IA sombra, definida
La IA en la sombra es el uso de herramientas y servicios de IA por parte de los empleados sin el conocimiento, la aprobación o la supervisión de los equipos de TI y seguridad.
Es la evolución de la era de la IA en la sombra, y abarca chatbots de consumo, cuentas personales en asistentes de IA, funciones de IA integradas en productos SaaS aprobados y agentes autónomos de IA.
La característica definitoria de la IA en la sombra no es la herramienta, sino la ausencia de supervisión. El mismo chatbot puede ser IA autorizada en una empresa y IA en sombra en otra. Lo que importa es si la informática y la seguridad saben que está en uso, han revisado cómo gestionan los datos y pueden ver qué fluye hacia ellos.
La IA en la sombra rara vez es maliciosa. Los empleados recurren a la IA porque acelera el trabajo, y la mayoría no sabe que un párrafo copiado puede constituir una transferencia de datos a un tercero no evaluado. Por eso la respuesta moderna es descubrimiento, políticas y coaching en lugar de castigo. La versión corta de esta definición se encuentra en Aona. Glosario de gobernanza de la IA, y una versión interactiva con un cuestionario de autoevaluación está en ¿qué es la IA en la sombra? El explicador interactivo.
Última actualización: julio de 2026
Todas las estadísticas en esta página llevan su fuente y año en línea, y provienen de las páginas de estadísticas con fuente de Aona. Esta guía es información general para equipos de seguridad, TI y gobernanza, no asesoría legal.
Cómo se diferencia la IA sombra de la TI en la sombra
Shadow IA hereda el problema central del shadow IT, tecnología en uso sin aprobación, pero cambia su velocidad, forma y visibilidad. Tratarlo como shadow IT ordinario es por qué muchas organizaciones lo subestiman.
Desplázate horizontalmente para comparar todas las columnas.
| Dimensión | Shadow IT | IA de las sombras |
|---|---|---|
| Lo que cubre | Software, servicios en la nube y dispositivos no aprobados | Herramientas de IA no aprobadas, cuentas personales de IA, funciones de IA dentro del SaaS aprobado y agentes de IA |
| Cómo se van los datos | Archivos almacenados o sincronizados en aplicaciones no autorizadas | Datos pegados o subidos en prompts, luego procesados y a veces retenidos por modelos de terceros |
| Velocidad de exposición | Se acumula durante semanas o meses | Un solo prompt puede exponer datos sensibles en segundos |
| Visibility | Aparece en los registros de red, en los informes de compras y gastos | A menudo invisible: las herramientas de navegador gratuitas, las cuentas personales y las funciones integradas no dejan rastro de compras |
| Respuesta típica | Bloquea la app o aprueba una alternativa | Descubrimiento más política, DLP y coaching, porque el bloqueo total empuja el uso a dispositivos personales |
La diferencia práctica es la unidad de exposición. Shadow IT filtra datos por donde se almacenan los archivos. Shadow AI filtra datos a través de lo que las personas escriben y suben, un prompt a la vez, hacia servicios que pueden retenerlos, aprender de ellos o procesarlos en otra jurisdicción.
Cómo es la IA de las sombras en la práctica
Seis patrones explican la mayoría del shadow IA en la empresa. Ninguno requiere mala intención y varios pueden ocurrir dentro de software ya aprobado por la empresa.
Pegar datos sensibles en ChatGPT
Un empleado pega registros de clientes, contratos, cuentas financieras o código fuente en ChatGPT en una cuenta gratuita o personal para resumirlos o reescribirlos. Los datos salen de la empresa en un solo prompt, sin registro ni acuerdo de procesamiento de datos.
Cuentas personales de Copiloto y asistente
El personal utiliza suscripciones personales Microsoft Copilot, Claudeo Gemini para documentos de trabajo porque la empresa no ha emitido licencias. El contenido de trabajo se transmite a través de los términos de servicio para consumidores en lugar de un acuerdo empresarial.
Funciones de IA dentro del SaaS aprobado
Los proveedores activan asistentes de IA dentro de software que fue aprobado antes de que tuviera IA. Las herramientas de diseño, CRM, RRHH y reuniones ahora envían contenido a proveedores modelo que nunca pasaron por revisión de seguridad.
Agentes de IA y conectores MCP
Los empleados conectan agentes autónomos, GPTs personalizados o conectores de MCP que mantienen acceso permanente a correos electrónicos, archivos o sistemas internos. Un agente no revisado puede leer y actuar sobre muchos más datos que un solo prompt.
Asistentes de reuniones y tomadores de notas de IA
Los tomadores de notas por IA no verificados se unen a las llamadas y graban discusiones que pueden incluir datos de clientes, términos de la operación o asuntos de RRHH, y luego almacenan transcripciones en infraestructuras que nadie ha evaluado.
Extensiones de navegador de IA
Las extensiones gratuitas que resumen, traducen o autocompletan pueden leer el contenido completo de cada página que un empleado vea, incluyendo consolas internas de administración y registros de clientes.
