.En Estados Unidos, el 38% de los líderes declaró utilizar IA sin aprobación formal, frente al 30% en el Reino Unido.

La IA en la sombra también está cambiando de forma. La versión inicial consistía en pegar texto en un chatbot. La versión que llega ahora consiste en conectar un modelo de IA a un sistema empresarial mediante una concesión OAuth o un conector, y dejar que actúe. Eso no es lo mismo que desplegar un agente de IA. Un agente gobernado viene acompañado de todo lo que rodea al modelo: diseño de prompts, límites sobre lo que puede hacer, orquestación y observabilidad, de modo que se puede ver qué hizo. Una conexión no autorizada carece de todo eso, y la persona que la configuró a menudo ni siquiera se da cuenta.

Riesgos de la IA en la sombra

Las buenas intenciones no limitan la exposición. En cuanto una herramienta queda fuera de su proceso de aprobación, pierde de vista lo que entra en ella, lo que sale y quién actúa sobre el resultado.

Los principales riesgos de la IA en la sombra se agrupan en seis áreas:

• Exposición de datos y propiedad intelectual. Las especificaciones, los precios, los registros de clientes y las fórmulas que se pegan en una herramienta no autorizada salen de su control, y algunas herramientas conservan esa información o la usan para entrenamiento.

• Incumplimientos normativos y regulatorios. Los datos regulados, desde declaraciones aduaneras hasta registros de seguridad alimentaria, pueden acabar en herramientas que nadie ha evaluado frente a sus obligaciones. Un directivo entrevistado en nuestra investigación sobre IA describió el uso de IA en formularios aduaneros y gubernamentales, donde un error podría suponer sanciones graves o un envío a un país sancionado.

• Resultados sin verificar que condicionan decisiones. En la misma encuesta, el 88% de los líderes ya permite que la IA actúe sin aprobación humana en al menos un área. Es una decisión razonable con una herramienta verificada, pero con una no autorizada, nadie ha comprobado si se puede confiar en su resultado para actuar en consecuencia.

• Sin rastro de auditoría. Cuando el trabajo se realiza en una herramienta que nadie ha autorizado, no se puede reconstruir cómo se llegó a una cifra o se formó una recomendación, lo cual importa sobre todo cuando alguien le pide que lo justifique. Un agente gobernado, en cambio, registra sus entradas, llamadas a herramientas y resultados por diseño, de modo que la pregunta «por qué hizo eso?» siempre tiene respuesta.

• Riesgos de seguridad fuera de sus controles. Las herramientas no autorizadas quedan fuera de sus controles de acceso y supervisión, de modo que los datos sensibles circulan por sistemas que sus equipos de seguridad nunca revisaron. Una concesión OAuth también puede dar a una herramienta no verificada acceso continuo a los sistemas que sí controla.

• Incoherencia y esfuerzo duplicado. Los equipos que recurren a herramientas distintas producen resultados que no cuadran entre sí, y dos departamentos pueden resolver el mismo problema dos veces sin que ninguno de los dos lo sepa.

Todos estos riesgos se reducen a la visibilidad, por eso detectar la IA en la sombra es el primer paso antes de corregirla.

Cómo detectar la IA en la sombra

La detección de la IA en la sombra comienza con lo que ya tiene. La mayoría de las organizaciones simplemente nunca han tenido un motivo para buscarla.

Dónde empezar a buscar la IA en la sombra:

• Pregunte primero a sus equipos. Las encuestas y las conversaciones le dicen por qué se eligió una herramienta, no solo que existe, y esa es la parte que necesita para poder corregir algo. Cómo pregunte también importa. Una pregunta que suena como el inicio de un proceso disciplinario no obtendrá una respuesta sincera. Así es también como encontrará a sus defensores, las personas que ya están sacando más partido a la IA.

• Revise los informes de gastos antes que los registros de compras. Las suscripciones individuales de IA se cobran en una tarjeta corporativa sin pasar nunca por una orden de compra, así que la actividad interesante se esconde en cargos recurrentes de bajo valor.

• Vigile el tráfico de red y SaaS. Los registros de su cortafuegos, puerta de enlace web segura o broker de seguridad de acceso a la nube (CASB) mostrarán el tráfico hacia dominios de IA no autorizados y las llamadas a la API de proveedores de modelos, revelando qué herramientas de IA en la sombra se están usando y con qué intensidad.

• Inventaríe sus extensiones de navegador. Son una de las formas más fáciles para que una herramienta de IA acceda a datos sensibles, y una de las menos propensas a haber pasado por algún proceso de aprobación.

• Revise los registros de identidad y acceso. Las concesiones OAuth y los conectores mediante los cuales alguien ha dado a una herramienta de IA acceso a un sistema autorizado son la forma en que la IA en la sombra acaba dentro de las plataformas que sí controla.

• Revise los tickets de su servicio de soporte. Las personas abren tickets cuando una herramienta no autorizada falla o no se conecta a algo, lo que convierte al soporte de TI en uno de los registros más fiables de lo que realmente se usa.

Sea lo que encuentre, no se mantendrá exacto durante mucho tiempo. El software que aprobó hace tres años puede adquirir capacidad de IA en una actualización rutinaria, y la herramienta que alguien usaba el trimestre pasado puede haberse sustituido dos veces desde entonces. Por eso conviene convertir la detección en una revisión periódica en lugar de una auditoría puntual.

Cómo reducir el uso de la IA en la sombra

El instinto al encontrar IA en la sombra es bloquearla. Eso rara vez funciona. Tiende a ocultar el mismo comportamiento, porque el motivo por el que las personas se saltaron el proceso no ha cambiado.

