El uso de funciones de IA integradas en aplicaciones corporativas está creando nuevos riesgos de fuga de datos y pérdida de visibilidad para los equipos de seguridad.
Check Point alerta de que el Shadow AI ya no procede únicamente de herramientas no autorizadas, sino también de plataformas oficialmente aprobadas por las organizaciones.
Check Point® Software Technologies Ltd. ha publicado el informe “The Approved-App Blind Spot: When Sanctioned AI Becomes Shadow AI”, un análisis que revela cómo la rápida adopción de inteligencia artificial generativa dentro de aplicaciones corporativas está dando lugar a una nueva generación de Shadow AI: aquella que nace desde herramientas oficialmente autorizadas por la propia empresa.
Durante los últimos dos años, muchas organizaciones han centrado sus esfuerzos en bloquear aplicaciones de IA no aprobadas. Sin embargo, la realidad ha cambiado. Hoy, asistentes generativos integrados en suites de productividad, plataformas de colaboración, CRM o herramientas de desarrollo permiten a los empleados utilizar IA sin abandonar aplicaciones que ya forman parte del entorno corporativo. Este cambio reduce la visibilidad de los equipos de seguridad y dificulta el control sobre qué información se comparte con modelos de IA.
El informe combina investigaciones de Check Point con datos del IBM Cost of a Data Breach Report 2025 y del Microsoft 2026 Work Trend Index, dos estudios que reflejan la aceleración del uso empresarial de la IA y el incremento paralelo de los riesgos asociados a los datos sensibles.
La IA ya forma parte del trabajo diario
Según el análisis, la inteligencia artificial ha dejado de ser una tecnología experimental para convertirse en una herramienta cotidiana en prácticamente todos los departamentos de la empresa. Marketing, recursos humanos, finanzas, desarrollo de software y atención al cliente utilizan funciones de IA integradas para resumir documentos, generar contenido, analizar información o automatizar tareas repetitivas.
El problema no reside en la adopción de estas capacidades, sino en la falta de políticas de gobernanza capaces de distinguir entre una aplicación aprobada y el uso concreto que los empleados hacen de sus funciones de IA. En muchos casos, las organizaciones autorizan una plataforma, pero desconocen si los usuarios están introduciendo contratos, código fuente, datos financieros o información de clientes en asistentes generativos.
Del Shadow IT al Shadow AI
Check Point explica que el concepto tradicional de Shadow IT ha evolucionado. Antes, el riesgo provenía de aplicaciones instaladas sin autorización; ahora, surge dentro del propio ecosistema corporativo.
Las principales conclusiones del informe son:
• Las aplicaciones aprobadas pueden convertirse en un canal de exposición de datos cuando incorporan funciones de IA generativa.
• La visibilidad sobre los datos que se envían a modelos de IA sigue siendo limitada en muchas organizaciones.
• El crecimiento de asistentes integrados dificulta la aplicación de políticas homogéneas de seguridad y cumplimiento normativo.
• La gobernanza de la IA debe centrarse en el uso de los datos, no únicamente en el catálogo de aplicaciones permitidas.
Esta transformación obliga a replantear las estrategias de seguridad. Bloquear herramientas ya no es suficiente; es necesario comprender cómo interactúan los usuarios con las capacidades de IA que ya están disponibles en su entorno de trabajo.
Un nuevo reto para los equipos de ciberseguridad
El informe también analiza cómo la expansión de la IA está modificando la superficie de ataque de las organizaciones. Cada nueva funcionalidad generativa introduce flujos adicionales de información, permisos y conexiones con servicios externos que deben ser supervisados.
Además, el uso simultáneo de múltiples modelos y proveedores incrementa la complejidad del cumplimiento normativo, especialmente en sectores regulados donde la protección de datos personales y propiedad intelectual resulta crítica.
“El mayor riesgo ya no es que un empleado utilice una aplicación de IA desconocida; es que comparta información sensible desde una herramienta que la empresa considera completamente segura. La visibilidad debe trasladarse del dispositivo y la aplicación al dato y al contexto en el que se utiliza la inteligencia artificial”, explica Manuel Rodríguez, Gerente de Ingeniería de Seguridad en NOLA de Check Point Software.
Cuatro prioridades para reducir el riesgo del Shadow AI
Ante este escenario, Check Point recomienda a las organizaciones adoptar una estrategia preventiva basada en cuatro pilares:
1. Descubrir el uso real de la IA: identificar qué aplicaciones incorporan capacidades generativas y cómo las utilizan los empleados.
2. Proteger los datos sensibles: aplicar controles capaces de detectar y evitar la exposición de información confidencial hacia modelos de IA.
3. Establecer políticas de gobernanza: definir qué tipos de datos pueden utilizarse con asistentes generativos y bajo qué condiciones.
4. Mantener visibilidad continua: unificar la monitorización de aplicaciones, identidades y flujos de datos para detectar comportamientos de riesgo antes de que se conviertan en una brecha de seguridad.
El informe concluye que el Shadow AI ya está presente en la mayoría de las organizaciones y que su crecimiento vendrá impulsado, sobre todo, por aplicaciones corporativas que integran inteligencia artificial de forma nativa. En este contexto, la prevención y la visibilidad se convierten en los elementos clave para aprovechar el potencial de la IA sin comprometer la seguridad ni el cumplimiento regulatorio.