La incorporación acelerada de herramientas de inteligencia artificial al trabajo cotidiano está generando un nuevo desafío para los equipos de seguridad. El uso de aplicaciones que quedan fuera del conocimiento y control de las organizaciones, fenómeno conocido como shadow AI, se suma a prácticas como la reutilización de contraseñas o las conexiones desde redes públicas.
Una nueva investigación de WatchGuard Technologies reveló que el comportamiento de los empleados está generando un riesgo de ciberseguridad significativo y, con frecuencia, invisible para las pequeñas y medianas empresas.
Según el “Informe sobre Higiene en ciberseguridad 2026”, el 64% de los empleados reconoce utilizar herramientas de IA no autorizadas para trabajar, una situación que dificulta conocer qué aplicaciones procesan información corporativa y qué datos pueden estar saliendo de los entornos controlados por las empresas.
Al mismo tiempo, otros hábitos habituales continúan ampliando la superficie de ataque. El 76% de los empleados reutiliza contraseñas, el 70% utiliza redes Wi-Fi públicas para trabajar y el 50% accede a recursos corporativos sin protección VPN.
“Las organizaciones están invirtiendo en herramientas de seguridad, pero muchas siguen sin tener visibilidad sobre cómo trabajan realmente sus empleados”, explicó Marc Laliberte, director de Operaciones de Seguridad de WatchGuard. “Los comportamientos cotidianos, desde el uso de la IA hasta las prácticas relacionadas con las contraseñas, generan riesgos para los que los controles tradicionales no están diseñados”.
La falta de visibilidad crece junto con la adopción de IA
Las herramientas de IA de consumo han dado lugar a una categoría de riesgo que crece rápidamente y que muchas organizaciones todavía no abordan mediante un marco formal de gobernanza.
De acuerdo con el informe, menos del 30% de los encuestados cree que su organización mantiene un inventario preciso del software utilizado, mientras que casi el 40% afirma que su empresa opera sin visibilidad completa sobre las aplicaciones que emplean sus trabajadores.
La ausencia de directrices corporativas sobre qué herramientas están autorizadas y qué información puede introducirse o transmitirse a servicios externos crea un punto ciego para los equipos de TI y ciberseguridad.
El problema del shadow AI no pasa necesariamente por el uso de inteligencia artificial en sí mismo, sino por la adopción de herramientas fuera de los mecanismos de control de la compañía. Esto puede impedir que las organizaciones conozcan dónde se procesan sus datos o qué aplicaciones tienen acceso a información corporativa.
Contraseñas, Wi-Fi público y dispositivos corporativos
La IA no es el único punto de exposición identificado por la investigación. Determinados comportamientos de los empleados continúan debilitando los protocolos de seguridad de las organizaciones.
El 76% reconoce reutilizar contraseñas en varias cuentas. Una credencial comprometida puede facilitar la toma de control de diferentes servicios, el movimiento lateral dentro de una organización y la extracción de información. Además, el 30% de los encuestados afirma compartir sus contraseñas con otras personas.
Otro foco está en las conexiones. El 70% utiliza redes Wi-Fi públicas para trabajar y el 50% accede a recursos corporativos sin protección VPN. Estas prácticas pueden incrementar la exposición al robo de credenciales, la interceptación de datos y los accesos no autorizados.
A esto se suma que el 55% utiliza los dispositivos de trabajo para actividades personales. La combinación del trabajo híbrido y remoto con el uso de un mismo equipo para tareas profesionales y particulares puede facilitar infecciones de malware, ataques de phishing y accesos a aplicaciones o sitios que quedan fuera de los controles corporativos.
Una oportunidad para los MSP
El escenario también plantea un desafío para los proveedores de servicios gestionados. A medida que las pymes incorporan nuevas tecnologías y mantienen esquemas de trabajo distribuidos, los MSP pueden asumir un papel más amplio que la administración de herramientas de seguridad.
“Estos resultados reflejan un cambio más amplio en el riesgo de ciberseguridad. A medida que las organizaciones adoptan nuevas tecnologías y facilitan el trabajo distribuido, gestionar el comportamiento humano se está convirtiendo en un requisito fundamental”, señaló Laliberte.
Según el ejecutivo, para los MSP esto representa “una oportunidad de ir más allá de la tecnología e incorporar la visibilidad del riesgo de usuario, la gobernanza de políticas y la concienciación continua en seguridad”.
Para reducir la exposición, WatchGuard recomienda que las pymes y sus partners MSP adopten medidas como gestores de contraseñas y autenticación multifactor (MFA), identifiquen tecnologías utilizadas fuera del conocimiento de la organización y establezcan políticas claras para el uso de herramientas de inteligencia artificial.
La compañía también plantea extender la protección fuera de las oficinas mediante VPN y enfoques Zero Trust, implementar capacitación continua en seguridad y complementar los indicadores técnicos con métricas relacionadas con el riesgo humano.
Preguntas frecuentes
¿Qué es el shadow AI?
Es el uso de herramientas o servicios de inteligencia artificial dentro de una organización sin la autorización, supervisión o conocimiento de sus equipos de TI y seguridad.
¿Por qué puede representar un riesgo para las empresas?
Porque los empleados pueden introducir información corporativa en servicios externos que no fueron evaluados por la organización, dificultando el control sobre dónde se procesan o almacenan los datos.
¿Qué pueden hacer las empresas para reducir estos riesgos?
Entre las medidas recomendadas se encuentran establecer políticas claras para el uso de IA, detectar aplicaciones no autorizadas, implementar MFA y gestores de contraseñas, proteger las conexiones remotas y mantener programas continuos de capacitación en seguridad.
Compartir nota:
