Gregg Bayes-Brown ayudó a desarrollar las políticas de IA en un trabajo anterior en investigación biotecnológica, pero incluso como creador de reglas, dice que no podía permitirse no romper las reglas. Aunque entendía la tecnología y sus riesgos, utilizó una cuenta personal de Google Enterprise no aprobada para trabajar, para acceder a NotebookLM y organizar grandes cantidades de información que normalmente requerirían mucho ir y venir entre el servicio al cliente y otros departamentos. Estima que el atajo redujo 150 horas de trabajo a 30 minutos.

Mientras su departamento de TI debatía cómo regular las herramientas de IA durante meses, dice Bayes-Brown, la presión para que los empleados trabajaran de manera más eficiente con la IA aumentó. Sintió que el potencial de fuga de información de la empresa desde su cuenta personal de NotebookLM (Google dice que no utiliza los datos introducidos en NotebookLM para entrenar sus modelos) era menor que el riesgo de quedarse atrás.

"Ese riesgo minúsculo de que los datos salgan, realmente pequeño", dice. "Pero la posibilidad de que un colega chino te eclipse, un riesgo masivo".

IA en la sombra es el término abreviado para eludir las políticas de TI de la empresa para usar tu chatbot favorito o hacer que un agente ordene tu bandeja de entrada. Los datos sugieren que la práctica se ha descontrolado tanto que es probable que la mayoría de nosotros estemos infringiendo las políticas. Una encuesta de Microsoft a trabajadores del Reino Unido encontró que el 71% dijo haber utilizado herramientas de IA de consumo no aprobadas en el trabajo, y la mitad lo hace semanalmente. En empresas medianas, se utilizan típicamente 200 herramientas de IA no autorizadas por cada 1.000 trabajadores, según Reco, una plataforma de seguridad de IA. Un informe de Microsoft de 2024 encontró que casi el 80% de los trabajadores que usan IA dependían de sus propias herramientas.

Leslie Nielsen, director de seguridad de la información en Mimecast, califica el auge de la IA en la sombra como "muerte por mil cortes, y la gente simplemente no lo entiende". Si alguien sube un documento con datos financieros a una herramienta de IA, un chatbot o agente podría regurgitar los datos, o un análisis de los mismos, a alguien fuera de la empresa si usaran las indicaciones correctas. Hace tres años, Samsung prohibió a sus empleados usar herramientas de IA generativa en dispositivos de la empresa después de que ingenieros de software introdujeran código interno en ChatGPT. Amazon también se preocupó cuando las respuestas de ChatGPT a algunas indicaciones comenzaron a parecerse mucho a los datos internos de la empresa. Estos incidentes ocurrieron antes de que OpenAI lanzara su versión empresarial del chatbot, que no utiliza las entradas para entrenar modelos. Desde entonces, sin embargo, las aplicaciones especializadas con funciones de IA incorporadas han inundado el mercado, creando un juego de "whack-a-mole" de amenazas de seguridad para que TI las supervise.

Mientras las empresas se apresuran a equilibrar el impulso de crecimiento con la seguridad, la carrera por ser el mejor trabajador podría significar romper las reglas.

La tecnología en la sombra, el uso de atajos tecnológicos y software que no ha sido aprobado por una empresa, no es nuevo. En 2014, el Departamento de Salud y Servicios Humanos llegó a un acuerdo de 4,8 millones de dólares con la Universidad de Columbia y el Hospital Presbiteriano de Nueva York después de que un médico que desarrolló aplicaciones tanto para el hospital como para la escuela desactivara un servidor de computadora de su propiedad personal en una red que contenía información de salud de pacientes. Miles de registros de pacientes eran accesibles a través de Google.

Hoy en día, alimentar sigilosamente información de la empresa a la IA es particularmente tentador, y también puede ser accidental. La gente está desarrollando apegos emocionales a sus herramientas de IA. Ninguna tecnología ha demostrado ser tan hábil para personalizarse a los individuos. La innovación tecnológica en la oficina generalmente ha ocurrido de arriba hacia abajo. La gerencia elige las herramientas que usará la empresa, decidiendo entre Gmail o Microsoft 365, Slack o Discord. El ciclo de exageración de la IA ha invertido el imperativo; las grandes empresas tecnológicas han desatado tecnologías generativas y han puesto la responsabilidad en los trabajadores de cuello blanco para que descubran qué trabajo puede automatizar.

