La inteligencia artificial se está incorporando a las organizaciones por más vías de las que reflejan sus inventarios tecnológicos. Un empleado utiliza una herramienta pública para resumir documentación. Un desarrollador conecta una API externa. Un departamento activa una funcionalidad de IA incluida en una aplicación que ya utilizaba. Otro equipo crea un agente con acceso a correo electrónico, repositorios documentales o sistemas corporativos.
Algunas de estas herramientas pueden estar autorizadas. Otras no. El problema de fondo aparece cuando la organización deja de saber qué inteligencia artificial interviene en sus procesos, qué datos utiliza, bajo qué identidad opera, qué permisos tiene y qué acciones puede ejecutar.
Ese espacio fuera del perímetro efectivo de gobernanza es lo que convierte el Shadow AI en algo más complejo que una nueva versión del conocido Shadow IT.
El problema no empieza necesariamente con una herramienta no autorizada
El National Cyber Security Centre (NCSC) británico define Shadow AI como el uso de tecnología de inteligencia artificial que queda fuera de los sistemas y procesos aprobados de una organización y lo encuadra como una manifestación de Shadow IT.
La definición es útil, pero el problema puede extenderse más allá de la simple presencia de una aplicación no autorizada.
Incluso una plataforma de IA formalmente aprobada puede dar lugar a situaciones equiparables a Shadow AI si aparecen casos de uso, integraciones o capacidades que quedan fuera de los mecanismos establecidos de gobierno. Puede ocurrir cuando un equipo conecta nuevos repositorios de información, habilita una API, incorpora un modelo diferente o crea un agente cuyos permisos nunca fueron evaluados.
La plataforma está aprobada. El caso de uso puede no estarlo.
Esta diferencia desplaza el problema desde el inventario de productos hacia la gobernanza efectiva del uso de la IA.
Saber que una organización utiliza una determinada plataforma ya no es suficiente. También importa para qué se utiliza, qué información procesa, qué integraciones tiene y qué capacidad de actuación se le ha concedido.
Por eso, el inventario de IA no debería limitarse a una lista de proveedores y aplicaciones. Debe incorporar los casos de uso y las capacidades asociadas.
De los datos a las acciones
El riesgo resulta relativamente sencillo de visualizar cuando un usuario copia información confidencial en una herramienta pública.
Datos personales, código fuente, documentación contractual, estrategias comerciales o información de clientes pueden terminar procesándose en un servicio que la organización no ha evaluado. Surgen entonces preguntas sobre conservación, ubicación, reutilización, condiciones contractuales, proveedores y medidas de seguridad.
Con los agentes de IA aparece una dimensión adicional.
Ya no basta con preguntar qué información puede consultar un sistema. Hay que preguntar qué puede hacer con ella.
Un agente puede disponer de herramientas que le permitan acceder al correo, consultar un CRM, recuperar documentos, interactuar con una base de datos, generar código o iniciar procesos en otras aplicaciones.
Las orientaciones de la Agencia Española de Protección de Datos sobre IA agéntica destacan precisamente características como la autonomía, la planificación, la interacción con el entorno y la capacidad de acción, junto con los riesgos adicionales que pueden surgir cuando estos sistemas participan en tratamientos de datos personales.
La diferencia entre una herramienta que proporciona información y un sistema capaz de ejecutar acciones adquiere entonces especial relevancia.
Y aparece una cuestión que debería formar parte del diseño de cualquier sistema agéntico:
La capacidad técnica de un agente para realizar una acción no significa que deba estar autorizado para ejecutarla.
Shadow AI también puede revelar un problema de gobierno
Es fácil interpretar Shadow AI únicamente como un problema de comportamiento de los usuarios. En la práctica, también puede revelar una brecha entre lo que necesitan los equipos y lo que la organización les permite utilizar.
El propio NCSC advierte de que el uso de Shadow AI no responde necesariamente a una intención maliciosa. Puede aparecer cuando los empleados intentan resolver necesidades legítimas mediante herramientas que no han seguido los procesos corporativos de aprobación.
Los usuarios encuentran soluciones capaces de automatizar tareas, analizar documentos, generar código o reducir horas de trabajo. Si las alternativas corporativas son insuficientes o el procedimiento para incorporar una nueva solución resulta excesivamente lento, aumenta el incentivo para buscar alternativas.
