Shadow AI y tu conjunto de documentos: lo que revelan los datos sobre tu exposición

Necesito un resumen rápido de un contrato antes de una llamada a las 15:00. La persona que lo tiene abierto no tiene tiempo de enviarlo por los canales aprobados por el departamento de TI, así que recurre a una herramienta de IA de consumo. Se resume en segundos y se cierra la pestaña. Desde luego, no parece un incidente de seguridad, sino simplemente la forma más rápida de hacer el trabajo.

Si multiplicamos ese momento por toda la plantilla, se convierte en un patrón que el nuevo estudio de Nitro se propuso medir directamente. El informe «El estado de la IA en los flujos de trabajo documentales: cómo salvar la brecha entre las promesas de la IA y la productividad»  encuestó a 1.300 líderes empresariales de EE. UU., el Reino Unido y Canadá, y les planteó una pregunta concreta: ¿están los documentos confidenciales realmente protegidos frente a las herramientas de IA no gestionadas, o simplemente eso es lo que parece desde arriba?

Nitro ya había analizado anteriormente la «IA en la sombra»: nuestro informe anterior sobre la adopción de la IA en las empresas y la realidad  reveló que el 68 % de los ejecutivos y el 50 % de los empleados ya utilizaban herramientas de IA no autorizadas, y que uno de cada tres empleados había procesado datos confidenciales a través de plataformas de IA no verificadas. Ese informe atribuyó la causa subyacente a una brecha de usabilidad: la IA de consumo solía ser la opción más rápida al alcance, y la opción más rápida solía imponerse. Nuestra última investigación retoma esta misma historia en el ámbito de los documentos y descubre que no solo el patrón sigue presente, sino que ahora se tiene una visión más nítida de en qué momentos de la jornada laboral se produce la exposición y hasta qué punto la gobernanza se ha quedado rezagada respecto al comportamiento que se supone que debe controlar.

La preocupación por la seguridad de los documentos en la IA es mayor entre los altos directivos

La preocupación por la IA y los documentos confidenciales es mayor en la cúpula de la organización. El 56 % de los ejecutivos afirma que la dirección de su organización está muy o extremadamente preocupada por los riesgos de seguridad que supone que los empleados procesen documentos confidenciales mediante herramientas de IA. Entre los directivos, a quienes se les preguntó sobre la preocupación de su organización en términos más generales, el 37 % opina lo mismo. Las dos preguntas de la encuesta se formularon de forma ligeramente diferente, por lo que la diferencia no debe interpretarse como una comparación estricta entre iguales, pero ambas cifras apuntan a un nivel real y elevado de preocupación, que se concentra en la cúpula de la organización.

La gobernanza de la IA se desmorona por debajo del nivel ejecutivo

Cabría esperar que la preocupación a ese nivel se tradujera en normas de obligado cumplimiento. Sin embargo, esto no ha ocurrido de forma sistemática. El 71 % de los ejecutivos afirma que existe una política clara y que se aplica de forma activa sobre cómo deben utilizar los empleados la IA en documentos confidenciales. Entre los directivos, la cifra desciende al 43 %, mientras que el 57 % describe la política de su organización como inconsistente, aún en desarrollo, inexistente o algo sobre lo que no están seguros.

Dos grupos dentro de la misma organización describen dos entornos de gobernanza diferentes: en el nivel directivo, las normas están, en general, establecidas, mientras que en el nivel de los responsables, más de la mitad de las personas encargadas de hacer cumplir esas normas en el día a día no están seguras de que eso sea así.

Los empleados envían documentos sensibles a herramientas de IA de consumo

Con política o sin ella, el comportamiento no ha cambiado. El 74 % de los ejecutivos confirma que los empleados han utilizado herramientas de IA de consumo como ChatGPT, Claude o Gemini con documentos sensibles o confidenciales, y el 41 % afirma que esto ocurre con regularidad. El 55 % de los mandos afirma lo mismo, y el 27 % lo califica de habitual.

Una cifra relacionada concreta el riesgo de exposición. El 44 % de los responsables informa, personalmente o por conocimiento directo de su equipo, de que se han subido documentos de trabajo a herramientas online gratuitas sin que nadie haya comprobado quién gestiona el sitio web. Si se suman los responsables que creen que probablemente haya ocurrido, pero que no están preocupados, la cifra asciende al 56 %. Esto se traduce en algo concreto: un contrato, un expediente de reclamación o el historial de un paciente almacenado en un servidor que nadie ha verificado. Para más de la mitad de los directivos encuestados, eso ya ha ocurrido o probablemente esté ocurriendo en su departamento en este mismo momento.

La IA en la sombra se cuela a través de herramientas de gestión de documentos independientes

Para comprender de dónde proviene el riesgo, resulta útil analizar cómo llega la IA a los empleados en primer lugar. En otra parte del informe, más de un tercio de los departamentos que utilizan IA en los flujos de trabajo de documentos afirman que recurren a herramientas de IA independientes que funcionan junto con su software de gestión documental existente, en lugar de a funciones integradas en este. Cuando alguien necesita resumir un contrato antes de una llamada a las 15:00 h, suele imponerse la opción más rápida disponible, y un chatbot público suele ser la opción más rápida al alcance.

Esa es la forma práctica que adopta la «IA en la sombra» dentro de una pila de documentos: los documentos confidenciales residen en un sistema, y las herramientas de IA a las que los empleados recurren realmente se gestionan en otro lugar, si es que se gestionan en algún sitio. Para cerrar esta brecha, hay que empezar por hacer que la vía que cumple con la normativa sea la más cómoda, de modo que la herramienta más rápida al alcance de la mano sea también la autorizada.

Lee los resultados completos en «El estado de la IA en los flujos de trabajo documentales ».