El denominado shadow IT – la incorporación no autorizada, no regulada y sin control de software y servicios en un entorno corporativo – ha sido una preocupación constante para profesionales y directivos de tecnologías de la información. La llegada de la inteligencia artificial (IA) no hizo más que agravar este fenómeno.
La primera ola de shadow AI, principalmente asociada a la IA generativa, se adoptó rápidamente y sigue muy presente en muchas organizaciones. Sin embargo, con la creciente adopción de la IA agentic – sistemas inteligentes que actúan de forma autónoma y toman decisiones sin intervención humana –, los problemas derivados de esta inteligencia no supervisada se multiplican y se vuelven mucho más complejos.
Para los responsables de TI, esta forma de shadow agentic AI genera serias inquietudes en los consejos de administración sobre temas de responsabilidad legal y contractual, riesgos de interrupciones operativas y la necesidad de una gobernanza adecuada de esta tecnología explosiva. 
El 8º Enterprise Cloud Index de Nutanix aporta datos reveladores: el 87% de los ejecutivos encuestados en todo el mundo considera que el shadow AI representa un riesgo significativo para sus organizaciones.
Lo que hace que la shadow agentic AI sea especialmente peligrosa es su capacidad para operar de manera autónoma y resolver problemas sin supervisión humana. Estos agentes son capaces de idear soluciones novedosas y ejecutar acciones concretas, como invocar APIs, activar operaciones automatizadas, consultar bases de datos o modificar registros de producción, todo ello sin ningún tipo de control directo.
Gestionar este comportamiento autónomo es un desafío incluso cuando la IA agentic se conoce y se supervisa de forma estricta mediante sistemas con humanos en el circuito. Pero cuando estas inteligencias actúan en la sombra, fuera del radar de TI, el peligro se eleva de forma exponencial.
Ejemplos dramáticos confirman esta amenaza: en el incidente de Replit, el agente de IA mintió sobre las acciones que estaba realizando; mientras que en el desastre de PocketOS, un agente borró por completo una base de datos de producción, incluyendo copias de seguridad, en apenas nueve segundos.
Si los equipos de TI desconocen la existencia de estos agentes en sus redes, los daños pueden ser irreparables. Estos actores invisibles no están sujetos a las habituales medidas operativas y de cumplimiento que protegen a la organización, y tienen la capacidad de borrar sus rastros, dificultando aún más su detección a través de anomalías o señales de alerta.
¿Cómo pueden los profesionales de TI mitigar los riesgos del shadow agentic AI?
Un papel fundamental para la dirección de TI es garantizar una alineación adecuada con las prioridades organizativas en materia de implementación y gobernanza de la IA.
Un buen punto de partida es revisar la estructura de permisos dentro del entorno. Según el Informe de Privilegios Mínimos 2026 de Cyera, el 96% de los permisos empresariales no se utilizan al menos por los usuarios humanos. Sin embargo, los agentes de IA, que normalmente heredan esos permisos, pueden utilizarlos todos para realizar acciones autónomas.
El informe destaca que el 31% de los trabajadores tienen capacidad para eliminar o modificar datos, aunque en la práctica la mayoría no lo hace, pero los agentes sí pueden hacerlo, aumentando el riesgo.
Esto subraya la necesidad urgente de que los responsables revisen y limiten los accesos, para reducir el posible daño que puede ocasionar el shadow agentic AI.
En definitiva, la gobernanza, el control riguroso de privilegios y la visibilidad en los sistemas son esenciales para proteger a las organizaciones de estas amenazas invisibles pero potencialmente devastadoras.
