El uso de IA en las empresas crece más rápido de lo que los equipos de seguridad pueden rastrearlo. El informe de Zscaler sobre seguridad en IA de 2026, basado en unas 9.000 organizaciones, encontró que las transacciones aumentaron un 83 por ciento y que las transferencias de datos a aplicaciones de IA se dispararon un 93 por ciento en 2025. Una proporción creciente de este uso ocurre al margen de la aprobación formal, a través de la IA en la sombra, las funciones integradas y los agentes.

Las empresas están incorporando herramientas de inteligencia artificial más rápido de lo que sus equipos de seguridad pueden rastrearlas, y una proporción creciente de esa actividad ocurre fuera de los canales formales de aprobación. Un nuevo informe de la compañía de seguridad en la nube Zscaler cuantifica el problema.

¿Qué tan rápido crece el uso de IA en las empresas?

El informe ThreatLabz 2026 de Zscaler sobre seguridad en IA analiza casi un billón de transacciones de inteligencia artificial y aprendizaje automático generadas por unas 9.000 organizaciones durante 2025. Las transacciones en toda la plataforma aumentaron un 83 por ciento interanual. El número de aplicaciones que generan ese tráfico casi se cuadruplicó, superando las 3.400.

La parte de los datos crece aún más rápido. Zscaler encontró que las transferencias de datos a aplicaciones de IA y aprendizaje automático se dispararon un 93 por ciento en 2025. La compañía también contabilizó 410 millones de infracciones de políticas de prevención de pérdida de datos relacionadas solo con ChatGPT. Estas infracciones incluyeron intentos de compartir números de seguridad social, código fuente y registros médicos.

La IA aparece en herramientas en las que los empleados ya confían

La imagen tradicional de la IA empresarial es una plataforma autorizada o un copiloto proporcionado por la compañía, con el que el personal ha sido capacitado. Esa imagen está incompleta. La IA también llega a través de funciones integradas en software que la empresa ya aprobó, mediante interfaces de programación de aplicaciones que conectan servicios de IA con sistemas internos, y a través de agentes autónomos que realizan tareas por su cuenta.

El Índice de Empresa Agéntica de Salesforce ofrece una medida de este cambio. Entre febrero de 2025 y abril de 2026, los clientes de Salesforce con agentes en producción más que duplicaron su fuerza laboral de IA agéntica.

La IA en la sombra añade otra capa. Un empleado puede instalar una herramienta no autorizada para agilizar una tarea, a menudo sin entender cómo maneja los datos. En otras ocasiones, una aplicación aprobada lanza una función de IA, y el personal comienza a usarla sin considerarla como un nuevo sistema que requiere revisión. Una encuesta de Gartner a 302 líderes de ciberseguridad encontró que el 69 por ciento afirmó que sus organizaciones sospechan o tienen evidencia de que los empleados usan IA generativa pública prohibida.

¿Por qué es difícil para los equipos de seguridad rastrear la IA en la sombra?

Esto representa un problema para el rastreo convencional. Los inventarios de aplicaciones se construyen en torno a software que se instaló o compró formalmente. Una extensión de navegador o una función que se activa dentro de una aplicación existente puede escapar por completo a esa lista.

La visibilidad debe llegar a los datos y los permisos

Saber qué herramientas de IA existen es solo una parte del trabajo. Los equipos de seguridad también necesitan saber qué información pasa a esas herramientas y a qué pueden acceder una vez conectadas. Las instrucciones pueden contener código patentado o datos de clientes. Una sola carga de archivo puede exponer un documento completo que el empleado nunca quiso compartir.

Los agentes de IA elevan lo que está en juego. Su alcance suele extenderse a las aplicaciones y permisos que hay detrás de ellos. Saber que una herramienta usa IA dice poco sobre si puede extraer información de una base de datos de clientes, escribir en una unidad compartida o transferir datos a otros servicios.

¿Qué deberían rastrear los equipos de seguridad además de las herramientas de IA?

Zscaler sostiene que un descubrimiento eficaz implica rastrear los flujos de datos y los permisos junto con las propias herramientas. El riesgo real, según el enfoque del informe, está en lo que la IA puede acceder y mover, y no simplemente en si está presente.

El informe también advierte contra las restricciones generalizadas. Bloquear la IA tiende a empujar su uso aún más a la clandestinidad en lugar de reducirlo. Un equipo de mercadeo que usa un asistente de escritura aprobado para contenido público representa un riesgo distinto al de un agente con acceso a registros financieros, y las reglas deben reflejar esa diferencia. Zscaler afirma que los controles deben depender del usuario, la aplicación, la sensibilidad de los datos, el nivel de permisos y el caso de uso.

Este enfoque se relaciona con los principios de Zero Trust que muchos programas de seguridad ya siguen: verificar de forma continua, otorgar acceso según el contexto y nunca confiar por defecto. La compañía afirma que el descubrimiento de IA debe ser un proceso continuo y no una auditoría única, porque nuevas capacidades siguen apareciendo en software existente y los agentes asumen cada vez más roles autónomos.

Para los líderes de seguridad, el mensaje es que las políticas de gobernanza solo son tan sólidas como la visibilidad que tienen detrás. Sin una visión actualizada de qué herramientas, aplicaciones y agentes operan en toda la empresa, hacer cumplir esas políticas se convierte en un ejercicio de adivinanza.

Este artículo fue escrito con la asistencia de IA.
News Factory APP - noticias agénticas para impulsar tu SEO y AEO.