Shadow IT con IA en salud: 7 en 10 organizaciones pierden control de datos de pacientes

Siete en cada diez organizaciones de salud ya detectaron herramientas generadas por IA procesando datos de pacientes fuera del control del departamento de TI. El dato, publicado por Help Net Security, describe un problema de gobernanza que comienza antes de cualquier política: nadie puede regular lo que todavía no sabe que existe.

Shadow IT con IA en salud: lo que el levantamiento encontró

La proporción del 70% se refiere a organizaciones del sector de salud que identificaron, en algún momento, herramientas de IA tratando informaciones de pacientes sin pasar por la alzada de la TI. Vale leer el número por lo que él es: un piso. Se trata de detecciones confirmadas, no de estimaciones del total en uso. Es decir, el volumen real de herramientas girando al margen tiende a ser mayor que el apuntado por la investigación, cada herramienta descubierta sugiere otras que continúan invisibles.

El fenómeno es una variación del viejo shadow IT, ahora turbinado por modelos generativos que cualquier persona consigue accionar sin instalar nada, sin llamado TI y sin contrato con proveedor.

Asistentes de código: el vector más difícil de cerrar en Shadow IT con IA

La revisión de código, principal control de calidad del desarrollo de software, cubre sólo lo que es formalmente enviado al repositorio. Ella no ve el camino recorrido antes de eso, y es exactamente en ese tramo que el riesgo se concentra.

Un desarrollador que necesita depurar una consulta suele pegar muestras de datos para el asistente entender el formato. El código que llega al pull request parece limpio; el contenido compartido con la herramienta externa, no. Como el registro de lo que fue pegado raramente existe, la auditoría posterior queda sin material para investigar.

Por qué la gobernanza del inventario falla en Shadow IT con IA en la salud

Los controles clásicos del sector — catálogo de aplicaciones homologadas, evaluación de proveedores, bloqueo de dominios, clasificación de datos — parten todos de una premisa silenciosa: la organización sabe lo que está rodando. Shadow IT invierte esa lógica. El elemento más crítico es justamente lo que no aparece en la lista, y la detección, cuando ocurre, suele ser reactiva — después de un incidente, de una auditoría o de una denuncia interna.

El resultado es un ciclo incómodo para el sector de salud: el descubrimiento de una herramienta no genera control sobre las demás, apenas sobre aquella.

El impacto de Shadow IT con IA en salud en Brasil

La LGPD clasifica datos de salud como sensibles y exige base legal específica y tratamiento restringido, lo que eleva la regla de cualquier herramienta que toque en ese tipo de información. Hospitales, operadores y laboratorios brasileños suelen operar con equipos de TI enxutos y presión creciente por productividad — combinación que favorece la adopción informal de asistentes.

La noticia no trae recorte brasileño, entonces no hay como afirmar que la proporción de 70% se replica aquí. Lo que se puede decir es que el modelo de gobernanza basado en inventario formal tiene el mismo punto ciego en cualquier país. Quien ya trabaja con disciplina de ingeniería de agentes, como en el método AI-DLC llevado a AWS Marketplace por SoftwareOne, parte de una ventaja: el registro que la IA accede a la parte del proceso, no un subproducto de él.

Lo que la investigación sobre Shadow IT con IA en la salud no responde

El levantamiento no detalla cuáles herramientas fueron encontradas, de cuales proveedores, cuántos registros de pacientes fueron procesados o si hubo fuga confirmada. Tampoco explica cómo las organizaciones hicieron la detección, si por monitoreo de red, auditoría interna o descubrimiento accidental. Sin esos datos, no es posible dimensionar la gravedad caso a caso, apenas el tamaño del fenómeno.

El mensaje central, sin embargo, dispensa detalles: mientras la gobernanza de IA en la salud depende de saber lo que ya fue encontrado, ella continuará corriendo atrás.

Preguntas frecuentes sobre Shadow IT con IA en salud

¿Qué es shadow IT en salud?

Es el uso de herramientas y servicios de tecnología — inclusive asistentes de IA generativa— por funcionarios fuera del conocimiento y del control del departamento de TI. En el sector de salud, el riesgo es mayor porque esas herramientas frecuentemente procesan datos de pacientes.

¿La revisión de código no resuelve el problema?

Sólo resuelve en parte. La revisión cubre lo que es formalmente enviado al repositorio, pero no lo que fue compartido con asistentes de IA durante el desarrollo, antes del envío.

¿Cómo reducir ese riesgo en la práctica?

El camino apuntado por la propia lógica del problema es hacer visible lo que hoy es invisible: registrar lo que las herramientas de IA acceden, en lugar de depender sólo de inventarios formales que sólo ven lo que ya fue homologado.