El Shadow AI, el uso de herramientas de inteligencia artificial por parte de empleados sin autorización del área de IT, abre una nueva vía de fuga de datos en las empresas, advierte Sparkfound.
Octubre es el Mes de la Ciberseguridad y la discusión ya no pasa solo por cuántos ataques hay, sino por cuán precisos son. Mientras el cibercrimen mueve alrededor de US$10,5 billones al año, crece un riesgo que nace puertas adentro: empleados que cargan información corporativa en herramientas que nadie en la empresa controla.
Qué es el Shadow AI y por qué expone los datos
El término describe el uso de herramientas de IA sin supervisión del área de IT ni de seguridad. El problema no es la herramienta, sino qué información se introduce y qué pasa después: contratos, datos de clientes, código fuente o información financiera pueden terminar en plataformas externas sin que la empresa sepa cómo se procesan o se almacenan.
Sergio Oroña, CEO de Sparkfound, lo plantea como un cambio de paradigma. Antes las empresas controlaban qué aplicaciones entraban a su infraestructura; hoy un empleado accede a una IA “desde cualquier dispositivo” y procesa datos corporativos en segundos. La IA se convierte en un nuevo canal de fuga, con consecuencias para la privacidad, el cumplimiento normativo y la propiedad intelectual.
Ataques más sofisticados y defensas que no alcanzan
Los atacantes también usan IA para seleccionar objetivos, automatizar procesos y armar campañas de ingeniería social más convincentes. Por eso, que baje el volumen de ciertos ataques no implica más seguridad: lo que hay que medir es su sofisticación, su velocidad y su impacto potencial.
La región llega con un déficit de talento. Se estima que solo el 2% de las empresas latinoamericanas tiene un CISO, el responsable de la estrategia de ciberseguridad. En la Argentina, apenas el 20% de las grandes compañías cuenta con un SOC activo, el centro de operaciones de seguridad, y entre las pymes el porcentaje baja a 5%. Oroña lo resume como un “negocio criminal que evoluciona más rápido” que la defensa de muchas organizaciones.
Ciber resiliencia y una cultura que empiece por el usuario
Sparkfound no propone prohibir la IA, sino ordenarla. La receta son políticas claras sobre qué información puede compartirse, con qué herramientas y bajo qué condiciones. Oroña pide incorporarla “de manera segura, con controles, monitoreo y educación de los usuarios”.
El enfoque de fondo es la ciber resiliencia, que combina prevención, monitoreo, respuesta y recuperación. Y suma una pieza humana: el usuario también es superficie de ataque, y una sola persona que comparta datos sensibles en una IA puede abrir una vulnerabilidad aunque todos los sistemas funcionen bien. El eslabón débil no siempre es un sistema sin parchear: a veces es alguien que quiere resolver una tarea más rápido.