IA en la sombra: cómo descubrir y gobernar la inteligencia artificial que tu empresa no ve
November 10, 2026
¿Cuántas herramientas, modelos y agentes de IA están funcionando hoy en tu organización?
Si la respuesta honesta es «no lo sabemos con certeza», estás en buena compañía. Hay colaboradores que pegan documentos en chatbots públicos, equipos que conectan asistentes de IA a sus aplicaciones en la nube, desarrolladores que crean agentes con acceso a sistemas internos y proveedores que agregan funciones de IA generativa a software que ya pagas, sin avisarte.
Cada una de esas decisiones tiene sentido para quien la toma. Sumadas, dan lugar a la IA en la sombra (en inglés, shadow AI): el uso de inteligencia artificial que TI, seguridad y riesgo no pueden ver, no pueden gobernar y no pueden defender cuando algo sale mal.
En este artículo vas a entender por qué la IA en la sombra se convirtió en un riesgo de alta dirección, dónde se esconde, cuánto cuesta y cómo armar un modelo práctico de descubrimiento y gobierno que no frene la innovación.
La IA en la sombra es cualquier uso de inteligencia artificial que ocurre fuera del gobierno aprobado por la empresa: sin revisión de seguridad, sin clasificación de datos, sin un responsable y sin registro en un inventario.
Se parece al shadow IT de toda la vida, pero tiene tres diferencias que la vuelven más peligrosa:
Este último punto es clave. La IA en la sombra no es solo un problema de conducta. Es un problema de visibilidad que atraviesa personas, aplicaciones, proveedores e infraestructura.
Los datos de 2026 muestran que la IA en la sombra dejó de ser una anécdota y se volvió una exposición medible.
El Lenovo Work Reborn Research Series 2026, una encuesta global a 6000 colaboradores de grandes empresas, encontró que entre una quinta parte y un tercio de los trabajadores usa IA fuera de la influencia y el gobierno del área de TI.
Otra encuesta de 2026, realizada por Wakefield Research por encargo de PagerDuty a 1250 profesionales de empresas con ingresos anuales de al menos 500 millones de dólares, reportó que el 66 % había usado herramientas de IA en el trabajo pese a creer que la política de su empresa no lo permitía. En el mismo estudio, el 34 % admitió haber ingresado datos de clientes en herramientas públicas de IA.
Son estudios con metodologías y públicos distintos, así que no conviene sumarlos. Pero apuntan a lo mismo: una parte importante del uso de IA ocurre donde el gobierno no llega.
El Cost of a Data Breach Report 2026 de IBM, basado en 602 organizaciones, ubica el costo promedio global de una filtración en 4,99 millones de dólares, un récord. Según los análisis publicados sobre el informe, el 43 % de los incidentes de seguridad involucró herramientas de IA no aprobadas, frente al 20 % del año anterior, y el 92 % de las organizaciones que sufrieron un incidente relacionado con IA no tenía controles de acceso para la IA.
Para América Latina, la edición 2026 del mismo estudio, según datos de IBM difundidos por la agencia EFE con información de México, Argentina, Chile y Colombia, sitúa el costo promedio de una filtración en 4,65 millones de dólares. Cerca del 19 % de los ataques maliciosos en la región ya utiliza IA.
El mismo reporte muestra el otro lado de la moneda: las empresas latinoamericanas que usan de forma extensiva IA y automatización en seguridad registraron un costo promedio de 4,04 millones de dólares, frente a 5,64 millones de las que no lo hacen. La IA bien gobernada protege; la IA invisible expone.
El Enterprise AI Maturity Index 2026 de ServiceNow, una encuesta de ThoughtLab a 4500 ejecutivos de 19 países, muestra una brecha marcada. Entre el 21 % de organizaciones que clasifica como Pacesetters, el 61 % tiene procesos de prueba, auditoría y evaluación de riesgos de IA. En el resto, la cifra cae al 10 %.
En ese espacio entre la velocidad con la que se expande la IA y la velocidad con la que la alcanza el gobierno es donde crece la IA en la sombra.
Para encontrarla tienes que mirar en más lugares de los que cubre una revisión típica de shadow IT.
Chatbots y asistentes de redacción que se usan desde el navegador con información corporativa. Es la categoría más visible y la que más atienden las políticas.
