Cuatro de cada cinco herramientas de IA operan sin supervisión de TI, apunta investigación

Una nueva investigación expone un punto ciego preocupante en las empresas: el 80% de las herramientas de IA en uso pasan lejos de la supervisión del área de TI. En pequeños y medianos negocios, el promedio llega a 414 herramientas no autorizadas para cada 1.000 empleados. Con la proliferación de agentes autónomos, los expertos advierten de riesgos crecientes de seguridad y gobernanza.

El levantamiento, divulgado por Infosecurity Magazine, refuerza el fenómeno conocido como shadow AI: times adoptan soluciones de inteligencia artificial por cuenta propia, sin pasar por evaluación, aprobación o monitoreo del TI. Para las organizaciones, el problema no es sólo técnico, es estratégico.

Supervisión de TI en IA: ¿por qué la falta preocupa?

Cuando una herramienta de IA no pasa por el radar de TI, nadie sabe exactamente qué datos procesa, dónde almacena, ni cómo es entrenada. Esto abre espacio para filtración de información sensible, violación de LGPD y hasta uso indebido por terceros. El riesgo es más agudo en el contexto de agentes de IA, que no se limitan a responder preguntas: ejecutan tareas y toman decisiones automáticamente.

La investigación muestra que la gobernanza no está acompañando el ritmo de adopción. Mientras que la mayoría de las empresas tienen políticas para softwares tradicionales, las herramientas de IA a menudo se quedan fuera de los flujos de aprobación.

Supervisión de TI en IA: ¿Cuántas herramientas no autorizadas existen?

El estudio calcula una media de 414 herramientas de IA no autorizadas por 1.000 empleados en SMBs. Este volumen indica que la adopción de IA en las empresas está siendo empujada por los propios colaboradores, no por el departamento de tecnología. El resultado es un ecosistema fragmentado, con múltiples soluciones superpuestas, datos duplicados y superficies de ataque mayores.

En organizaciones mayores, la escala tiende a ser aún más compleja, porque cada equipo puede elegir su propia herramienta sin estandarización.

Supervisión de TI en IA: ¿cómo las herramientas escapan al control?

El camino es simple y común: un funcionario crea una cuenta gratuita, instala una extensión de navegador o usa una versión trial para agilizar el trabajo. Sin una política clara, la adopción sucede naturalmente y nadie comunica al TI. Con el tiempo, estas herramientas pasan a acceder a bases de clientes, planillas financieras y correos electrónicos corporativos.

El problema se amplía con agentes de IA. A diferencia de un chatbot simple, un agente puede interactuar con otros sistemas, cambiar registros y automatizar flujos enteros, sin que haya visibilidad o ruta de auditoría.

Supervisión de TI en IA: ¿Qué deben hacer ahora las empresas?

El primer paso es visibilidad: mapear todas las herramientas de IA en uso, autorizadas o no. A continuación, crear políticas de uso, criterios de evaluación de seguridad y procesos de aprobación continua. También es esencial monitorear agentes e integraciones como si fueran cuentas privilegiadas.

Como muestran los ataques cibernéticos de IA 'persistentes' son la nueva amenaza, alerta líder de OpenAI, la amenaza no está solo en las herramientas, sino en la forma en que son usadas y protegidas. El mismo razonamiento vale para cualquier empresa brasileña que ya adopta IA el día a día.

La conclusión de la investigación es directa: la tecnología está avanzando más rápido que la gobernanza. Sin supervisión de la TI, cada nueva herramienta de IA es una puerta adicional para incidentes de seguridad, y las empresas que ignoran eso pagarán caro.

Supervisión de TI en IA: preguntas frecuentes

¿Qué es una herramienta de IA "no supervisada"?

Es cualquier solución de IA usada dentro de la empresa sin que el área de TI haya evaluado o aprobado su adopción. Esto incluye desde chatbots y extensiones de navegador hasta agentes autónomos integrados a sistemas internos.

¿Por qué pequeñas y medianas empresas son más afectadas?

En SMBs, los equipos de TI suelen ser enxutos y los colaboradores tienen más libertad para elegir herramientas. La investigación encontró un promedio de 414 herramientas no autorizadas por 1.000 empleados en ese tipo de empresa.

¿Cómo reducir el riesgo de shadow AI?

Es necesario mapear las herramientas en uso, definir políticas claras de adopción, integrar la IA a los flujos de seguridad del TI y monitorear continuamente el comportamiento de agentes e integraciones. Entrenamiento de equipos también ayuda a transformar el uso no autorizado en adopción segura.