La respuesta intuitiva puede ser bloquearlas.
Pero una estrategia basada exclusivamente en prohibiciones puede producir un resultado contraproducente: reducir el uso visible mientras desplaza parte de la actividad hacia cuentas personales, aplicaciones externas o integraciones más difíciles de detectar.
Una gobernanza excesivamente restrictiva puede, por tanto, reducir el riesgo visible mientras aumenta el riesgo invisible.
Esto no significa aceptar cualquier herramienta. Seguridad, tecnología y cumplimiento necesitan acompañar la adopción con alternativas corporativas razonables y procesos de evaluación proporcionales al riesgo.
La formación también forma parte de esta respuesta. El artículo 4 del Reglamento Europeo de Inteligencia Artificial establece actualmente que los proveedores y responsables del despliegue de sistemas de IA deben adoptar medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y de las demás personas que se encarguen en su nombre del funcionamiento y utilización de estos sistemas. Para ello deben tenerse en cuenta aspectos como sus conocimientos técnicos, experiencia, educación y formación y el contexto en el que se utilizarán los sistemas de IA.
Un usuario difícilmente puede gestionar correctamente un riesgo que no sabe identificar.
Datos, identidades y permisos
Buena parte del problema de Shadow AI puede analizarse mediante tres preguntas: qué datos utiliza, con qué identidad actúa y qué permisos tiene.
La primera conduce directamente a la protección de la información.
Los datos pueden llegar a un sistema de IA por muchas vías. El prompt es solo una de ellas. También pueden incorporarse archivos, memoria, información recuperada mediante RAG, conectores corporativos, llamadas a herramientas o resultados procedentes de otros sistemas.
En un entorno agéntico, controlar únicamente lo que un usuario escribe en el prompt resulta insuficiente.
El flujo puede ser más parecido a:
usuario → agente → contexto → repositorio → herramienta → modelo → acción → sistema externo
Cada transición introduce potenciales decisiones de acceso y nuevos flujos de información que deben ser comprendidos y, cuando corresponda, controlados.
La AEPD aborda en sus orientaciones la minimización y protección de los datos durante las diferentes etapas del ciclo de los agentes, así como cuestiones relacionadas con trazabilidad, herramientas, permisos y supervisión.
La segunda cuestión es la identidad.
Cuando el diseño y la plataforma lo permitan, las acciones ejecutadas por un agente deberían poder atribuirse de forma diferenciada y sus autorizaciones quedar delimitadas respecto de las de la persona usuaria.
El objetivo no es imponer una arquitectura IAM concreta, sino conservar atribución, mínimo privilegio, capacidad de revocación y auditabilidad.
La tercera cuestión son los permisos.
Un agente creado inicialmente para consultar documentación puede terminar obteniendo capacidad para modificar registros, enviar mensajes o ejecutar procesos. Si sus capacidades evolucionan pero sus riesgos y autorizaciones no vuelven a evaluarse, puede producirse una acumulación silenciosa de privilegios.
Recuperar visibilidad antes de intentar controlar
No se puede gobernar lo que no se conoce.
El primer paso frente a Shadow AI consiste en descubrir el uso real de inteligencia artificial dentro de la organización. Esto incluye herramientas no autorizadas, pero también nuevas capacidades de IA incorporadas a productos ya existentes.
Suscripciones desconocidas, claves API creadas fuera de los entornos establecidos, extensiones de navegador, nuevos conectores, agentes desarrollados por equipos internos o documentación corporativa enviada a servicios externos pueden proporcionar señales.
El objetivo, sin embargo, no debería ser únicamente construir un catálogo de herramientas.
Para cada caso de uso relevante interesa poder identificar quién es responsable, cuál es su finalidad, qué datos utiliza, qué proveedor y modelo intervienen, qué sistemas integra, qué permisos necesita y qué grado de autonomía posee.
El inventario deja de ser una lista de productos y se convierte en un mapa de capacidades, datos, identidades y acciones.
Controles técnicos sin una falsa sensación de cobertura
Existen tecnologías capaces de reducir parte del riesgo, pero ninguna resuelve Shadow AI por sí sola.
Un AI Gateway, por ejemplo, puede aportar autenticación, registro, aplicación de políticas y control sobre los flujos de IA que la organización consiga centralizar a través de él.
