Un ingeniero de Samsung resolvió un fallo de código pegando un fragmento en ChatGPT. El problema es que ese gesto, rápido y útil, también sacó información sensible del perímetro de la compañía

Luego ocurrieron otros casos dentro de la misma empresa: un empleado subió código de pruebas y otro volcó una reunión interna para pedir una minuta. Nadie buscaba filtrar datos

Aun así, la información salió y ya no pudo recuperarse

Ese patrón se repite en muchas oficinas con tareas mucho menos visibles: recursos humanos que redacta documentos con datos reales, equipos comerciales que cargan bases de clientes o abogados que pegan contratos para acelerar revisiones. El uso de asistentes de IA se volvió parte del trabajo diario, pero no siempre pasa por los canales formales de la compañía

A esa práctica se la conoce como Shadow AI: herramientas de inteligencia artificial usadas sin aprobación ni supervisión del área de sistemas o seguridad

Lo que se está cargando no es menor

El problema no es hipotético. Un análisis de Cyberhaven Labs sobre el comportamiento de millones de trabajadores mostró que la proporción de datos corporativos sensibles compartidos con herramientas de IA creció con fuerza en los últimos dos años. Entre esos datos aparecen contratos, currículums, bases de clientes, código fuente, cifras de negociación e incluso historias clínicas en sectores regulados

El punto crítico es que gran parte de esa información no se roba en forma tradicional. Se copia y se pega en una ventana de chat. Desde ese momento puede quedar procesada o retenida por un tercero, bajo condiciones que la empresa tal vez no conoce ni controla

El verdadero problema es la falta de visibilidad

La discusión no debería centrarse solo en si los empleados usan IA, sino en qué datos están entregando y a qué servicios. Muchas organizaciones no tienen un inventario claro de las herramientas que circulan puertas adentro

Bloquear una aplicación desde la red corporativa no alcanza si el uso continúa desde teléfonos personales, cuentas privadas, notebooks fuera de la oficina o funciones de IA integradas en software ya contratado

La falsa tranquilidad aparece cuando una empresa cree que prohibir una plataforma equivale a resolver el riesgo. En realidad, puede ocurrir lo contrario: el hábito sigue vivo, pero se vuelve más difícil de detectar

El costo ya está medido

El impacto también se traduce en dinero. Un informe de IBM sobre el costo de las filtraciones de datos señaló que una parte de las organizaciones encuestadas ya había sufrido incidentes vinculados con Shadow AI. Además, entre los casos con incidentes relacionados con IA, la mayoría dijo no contar con controles adecuados de acceso

Cuando la IA interviene en una brecha, el daño económico aumenta. Pero no se trata solo de pérdida financiera: también hay exposición legal, problemas de confidencialidad y un golpe reputacional difícil de revertir cuando datos de clientes, empleados o socios terminan en manos de un proveedor externo

La advertencia para las empresas

Ni siquiera el uso de herramientas oficiales elimina por completo el riesgo. Un incidente técnico ocurrido en la infraestructura de un servicio de IA mostró que, aun con productos contratados formalmente, pueden existir fallas que expongan datos de usuarios. La lección es clara: la seguridad no depende únicamente de la conducta del empleado, sino también de la robustez del sistema que recibe la información

La inteligencia artificial ya está dentro de las empresas. La pregunta importante no es si llegó, sino quién controla los datos cuando entra en la rutina diaria. Porque cuando una organización descubre que cierta información salió por una ventana, muchas veces ya es tarde para cerrarla