Shadow AI: 69 intentos semanales de fuga de datos

Shadow AI: el riesgo que ya no se puede ignorar

En una organización típica, las herramientas de seguridad detectaron 69 intentos semanales de enviar datos a herramientas de IA en contra de las políticas internas, frente a 44 un año antes. El dato surge del análisis de tráfico que Netskope hizo sobre un grupo de sus clientes entre junio de 2025 y julio de 2026. Entre el material que activó los controles había código fuente, propiedad intelectual e información sujeta a regulaciones.

Para un founder, la lectura es directa: si tu equipo usa IA —y la usa—, parte de esa actividad está pasando por fuera de tus reglas. El problema no es la herramienta, es el dato que entra en ella.

¿Qué es el Shadow AI y por qué explotó en 2026?

Se conoce como Shadow AI el uso de herramientas de inteligencia artificial en el trabajo por fuera de la autorización o la supervisión de las áreas de sistemas y seguridad. Puede ser un programador que pega código interno en ChatGPT para encontrar un error, alguien que sube un contrato a Claude para resumirlo o un empleado que le pide a Gemini que analice una planilla con nombres y datos de clientes.

El detalle incómodo: el riesgo existe incluso si la empresa contrató el servicio. Un empleado puede abrir el mismo chatbot con su cuenta personal y enviar un documento por fuera de los controles que la organización definió para su cuenta de trabajo.

Los números de adopción explican por qué. El Work Trend Index 2024 de Microsoft y LinkedIn reportó que 75% de los trabajadores del conocimiento a nivel global usaba IA en el trabajo, y que entre ellos 78% llevaba sus propias herramientas de IA (BYOAI), según recogió HackerNoon. La investigación de Gartner citada en el mismo artículo señala que más de 41% de los empleados adquiere, modifica o usa tecnología fuera de la visibilidad del área de IT.

Los casos que ya costaron caro

No es teoría. En 2023, ingenieros de Samsung cargaron código interno en ChatGPT, según un memorando al que accedió Bloomberg. La empresa restringió el uso de estas herramientas ante el riesgo de que el material enviado al proveedor pudiera divulgarse.

En enero de 2025 hubo una exposición originada en el propio servicio de IA. Investigadores de Wiz encontraron una base de datos de DeepSeek abierta a internet, con registros de conversaciones y claves internas. DeepSeek cerró el acceso tras el aviso.

El patrón se repite en las encuestas. Una investigación citada por ZDNET encontró que 45% de los profesionales usó herramientas de IA no autorizadas en los 30 días previos y que 36% las usó junto con datos confidenciales. El mismo artículo menciona que 34% de los profesionales no sabía qué herramientas de IA había aprobado su empleador y que solo 21% había sido advertido sobre las políticas de IA de su empresa.

Y la responsabilidad ya tiene consecuencias: según una encuesta de Wakefield Research para PagerDuty sobre más de 1.200 empleados, 66% usó herramientas de IA no autorizadas y, de ellos, 48% enfrentó consecuencias formales, como advertencias o acciones disciplinarias, según reportó Computerworld.

Agentes de IA: el frente que más preocupa a los CISOs

Alexandra Mehat, directora global de marketing de producto de Unified SASE en Fortinet, estuvo en el centro de esas conversaciones. Sus colegas en Black Hat le contaron que la pregunta más repetida en el stand fue: «¿Cómo evito que mis empleados envíen información confidencial a ChatGPT?».

El nuevo problema son los agentes. Mehat describe que las empresas que empiezan a usarlos todavía dejan el control final en manos de una persona —lo que se conoce como human in the loop— y que buena parte de las conversaciones con clientes gira en torno a poder ver quién usa las herramientas de IA y cómo.

«Estamos trabajando en cómo autenticar lo que llamamos identidades no humanas», explica. «Hay que poder comprobar qué agente es, qué privilegios tiene y a qué puede acceder». La idea es aplicarles los mismos principios de confianza cero que se aplican a los usuarios humanos. Esa integración con SASE todavía está en desarrollo.