Por qué ocurre la IA en las sombras
Shadow IA es un resultado previsible de incentivos, no un problema disciplinario. Cinco fuerzas lo impulsan en casi todas las organizaciones.
La IA realmente ahorra tiempo
Los empleados adoptan herramientas de IA porque funcionan. Redacción, resumen, programación y análisis se vuelven notablemente más rápidos, y las personas bajo presión de plazo usarán lo que les ayude.
La IA para consumidores no necesita contratación
La mayoría de las herramientas de IA son aplicaciones de navegador gratuitas o baratas que tardan segundos en registrarse. No hay factura, ni instalación, ni nada que un proceso tradicional de aprobación de software pueda detectar.
La aprobación no puede seguir el ritmo
Las nuevas herramientas y funciones de IA se lanzan semanalmente. Los ciclos de revisión de seguridad diseñados para compras anuales de software no pueden evaluarlas tan rápido como las descubren los empleados.
Las prohibiciones generales se vuelven contraproducentes
Cuando las empresas bloquean la IA por completo, su uso se traslada a los teléfonos personales y cuentas domésticas, donde la organización no tiene ninguna visibilidad ni ningún control.
La IA llega a las herramientas aprobadas
Incluso los empleados que intentan seguir las normas acaban usando IA no revisada, porque los proveedores integran funciones de IA en productos SaaS que fueron aprobadas mucho antes de que existieran esas funciones.
Los tres riesgos que convierten a la IA en la sombra en un problema de seguridad
El riesgo de shadow IA se concentra en tres áreas. Cada una existe porque los datos cruzan un límite organizativo sin revisión, acuerdo o registro.
Fuga de datos
La información sensible introducida en prompts o subidas de archivos sale del control de la organización y puede ser retenida por el proveedor de IA o utilizada para formación de modelos. El 48% de los empleados han introducido información no pública de la empresa en herramientas de IA, según el Cisco AI Readiness Index (2024).
Infracciones de cumplimiento
Los datos regulados procesados por servicios de IA no aprobados infringen las normas de privacidad y del sector, ya que no existe ningún acuerdo de procesamiento de datos, control de residencia ni rastro de auditoría. Las multas bajo la Ley de IA de la UE alcanzan hasta el 7% de los ingresos anuales globales para sistemas de IA prohibidos (Reglamento 2024/1689).
Pérdida de propiedad intelectual
El código fuente, las hojas de ruta del producto, los términos de los acuerdos y los métodos propietarios pegados en herramientas de IA externas pueden acabar fuera de la empresa de forma permanente, sin forma de demostrar dónde fueron o recuperarlos.
Estos riesgos se agravan en el propio incidente: las brechas que involucran herramientas de IA son más difíciles de detectar y contener que las convencionales. Las brechas de datos que involucran herramientas de IA cuestan de media más de 6,5 millones de dólares, según el Informe de Coste de una Brecha de Datos de IBM (2025).
Estadísticas de la IA en la sombra
Diez cifras con fuente que cuantifican adopción, exposición y preparación para gobernanza de shadow IA. Cada estadística está escrita como frase completa con fuente y año, lista para citar.
- 55%
El 55% de los empleados utilizan herramientas de IA no aprobadas en el trabajo, según el Informe sobre el Estado de TI de Salesforce (2024).
- 78%
El 78% de los empleados que utilizan IA en el trabajo trajeron sus propias herramientas en lugar de usar las proporcionadas por el empleador, según el Informe de IA en el Trabajo de Microsoft WorkLab (2025).
- 52%
El 52% de los empleados afirma que no le diría a su responsable que usaba IA para completar una tarea laboral, según el Informe de IA en el Trabajo de Microsoft WorkLab (2025).
- 48%
El 48% de los empleados ha introducido información de empresas no públicas en herramientas de IA, según el Cisco AI Readiness Index (2024).
- 46%
El 46% de los empleados han pegado datos confidenciales de clientes en un chatbot público de IA, según el Informe de Seguridad de Datos de IA Cyberhaven (2024).
- 158+
La empresa media cuenta con más de 158 herramientas de IA en la sombra en uso activo, según la Encuesta de Gobernanza de IA de Gartner (2025).
- $6.5M+
Las filtraciones de datos que involucran herramientas de IA cuestan de media más de 6,5 millones de dólares, según el Informe de Coste de una Brecha de Datos de IBM (2025).
- 67%
El 67% de los CISOs afirman que su organización ha experimentado al menos un incidente de seguridad vinculado a una herramienta de IA no autorizada en los últimos 12 meses, según la Encuesta ISACA State of AI Security (2025).
- 23%
Solo el 23% de las organizaciones cuentan con un marco formal de gobernanza de la IA, según la Encuesta Global de Gobernanza de la IA de Deloitte (2025).
- 60%
El 60% de las organizaciones no tienen una política formal de uso de IA, según el IBM Institute for Business Value (2025).
La lista numerada completa de estadísticas de IA en la sombra, con categorías y metodología, se encuentra en el Estadísticas de IA en la sombra 2026 Página.
