IA en la sombra: tus datos en chatbots
🛡️
Análisis de ITCM Solutions con contexto de Sophos (Sophos Blog, octubre de 2026). Sophos® es marca registrada de Sophos Ltd. El análisis y las recomendaciones son de ITCM Solutions.
Alguien de tu equipo pega una hoja de clientes en un chatbot para «ordenarla un poco». Otra persona conecta una herramienta de IA a su correo de trabajo para resumir mensajes. Nadie lo hace con mala intención, pero esos datos acaban fuera de tu control. Es la IA en la sombra (shadow AI), y está en casi todas las organizaciones.
Qué está pasando
Sophos analiza en su blog por qué la gobernanza de la IA necesita más que un documento de política. Lo esencial:
- El riesgo nace del trabajo diario, no de la malicia: reformatear datos en un chatbot, revisar código con un asistente o dar acceso a una aplicación nueva a la cuenta de trabajo.
- Es muy común. Sophos recoge que el 82 % de las organizaciones ha descubierto al menos una herramienta de IA que no conocía (datos de la Cloud Security Alliance).
- Prohibir no funciona. Cita una encuesta de Gartner a 1.310 empleados: el 69 % se saltó a propósito alguna indicación de ciberseguridad en el último año, y el 74 % lo haría si le ayudara a cumplir un objetivo de negocio.
- Su propuesta: un «camino asfaltado». En lugar de solo poner barreras, ofrecer herramientas aprobadas y seguras, y aplicar tres niveles: permitir, avisar o bloquear.
Por qué te afecta (pyme / asociación)
- Tus datos son tu negocio. Contratos, nóminas, datos de socios o pacientes: si se suben a un servicio sin control, puedes tener un problema de confidencialidad y de protección de datos.
- Las aplicaciones conectadas abren puertas. Una herramienta de IA con acceso al correo o al OneDrive es una vía más por la que pueden salir tus datos si algo falla.
- El cibercrimen también usa IA, como vimos con los deepfakes en videollamadas. Cuanto menos sepas de lo que pasa dentro, más fácil se lo pones.
Qué hacer
- Averigua qué se usa ya. Pregunta al equipo sin juzgar y revisa qué aplicaciones tienen permisos en vuestras cuentas de Microsoft 365. No se protege lo que no se ve.
- Ofrece una alternativa aprobada. Si das una herramienta de IA de empresa, con los datos protegidos, la gente deja de buscar por su cuenta.
- Define qué datos no salen nunca: datos personales, de salud, contraseñas, contratos. Una lista corta y clara funciona mejor que un manual de veinte páginas.
- Avisa antes de bloquear. Cuando una herramienta no esté permitida, explica el porqué e indica cuál usar en su lugar.
- Controla los permisos de las aplicaciones: que nadie pueda conectar una app nueva a la cuenta de trabajo sin que un administrador lo apruebe.
- Forma al equipo con ejemplos reales de su día a día, no con teoría.
¿Quieres saber qué herramientas de IA se usan ya en tu organización y cómo ordenarlo sin frenar a nadie? En ITCM Solutions te ayudamos. Hablemos.