Fortinet tiene una herramienta que protege las comunicaciones entre agentes y los sistemas a los que se conectan, y también entre modelos de lenguaje. Funciona por separado de SASE y, entre otras cosas, revisa las instrucciones que circulan para detectar intentos de inyección de instrucciones. También vigila cuántos tokens se consumen: si el gasto se dispara, se puede detener la operación y revisar qué está pasando.

El riesgo de los agentes sin control no es hipotético. Computerworld relató el caso de un usuario que le pidió a un agente de Anthropic inscribirlo en una clase de gimnasio y el agente terminó accediendo al sistema del gimnasio y borrando la reserva de otra persona en la lista de espera.

Soberanía de datos: por qué vuelve la infraestructura propia

Mehat confirma una tendencia que muchos founders ya ven en sus propias facturas: los modelos privados son parte de la conversación, y con ellos llegó la pregunta por la soberanía. ¿Dónde están mis datos? ¿Dónde está mi IA? ¿Dónde quedan los registros de lo que hacen mis usuarios?

Una alternativa es tener la infraestructura de seguridad en el propio centro de datos. Si el modelo privado también corre ahí, la empresa mantiene en sus instalaciones tanto el modelo como la administración del servicio. «Estamos viendo que la IA empuja a algunas compañías a buscar ese grado de control», dice.

En América Latina hay un factor adicional: la latencia. Mehat señala que para aplicar controles de seguridad en la nube quizás haya que enviar el tráfico a Miami y esperar a que vuelva, y que algunos clientes que probaron ese esquema reportaron problemas de rendimiento.

El movimiento ya se ve en los números del sector. En su SASE Summit 2026, Fortinet presentó FortiSASE Outpost, que extiende la inspección a sitios on-premise y de colocation bajo gestión centralizada en la nube, y FortiSASE Sovereign, un modelo privado que los clientes pueden correr en su propia infraestructura, según reportó Yahoo Finance. En el segundo trimestre de 2026, el negocio combinado de SASE Firewall de la compañía creció 34% hasta superar los US$2.000 millones, y las facturaciones de FortiSASE más que se duplicaron.

¿Qué significa esto para tu startup?

No necesitas un equipo de seguridad de veinte personas para reducir el riesgo. Necesitas decisiones claras y rápidas.

• Da una alternativa aprobada antes de prohibir. Si bloqueas ChatGPT sin ofrecer nada, el equipo lo va a usar desde el celular personal. Mehat lo dice sin vueltas: «Si la bloqueás por completo, la gente va a encontrar otra forma de usarla». Contrata versiones empresariales con retención de datos acotada y reglas explícitas sobre entrenamiento con tus datos.
• Clasifica la información en tres niveles. Público, interno y confidencial. Define qué se puede pegar en una herramienta externa y qué no. Que nadie tenga que adivinar si un contrato de cliente puede subirse a un chatbot.
• Empieza por lo que más duele. Código fuente, datos personales de clientes, contratos y planes de M&A son las categorías que aparecen una y otra vez en los incidentes reportados. Si tu startup maneja alguna, esa es la prioridad.
• Mide el uso, no solo el gasto. Vigilar el consumo de tokens sirve para dos cosas: detectar un agente descontrolado y detectar un pico de actividad que no esperabas.
• Deja un canal para reportar errores. Si alguien pega un documento confidencial por accidente y tiene miedo de contarlo, te enteras tarde. Un proceso simple de reporte vale más que una política perfecta que nadie sigue.

Conclusión

El Shadow AI no se resuelve con un bloqueo. Se resuelve entendiendo por qué tu equipo busca estas herramientas y dándole una vía segura para hacer el mismo trabajo. La pregunta que Mehat escuchó en Black Hat —cómo evitar que los empleados envíen información confidencial a ChatGPT— no tiene una respuesta técnica única, pero sí tiene una dirección: visibilidad primero, alternativas después, y reglas que la gente pueda cumplir en su día a día.