Shadow IT se refiere a tecnología, aplicaciones, dispositivos o servicios cloud que se usan dentro de una organización sin la aprobación o gobernanza del área de TI.

IA en la sombra frente a shadow IT

La IA en la sombra puede parecer shadow IT con una nueva capa de pintura, pero no lo es:

• Shadow IT implica almacenamiento de datos. Si se sube un archivo confidencial a un cloud drive no aprobado, puedes rastrearlo y eliminarlo para contener el riesgo.

• La IA en la sombra implica procesamiento de datos. Si pegas datos sensibles en una herramienta pública, no puedes controlar hacia dónde va esa información. No puedes eliminar un prompt de la memoria de una herramienta de terceros, lo que la convierte en una vulnerabilidad de seguridad permanente.

Ni siquiera Samsung pudo hacer que la IA olvidara su información. Al darse cuenta de lo peligrosos que podían ser los riesgos de seguridad de la IA en la sombra, prohibieron ChatGPT por completo y empezaron a construir su propia versión interna.

Los riesgos de la IA en la sombra van más allá de simples violaciones de políticas. La exposición al cumplimiento normativo según el General Data Protection Regulation (GDPR) y la Health Insurance Portability and Accountability Act (HIPAA) es una preocupación importante. Los resultados generados por IA que parecen correctos pero no lo son y los costos descontrolados son otras. Pero para un equipo reducido, las siguientes consecuencias afectan más duramente la seguridad y el cumplimiento normativo.

Error humano: Exfiltración de datos a través de interacciones cotidianas con IA

La cadena detrás de la mayoría de las fugas de datos por IA generativa es corta. Un empleado que intenta ser más productivo copia un archivo confidencial o datos sensibles de clientes. Luego, lo pega en una herramienta de IA no aprobada. Con un clic, tus datos entran en un modelo público para ser aprendidos (ingeridos) y potencialmente compartidos con otros usuarios. No puedes recuperar esa información una vez que la herramienta la procesa.

En 2024, CybSafe y la National Cybersecurity Alliance descubrieron que el 43% de los empleados admitió compartir información sensible de trabajo con plataformas de IA sin permiso. Y un estudio de Harmonic Security de 2025 encontró que el 16.9% de las exposiciones de datos sensibles ocurrió en cuentas personales gratuitas que los equipos de TI no pueden ver. IBM calcula que el costo adicional de una filtración que involucra datos en la sombra es de $670,000 más que otros incidentes. Cuando tu equipo usa estas herramientas en la sombra, la información de identificación personal (PII) de los clientes y la propiedad intelectual (IP) suelen ser lo primero que queda expuesto.

Riesgos técnicos de identidad: Tokens OAuth no autorizados e integraciones de IA

Cuando un empleado conecta una herramienta con IA a los sistemas de tu empresa usando un inicio de sesión de un clic (OAuth), le está entregando a esa herramienta una llave maestra digital. Este proceso frecuentemente otorga a la IA más acceso a tus datos del que cualquier equipo de seguridad aprobaría.

Multiplica eso en todo un equipo y tendrás aplicaciones OAuth no autorizadas repartidas por todo tu espacio de trabajo. El peligro es que este acceso puede sobrevivir a tus controles normales. Los tokens OAuth pueden seguir siendo válidos incluso después de restablecer contraseñas y cambiar la autenticación multifactor (MFA), a menos que se revoquen o expiren explícitamente, por lo que un atacante que posea un token robado puede mantener el acceso mucho después de que creas que la cuenta está "bloqueada".

En 2025, el actor de amenazas UNC6395 usó tokens OAuth comprometidos de la aplicación de terceros Salesloft Drift para acceder y exportar datos de numerosas instancias de clientes de Salesforce. Debido a que el acceso provino de una conexión SaaS confiable, el tráfico parecía actividad comercial normal, un ejemplo de cómo las concesiones OAuth robadas pueden permitir a los atacantes "entrar por la puerta principal" sin fallas de inicio de sesión ruidosas.

Entonces, ¿cómo detecta la IA en la sombra un equipo de TI reducido? Primero, debes saber que la IA en la sombra no parece un ataque. Usa el mismo tráfico web cifrado (HTTPS) que tus aplicaciones legítimas, así que las alarmas de seguridad estándar no se activarán. Para detectarla, debes observar estas tres áreas.

1. Tráfico de red saliente hacia dominios de IA

   Tus registros de red te muestran cuándo alguien se conecta a dominios de IA como api.openai.com o claude.ai. Pero no pueden decirte quién lo hace ni qué datos le está dando al modelo. Ahí es donde entra en juego la Detección y respuesta para endpoints (EDR). Vive en el dispositivo mismo y puede decirte exactamente qué aplicación o extensión del navegador se conectó.

