La inteligencia artificial no nació con ChatGPT, ni es una tecnología de los últimos años. Sus orígenes como campo de investigación se remontan a 1956, cuando un grupo de científicos reunidos en Dartmouth College, en Estados Unidos, comenzó a explorar una idea que para la época parecía extraordinariamente ambiciosa: ¿podría una máquina llegar a simular algunas capacidades relacionadas con la inteligencia humana, como aprender o razonar?

Han pasado cerca de 70 años desde entonces, y la evolución ha sido enorme.

Durante buena parte de ese camino, la inteligencia artificial estuvo principalmente asociada con investigadores, universidades, grandes desarrollos tecnológicos y aplicaciones especializadas. Para una persona común, hablar directamente con una IA o pedirle que analizara un documento completo no formaba parte de la vida cotidiana.

Hoy el panorama es completamente diferente.

La inteligencia artificial llegó a herramientas que millones de personas pueden utilizar desde un computador o un teléfono. Podemos pedir ayuda para redactar un correo, resumir un documento, analizar información, crear una imagen o resolver una inquietud en cuestión de segundos.

Y ahí está quizá uno de los cambios más importantes: la IA dejó de ser algo lejano para convertirse en una herramienta de uso cotidiano.

Para las empresas esto representa una enorme oportunidad, pero también abre una nueva pregunta. Mientras una organización puede estar todavía definiendo cómo incorporar la inteligencia artificial de manera formal, sus colaboradores podrían ya estar utilizándola por iniciativa propia para realizar diferentes tareas de su trabajo.

Y entonces aparece la pregunta que realmente nos interesa en este artículo:

¿Sabemos qué herramientas de inteligencia artificial están utilizando nuestros colaboradores y qué información de la empresa están compartiendo con ellas?

Es justamente a partir de esta situación donde comienza a tomar relevancia un concepto llamado Shadow AI.

¿Qué es Shadow AI?

Shadow AI hace referencia al uso de herramientas o servicios de inteligencia artificial dentro de una organización sin que hayan sido previamente evaluados o autorizados por las áreas responsables de tecnología, seguridad o protección de la información.

Y puede ocurrir de una manera mucho más cotidiana de lo que parece.

Por ejemplo, un colaborador encuentra una herramienta que le ayuda a resumir documentos y comienza a utilizarla para facilitar su trabajo. Otro descubre una aplicación que analiza archivos de Excel y decide probarla con información que utiliza diariamente.

Hasta ese momento puede parecer simplemente una nueva forma de trabajar.

El desafío aparece cuando este uso crece de manera independiente dentro de la organización. Diferentes personas pueden comenzar a utilizar distintas herramientas de IA sin que exista un criterio común sobre cuáles están autorizadas, para qué pueden utilizarse y qué tipo de información puede compartirse con ellas.

Ahí está precisamente la esencia del Shadow AI: no es la existencia de la inteligencia artificial dentro de la empresa, sino utilizarla por fuera de la visibilidad y de los controles definidos por la organización.

Entonces, ¿dónde está realmente el riesgo?

Aquí la conversación cambia.

El problema ya no es solamente qué herramienta está utilizando un colaborador, sino qué sucede con la información cuando se utiliza esa herramienta.

Cada vez que alguien copia, adjunta o carga información corporativa en un servicio externo, esa información sale del entorno que la empresa normalmente controla.

Pensemos en algo tan sencillo como un contrato. Dentro de la organización puede estar almacenado en una ubicación con permisos definidos, acceso restringido y medidas de seguridad establecidas. Pero si una persona copia ese contrato en una herramienta de IA externa para pedir un resumen, la empresa necesita saber qué tratamiento recibe esa información fuera de su entorno.

Y ahí empiezan preguntas mucho más sencillas, pero importantes:

• ¿Los colaboradores saben qué tipo de información de la empresa pueden compartir con una IA y cuál no?
• ¿La empresa sabe qué herramientas de IA están utilizando sus equipos?
• ¿Qué pasa si alguien carga información de clientes, contratos o datos internos en una herramienta que la empresa nunca ha evaluado?
• ¿Sabemos qué hace esa herramienta con la información que le entregamos?
• ¿Existen reglas claras dentro de la empresa para utilizar este tipo de herramientas?

Estas preguntas muestran que el riesgo no está únicamente en utilizar inteligencia artificial. El verdadero riesgo aparece cuando la empresa pierde visibilidad sobre dónde está compartiendo su información y en qué condiciones.

¿La solución es bloquear la inteligencia artificial?

Ante los riesgos asociados al uso no controlado de herramientas de inteligencia artificial, la primera reacción de una empresa podría ser sencilla: prohibir su uso.

Sin embargo, el problema no desaparece necesariamente con una prohibición. Hoy muchas de estas herramientas son fáciles de encontrar y utilizar desde un navegador, un dispositivo personal o incluso desde aplicaciones que ya hacen parte del trabajo cotidiano. Una política que simplemente diga “no se puede utilizar IA” puede terminar trasladando el uso a espacios donde la organización tenga todavía menos visibilidad.

