La IA sospechosa (Shady AI), que ocurre cuando se usan herramientas aprobadas de formas imprevistas o inseguras, como sucedió en Meta. A diferencia de la IA no autorizada, esta es más difícil de controlar porque ocurre dentro de la organización y evoluciona más rápido que las políticas. La solución propuesta es implementar una gobernanza predeterminada que integre controles de acceso y visibilidad directamente en el entorno de trabajo.



En marzo de 2026, un agente de IA interno en Meta provocó un incidente de "Sev 1" después de que datos sensibles de la empresa y de los usuarios fueran expuestos a empleados que no estaban autorizados a acceder a ellos.

El incidente comenzó cuando un empleado de Meta publicó una pregunta técnica en un foro interno. Un ingeniero utilizó un agente de IA aprobado para analizarla, pero el agente publicó su respuesta públicamente sin aprobación. El empleado siguió su consejo, dejando inadvertidamente un gran volumen de datos sensibles disponibles para ingenieros no autorizados durante más de dos horas.

Esto no fue "shadow AI". La herramienta estaba aprobada, pero la IA se comportó de maneras que nadie había previsto.

Es un ejemplo perfecto del próximo gran problema de gobernanza de la IA en seguridad: la "shady AI" (IA sombría).

* Shadow AI es el uso de herramientas de IA no aprobadas.
* Shady AI es cuando los empleados utilizan herramientas de IA aprobadas de maneras no aprobadas, inesperadas o mal gobernadas.

La Shadow AI ocurre fuera de la visibilidad de la organización. La Shady AI ocurre dentro de ella. Y eso hace que sea mucho más difícil de ver, controlar y gobernar.

El auge de la shady ai

La gobernanza de la IA no es responsabilidad exclusiva de la seguridad. Pero cuando la IA toca datos sensibles, sistemas empresariales o controles de acceso, la seguridad tiene un papel crítico que desempeñar. Una encuesta de SANS de julio de 2026 encontró que el 76% de los equipos de seguridad ahora tienen un papel en la gobernanza de la IA empresarial.

Pero los equipos de seguridad no solo deben preocuparse por la shadow AI. También deben pensar en la shady AI.

La diferencia es importante porque aprobar una herramienta ya no es lo mismo que aprobar su uso.

Puedes bloquear o prohibir una herramienta no sancionada, pero no puedes simplemente bloquear algo que ya has aprobado y desplegado en toda la organización. La palanca de control que los equipos de seguridad suelen accionar no existe aquí.

Al igual que la shadow AI, la shady AI tiene consecuencias reales:

* Riesgos de seguridad como una mayor exposición a brechas de datos, incidentes regulatorios y exfiltración de datos.
* Costes financieros derivados del aumento del gasto en IA, incluidos los tokens gastados en tareas duplicadas o irrelevantes.
* Freno organizativo, ya que los controles estrictos bloquean la innovación y aumentan la fricción para los empleados.
* Agotamiento de los equipos de seguridad y TI, ya que el tiempo se gasta en gobernanza retroactiva y auditorías de herramientas en lugar de reducir proactivamente la superficie de ataque y reforzar los controles de acceso.

¿Qué impulsa la shady ai?

Hay tres razones principales por las que la shady AI está ocurriendo ahora.

1. La proliferación de herramientas de IA aprobadas

A medida que las organizaciones siguen invirtiendo en herramientas de IA, las oportunidades para la shady AI crecen. Al igual que ocurrió antes con la expansión del SaaS, el aumento de la adopción crea un stack tecnológico de IA más grande y complejo para que seguridad y TI lo gobiernen. Con recursos limitados, es cada vez más difícil entender cómo se está utilizando cada capacidad de IA en cada herramienta y sistema.

2. Los permisos son amplios por defecto

La IA ahora está integrada en las herramientas que los empleados ya utilizan, y la funcionalidad se expande más rápido de lo que los equipos de seguridad pueden seguir. Un asistente de IA aprobado puede empezar como una forma de resumir documentos, y luego ganar la capacidad de buscar en el conocimiento interno, acceder a aplicaciones empresariales, crear flujos de trabajo o realizar acciones en nombre de un empleado.

Las funciones de cumplimiento y seguridad de grado empresarial —como restringir el uso de herramientas de IA a dispositivos en un dominio de la empresa— suelen estar bloqueadas tras las licencias más caras, mientras que las funciones de IA en sí están disponibles por defecto.

