IA en la sombra: Cómo reducir los riesgos de la IA no autorizada

El 82% de las empresas brasileñas ya están lidiando con el uso no autorizado de la IA por parte de sus empleados, y la mayoría aún reacciona de manera incorrecta.

Estos son los datos que Forbes Brasil destaca esta semana, basados ​​en el estudio "El valor de la IA: Brasil 2026 ", realizado por SAP en colaboración con Oxford Economics. El estudio muestra que los empleados utilizan herramientas de inteligencia artificial de terceros sin aprobación ni supervisión formal, al menos ocasionalmente, en el 82% de las empresas brasileñas encuestadas.

La cifra es lo suficientemente grande como para llamar la atención. Pero lo que realmente debería preocupar a los líderes tecnológicos no es el porcentaje, sino lo que revela sobre la estrategia que la mayoría de las empresas están utilizando para afrontarlo: la prohibición.

El problema no es la herramienta. Es la falta de una alternativa

Cuando un empleado pega un contrato, un informe financiero o una lista de clientes en un chatbot público para agilizar una tarea, no está intentando eludir la política de seguridad de la empresa. En la mayoría de los casos, ni siquiera saben que existe dicha política. Simplemente quieren terminar el trabajo más rápido.

Entre las empresas brasileñas encuestadas, el 43% reportó filtraciones de datos o exposición de propiedad intelectual, el 32% reportó vulnerabilidades de seguridad y el 31% mencionó infracciones de cumplimiento relacionadas con el uso de herramientas no autorizadas. Se trata de consecuencias reales y cuantificables que ya se han producido, no de riesgos hipotéticos de un futuro lejano.

Y lo más revelador: hoy en día, el 26 % de las tareas que se realizan en las empresas brasileñas ya reciben apoyo de la inteligencia artificial, y se prevé que este porcentaje alcance el 44 % en dos años. La adopción no se detendrá. La pregunta que queda es si seguirá ocurriendo en secreto o dentro de un entorno controlado.

Lea también: ¿La IA generativa utiliza datos de la empresa? Riesgos, LGPD (Ley General de Protección de Datos de Brasil) y cómo proteger la información corporativa.

La gobernanza no ha seguido el ritmo de la adopción

Aquí radica la principal discrepancia: solo el 15% de las organizaciones brasileñas consideran que sus procesos y marcos están totalmente preparados para gestionar la IA, y solo el 12% evalúan que sus capacidades están completamente listas para desempeñar este papel.

En otras palabras, la tecnología ya está integrada en la empresa y prácticamente todos la utilizan de alguna manera, pero en la mayoría de los casos aún no existe la estructura para gestionarla. Esta es la definición exacta de un pasivo invisible: un riesgo que ya figura en el balance, aunque no aparezca en ningún informe.

El costo de esta brecha no es abstracto. El costo promedio de una filtración de datos en Brasil ya supera los R$7 millones, según encuestas recientes del sector, y cuando el incidente involucra específicamente el uso no autorizado de IA, este valor tiende a ser aún mayor, porque la fuente de la fuga es más difícil de rastrear y contener a tiempo.

También te puede interesar: Ciberataques en Brasil: 249 mil millones en 2026

Las prohibiciones no funcionan, y los datos demuestran por qué

La reacción más común cuando una empresa descubre que utiliza IA no autorizada es bloquear el acceso a las herramientas. A primera vista, esto parece lógico: si el riesgo proviene de una herramienta no autorizada, hay que retirarla del mercado.

El problema radica en que esta lógica ignora un detalle fundamental: la IA está al alcance de un clic, es gratuita y se puede usar en cualquier navegador y en cualquier teléfono móvil. Bloquear el acceso corporativo no elimina la tentación; simplemente hace que el comportamiento pase desapercibido para la empresa, donde resulta aún más difícil de controlar.

En la práctica, el resultado suele ser el contrario al previsto: menor visibilidad, no menor riesgo.

La verdadera alternativa: ofrecer al equipo una opción corporativa tan buena como la personal

Si la prohibición no resuelve el problema, lo que sí lo resuelve es competir con la misma comodidad que hizo que la IA encubierta resultara tan atractiva en primer lugar.

Esto significa ofrecer al empleado un entorno de IA que sea:

• Tan rápido y útil como el chatbot que ya usa en su teléfono móvil;
• Protegidos entre bastidores, con los datos procesados ​​dentro de la infraestructura en la nube de la empresa, bajo políticas de acceso y cifrado definidas;
• Rastreable, de modo que el área de seguridad sepa exactamente qué se está procesando, quién lo procesa y con qué propósito;
• Integrado con los datos de la empresa, de modo que el empleado no tenga que abandonar el entorno controlado para obtener una mejor respuesta.

Este es el punto en el que la nube, los datos y la seguridad dejan de ser tres disciplinas separadas para convertirse en una única decisión arquitectónica. No existe gobernanza sin una base de datos organizada. Y no existe una base de datos organizada y segura sin una estrategia de nube diseñada específicamente para ella desde el principio.

¿Qué hacer mañana por la mañana?

La gestión de la IA en la sombra no comienza con una política plasmada en un documento que nadie leerá. Comienza con un diagnóstico sencillo: ¿qué herramientas de IA se utilizan actualmente en su empresa, incluso sin autorización?

En función de esta respuesta, la estrategia pasa de "cómo prohibir" a "cómo ofrecer algo mejor": un entorno de IA corporativo y seguro con la misma agilidad que impulsó al empleado a buscar una alternativa por su cuenta en primer lugar.

La pregunta que todo líder tecnológico debería hacerse esta semana no es "¿Mi empresa tiene IA en la sombra?". Es casi seguro que sí. La pregunta es: ¿qué ofrecemos en su lugar?

Escrito por Skyone