Además, sería difícil ignorar las ventajas que estas herramientas pueden aportar. La inteligencia artificial puede ayudar a agilizar tareas, organizar información, automatizar procesos repetitivos y apoyar el análisis o la creación de contenidos.

Por eso, el desafío no debería reducirse a escoger entre “permitir IA” o “prohibir IA”.

La pregunta realmente importante es:

¿Cómo podemos aprovechar la inteligencia artificial sin perder el control sobre la información de la empresa?

La respuesta comienza por encontrar un equilibrio. Las organizaciones necesitan definir qué herramientas pueden utilizarse, para qué actividades, qué información puede compartirse y cuál debe mantenerse fuera de estas plataformas. Pero esas reglas también deben ser conocidas y entendidas por los colaboradores para que puedan aplicarlas en su trabajo diario.

No se trata de poner un freno a la innovación, sino de evitar que la adopción de estas tecnologías avance más rápido que la capacidad de la empresa para proteger su información.

La IA puede convertirse en una gran aliada para las organizaciones. El reto es utilizarla con conocimiento, reglas claras y controles acordes con la información que está en juego.

Cinco pasos para comenzar a gestionar Shadow AI

1. Identificar qué herramientas se están utilizando

Antes de establecer controles o crear nuevas políticas, el primer paso es entender cómo se está utilizando la inteligencia artificial dentro de la empresa: qué herramientas usan los colaboradores, para qué tareas las utilizan y qué tipo de información comparten con ellas.

Esto permite tener un panorama más claro del uso real de la IA dentro de la organización y detectar prácticas que podrían representar un riesgo para la información.

2. Identificar qué información necesita mayor protección

No toda la información que maneja una empresa tiene el mismo nivel de sensibilidad. No es lo mismo compartir información que ya es pública que datos de clientes, contratos, credenciales de acceso, información financiera o documentos internos.

Por eso, la organización debe definir de manera sencilla qué información puede utilizarse en herramientas de inteligencia artificial y cuál debe mantenerse fuera de ellas.

3. Definir qué herramientas de IA pueden utilizarse

La empresa debe establecer qué herramientas de inteligencia artificial están autorizadas para el trabajo y para qué pueden utilizarse.

Por ejemplo, una herramienta puede estar permitida para redactar textos o generar ideas, pero no para cargar contratos, bases de clientes o información confidencial.

El objetivo es que los colaboradores tengan las reglas claras y no tengan que decidir por su cuenta qué herramienta utilizar o qué información pueden compartir.

4. Enseñar a los colaboradores a utilizar la IA de forma segura

Definir reglas es importante, pero las personas también necesitan entender por qué existen y cómo aplicarlas en su trabajo diario.

La capacitación debe ayudar a reconocer situaciones concretas: cuándo pueden utilizar una herramienta de IA, qué información no deberían compartir, qué hacer si tienen dudas y qué riesgos puede generar cargar información interna en una herramienta no autorizada.

La idea no es generar miedo frente al uso de la inteligencia artificial, sino lograr que los colaboradores puedan aprovecharla sin poner en riesgo información de la empresa, de los clientes o de otras personas.

Y esta capacitación debería comenzar desde el momento en que la organización adopta estas herramientas, no después de que ocurra un incidente.

5. Revisar y actualizar las reglas de uso

La inteligencia artificial cambia constantemente. Aparecen nuevas herramientas, funciones y formas de utilizarla, por lo que las reglas que funcionan hoy pueden quedarse cortas con el tiempo.

Por eso, la empresa debería revisar periódicamente qué herramientas están utilizando sus colaboradores, si han aparecido nuevos usos y si las reglas establecidas siguen siendo suficientes para proteger la información.

Así como evoluciona la inteligencia artificial, también debe evolucionar la forma en que la empresa la utiliza y la controla.

La conversación sobre IA también debe ser una conversación sobre ciberseguridad

La inteligencia artificial seguirá ganando espacio dentro de las empresas. Y mientras las organizaciones definen cómo incorporarla, es posible que muchos colaboradores ya la estén utilizando para resolver tareas de su día a día.

Esto no significa que la IA deba verse como una amenaza ni que la respuesta sea limitar su uso. Significa que su adopción también debe considerar cómo se protege la información que utilizamos y compartimos a través de estas herramientas.

Por eso, la pregunta ya no debería ser únicamente:

“¿Vamos a utilizar inteligencia artificial?”

Tal vez la pregunta más importante hoy sea:

“¿Sabemos cómo se está utilizando la inteligencia artificial dentro de nuestra empresa?”

En EFEYCE Integrales entendemos que aprovechar nuevas tecnologías también implica aprender a utilizarlas de forma segura. Acompañamos a las organizaciones a identificar riesgos, proteger su información y establecer controles que les permitan aprovechar la tecnología sin perder de vista la seguridad.

La inteligencia artificial seguirá evolucionando. La forma en que protegemos nuestra información también debe hacerlo.