No busques bloquear todos los dominios de IA de forma general. Muchas herramientas SaaS modernas ahora integran funciones de IA en sus funciones principales, y bloquear estos dominios puede romper esas funciones. En cambio, prioriza la visibilidad. Usa herramientas EDR para crear un mapa de qué máquinas se comunican con estos servicios de IA. Una vez que tengas esa lista, puedes identificar qué usuarios incumplen la política y abordar el comportamiento directamente.

1. Autorizaciones de aplicaciones OAuth

   Audita regularmente tus autorizaciones de aplicaciones OAuth en busca de dos cosas: aplicaciones conectadas sin aprobación de TI y aplicaciones con permisos que van mucho más allá de su función. El token de autenticación que un empleado le otorgó a una herramienta de IA hace meses a menudo sigue activo y sin revisar. Revoca el acceso a las aplicaciones con permisos excesivos.

Si bien las revisiones periódicas ayudan, solo muestran una instantánea en el tiempo. Una aplicación maliciosa podría autorizarse minutos después de que termines tu auditoría. Aquí es donde ayuda la detección y respuesta administrada de amenazas de identidad (ITDR). ITDR ofrece monitoreo continuo de la actividad de identidad y las aplicaciones OAuth, vigilando comportamientos sospechosos como una aplicación autorizada que accede a datos sensibles desde ubicaciones u horarios inusuales. ITDR puede entonces terminar sesiones comprometidas antes de que un atacante pueda moverse por tu red.

1. Señales de comportamiento a partir de los datos de security awareness training

   Los resultados de tu simulación de phishing y los datos de capacitación ya señalan a tus empleados de mayor riesgo. Son quienes hacen clic repetidamente en lo incorrecto, o quienes han dicho que no están seguros de qué uso de la IA está permitido. Son las mismas personas con más probabilidades de pegar algo sensible en una herramienta que no deberían usar.

Huntress Managed Security Awareness Training identifica a los alumnos de mayor riesgo al analizar datos reales de compromisos y de simulaciones de phishing, y luego dirige automáticamente hacia ellos el Phishing Defense Coaching y la capacitación específica.

La mayoría de los equipos reducidos no pueden costear su propia plataforma de IA generativa interna, y las prohibiciones simples suelen ser contraproducentes. Los estudios muestran que los empleados siguen usando herramientas de IA incluso sin capacitación ni aprobación formal, a menudo en cuentas y dispositivos personales que quedan completamente fuera de la visibilidad de TI.

Aquí tienes algunas medidas de protección que te acercan bastante al objetivo, sin necesidad de un programa empresarial completo de gobernanza de IA:

• Educa a tu equipo sobre los riesgos de la IA en la sombra: Cierra la brecha de conocimiento con un programa de concientización de SAT gestionado. La mayoría de los empleados no sabe que las herramientas de IA usan sus datos para entrenar modelos. Comparte lineamientos concretos y prácticos para cambiar su comportamiento.
• Ofrece alternativas de IA seguras antes de imponer restricciones: Evita quitarle a los empleados una herramienta de la que dependen sin ofrecer antes una alternativa verificada. Si lo haces, simplemente buscarán otra herramienta no autorizada que no podrás rastrear.
• Define políticas claras de clasificación de datos: Redacta una política de uso aceptable de IA que detalle explícitamente qué datos pueden y no pueden ingresarse en herramientas externas. Asegúrate de que tus empleados entiendan las consecuencias de manejar mal la información de la empresa.
• Automatiza la supervisión de integraciones de IA no autorizadas: Deja de depender de que los usuarios informen por su cuenta las herramientas de software que usan. Usa Managed ITDR para detectar aplicaciones OAuth fraudulentas del lado de la identidad. Y usa Managed EDR para ver qué aplicaciones se comunican con servicios de IA desde el endpoint.

Los días de monitorear la IA en la sombra mediante políticas de TI estándar se acabaron. No puedes proteger lo que no puedes ver. Cuando los datos se filtran a través de mensajes cotidianos u otorgamientos indebidos de token de autenticación de OAuth, pierdes el control de la propiedad intelectual sensible de tu empresa.

Lo que funciona es usar herramientas para ver exactamente quién se mueve por tu entorno y detenerlo en el momento en que su comportamiento se vuelve un riesgo. Al combinar el monitoreo continuo de identidad con security awareness training, puedes transformar a tu equipo de una vulnerabilidad en una sólida línea de defensa.

Si quieres ver cómo se ve el control de la IA en la sombra en la práctica, Huntress puede mostrarte.