La respuesta corta: acaba de salir de su empresa sin que nadie lo autorice. Shadow AI es el uso de herramientas de inteligencia artificial por parte de empleados sin aprobación del área de TI ni política de datos vigente. Y según el IBM Cost of a Data Breach Report 2025 — el estudio de referencia global sobre brechas, basado en 600 organizaciones en 16 países —, ese escenario ya ocurre en 1 de cada 5 empresas, con un costo adicional promedio de US$670,000 por incidente. En este artículo le explico por qué el Shadow AI es un problema de gobernanza IA, no de tecnología, y qué puede hacer su empresa hoy sin necesidad de un presupuesto de Fortune 500.
Lo esencial
- El Shadow AI ocurre cuando empleados usan herramientas de IA sin autorización — y el 63% de las empresas ni siquiera tiene una política de gobernanza IA para detectarlo.
- Cada prompt con datos sensibles enviado a una IA externa es una transferencia de datos sin contrato, sin auditoría y sin retorno posible.
- La solución no es prohibir la IA — es gobernarla. Una gobernanza IA bien implementada reduce el riesgo sin frenar la productividad.
Por qué el Shadow AI no es lo mismo que el Shadow IT de siempre
Durante años, el área de TI luchó contra el Shadow IT: empleados que instalaban Dropbox, Slack o Google Drive personal para hacer su trabajo más rápido porque los canales oficiales eran lentos. El riesgo era real pero acotado. Un archivo en Dropbox personal es un problema de acceso — alguien no autorizado podría ver ese archivo.
El Shadow AI es una categoría distinta. Cuando un empleado pega un contrato de proveedor en ChatGPT para que le “haga un resumen ejecutivo”, ese texto no se queda guardado en un servicio de almacenamiento externo. Sale de su empresa, transita por servidores de un tercero, y puede usarse para entrenar modelos futuros. No hay manera de “recuperar” ese dato. No hay manera de auditar qué se envió. No hay registro.
La diferencia crítica: el Shadow IT almacena datos sin control. El Shadow AI procesa datos sin control. Y procesar implica interpretar, retener y potencialmente redistribuir.
El Shadow IT guarda un archivo donde no debe. El Shadow AI le da ese archivo a un cerebro externo para que lo procese y aprenda de él.
Los números que su directorio debería conocer
El IBM Cost of a Data Breach Report 2025 —publicado el 30 de julio de 2025, basado en 600 organizaciones y más de 3,470 entrevistas a líderes de seguridad y C-suite— reporta cifras que cambian la conversación sobre Shadow AI:
- 1 de cada 5 organizaciones sufrió una brecha relacionada con Shadow AI.
- Las brechas con Shadow AI costaron US$670,000 más que el promedio de brechas convencionales.
- El 97% de las empresas que reportaron una brecha por IA carecían de controles de acceso adecuados al momento del incidente.
- El 63% de las empresas afectadas no tenía ninguna política de gobernanza de IA, o estaba desarrollando una.
- En brechas con Shadow AI, el 65% de los datos comprometidos fue información personal de clientes — 12 puntos más que en brechas convencionales.
Ninguno de estos números es teórico. Son organizaciones reales, auditadas, con costos documentados.
Punto clave
El Shadow AI no es un riesgo futuro. Es el factor que ya agrega US$670,000 al costo de una brecha en el 20% de las organizaciones estudiadas por IBM. La mayoría aún no tiene ni una política escrita para enfrentarlo.
Cómo entra el Shadow AI a su empresa sin que nadie lo note
No entra por las noches. Entra a las 9 de la mañana, cuando su equipo abre el navegador y empieza a trabajar.
Estos son los cinco vectores más comunes — y todos ocurren sin intención maliciosa:
1. El chatbot de uso “personal”
El empleado tiene cuenta personal de ChatGPT, Claude o Gemini. La usa para redactar correos, resumir documentos, preparar presentaciones. Los datos que pega en esos prompts — estrategias comerciales, datos de clientes, borradores de contratos — salen del perímetro corporativo en cada sesión.
