El informe Cost of a Data Breach 2026 de IBM —una de las referencias más citadas de la industria, con más de dos décadas de historia— identificó algo que muchos equipos de seguridad todavía no tienen en su radar: uno de cada cinco encuestados reportó haber sufrido un ciberataque relacionado con Shadow AI, y esas brechas costaron en promedio USD 670.000 más que las de organizaciones con poco o ningún uso de IA no gobernada.
Qué es exactamente Shadow AI
El concepto no es nuevo en el fondo —es una variante de "Shadow IT", el uso de sistemas sin aprobación formal— pero la IA lo hizo mucho más frecuente y difícil de rastrear. Pegar código fuente en un chatbot público para depurarlo, subir un contrato confidencial a un asistente para resumirlo, o conectar un agente a una base de datos de clientes "solo para probar" no requiere instalar software, pedir presupuesto ni pasar por ningún proceso de aprobación. Basta una cuenta personal y un navegador.
Ese es precisamente el problema: cada una de esas acciones puede sacar datos sensibles de la organización hacia un tercero que nadie en seguridad revisó, sin que quede ningún registro formal de que ocurrió.
de costo adicional en promedio para las brechas que involucran Shadow AI, comparadas con organizaciones con poco o ningún uso de IA no gobernada, según el reporte Cost of a Data Breach 2026 de IBM.
Por qué el problema está empeorando, no mejorando
Lo más incómodo del reporte de IBM no es el costo en sí, sino la dirección en la que va la gobernanza. Según el estudio, la exigencia de aprobación de TI antes de desplegar una herramienta de IA bajó respecto al año anterior, en lugar de subir, justo cuando la adopción de IA dentro de las organizaciones sigue acelerando. La mayoría de las empresas todavía no cuenta con un programa formal de gobernanza capaz de gestionar o siquiera detectar el uso de IA no autorizada.
A esto se suma un dato que debería preocupar a cualquier equipo de seguridad: entre las organizaciones que reportaron brechas relacionadas con IA, la gran mayoría reconoció no contar con controles de acceso adecuados sobre esas herramientas o los datos que procesaban.
Por qué cuesta tanto más cuando ocurre
Las herramientas de IA no autorizadas casi nunca fueron incluidas en el inventario de activos ni en la clasificación de datos de la organización. Cuando una de ellas se ve comprometida, nadie sabía exactamente qué información sensible estaba de por medio hasta que ya es parte del incidente. El reporte de IBM lo confirma: en brechas donde hubo Shadow AI, la proporción de casos con datos personales de clientes expuestos fue notablemente mayor que en el promedio general de brechas.
Es el mismo patrón de fondo que vimos con el gusano de npm que expuso cadenas de suministro enteras: el riesgo no vive en el perímetro que monitoreas, vive en los rincones que nadie inventarió.
Qué puede hacer tu organización esta semana
1. Construye un inventario real de herramientas de IA en uso
No el que aparece en el catálogo oficial de software aprobado, el que realmente usan los equipos hoy. Una encuesta directa y sin fricción suele revelar más que cualquier escaneo automático como primer paso.
2. Define una política clara, no una prohibición
Qué datos pueden salir hacia una herramienta externa, cuáles nunca, y qué herramientas están aprobadas para qué uso. Prohibir sin ofrecer una alternativa viable solo empuja el uso más lejos de la vista de seguridad.
3. Cierra la brecha de controles de acceso
Si la mayoría de las organizaciones con brechas de IA reconoce no tener controles de acceso adecuados, ese es el punto de partida más urgente, no el último. Nuestro servicio de Auditoría de Seguridad incluye revisión de accesos y cumplimiento normativo aplicado específicamente a estas herramientas.
4. Convierte esto en gobernanza continua, no un proyecto puntual
La adopción de IA no se detiene, así que la gobernanza tampoco puede ser un ejercicio de una sola vez. Nuestro servicio de CISOaaS existe exactamente para esto: liderazgo estratégico continuo que mantenga la gobernanza de IA al día con la velocidad real de adopción dentro de tu organización.
Preguntas frecuentes
¿Qué es Shadow AI y en qué se diferencia de Shadow IT?
Shadow IT es el uso de cualquier sistema sin aprobación formal de TI. Shadow AI es ese mismo fenómeno aplicado a herramientas de inteligencia artificial, más frecuente porque no requiere instalar nada ni pasar por procurement: basta una cuenta personal.
¿Por qué las brechas con Shadow AI cuestan más?
Porque procesan datos que nunca fueron inventariados ni clasificados. Según IBM, casi dos tercios de esas brechas exponen datos personales de clientes, frente a poco más de la mitad en brechas generales.
¿Cómo se detecta el uso no autorizado de IA en una empresa?
Con inventario activo de herramientas en uso, revisión de tráfico hacia servicios de IA conocidos, encuestas directas a los equipos, y un canal simple para solicitar la aprobación de nuevas herramientas.
¿Prohibir el uso de IA es la solución?
Rara vez funciona: la presión por productividad hace que las prohibiciones se evadan igual, solo que sin ningún registro. Es más efectivo ofrecer alternativas aprobadas junto con una política clara.
¿Qué rol cumple la gobernanza en esto?
Es el factor central. La mayoría de las organizaciones aún no tiene un programa de gobernanza para gestionar o detectar Shadow AI, y la exigencia de aprobación de TI ha bajado en el último año pese al riesgo creciente.