IA en la sombra: cómo las herramientas de IA no supervisadas ponen en jaque la seguridad empresarial

6 de noviembre de 2025

¿Te has preguntado alguna vez cuántas herramientas de IA se utilizan sin supervisión en tu empresa?

La adopción acelerada de la Inteligencia Artificial generativa ha abierto una nueva etapa de eficiencia y creatividad en las empresas al democratizar el uso de la IA. Sin embargo, también ha dado lugar a un fenómeno de riesgo: el uso de herramientas de IA por empleados o departamentos de forma no aprobada o supervisada por la empresa.

Esta práctica, conocida como IA en la sombra o Shadow AI, ha pasado de ser una práctica aislada a convertirse en un riesgo global para la seguridad, la privacidad y el cumplimiento normativo de las empresas.

Un fenómeno global en crecimiento

El acceso inmediato a herramientas de IA en la nube y la ausencia en muchos casos de políticas corporativas claras han impulsado un crecimiento del fenómeno Shadow AI.

Según el informe Cloud and Threat Report: IA en la sombra e IA con agentes 2025 de Netskope, el 89% de las empresas usa al menos una aplicación de IA generativa, a menudo sin aprobación formal. La misma fuente revela que el número de usuarios que interactúa con estas herramientas ha aumentado más del 50% en los últimos meses.
También el informe del MIT State of AI in Business 2025 revela que, aunque el 40% de las empresas analizadas ha adquirido licencias para soluciones de IA generativa, en más del 90% de ellas los empleados utilizan herramientas de IA concuentas personales.
Los hallazgos de Cisco confirman esta falta de supervisión. En su informe 2025 Cybersecurity Readiness Index revela que el 60% de las empresas no puede monitorizar los prompts o peticiones que hacen sus empleados en herramientas de IA generativa, y el mismo porcentaje reconoce que carece de la capacidad para detectar el uso de herramientas de IA no aprobadas en sus entornos.

Además, el volumen de información compartida en estas herramientas es significativo: de promedio alcanza los 8,2 GB mensuales por empresa, también según Netskope.

■ Estas cifras confirman que el Shadow AI ya no es una práctica aislada, sino un riesgo sistémico que afecta a empresas de todos los tamaños y sectores.

Un nuevo tipo de riesgo empresarial

El fenómeno Shadow AI no solo amplifica los riesgos de seguridad; también compromete la trazabilidad, la coherencia operativa y la confianza. Su impacto se manifiesta diversos ámbitos:

Fuga de información y pérdida de confidencialidad. Los prompts, documentos o datos introducidos en herramientas externas pueden ser almacenados o reutilizados sin el control de la empresa.
Riesgo regulatorio. Normativas como el Reglamento General de Protección de Datos (RGPD) o el Reglamento de Inteligencia Artificial (AI Act europeo) exigen transparencia y supervisión sobre los sistemas de IA. Los usos no autorizados pueden derivar en sanciones y daño a la reputación.
Sesgos y pérdida de calidad. Las herramientas públicas no auditadas pueden generar resultados incorrectos, sesgados o discriminatorios que afecten decisiones empresariales.
Fragmentación tecnológica. La multiplicación de aplicaciones no controladas dificulta la gestión, el soporte y la seguridad de los entornos de trabajo.
Falta de trazabilidad. Sin registros ni auditoría, las empresas pierden capacidad de explicar cómo se generaron determinadas respuestas o recomendaciones.

Además, el uso no supervisado de IA en las empresas puede abrir la puerta a ataques más sofisticados, como el envenenamiento de datos o modelos, en los que se manipula la información de entrenamiento o los parámetros del sistema para alterar sus resultados; o los accesos no autorizados, que exponen identidades y credenciales. El resultado es una erosión de la confianza digital y la reputación.

De la reacción a la gobernanza: cómo abordarlo

Bloquear o impedir el uso de la IA no es una estrategia eficaz. Las herramientas de IA generativa ya forman parte del entorno laboral y continúan popularizándose.

La clave está en gobernar su uso. Las empresas deben establecer marcos para identificar, regular y supervisar su utilización de acuerdo con su política de seguridad y sus objetivos de negocio.

Para lograrlo, las empresas deben adoptar una postura proactiva orientada a la prevención de incidentes, asegurando su estrategia de implementación de herramientas de IA para convertirla en una ventaja competitiva y en un activo de confianza para su negocio.

Secure Journey to AI: la solución de Telefónica Tech

En Telefónica Tech acompañamos a las empresas en este proceso a través de nuestro marco Secure Journey to AI, una estrategia integral diseñada para prevenir y controlar los riesgos del Shadow AI.

Este enfoque se basa en tres pilares fundamentales:

Identificación temprana de riesgos. Detección de usos no autorizados de IA, vulnerabilidades en modelos y exposición de datos sensibles.
Protección frente a amenazas. Aplicación de medidas de ciberseguridad avanzadas, control de accesos, gestión de identidades y protección de datos en todo el ciclo de vida de la IA.
Respuesta 360º. Monitorización continua, integración con un SOC especializado en IA y un modelo de mejora constante frente a amenazas emergentes.

Con esta metodología, las empresas obtienen una visión clara del uso de IA en su entorno, aseguran la trazabilidad de los procesos y garantizan el cumplimiento normativo desde el inicio.

■ Nuestro marco Secure Journey to AI convierte la seguridad y la gobernanza en motores de confianza. Esto permite a las empresas aprovechar el potencial de la IA sin comprometer la integridad de sus datos ni la continuidad de su negocio.

La integración segura y responsable de la IA permite a las empresas mitigar riesgos y reforzar su resiliencia y confianza.

Conclusión

Shadow AI pone de manifiesto la brecha entre la velocidad del cambio tecnológico y la capacidad de las empresas para adoptarlo y gestionarlo con seguridad. Es el resultado de la necesidad de innovación por parte de los empleados, a la vez que expone las vulnerabilidades y potenciales consecuencias de una transformación digital sin gobierno adecuado. Por tanto, el reto no está en frenar esta práctica, sino en canalizar el uso de la IA de manera productiva y segura.

En Telefónica Tech ayudamos a las empresas a integrar la IA de manera segura, responsable y alineada con los marcos regulatorios internacionales. Solo aquellas que integren la IA de forma segura y gobernada podrán transformar la confianza en una ventaja competitiva sostenible.

■ Descarga el informe completo Secure Journey to AI y descubre cómo prevenir los riesgos asociados al uso de la IA, y cómo nuestro enfoque integral ayuda a las empresas a adoptar la IA con seguridad, confianza y valor sostenible para su negocio.