2. Las extensiones de navegador que “ayudan”
Extensiones gratuitas que resumen páginas web, corrigen gramática o traducen textos en tiempo real. Muchas integran modelos de IA con acceso de lectura a todo lo que aparece en pantalla. Incluyendo el correo corporativo y el ERP que el empleado tiene abierto al mismo tiempo.
3. Los conectores SaaS no autorizados
Herramientas como Zapier o Make permiten conectar aplicaciones de la empresa con servicios externos de IA en minutos, sin pasar por TI. Un equipo de ventas puede construir un flujo que envía automáticamente el pipeline de CRM a un modelo externo para “análisis predictivo” — sin que nadie en la organización lo sepa.
4. Los agentes de IA en cuentas personales
La siguiente ola ya está aquí. Agentes autónomos que no solo responden, sino que actúan: organizan el correo, preparan reportes, actualizan hojas de cálculo. Si un empleado configura uno de estos agentes con acceso a sus herramientas de trabajo, acaba de dar acceso de lectura y escritura a toda la comunicación de su empresa a un proveedor externo sin contrato ni evaluación de riesgos.
5. Las herramientas SaaS con IA integrada “de serie”
Muchas aplicaciones que ya usa su empresa —CRMs, plataformas de marketing, herramientas de productividad— incorporaron modelos de IA generativa como función estándar. Si su equipo las activa sin revisión de las condiciones de uso, los datos de su empresa pueden estar alimentando modelos externos sin que nadie lo haya aprobado.
El Shadow AI no entra de noche. Entra a las 9 de la mañana, con la mejor intención del mundo, cuando su equipo abre el navegador.
Si este análisis te resulta útil, recíbelo cada semana: 👉 Suscríbete al newsletter de DacmosGroup
Por qué prohibir no funciona — y qué hace a la gobernanza IA efectiva
La primera reacción de muchos equipos de TI es bloquear los dominios de los servicios de IA en el firewall. Es comprensible. También es inefectivo.
Los empleados que necesitan productividad encuentran el camino. Si bloquea ChatGPT en la red corporativa, usarán datos móviles. Si bloquea los datos móviles, buscarán una alternativa no registrada. El resultado: pierde la visibilidad sin reducir el riesgo. Eso no es gobernanza IA — es ilusión de control.
Los datos de comportamiento son claros: más del 78% de los trabajadores usa herramientas de IA que la empresa no les ha provisto, precisamente porque la empresa no les ha provisto alternativas aprobadas. El Shadow AI nace de una necesidad legítima que el sistema corporativo no está cubriendo a tiempo.
La gobernanza IA que funciona tiene cuatro elementos:
Inventario visible. Saber qué herramientas de IA se usan en la organización — incluyendo las no autorizadas. No existe gobernanza IA sin visibilidad primero.
Política clara de uso aceptable. No una prohibición genérica. Una lista de herramientas aprobadas con condiciones de uso definidas, más un proceso ágil para que los equipos soliciten incorporar nuevas herramientas sin esperar semanas.
Clasificación de datos. Definir qué información nunca debe salir del perímetro corporativo. Datos de clientes, contratos, estrategias, información financiera. Una buena gobernanza IA establece qué puede procesarse externamente y qué no, antes de que ocurra el incidente.
Auditorías trimestrales. Revisar qué herramientas de IA están activas, quién las usa y con qué datos. No como un ejercicio de fiscalización, sino como un mecanismo de visibilidad continua que mantiene la gobernanza IA actualizada.
Punto clave
Prohibir el Shadow AI sin ofrecer alternativas aprobadas garantiza que sus empleados sigan usando herramientas no autorizadas — solo que ahora fuera de cualquier visibilidad corporativa. La gobernanza IA efectiva habilita, no bloquea.
El caso concreto de Panamá y la Ley 81
En Panamá, la Ley 81 de Protección de Datos Personales establece que el responsable del tratamiento de datos —su empresa— debe garantizar que los datos personales de clientes, empleados y proveedores se traten con medidas de seguridad apropiadas. Eso incluye controlar quién procesa esos datos y bajo qué condiciones.