Cómo detectar la IA de sombras
Ningún control único ve todo el shadow IA. Los programas maduros combinan cuatro métodos de detección y los ponderan hacia navegador y endpoint, porque ahí ocurren los prompts.
Telemetría de navegador y punto final
Observa el uso de la IA en el punto del prompt: qué herramientas de IA abren los empleados, qué categorías de datos presentan y qué cuentas utilizan. Esta es la única capa que detecta el uso de cuentas personales en dispositivos gestionados.
Análisis del tráfico de red
Identificar conexiones a servicios y APIs de IA conocidos en el proxy o en la pasarela web segura. Efectivo para uso en red, pero ciego ante dispositivos personales y funciones de IA integradas en SaaS aprobado.
Análisis de identidad y OAuth
Audita las aplicaciones, agentes e integraciones de IA relacionados con las identidades corporativas. Las subvenciones OAuth revelan herramientas de IA con acceso permanente a correos electrónicos, archivos y calendarios que nunca pasaron por revisión.
Revisión de postura SaaS
Inventa las funciones de IA activadas dentro de productos SaaS autorizados y los subprocesadores que los rodean, de modo que la IA integrada se evalúa con el mismo rigor que las herramientas independientes.
Pedir a los empleados que se auto-informen no sustituye a la telemetría: el 52% de los empleados dice que no le diría a su gerente que usó IA para completar una tarea laboral, según el Informe Microsoft WorkLab AI at Work (2025). Aona. Descubrimiento de IA en la sombra mapas qué herramientas de IA se utilizan en toda la fuerza laboral, y Detección de IA sombra Ve los avisos arriesgados en tiempo real en el navegador.
Cómo gobernar la IA en la sombra
El objetivo de la gobernanza de shadow IA no es cero IA, sino cero IA sin gobernar. Cinco pasos llevan a una organización de punto ciego a programa gestionado.
Descubre el uso real
Empieza con evidencias, no con suposiciones. Mapea qué herramientas de IA se usan, por quién y con qué datos, antes de escribir reglas para un paisaje que no puedas ver.
Publicar una política de uso aceptable
Informa a los empleados qué herramientas están aprobadas, qué clases de datos están prohibidas y cómo solicitar una nueva herramienta. Escríbela para empleados, no para auditores.
Aprueba las herramientas de las que la gente confía
Cuando una herramienta ampliamente utilizada pasa la revisión de seguridad, avísala con un acuerdo empresarial. Satisfacer la demanda con una opción gobernada es lo que realmente reduce el uso de sombras.
Aplica DLP en el punto del prompt
Evitar que datos sensibles entren en herramientas de IA con controles que actúan en el navegador y en el punto final, donde se escriben los avisos, en lugar de solo en el borde de la red.
Entrenador en tiempo real e informe
Guía a los empleados en el momento de un prompt arriesgado y luego informa a la dirección de seguridad sobre adopciones, incidentes y cambios de comportamiento como evidencia de auditoría.
Dos puntos de partida gratuitos: el Plantilla de política de uso aceptable de IA para el paso dos, y el Plantilla de plan de respuesta a incidentes de IA en la sombra para cuando datos sensibles ya han entrado en una herramienta de IA.
Una organización sanitaria australiana redujo las solicitudes de Shadow AI en un 92,8% en 30 días
La organización había aprobado Microsoft Copilot, pero el personal también visitaba más de siete plataformas de IA no autorizadas. Durante la inspección inicial, Aona aparecieron 446 solicitudes de IA Sombra enviadas fuera de la herramienta aprobada y 8.904 visitas a experiencias de IA no autorizadas. Tras activar las barreras de seguridad, las solicitudes de IA Sombra bajaron a 32 en 30 días.
El cliente es anonimizado por motivos de confidencialidad. Los detalles completos, incluido el enfoque de despliegue, están en el Aona Estudios de caso.
Recursos relacionados con IA en sombras
Esta guía es la referencia completa. Estas páginas cubren la definición corta, el explicador interactivo, la lista completa de estadísticas y las plantillas para actuar.
Definición del glosario de IA en sombra
La definición breve de IA en la sombra en el glosario de gobernanza de la IA de Aona.
→ de recursos abiertos
Interactivo: ¿es IA en la sombra?
Un rápido explicativo interactivo y un cuestionario de autoevaluación sobre escenarios de IA en sombra.
→ de recursos abiertos
Estadísticas de IA en la sombra 2026
La lista completa numerada de estadísticas de IA en sombra que se encuentran detrás de esta guía.
→ de recursos abiertos
Plantilla de política de uso aceptable de IA
Una plantilla de política gratuita y editable para definir el uso aprobado de IA para empleados.
→ de recursos abiertos
Plan de respuesta a incidentes de IA en la sombra
Una plantilla para responder cuando datos sensibles han entrado en una herramienta de IA.
→ de recursos abiertos
Detección de IA de sombras con Aona
Cómo Aona detecta y entrena el uso arriesgado de la IA en tiempo real, en el navegador.
→ de recursos abiertos