La rápida adopción de herramientas de inteligencia artificial en el entorno laboral está abriendo una nueva brecha de seguridad para las empresas. Más allá de los ciberataques tradicionales, el principal riesgo proviene ahora del uso no supervisado de soluciones de IA por parte de los propios empleados, que comparten información sensible en plataformas externas o interactúan con sistemas sin las medidas de control adecuadas.
Según diversos estudios del sector, ocho de cada diez trabajadores que utilizan inteligencia artificial reconocen haber recurrido a herramientas no facilitadas por su organización. Además, seis de cada diez aseguran emplearlas sin directrices corporativas ni supervisión específica. Esta realidad preocupa especialmente a los expertos en ciberseguridad, que ven cómo la denominada Shadow AI se extiende en todo tipo de compañías.
Desde Logixs, empresa española especializada en el diseño e integración de soluciones de inteligencia artificial para empresas, señalan que muchas organizaciones centran sus esfuerzos en proteger la infraestructura tecnológica mientras pasan por alto los riesgos derivados del comportamiento de los usuarios.
«Las empresas suelen pensar en la IA como una tecnología que hay que implantar, pero pocas la abordan como una nueva superficie de riesgo que requiere controles específicos. El problema no siempre es un ciberdelincuente externo, sino la falta de procedimientos para gestionar cómo se utiliza la IA dentro de la organización», explica Luis Bravo, responsable de seguridad de la información de Logixs.
Falta de control sobre los datos y los accesos
Entre los problemas más habituales identificados por los especialistas destacan la introducción de información confidencial en herramientas públicas de IA, la ausencia de mecanismos para explicar cómo se generan determinadas respuestas y el despliegue de agentes con permisos excesivos sobre aplicaciones críticas del negocio.
La situación se vuelve aún más compleja cuando los sistemas de IA acceden a bases de datos corporativas, herramientas de gestión o plataformas financieras. Sin una adecuada supervisión, un error de configuración o una manipulación maliciosa puede exponer información sensible o provocar acciones no autorizadas.
A ello se suma el desconocimiento sobre el ciclo de vida de los datos utilizados por estas soluciones. Actualmente, solo una minoría de empresas afirma conocer con precisión dónde se almacenan, procesan y utilizan los datos que alimentan sus sistemas de inteligencia artificial.
La velocidad de desarrollo aumenta los riesgos
Otra de las preocupaciones crecientes es el uso de la IA generativa para acelerar el desarrollo de software. Aunque estas herramientas permiten reducir tiempos de programación, también pueden introducir errores difíciles de detectar.
Según las auditorías realizadas por Logixs sobre software desarrollado con apoyo de inteligencia artificial, en dos de cada diez revisiones aparece al menos una vulnerabilidad o una credencial expuesta. En muchos casos, el código generado funciona correctamente desde el punto de vista operativo, pero presenta deficiencias de seguridad que pasan desapercibidas durante las fases de validación.
«El principal desafío es que la productividad aumenta más rápido que los controles. Cuando una herramienta genera código válido en segundos, existe la tentación de confiar en el resultado sin aplicar las mismas revisiones que se exigirían a un desarrollo tradicional. Ahí es donde aparecen los riesgos», señala Bravo.
Hacia una seguridad integrada en todo el ciclo de vida de la IA
Los especialistas coinciden en que la protección de los proyectos de inteligencia artificial debe comenzar desde las primeras fases de diseño y mantenerse durante todo el ciclo de vida de la solución. Esto implica monitorización continua, control de permisos, auditorías periódicas, pruebas de resistencia frente a ataques específicos contra modelos de IA y mecanismos que garanticen la trazabilidad de las decisiones generadas por los sistemas.
En este contexto, las empresas están comenzando a adoptar nuevos enfoques de seguridad orientados específicamente a entornos de inteligencia artificial, con el objetivo de minimizar riesgos operativos, cumplir con normativas como el AI Act europeo y garantizar un uso responsable de estas tecnologías en el entorno corporativo.