Cuando un empleado pega datos personales de clientes en una herramienta de Shadow AI, su empresa está transfiriendo esos datos a un tercero sin contrato de tratamiento, sin evaluación de riesgos y posiblemente sin que el titular de los datos lo sepa. Eso no es solo un problema de seguridad — es un problema de cumplimiento normativo.
⚠️ Nota: las sanciones específicas por incumplimiento de la Ley 81 requieren verificación contra el texto vigente en la Gaceta Oficial. Consulte con su asesor legal antes de tomar decisiones de cumplimiento basadas en este artículo.
El Shadow AI convierte lo que parece una decisión operativa de TI en una exposición legal del negocio. Esa es la conversación que los CEOs y directores en LATAM necesitan tener — no en el departamento de tecnología, sino en la sala de directorio.
Preguntas frecuentes sobre gobernanza IA y Shadow AI
¿Qué es el Shadow AI exactamente?
Shadow AI es el uso de herramientas de inteligencia artificial por parte de empleados sin conocimiento ni aprobación del área de TI o la dirección. Sin gobernanza IA, la empresa no tiene visibilidad sobre qué datos salen hacia servicios externos de IA ni bajo qué condiciones.
¿Cómo sé si mi empresa ya tiene un problema de Shadow AI?
Si su empresa no tiene una política de gobernanza IA escrita, es probable que tenga Shadow AI. El indicador más directo: pregúntele a cinco empleados de diferentes áreas qué herramientas de IA usan en su trabajo diario. Si las respuestas incluyen herramientas que TI no ha aprobado formalmente, el problema ya existe.
¿Usar ChatGPT en el trabajo personal viola la Ley 81 en Panamá?
Depende de qué datos se procesen. Si el empleado usa ChatGPT con datos personales de clientes o información confidencial de la empresa sin autorización formal y sin un contrato de tratamiento de datos con el proveedor, la empresa podría estar incumpliendo sus obligaciones bajo la Ley 81. Verifique con asesoría legal el caso específico de su organización.
¿Qué diferencia hay entre el Shadow AI y el Shadow IT?
El Shadow IT usa software no autorizado para almacenar datos en servicios externos. El Shadow AI va más lejos: los datos son procesados por un modelo de IA que puede aprenderlos y redistribuirlos. La gobernanza IA existe precisamente para cerrar esa brecha que la gobernanza de TI tradicional no cubre.
El costo real no son los US$670,000
Cuando IBM dice que las brechas con Shadow AI cuestan US$670,000 más que el promedio, ese número solo captura los costos directos del incidente: respuesta, contención, notificaciones, tiempo de recuperación.
No captura el daño reputacional cuando un cliente descubre que sus datos fueron procesados por una herramienta externa sin su consentimiento. No captura el costo de una auditoría regulatoria. No captura el valor de la propiedad intelectual que salió en un prompt y no vuelve.
La gobernanza IA no es un costo — es la diferencia entre absorber ese impacto o evitarlo. Y en 2026, las empresas que manejan datos sensibles ya no pueden tratar la gobernanza IA como algo que se implementa después de un incidente.
Gobernar el Shadow AI no requiere un equipo de ciberseguridad de Fortune 500. Requiere visibilidad, políticas claras y la disposición de tener una conversación incómoda con sus equipos sobre qué herramientas están usando y con qué información.
Para la capa técnica de esa conversación — cómo detectar Shadow AI en su infraestructura, qué controles implementar y cómo configurar una política de gobernanza IA operativa — le recomiendo el análisis de Jean De Los Santos: Su agente de IA ya tiene los permisos de un analista, un operador y un auditor. Nadie lo aprobó así.
¿Su empresa ya tiene identificadas las herramientas de IA que usan sus equipos — o ese inventario de gobernanza IA todavía no existe? Cuénteme en los comentarios. Me interesa saber dónde están las empresas de la región en este punto.
Si quiere recibir este tipo de análisis cada semana, sin algoritmos de por medio: 👉 Suscríbete al newsletter de DacmosGroup