El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) ha emitido una contundente advertencia sobre el creciente uso de herramientas de inteligencia artificial no aprobadas, conocidas como ‘shadow AI’, que ponen en riesgo a las empresas británicas. Según investigaciones recientes, el 71% de los empleados en el Reino Unido utiliza herramientas de IA de consumo no autorizadas en sus trabajos, y más de la mitad de ellos recurren a estas aplicaciones de manera semanal.
Si bien la IA representa una oportunidad para acelerar la realización de tareas, mejorar la toma de decisiones, reducir costes y aumentar la productividad, muchas organizaciones están aún lejos de establecer políticas claras y directrices suficientes para gestionar su uso seguro. En un nuevo informe, el NCSC enfatiza la necesidad urgente de que las empresas refuercen las prácticas internas y controlen estrictamente el uso no aprobado de estas tecnologías.
El documento subraya que intentar prohibir directamente el uso de IA puede conducir a que los empleados busquen soluciones externas o no oficiales, ampliando así la superficie de riesgo en materia de ciberseguridad. Cuando las políticas internas no cubren las necesidades reales de los trabajadores, es habitual que estos adopten nuevos servicios de IA antes de que la empresa haya podido evaluarlos o proponer alternativas aprobadas. Esta tendencia se intensificará a medida que las tecnologías de IA sean más accesibles y económicas. 
Los peligros asociados a la ‘shadow AI’
Una de las principales preocupaciones sobre la proliferación de la IA no autorizada es el riesgo de brechas de datos, pérdida de propiedad intelectual y el incumplimiento normativo. Cuando los empleados transfieren información sensible o confidencial a servicios de IA comerciales, existe una fuerte probabilidad de que esos datos sean almacenados, retenidos o utilizados para mejorar la plataforma, todo ello fuera del control y supervisión establecidos por la organización.
Este escenario reduce drásticamente la visibilidad y el control que tiene la empresa sobre su propia información. Además, el NCSC señala que estas herramientas pueden convertirse en una puerta de entrada para atacantes, quienes podrían explotar vulnerabilidades o configuraciones erróneas para obtener acceso a datos y sistemas que el agente —en este caso, el usuario o la aplicación— tiene legítimamente autorizados.
Los ciberdelincuentes tienden a aprovechar estas aplicaciones con menores medidas de seguridad para infiltrarse en la infraestructura tecnológica corporativa de forma más sencilla. Por ello, el NCSC recomienda no abandonar el uso de IA, pero sí actuar con precaución antes de compartir datos laborales en aplicaciones no verificadas y reflexionar sobre qué servicios se emplean.
Muchos empleados prefieren usar las mismas plataformas de IA que conocen en su vida personal, pero esta práctica puede conllevar graves problemas para la empresa al carecer de controles corporativos específicos.
La necesidad de controles más firmes y realistas
El NCSC insiste en que las organizaciones deben implementar políticas que reflejen las realidades actuales del entorno laboral, orientadas a mitigar riesgos en lugar de pretender eliminarlos por completo. Esto implica fomentar una cultura positiva de ciberseguridad y promover un canal abierto y transparente para tratar las cuestiones de seguridad.
Comprender por qué los empleados recurren a ‘shadow AI’ facilita enormemente identificar amenazas potenciales, ofrecer alternativas seguras y permitir que la innovación tecnológica se desarrolle sin renunciar a la protección de los datos.
Este enfoque coincide con los análisis de Gartner, que alertaron sobre la posibilidad de que hasta un 40% de las empresas sufran incidentes graves relacionados con seguridad y cumplimiento normativo derivados del uso no controlado de IA para el año 2030.
Como bien sintetiza el NCSC: «No se puede gestionar lo que no se conoce.» Por ello, incrementar la concienciación interna acerca de los riesgos vinculados a esta práctica y entender las necesidades reales de los empleados ayudará a que las organizaciones saquen partido de las tecnologías emergentes con seguridad y control.
