Shadow AI: el riesgo de usar ChatGPT en el trabajo sin control de la empresa

El uso de herramientas de inteligencia artificial en el trabajo sin la autorización ni la supervisión de las áreas de sistemas y seguridad tiene nombre: Shadow AI. Puede ser un programador que pega código interno en ChatGPT para encontrar un error, un empleado que sube un contrato a un chatbot para resumirlo o alguien que le pide a una IA que analice una planilla con datos de clientes.

El problema existe aun cuando la empresa contrató el servicio: un trabajador puede abrir el mismo chatbot con su cuenta personal y enviar documentos por fuera de los controles definidos por la organización. El tema fue uno de los más discutidos en la conferencia de seguridad Black Hat 2026.

Casos reales

En 2023, ingenieros de Samsung cargaron código interno en ChatGPT, y la compañía restringió el uso de estas herramientas. En enero de 2025, investigadores de Wiz encontraron una base de datos de DeepSeek expuesta en internet, con registros de conversaciones y claves internas.

La empresa de seguridad Netskope analizó el tráfico de un grupo de clientes entre junio de 2025 y julio de 2026: en una organización típica registró 69 intentos semanales de enviar datos a herramientas de IA en contra de las políticas internas, frente a 44 un año antes. Entre esos datos había código fuente, propiedad intelectual e información regulada.

Según Alexandra Mehat, de la firma Fortinet, la pregunta que más se repitió entre los clientes durante Black Hat fue: «¿Cómo evito que mis empleados envíen información confidencial a ChatGPT?».