Shadow AI: Implementar directrices en la empresa

Lisa Ernst · 31.10.2025 · Technik · 5 min

Las herramientas de IA se prueban a menudo antes de las aprobaciones oficiales. Esto aumenta el problema de riesgo y gobernanza. Shadow AI es la segunda forma más común de Shadow IT. El EU AI Act entra gradualmente en vigor, con reglas ya vigentes para prácticas prohibidas y directrices para IA de propósito general.

Introducción

Shadow AI describe el uso de herramientas de IA generativas sin el conocimiento o la aprobación de IT. Esto ocurre, por ejemplo, cuando textos, código o datos de clientes se introducen en chats externos, sin revisión contractual o de protección de datos previa. Shadow IT se refiere de forma informal a tecnologías implementadas fuera de procesos oficiales; Shadow AI es la manifestación específica de la Inteligencia Artificial. La gobernanza es el marco organizativo para el uso seguro y conforme a la ley de IA, incluyendo políticas, roles y controles. Un ejemplo de ello es el NIST AI Risk Management Framework con las funciones Govern, Map, Measure, Manage. La Gestión de Riesgo de Modelos (MRM) incluye inventario de modelos, validación, monitoreo y documentación. Está establecida en la supervisión financiera desde hace años (SR 11-7) y es transferible a modelos de IA. Para un sistema de gestión a nivel organizacional existe el ISO/IEC 42001:2023.

Estado actual

El actual 1Password-Report 2025 muestra que Shadow AI, después del correo electrónico, es la segunda categoría de Shadow IT más frecuente. El 27% de los empleados utilizó aplicaciones de IA no autorizadas. Además, el 37% indicó que solo siguen las políticas de la empresa la mayor parte del tiempo, lo que sugiere lagunas en la política. Otra observación de mercado de Zluri, vía Help Net Security , dice que el 80% de las herramientas de IA utilizadas por los empleados eluden IT y Seguridad. Regulaciones en la UE desde el 02.02.2025 prohíben ciertas prácticas de IA y obligan a la alfabetización en IA. Las obligaciones GPAI están en vigor desde el 02.08.2025 y otras partes de la ley seguirán a partir del 02.08.2026, con extensiones para ciertos sistemas de alto riesgo hasta 2027. La Comisión Europea mantiene el calendario, a pesar de las peticiones de la industria para una prórroga, como Reuters informó.

Fuente: infoproteccion.com

El modelo del iceberg ilustra la naturaleza oculta de Shadow AI en comparación con los sistemas de IA aprobados oficialmente.

Ursachen und Kontext

Shadow AI surge por varias razones. La comodidad y el deseo de ganar productividad son los impulsores principales. A menudo las políticas son ambiguas o comunicadas de forma incongruente, como lo muestra el 1Password-Report muestra. Las dinámicas de plataforma refuerzan esto: bajas barreras de entrada, plugins, extensiones de navegador e integraciones de apps facilitan la prueba, a menudo sin SSO, DLP o auditoría, como Help Net Security informa. Al mismo tiempo, las contramedidas concretas están al alcance. OWASP describe riesgos típicos de LLM como inyección de prompts, filtración de datos o derechos excesivos de los agentes, que pueden servir como puntos de anclaje para controles. En el lado del proveedor, las ofertas empresariales se refieren a protección de inquilinos, registro y control de retención de datos, por ejemplo en ChatGPT Enterprise/Edu y Microsoft 365 Copilot.

Fuente: walkme.com

Los principales riesgos de Shadow AI incluyen desinformación, exposición de datos y posibles riesgos para los clientes.

Hechos y malentendidos

Está demostrado que Shadow AI está muy difundido en las empresas. El 1Password-Report muestra que el 27% de los empleados utilizan aplicaciones de IA no autorizadas y Shadow AI es la segunda categoría de Shadow IT más frecuente. Además, el 80% de las herramientas de IA utilizadas están no gestionadas, lo que genera grandes zonas ciegas, como Help Net Security informa. Las obligaciones del EU AI Act Se aplican gradualmente desde 2025, con reglas GPAI desde el 02.08.2025 y una adopción más amplia a partir del 02.08.2026. No está claro cuán rápido las empresas adoptarán los estándares MRM de IA de forma generalizada. El MRM está establecido en la supervisión bancaria (SR 11-7) y transferible a modelos de IA. SR 11-7), ), pero los niveles de madurez varían entre industrias. La afirmación «No tenemos que hacer nada hasta 2026» es falsa o engañosa. Ya rigen prohibiciones de la UE y obligaciones de alfabetización (desde el 02.02.2025) así como obligaciones GPAI (desde el 02.08.2025). La Comisión confirma el cronograma, como Reuters informa.

Fuente: YouTube

Recomendaciones de acción

Para implementar de forma pragmática y robusta las directrices de Shadow AI, las empresas deben definir casos de uso permitidos, entradas prohibidas (p. ej., datos personales y confidenciales de clientes), herramientas permitidas y vías de aprobación. El NIST-Rahmenwerk proporciona para esto una estructura adecuada. Se necesita un proceso continuo de descubrimiento e inventario para hacer visibles nuevas herramientas de IA, como Help Net Security Subraya. Controles técnicos como DLP/etiquetas, Acceso Condicional, registro y rutas de auditoría deben estar integrados; ejemplos los proporciona la Copilot-Architektur. La introducción de procesos MRM, que incluyen inventario de modelos, documentación de supuestos y origen de datos, validación independiente, supervisión de deriva y rendimiento, así como controles de cambio, es crucial. SR 11-7 Aquí ofrece una plantilla sólida. Quien desee establecer una gobernanza certificable a nivel organizacional, puede ISO/IEC 42001 como sistema de gestión y el NIST-Playbook utilizar para medidas concretas.

Fuente: linkedin.com

Un marco ético es esencial para el manejo responsable de la IA y la implementación de directrices.

Perspectivas

Las preguntas abiertas se refieren a la especificación de los requisitos GPAI y a las expectativas de la supervisión en las auditorías. La Comisión continúa trabajando en documentos de ayuda y mantiene el plan por etapas, como Reuters informa. La estandarización de pruebas para riesgos de inyección de prompts y de agentes en flujos de trabajo complejos es otro desafío. OWASP Proporciona catálogos de riesgos actualizados de forma continua para ello. También la cuestión de métricas de equidad, robustez y alucinaciones, que se convertirán en el estándar de facto, sigue abierta. NIST trabaja en perfiles y métodos de evaluación para IA generativa.

Shadow AI demuestra que las personas desean resultados rápidos. Las buenas directrices conectan este impulso con la protección. Quien ahora formule reglas de uso claras, establezca discovery y monitoring, incorpore controles técnicos y implemente procesos MRM, reduce los riesgos sin frenar la productividad. Esto prepara a las empresas, al mismo tiempo, mejor para el EU AI Act frente y utiliza marcos de trabajo como eso NIST AI Risk Management Framework y ISO/IEC 42001.