Lo que ha encontrado es una lista de necesidades no cubiertas. Alguien recurrió a una herramienta no autorizada porque hacía algo que necesitaba. Trátelo como un requisito, no como una falta.

Hace poco, al reunirme con unos 30 directivos en la conferencia UNITE de Aptean, no había consenso sobre cómo abordar la IA en la sombra. Algunos habían bloqueado las herramientas no autorizadas a nivel de red, a otros les sorprendió que estuviera ocurriendo siquiera, y otros habían migrado a una herramienta de IA de propósito general a nivel empresarial. Pero lo que más resonó fue otra cosa: querían un único socio tecnológico que pudiera ofrecer tanto IA de propósito general como IA vertical.

La gobernanza es donde muchas organizaciones ya saben que van rezagadas. En nuestra investigación, el 96% de los líderes afirmó que se necesita un marco formal de gobernanza de la IA, pero el 36% aún no ha creado uno, y el 75% señaló la falta de gobernanza como un obstáculo importante para que la IA funcione. Es decir, el argumento ya se ha ganado, pero el trabajo no se ha hecho, lo cual es una situación más fácil de resolver de lo que parece.

Lo que suele funcionar:

• Cree una vía de aprobación que avance al ritmo del trabajo. Si aprobar una herramienta tarda un trimestre y el trabajo tarda una semana, las personas optimizarán para la semana. Un proceso de solicitud ágil, con un responsable designado y un plazo de respuesta corto, elimina la mayor parte del motivo para buscar en otro sitio.

• Convierta a sus usuarios más avanzados en defensores. Encuentre a las personas que más están aprovechando la IA y déles un papel en la definición de su estrategia de IA. Impulsarán la adopción con mucha más eficacia que una circular de políticas.

• Autorice las herramientas que las personas elegirían de todos modos. Una opción aprobada solo se sostiene si hace el trabajo tan bien como la no autorizada, lo que normalmente significa que necesita acceder a los datos de sus sistemas principales en lugar de quedarse al margen de ellos. Por eso las organizaciones que valoran la IA diseñada a propósito colocan la integración con los sistemas que ya utilizan, como el ERP, en lo más alto de la lista. Sus defensores le dirán cuáles son esas herramientas.

• Dé acceso y formación a todos los que lo necesiten. Una herramienta capaz que nadie ha aprendido a usar no es ninguna herramienta, y las personas con más probabilidades de buscar su propia solución son precisamente las que nunca recibieron formación sobre la aprobada.

• Establezca límites, no prohibiciones generales. Las personas que encuentran sus propias formas de usar la IA están haciendo lo que usted quiere: hacer mejor su trabajo. Déles una política de uso aceptable que cubra las herramientas aprobadas, los datos que nunca deben introducirse en una herramienta externa y a quién acudir para solicitar algo nuevo. Sea concreto sobre qué se considera sensible en su operación.

• Involucre pronto a los equipos legal y de cumplimiento. Cuando la IA afecta a declaraciones aduaneras, documentación comercial, registros de seguridad o informes financieros, el coste de descubrirlo tarde se mide en sanciones, no en retrabajo.

Gestionada así, la IA en la sombra deja de ser algo que hay que vigilar y se convierte en una señal que merece la pena leer. Las herramientas que sus equipos han encontrado por su cuenta son un mapa bastante preciso de dónde falla su conjunto de herramientas aprobado.

Dé a sus equipos una IA que no necesiten esquivar

La forma más sencilla de evitar la IA en la sombra es convertir la vía aprobada en la más fácil, con una IA accesible para todos, autorizada por sus equipos de seguridad y buena en el trabajo que hace su gente. Eso es difícil de lograr con herramientas de propósito general añadidas desde fuera. Sus equipos necesitan una IA vertical integrada en los sistemas con los que ya trabajan, que entienda los datos de su sector y esté gobernada desde el primer día, de modo que no haya nada mejor que buscar en otro lugar.

Así es cómo abordamos la IA en Aptean. Muchas de nuestras soluciones específicas por sector incluyen funciones de IA integradas, de modo que sus equipos pueden usarlas sin necesidad de una herramienta aparte ni de una aprobación independiente. Nuestro ecosistema de IA vertical conecta esas soluciones sobre una base de datos compartida, de modo que funciones de IA como nuestra IA conversacional y los espacios de trabajo personalizados pueden obtener información de su ERP y de sus sistemas de supply chain y operativos.

Como todo funciona dentro de su entorno aprobado y comprende los datos de su sector, sus equipos obtienen la capacidad de IA que buscan, y usted conserva el rastro de auditoría, los controles de acceso y la visibilidad que ofrece un sistema autorizado.

Pero nuestro ecosistema ofrece incluso más que eso, porque nuestro equipo sabe dónde suele quedarse corta la IA en los sectores de alimentación y bebidas, fabricación, moda, distribución y concesionarios de equipos. Con nuestra oferta de IA como servicio para agentes predefinidos y personalizados, además de nuestro programa consultivo Aptean Ascent, aportamos experiencia a medida que viene acompañada de responsabilidad. Estamos a su lado, asegurándonos de que las soluciones que entregamos satisfacen sus necesidades particulares. Así que, cuando decida qué autorizar y qué mantener en manos humanas, no tendrá que resolverlo solo.

¿Listo para ver cómo es la IA aprobada en la práctica? Solicite una demo y descubra cómo las soluciones de Aptean pueden funcionar para sus operaciones.

¿O prefiere conocer más información de nuestra Investigación sobre Inteligencia Artificial? Descárguela aquí para descubrir por qué gran parte del uso de la IA ocurre fuera de la aprobación formal.