El riesgo oculto de la IA en la sombra y cómo solucionarlo

Los responsables de TI llevan años creando marcos de seguridad, aplicando políticas de cumplimiento normativo y gestionando los riesgos en toda la empresa. Entonces llegó la IA generativa, y los empleados empezaron a resolver problemas por su cuenta.

El resultado es lo que ahora se denomina IA en la sombra: herramientas de consumo no autorizadas que se utilizan en toda la organización sin supervisión de TI, revisión de seguridad ni controles de gobernanza. Según el informe Enterprise AI  de Nitro, el problema está mucho más extendido de lo que la mayoría de las organizaciones creen, y los riesgos van mucho más allá de las infracciones de las políticas.

El verdadero alcance de la IA en la sombra

La encuesta realizada a más de 1000 profesionales reveló que el 68 % de los ejecutivos y el 50 % de los empleados utilizan herramientas de IA no aprobadas en el trabajo. No se trata de incidentes aislados ni de casos excepcionales. El uso no aprobado de la IA se ha convertido en un comportamiento habitual en todos los puestos y niveles jerárquicos.

Más preocupante aún es lo que los empleados están haciendo con estas herramientas. Uno de cada tres empleados ha procesado datos confidenciales a través de plataformas de IA no verificadas. Esto incluye información de clientes, registros financieros, documentos legales y propiedad intelectual que circulan por herramientas con prácticas de manejo de datos desconocidas, sin rastro de auditoría y sin visibilidad para los equipos de TI o de cumplimiento normativo. Para las organizaciones de sectores regulados, esto supone un riesgo inmediato de incumplimiento normativo. Para todas las organizaciones, genera riesgos de seguridad de los datos que son difíciles de evaluar y casi imposibles de remediar a posteriori.

¿Por qué recurren los empleados a herramientas de IA no aprobadas?

El instinto es tratar la IA en la sombra como un incumplimiento normativo que requiere políticas más estrictas y una aplicación más rigurosa. Pero los datos de la encuesta cuentan una historia diferente. Los empleados no utilizan herramientas no aprobadas porque quieran eludir al departamento de TI o ignorar los protocolos de seguridad. Las utilizan porque las alternativas aprobadas no satisfacen sus necesidades. Las herramientas autorizadas son lentas de acceder, difíciles de usar o, simplemente, no existen para las tareas que los empleados necesitan realizar.

Cuando alguien necesita resumir un contrato de 50 páginas antes de una reunión en 30 minutos, utilizará cualquier herramienta que le permita hacer el trabajo. Cuando el flujo de trabajo autorizado requiere enviar una solicitud, esperar a obtener acceso y completar una formación antes de utilizar una herramienta de IA, los empleados buscarán una vía más rápida. La IA en la sombra es un síntoma de necesidades no satisfechas y una señal de que las herramientas de IA de la empresa no están a la altura de lo que los empleados realmente necesitan.

Descubrir la brecha de usabilidad que impulsa el riesgo de la IA en la sombra

La misma encuesta reveló que el 68 % de los ejecutivos siente la presión de proporcionar mejores herramientas de IA a sus equipos, mientras que solo el 57 % de los empleados siente la presión de utilizar las herramientas de IA que ya se les han proporcionado. Esa brecha pone de manifiesto el problema fundamental: las organizaciones están invirtiendo en capacidades de IA, pero esas capacidades no llegan a los empleados de una forma que se adapte a sus flujos de trabajo reales.

La formación adicional no es la solución. Los datos de la encuesta muestran que, cuando una herramienta es intuitiva y útil, las personas la adoptan sin necesidad de una formación exhaustiva. Cuando requiere un esfuerzo significativo para acceder a ella o aprender a usarla, buscan alternativas. Esto crea una dinámica complicada para los responsables de TI. Son responsables de la seguridad y la gobernanza, pero no pueden proteger herramientas que no controlan. Y no pueden controlar las herramientas si los empleados no las utilizan.