Su limitación está precisamente ahí.
No necesariamente tendrá visibilidad sobre una herramienta SaaS utilizada directamente desde el navegador, una cuenta personal, un modelo ejecutado localmente o una API que no atraviese esa infraestructura.
Algo similar ocurre con DLP.
La prevención de pérdida de datos debe contemplar prompts y archivos, pero en entornos agénticos los flujos pueden extenderse también a contextos recuperados, conectores y llamadas a herramientas. Controlar únicamente el contenido enviado inicialmente al modelo puede ofrecer una visión incompleta.
IAM aporta otra pieza. Usuarios, servicios y agentes necesitan autorizaciones coherentes con sus funciones y mecanismos que permitan atribuir las acciones realizadas.
Finalmente está la observabilidad.
Registrar únicamente que una persona utilizó un determinado modelo resulta insuficiente cuando ese sistema puede ejecutar acciones. En esos casos interesa poder reconstruir qué identidad inició la operación, qué agente intervino, qué recurso consultó, qué herramienta invocó, qué acción realizó y cuál fue el resultado.
La trazabilidad deja de terminar en el prompt. Debe alcanzar la acción.
Gobernar sin empujar la IA hacia la sombra
El objetivo no debería ser permitir toda inteligencia artificial ni prohibirla indiscriminadamente.
No presenta el mismo riesgo resumir documentación pública que proporcionar a un agente acceso a datos personales o permitirle modificar un sistema de producción. Los controles deben responder a esas diferencias.
Una vía corporativa de adopción puede combinar soluciones aprobadas, clasificación de información, evaluación de proveedores, gestión de identidades, DLP, monitorización y reglas claras sobre las acciones que requieren intervención humana.
También necesita mecanismos para incorporar nuevos usos sin convertir cada solicitud en un proceso interminable.
El Reglamento Europeo de Inteligencia Artificial tampoco trata todos los usos de IA como una categoría homogénea. Las obligaciones dependen, entre otros elementos, del papel que desempeña cada operador y del sistema de IA correspondiente.
Del mismo modo, la existencia de Shadow AI no implica automáticamente un incumplimiento del Reglamento de IA o del RGPD. La valoración dependerá del sistema, de los datos tratados, del papel de la organización y del caso de uso concreto. Otros marcos de seguridad o requisitos sectoriales podrán resultar aplicables en función de la entidad y del servicio afectado.
Desde una perspectiva GRC, el problema previo es más elemental: resulta difícil evaluar riesgos, demostrar cumplimiento o asignar responsabilidades sobre sistemas cuya existencia o utilización se desconoce.
De un catálogo de IA a un modelo de gobierno
Descubrir el uso real es únicamente el comienzo. Después hay que evaluar el riesgo, establecer controles, definir responsabilidades, monitorizar y volver a evaluar cuando cambien las capacidades o el contexto.
La proporcionalidad importa.
Una pequeña organización puede empezar identificando herramientas, estableciendo qué información no debe utilizarse en servicios externos y proporcionando alternativas aprobadas. Una organización con cientos de usuarios, múltiples modelos, APIs, conectores y agentes necesitará probablemente inventarios más dinámicos, controles de identidad, políticas de datos, evaluación de terceros y una mayor observabilidad.
Con los agentes aparece además una variable que no puede quedar fuera del gobierno: la autoridad.
No basta con aprobar el modelo o la plataforma. Hay que decidir qué acciones puede realizar el agente por sí mismo, cuáles requieren confirmación y cuáles no debe poder ejecutar.
Ese límite puede cambiar en función del contexto, de los datos utilizados, del sistema afectado y del impacto potencial de una acción.
Shadow AI no empieza únicamente cuando un empleado utiliza una herramienta que no figura en el catálogo corporativo. También pueden aparecer situaciones equivalentes dentro de plataformas autorizadas cuando surgen casos de uso, integraciones o agentes que quedan fuera de los mecanismos efectivos de gobierno.
Por eso, conocer el nombre de las herramientas utilizadas ya no es suficiente.
El objetivo es conservar visibilidad sobre qué IA interviene, qué datos utiliza, bajo qué identidad opera, qué permisos tiene y qué acciones puede ejecutar.
Cuando alguna de esas respuestas desaparece, comienza el espacio en el que crece Shadow AI.