La herramienta no ha cambiado necesariamente desde una perspectiva de gobernanza. Lo que ha cambiado es lo que los empleados pueden hacer con ella.

3. Los patrones de uso evolucionan más rápido que las políticas

Tú y tus compañeros podéis usar la IA integrada en herramientas aprobadas para construir aplicaciones y desplegarlas antes incluso de que seguridad y TI sepan que existen.

Las organizaciones pueden bloquear controles para prohibir una práctica arriesgada, solo para descubrir que los empleados ya han adoptado una nueva herramienta o descubierto otra ruta para obtener el mismo resultado.

El resultado es una brecha cada vez mayor entre lo que la política dice que los empleados deben hacer y lo que la IA hace posible.

Lo que la gobernanza tradicional pasa por alto

La gobernanza tradicional se basa en definir lo que está permitido y entrenar a los empleados para que sigan las reglas. Eso funciona mejor cuando la tecnología y sus casos de uso son predecibles. La IA convierte ambos en objetivos móviles.

1. Las políticas no pueden anticipar cada caso de uso

Una Política de Uso Aceptable (AUP) puede establecer principios, pero no puede anticipar cada nueva capacidad que una herramienta de IA pueda adquirir, ni cada forma en que los empleados puedan usarla.

2. La formación no puede seguir el ritmo

Una formación puntual no puede dar cuenta de las capacidades y patrones de uso de la IA que evolucionan constantemente. Muchos empleados no técnicos tampoco tienen aún un modelo mental para un uso de la IA seguro y responsable.

3. Las restricciones crean soluciones alternativas

Bloquear capacidades individuales puede solucionar un riesgo específico, pero no resuelve el problema subyacente. A medida que las capacidades de la IA evolucionan, los empleados pueden encontrar otra forma de realizar la misma tarea, lo que potencialmente hace que el uso sea más difícil de detectar para la seguridad.

El resultado es un modelo de gobernanza que siempre va a remolque.

Lo que realmente funciona: gobernanza por defecto

La respuesta es hacer que el camino más fácil y visible sea el gobernado.

En la práctica, esto significa dar a los empleados un lugar para construir con IA donde los permisos necesarios, los controles de acceso y la supervisión estén integrados, en lugar de confiar en que los empleados descubran las reglas por sí mismos.

En lugar de intentar predecir cada caso de uso arriesgado de la IA por adelantado, las organizaciones pueden integrar la gobernanza en el entorno donde los empleados crean y despliegan flujos de trabajo asistidos por IA.

Eso significa controlar el acceso a los datos y sistemas, aplicar los permisos adecuados, mantener la visibilidad de lo que se ha construido y establecer controles sobre lo que las aplicaciones y agentes impulsados por IA pueden hacer.

Cuando la creación, ejecución y monitoreo ocurren dentro de un único entorno, todos se benefician:

* Tú puedes construir y desplegar rápido dentro de los límites mandados por seguridad, y usar tu experiencia única en la materia para resolver problemas, mejorar flujos de trabajo y hacer mejoras significativas en tu trabajo diario.
* Los equipos de TI y seguridad pueden mantener la visibilidad, aplicar controles consistentes, reducir el trabajo de gobernanza manual y escalar la adopción de la IA con confianza.

La gobernanza deja de ser un obstáculo. En su lugar, se convierte en el camino de menor resistencia.

De bloqueador a habilitador estratégico

La seguridad no tiene que elegir entre permitir la adopción de la IA y mitigar el riesgo. El objetivo es hacer que el camino gobernado sea fácil de seguir para los empleados.

Al empoderar a los empleados para construir en un entorno seguro con acceso solo a las herramientas y datos que están autorizados a usar, la seguridad puede pasar menos tiempo persiguiendo usos inesperados de la IA y más tiempo reduciendo proactivamente la superficie de ataque, reforzando los controles de acceso y permitiendo que el negocio se mueva más rápido.

Ese es el enfoque detrás de Tines 3B, que da a los equipos el poder de construir aplicaciones, agentes y automatizaciones asistidas por IA, mientras otorga a los equipos de seguridad y TI el control y la visibilidad para gobernarlos. Empieza gratis con la Explore Edition.

Fuente:
THN