El avance de la inteligencia artificial generativa en el trabajo abrió un frente adicional para la gestión de riesgos en las organizaciones: el uso de herramientas de IA por parte de empleados sin autorización o supervisión de las áreas de IT o seguridad. Ese fenómeno, conocido como Shadow AI, incorpora una nueva superficie de exposición para datos sensibles y puede derivar en fugas de información.

En ese marco, el cibercrimen se ubica como un fenómeno económico global: mueve alrededor de US$ 10,5 trillones al año. A la par, el desafío ya no se limita a contabilizar incidentes, sino a interpretar su capacidad de impacto: la sofisticación, la precisión y la dificultad de detección ganan relevancia en la evaluación de amenazas.

Datos sensibles y visibilidad limitada

Shadow AI se define como el uso de herramientas y aplicaciones de inteligencia artificial por parte de empleados sin la autorización, supervisión o conocimiento del área de IT o de seguridad de la organización. El riesgo, en este enfoque, no se centra únicamente en la herramienta, sino en la información que se introduce y en el destino posterior de esos datos.

Documentos internos, información de clientes, contratos, código fuente, datos financieros o información estratégica pueden cargarse en plataformas externas sin que la empresa tenga visibilidad sobre cómo se procesan, almacenan o protegen. Ese circuito agrega riesgos de privacidad, cumplimiento normativo y propiedad intelectual.

En Sparkfound, el diagnóstico apunta a un cambio en el control tradicional. “El Shadow AI representa un cambio importante en el paradigma de seguridad”, señaló Sergio Oroña, CEO de Sparkfound. En la misma línea, sostuvo que el acceso a herramientas de IA desde cualquier dispositivo acelera el uso de información corporativa fuera de los perímetros habituales.

Ataques más sofisticados y brecha de capacidades

La compañía sostiene que en 2026 los ciberataques no necesariamente aumentan en cantidad, pero sí en sofisticación, velocidad y efectividad. Los ciberdelincuentes incorporan herramientas más avanzadas para seleccionar objetivos, automatizar procesos, personalizar campañas y aumentar las probabilidades de éxito. La IA también se utiliza para perfeccionar técnicas de ingeniería social, generar contenidos más convincentes y acelerar etapas de una operación maliciosa.

En Latinoamérica, este escenario se combina con la falta de talento especializado: se estima que solo el 2 % de las empresas cuenta con un CISO (Chief Information Security Officer) para liderar la estrategia de ciberseguridad. En Argentina, el 20 % de las grandes compañías tiene un SOC (Centro de Operaciones de Seguridad) activo, mientras que entre las pymes el porcentaje se reduce al 5 %.

Oroña planteó que la respuesta requiere anticipación y monitoreo continuo: “Hoy no alcanza con reaccionar cuando ocurre un incidente: hay que anticiparse”.