El CRM, la suite de colaboración, el sistema de recursos humanos o las herramientas de diseño incluyen cada vez más funciones de IA que un administrador, o incluso un usuario final, puede activar. Heredan la aprobación de la aplicación original sin una nueva evaluación de riesgo.
Equipos que construyen agentes con herramientas de bajo código, scripts o frameworks de IA conectados a sistemas internos. A veces corren con credenciales personales o con cuentas de servicio con demasiados permisos.
Los equipos de datos y desarrollo consumen API de modelos y los despliegan en distintos entornos de nube. Sin descubrimiento, nadie sabe qué modelo procesa qué datos.
Tus proveedores procesan tus datos con su propia IA. Esto pertenece a la gestión de riesgo de terceros y casi nunca recibe el escrutinio que merece. Si ese proceso ya está desbordado en tu empresa, te va a servir leer cómo poner orden en la gestión de riesgo de terceros.
Suscripciones individuales pagadas con tarjeta corporativa y reportadas como gasto. Son una pista muy útil: sigue el dinero y casi siempre encontrarás el uso. La misma disciplina que aplicas en las auditorías de licencias de software sirve para las suscripciones de IA.
La IA en la sombra genera cinco tipos de riesgo, y cada uno tiene un dueño distinto. Por eso el problema suele caer entre las grietas de la organización.
Exposición de datos. Documentos confidenciales, datos de clientes, código fuente e información financiera salen de los entornos controlados a través de instrucciones e integraciones.
Incumplimiento regulatorio y contractual. Las leyes de protección de datos personales que rigen en México, Colombia, Chile, Perú, Brasil y otros países de la región, junto con la regulación sectorial de la banca y los seguros, limitan dónde y quién puede procesar ciertos datos. Si no sabes qué IA se usa, no puedes demostrar cumplimiento.
Acciones sin control. Agentes con permisos excesivos pueden modificar registros, enviar comunicaciones o disparar transacciones sin los controles que aplicas a las personas.
Calidad de las decisiones. Resultados de modelos no validados alimentan reportes, respuestas a clientes y decisiones operativas sin pruebas, monitoreo ni responsables.
Gasto descontrolado. Suscripciones duplicadas, consumo de API sin gestión y herramientas que se pisan entre sí inflan el gasto sin un caso de negocio claro.
Ninguno de estos riesgos exige mala intención. La mayor parte de la IA en la sombra viene de personas que solo quieren trabajar más rápido. Por eso prohibir la IA rara vez funciona: solo empuja el uso todavía más lejos de la vista.
La mayoría de las empresas empezó por una política de uso aceptable de IA. Es un paso necesario, pero muy lejos de ser suficiente.
Una política le dice a la gente qué debería hacer. No te dice qué está haciendo de verdad. La encuesta de PagerDuty lo ilustra bien: el 86 % creía que su empresa tenía políticas formales de IA y, aun así, dos de cada tres habían usado IA de maneras que creían no permitidas.
Un gobierno eficaz necesita tres cosas que una política, por sí sola, no te da:
No tienes que resolverlo todo de una vez. Este marco de cinco pasos te lleva de la visibilidad al control sin detener al negocio.
Empieza por encontrar lo que existe. Combina varias fuentes:
El tono importa mucho. Presenta el descubrimiento como una forma de habilitar, no como una cacería. La gente comparte más cuando entiende que el objetivo es darle herramientas seguras.
Registra cada activo de IA en un solo lugar, con el mismo rigor que aplicas a cualquier otro elemento de configuración. Un buen inventario de IA incluye:
Si ya tienes una CMDB, amplíala en lugar de abrir otra hoja de cálculo. Los agentes de IA dependen de datos precisos sobre servicios y dependencias, como explicamos en CMDB y agentes de IA en ServiceNow.
No todos los usos de IA tienen el mismo riesgo. Define niveles simples:
Cada nivel recibe controles proporcionales. Así evitas que el gobierno se convierta en un cuello de botella para la experimentación de bajo riesgo.
La IA en la sombra se reduce más rápido cuando la gente tiene herramientas aprobadas que funcionan bien. Para cada caso de uso frecuente que descubras, decide si apruebas la herramienta actual con controles, la reemplazas por una opción corporativa o la retiras.