Abordar la usabilidad frente a la gobernanza en la IA en la sombra

Para cerrar la brecha de la IA en la sombra es necesario trabajar simultáneamente en la gobernanza y la usabilidad. Centrarse en una sin tener en cuenta la otra dará lugar a resultados incompletos.

En cuanto a la gobernanza, las organizaciones necesitan políticas claras sobre qué herramientas de IA están aprobadas, cómo deben gestionarse los datos y qué tipos de contenido nunca deben procesarse mediante IA. Los empleados deben comprender los riesgos de utilizar herramientas no verificadas, especialmente al manejar información confidencial. Y el departamento de TI necesita visibilidad sobre los patrones de uso de la IA para identificar brechas y riesgos emergentes.

Pero las políticas por sí solas no cambiarán el comportamiento si las herramientas aprobadas no son tan fáciles de usar como las alternativas de consumo a las que los empleados ya están recurriendo. En cuanto a la usabilidad, los responsables de TI deben evaluar las herramientas de IA tal y como las evalúan los empleados. ¿Me ayuda esto a hacer mi trabajo más rápido? ¿Puedo acceder a ella sin tener que pasar por mil dificultades? ¿Funciona con las herramientas que ya utilizo? Si la respuesta a cualquiera de estas preguntas es no, la adopción se verá afectada independientemente de lo sólidas que sean las funciones de seguridad.

Cómo crear herramientas de IA que los empleados realmente utilicen

El enfoque más eficaz para reducir la IA en la sombra es hacer que la opción segura sea la opción fácil. Eso significa integrar capacidades de IA directamente en los flujos de trabajo de documentos en los que los equipos confían a diario, en lugar de pedir a los empleados que adopten herramientas independientes o cambien sus procesos establecidos.

El enfoque de Nitro refleja este principio. Herramientas como Document Assistant, Table Extract y Smart Redact están diseñadas para resolver tareas específicas y de alta frecuencia dentro de los flujos de trabajo de PDF y documentos que los empleados ya utilizan. No hay que acceder a una aplicación independiente, ni realizar un inicio de sesión adicional, ni hay una curva de aprendizaje que cree barreras para su adopción.

La seguridad y el cumplimiento normativo están integrados en el diseño, en lugar de añadirse como restricciones que limitan la usabilidad. Los datos se procesan en sesiones temporales sin retención. Todas las herramientas de IA cumplen con las normas SOC 2, ISO 27001 e HIPAA. Y dado que las herramientas operan dentro de un entorno regulado, el departamento de TI mantiene la visibilidad y el control sin crear obstáculos para los usuarios finales. Cuando los empleados pueden realizar sus tareas asistidas por IA a través de herramientas aprobadas que funcionan tan bien como las alternativas de consumo, la IA en la sombra se vuelve innecesaria.

El camino hacia el uso regulado de la IA en las empresas

La IA en la sombra representa una brecha entre lo que los empleados necesitan y lo que las organizaciones ofrecen actualmente. Los responsables de TI que la traten únicamente como un problema de gobernanza seguirán librando las mismas batallas a medida que surjan nuevas herramientas de consumo y los empleados sigan encontrando soluciones alternativas.

Aquellos que aborden la brecha de usabilidad subyacente descubrirán que la adopción se produce de forma natural. Cuando las herramientas autorizadas sean realmente más fáciles y eficaces que las alternativas, los empleados las utilizarán. Los riesgos de seguridad disminuyen, la exposición al incumplimiento normativo se reduce y el departamento de TI recupera la visibilidad sobre cómo se utiliza la IA en toda la organización. Los datos de la encuesta dejan claro lo que está en juego. Dado que dos tercios de los ejecutivos y la mitad de los empleados ya utilizan herramientas no aprobadas, ahora es el momento de abordar la IA en la sombra.

Para conocer los resultados completos sobre la IA en la sombra, la adopción empresarial y lo que distingue a las implementaciones de IA exitosas del resto, lea el informe:  IA empresarial: la realidad detrás del bombo publicitario .