La carrera por ser un trabajador de primera hoy puede requerir romper las reglas

 "El problema de la IA en la sombra es peor" que la TI en la sombra, dice Nicole Jiang, cofundadora de Fable Security. "Las empresas están permitiendo y fomentando una mayor adopción de la IA a un ritmo que nunca antes habíamos visto". Eso deja a los de TI "tratando de averiguar, 'OK, ¿cómo protegemos mejor, sin bloquear, pero diciendo sí a dejar que la gente explore?'"

Los expertos en TI tienden a ver los matices de la adopción de la IA, con una alta probabilidad de beneficiar los resultados finales, incluso si plantean riesgos potenciales para la empresa. En una encuesta a 1.000 líderes de TI realizada por la empresa de software Freshworks, casi el 80% dijo creer que los empleados que usan herramientas de IA no aprobadas son más productivos. Pero el 86% dijo que también había visto un incidente negativo relacionado con el uso no autorizado de IA durante el año pasado, desde violaciones de cumplimiento hasta filtraciones de seguridad.

La preferencia por una IA para la que su empresa no tiene una cuenta sobre la que sí tiene no es simplemente la evolución del debate iPhone vs. Android. La tecnología está cambiando fundamentalmente la forma en que las personas trabajan, empujando a los trabajadores no técnicos a experimentar con la tecnología de maneras que nunca antes lo habían hecho. "Hace seis meses, la conversación era: 'Uso Claude porque creo que el resultado es mejor'", dice Harley Sugarman, CEO y fundador de la empresa de seguridad Anagram. Ahora, si bien muchas empresas han aprobado una herramienta de IA empresarial, los trabajadores buscan otras aplicaciones que se adapten mejor a sus roles, para cualquier cosa, desde recursos humanos hasta marketing y codificación.

El uso de la IA por parte de los trabajadores sigue siendo un punto ciego para muchas empresas. Una encuesta de febrero a 345 líderes de empresas realizada por la consultora Protiviti encontró que aproximadamente la mitad no sabe hasta qué grado sus empleados están utilizando la IA. Solo cuatro de cada diez tenían una política formal de gobernanza de la IA implementada. Pero las empresas están gastando cada vez más en IA empresarial, y el 90% de los líderes de TI en grandes empresas dicen que sus lugares de trabajo planean aumentar los presupuestos para herramientas de IA este año. La mitad de los trabajadores de cuello blanco ya están utilizando agentes, según una encuesta de la plataforma de IA agéntica Writer y la firma de investigación Workplace Intelligence. Este mes, Microsoft puso a disposición general su Agente 365, sacándolo de la vista previa y diciendo que el cambio ayudará a las empresas a "tomar el control de la proliferación de agentes" y a "observar, gobernar y asegurar los agentes y sus interacciones".

"Probablemente empeorará antes de mejorar", dice Sugarman sobre el dilema de la IA en la sombra. "Puedes imaginar que la próxima evolución de este problema es que estos agentes comiencen a auto-mejorarse y a tomar más decisiones y a construir más software sin siquiera la entrada de los usuarios finales, y en ese punto estás en territorio de ciencia ficción". Pero no cree que la ciberseguridad esté condenada. Los profesionales de TI necesitan entender cómo la gente está usando la IA y cómo operan los agentes. Debe haber capacitación para los trabajadores de cuello blanco menos técnicos sobre cómo usar la IA y por qué los protocolos de seguridad son importantes. "Nadie ha podido resolver eso ahora mismo". Mientras ese mensaje persista, es difícil imaginar que los trabajadores se apeguen a sus pocas herramientas aprobadas. Por todas las veces que millones de empleados informan usar IA en la sombra, hay pocas consecuencias conocidas. Pero basta un error para que se haga realidad una pesadilla de TI.