El gobierno es un ciclo, no un proyecto. Necesitas rutinas para:
Los agentes elevan la exigencia porque actúan por su cuenta. Gobernarlos exige responder preguntas que el gobierno de software tradicional nunca tuvo que plantearse:
Algunas empresas ya tratan a los agentes como parte de su fuerza laboral. En un anuncio de ServiceNow de octubre de 2026, el CISO de LTM contó que su organización desplegó 1500 agentes de IA, cada uno con un número de empleado y un responsable asignado. Llegues o no a ese nivel, el principio es el mismo: cada agente necesita un dueño, un alcance y un registro. Si quieres ver cómo se aplica esto en un sector regulado, revisa qué son los agentes de IA y por qué los bancos de LatAm deben implementarlos.
Cuando la IA se multiplica, las hojas de cálculo y las herramientas aisladas dejan de escalar. Al evaluar una plataforma para gobernarla, busca estas capacidades:
Es el espacio que ServiceNow cubre con AI Control Tower. En Knowledge 2026, la compañía presentó la versión ampliada de AI Control Tower como una solución de punta a punta para descubrir, observar, gobernar y proteger la IA empresarial, con visibilidad sobre sistemas, agentes e identidades de distintos proveedores de modelos y nubes. En octubre de 2026 anunció nuevas capacidades, entre ellas la detección de IA en la sombra para encontrar agentes no aprobados en la red y AI Passport, una credencial firmada que define qué puede hacer cada agente en tiempo de ejecución.
La ventaja de anclar el gobierno de la IA en la misma plataforma donde ya gestionas TI, riesgo y activos es muy concreta: la IA pasa a formar parte de los procesos que ya usas para cambios, accesos, incidentes, riesgo de terceros y auditorías, en lugar de vivir en otro silo.
Si necesitas mostrar avances rápido, este plan te da visibilidad y un primer nivel de control.
Semanas 1 y 2. Nombra un patrocinador ejecutivo y un grupo transversal con TI, seguridad, riesgo, legal y negocio. Acuerden los niveles de riesgo.
Semanas 3 y 4. Ejecuta el descubrimiento en red, aplicaciones, nube y gastos. Lanza la encuesta a los equipos.
Semanas 5 y 6. Arma el primer inventario. Clasifica los hallazgos principales y detecta los cinco casos de uso más frecuentes.
Semanas 7 y 8. Aprueba o reemplaza herramientas para esos casos. Aplica controles a los hallazgos de alto riesgo y presenta la línea base a la dirección.
Al cabo de 60 días no tendrás un gobierno perfecto. Tendrás algo mucho más valioso que una política: una foto real de tu huella de IA y un proceso repetible para gestionarla.
No. También es un problema de cumplimiento, de costos y de calidad de las decisiones. Por eso su gobierno debe involucrar a TI, seguridad, riesgo, legal y negocio.
Bloquear sin ofrecer alternativas empuja el uso fuera de la vista. Funciona mejor ofrecer herramientas aprobadas para las necesidades comunes y aplicar controles según el riesgo.
De forma continua, si es posible. Cada semana aparecen herramientas, funciones y agentes nuevos.
La responsabilidad suele ser compartida, con un ejecutivo a cargo del programa y responsables claros para cada activo de IA.
La IA en la sombra es un síntoma de demanda. Tu gente quiere trabajar más rápido y la IA la ayuda. El objetivo es que ese uso sea visible, seguro y medible.
Las empresas que lo logran obtienen una doble ventaja: menos riesgo y una adopción de IA más rápida y con más confianza, porque los equipos saben qué herramientas están aprobadas y la dirección sabe dónde se está creando valor.
En GB Advisors ayudamos a empresas de Latinoamérica y el Caribe a construir el gobierno de la IA sobre ServiceNow, desde el descubrimiento y el inventario hasta los flujos de riesgo y la supervisión de agentes con AI Control Tower. Podemos empezar con un diagnóstico de tu huella de IA y de tu madurez de gobierno.
¿Quieres saber cuánta IA está funcionando hoy en tu empresa? Habla con nuestro equipo y agenda una conversación con un especialista en gobierno de IA sobre ServiceNow.
