Un estudio de WatchGuard reveló que el uso de aplicaciones sin aprobación de las compañías se combina con otras prácticas de riesgo: el 76% reutiliza claves, el 70% trabaja conectado a redes públicas y la mitad accede a recursos corporativos sin VPN.
El uso de herramientas de inteligencia artificial no autorizadas por las empresas empieza a convertirse en un nuevo problema para los responsables de ciberseguridad. Un estudio de WatchGuard reveló que el 64% de los empleados encuestados reconoce utilizar aplicaciones de IA que no cuentan con la aprobación de su organización para realizar tareas laborales.
Esta práctica es conocida como Shadow AI y representa una extensión de un fenómeno que las áreas de tecnología conocen desde hace años: empleados que incorporan programas, servicios o plataformas por su cuenta, fuera de los sistemas supervisados por la compañía.
El problema adquiere una nueva dimensión con la inteligencia artificial porque algunas de estas herramientas requieren que el usuario ingrese textos, documentos, fragmentos de código, bases de datos u otra información para obtener una respuesta. Cuando la aplicación no está autorizada, la organización puede perder visibilidad sobre qué datos salen de sus sistemas y cómo son tratados posteriormente.
Los resultados forman parte del Informe sobre Higiene en Ciberseguridad 2026 de WatchGuard, que también detectó una distancia entre las políticas establecidas por las empresas y la manera en que sus empleados utilizan diariamente dispositivos, aplicaciones y conexiones a internet.
Shadow AI: por qué preocupa el uso de herramientas de IA sin autorización
La expansión de las aplicaciones de inteligencia artificial ocurrió a mayor velocidad que la implementación de políticas internas para controlar su utilización.
Según el informe, menos del 30% de los encuestados considera que su organización mantiene un inventario preciso del software utilizado, mientras que casi el 40% afirma que su empresa no tiene visibilidad completa sobre las aplicaciones que emplean los trabajadores.
Ese punto ciego dificulta que las áreas de TI determinen qué servicios tienen acceso a información corporativa, cuáles cumplen con las políticas internas y qué datos pueden terminar procesados por plataformas externas.
El riesgo no reside solamente en la utilización de una aplicación determinada, sino también en qué información ingresan los empleados y bajo qué condiciones se procesa o almacena.
Por ese motivo, las organizaciones comenzaron a desarrollar políticas específicas que determinan qué servicios de inteligencia artificial pueden utilizarse, para qué tareas y qué tipo de información está permitido compartir con ellos.
“Las organizaciones están invirtiendo en herramientas de seguridad, pero muchas siguen sin tener visibilidad sobre cómo trabajan realmente sus empleados”, señaló Marc Laliberte, director de Operaciones de Seguridad de WatchGuard.
Contraseñas repetidas y Wi-Fi público: otros hábitos que aumentan el riesgo
La inteligencia artificial no es el único problema detectado por el estudio. Algunas prácticas mucho más conocidas continúan presentes entre los trabajadores y pueden facilitar ataques contra cuentas y sistemas corporativos.
El 76% de los empleados encuestados reconoció reutilizar contraseñas en diferentes servicios, mientras que un 30% aseguró que comparte claves con otras personas.
La reutilización de credenciales es especialmente problemática cuando una contraseña aparece en una filtración. Los ciberdelincuentes pueden probar esas mismas combinaciones de usuario y clave en otros servicios para intentar acceder a correos electrónicos, aplicaciones corporativas o plataformas internas.
El estudio también reveló que el 70% utiliza redes Wi-Fi públicas para trabajar y que el 50% accede a recursos de la empresa sin utilizar una VPN.
Las conexiones abiertas o insuficientemente protegidas pueden aumentar la exposición de los dispositivos, especialmente cuando se utilizan para acceder a información sensible o servicios internos desde hoteles, aeropuertos, cafeterías y otros espacios públicos.
A estos comportamientos se suma otro cambio relacionado con el trabajo híbrido: el 55% de los encuestados utiliza dispositivos laborales para actividades personales.
Esa combinación puede ampliar la superficie de ataque, ya que una computadora administrada por una empresa también puede terminar utilizada para ingresar a páginas, descargar archivos o abrir mensajes que quedan fuera del entorno corporativo habitual.
Qué pueden hacer las empresas para reducir estos riesgos
El crecimiento del Shadow AI obliga a las organizaciones a revisar políticas que hasta hace poco estaban concentradas principalmente en contraseñas, redes y dispositivos.
Entre las medidas propuestas por WatchGuard aparecen la implementación de gestores de contraseñas y autenticación multifactor, junto con mecanismos que permitan identificar aplicaciones y servicios utilizados sin autorización.
También recomienda establecer reglas específicas sobre inteligencia artificial para que los empleados sepan qué herramientas pueden utilizar y qué información no deben ingresar en ellas.
A estas medidas se suman la utilización de VPN o sistemas basados en modelos Zero Trust para conexiones externas y programas permanentes de capacitación en seguridad.
El desafío consiste en ampliar la protección más allá de los sistemas tradicionales. Con aplicaciones de inteligencia artificial accesibles desde cualquier navegador y empleados que trabajan desde múltiples redes y dispositivos, una parte creciente de la seguridad depende también de cómo se utiliza la tecnología fuera de los controles habituales de las empresas.