Shadow AI: el riesgo de usar inteligencia artificial en las empresas sin controles ni reglas claras

Cada octubre, el Mes de la Ciberseguridad convoca a personas y organizaciones de todo el mundo a repensar cómo protegen su información y qué tan seguros son, en realidad, los hábitos digitales que ya dan por naturales.

Este año, la conversación tiene un protagonista ineludible: la inteligencia artificial , cuya adopción masiva y veloz abrió una puerta que muchas empresas todavía no terminaron de entender, y mucho menos de controlar.

La IA entró por la ventana El primer problema es de origen: la tecnología llegó a las compañías antes que las políticas para regularla.

“La IA generativa entró a las empresas por la ventana, no por la puerta principal: la adoptaron los empleados antes que los equipos de sistemas ”, explica Facundo Balmaceda , especialista en Ciberseguridad de SONDA Argentina.

“Eso significa que hoy tenemos modelos tomando decisiones y procesando datos sin que exista un marco claro sobre qué información pueden ver o qué acciones pueden ejecutar”.

Esa falta de marco habilita lo que se conoce como shadow AI : el uso de herramientas de inteligencia artificial fuera del control del área de sistemas, con consecuencias que van desde filtraciones hasta decisiones sesgadas.

El caso más habitual, señala el especialista, ni siquiera parece un ataque: es un empleado que copia un contrato o una base de clientes en un chatbot gratuito para agilizar una tarea, sin saber que esa información ya salió del perímetro de control de la empresa.

Copiar contratos y bases de clientes en un chatbot: el riesgo oculto de la inteligencia artificial(AP foto/Katie Adkins) Frente a este panorama, el referente de SONDA insiste en que el punto de partida no es elegir una plataforma de IA, sino clasificar la información: “L a clave es la gobernanza de datos.

Antes de preguntarse qué herramienta utilizar, la empresa debe tener identificado qué información es crítica, cuál es sensible y cuál es pública.

En criollo, no se trata de prohibir la IA, sino de establecer reglas claras”.

Los desarrollos a medida tampoco están exentos de riesgos .

“Un chatbot corporativo mal desarrollado es como dejar una puerta trasera abierta en la recepción de tu empresa”, compara el ejecutivo, sobre todo cuando falta segmentación entre la información que el bot puede consultar y la que debería mostrar, o cuando no hay controles frente a las inyecciones de prompt.

Otro fenómeno que crece, en especial en Recursos Humanos y en cotizaciones comerciales, es el uso de texto oculto en documentos -letras blancas sobre fondo blanco o tamaños de fuente invisibles- para intentar manipular el análisis de una IA e influir en la selección de un candidato o de un presupuesto.