Check Point Software alerta del nuevo ‘Shadow AI’
Las organizaciones han pasado de combatir el uso de herramientas de inteligencia artificial no autorizadas a enfrentarse a un problema más difícil de detectar: capacidades generativas que ya forman parte de aplicaciones corporativas aprobadas. Check Point Software Technologies advierte de que la gobernanza debe poner el foco no solo en qué aplicaciones están permitidas, sino también en qué datos utilizan los empleados y bajo qué condiciones.
La inteligencia artificial generativa se ha integrado en el trabajo cotidiano de las empresas y, con ella, está apareciendo una nueva modalidad de Shadow AI. El fenómeno ya no procede únicamente de empleados que recurren a herramientas externas sin autorización, sino también de las funciones de IA incorporadas a plataformas que forman parte oficialmente del entorno corporativo.
Es la principal conclusión del informe ‘The Approved-App Blind Spot: When Sanctioned AI Becomes Shadow AI’, elaborado por Check Point Software, que analiza cómo la incorporación de asistentes generativos en suites de productividad, plataformas de colaboración, CRM y herramientas de desarrollo está modificando los riesgos relacionados con el uso empresarial de la IA.
Durante los últimos dos años, las organizaciones han centrado buena parte de sus estrategias en identificar y bloquear aplicaciones de IA no autorizadas. Sin embargo, el escenario está cambiando. Los empleados pueden utilizar capacidades generativas sin abandonar aplicaciones aprobadas ni instalar nuevos servicios, lo que reduce la visibilidad de los equipos de seguridad sobre la información que se comparte con los modelos.
La integración de funciones de IA generativa en aplicaciones corporativas está creando nuevos flujos de datos que pueden escapar a la visibilidad de los equipos de seguridad. Foto. Check Point Software Technologies.
El nuevo punto ciego está dentro de las aplicaciones aprobadas
El problema ya no consiste únicamente en saber qué aplicaciones utiliza un empleado, sino en conocer qué funciones de IA emplea dentro de ellas y qué información proporciona a esos sistemas.
Marketing, recursos humanos, finanzas, desarrollo de software o atención al cliente recurren cada vez más a herramientas generativas para resumir documentos, generar contenidos, analizar información o automatizar tareas. Pero la misma funcionalidad puede utilizarse con información que requiere un nivel especial de protección.
Contratos, código fuente, datos financieros o información de clientes pueden introducirse en asistentes generativos sin que la organización tenga necesariamente una política suficientemente precisa sobre qué información puede utilizarse, con qué modelos o en qué circunstancias.
“El mayor riesgo ya no es que un empleado utilice una aplicación de IA desconocida; es que comparta información sensible desde una herramienta que la empresa considera completamente segura”, explica un portavoz de Check Point Software.
La compañía considera que este cambio obliga a desplazar el foco de la seguridad desde la aplicación hacia el dato y el contexto en el que se utiliza la inteligencia artificial. La gobernanza de la IA debe centrarse en el uso de los datos, no únicamente en el catálogo de aplicaciones autorizadas.
Del Shadow IT al Shadow AI
La situación representa una evolución del tradicional Shadow IT. Si anteriormente el riesgo estaba asociado principalmente a aplicaciones o servicios incorporados al entorno de trabajo sin autorización, ahora puede aparecer dentro de herramientas legítimas y previamente aprobadas.
Entre las principales conclusiones del informe se encuentran que las aplicaciones autorizadas pueden convertirse en canales de exposición de datos cuando incorporan IA generativa y que la visibilidad sobre la información enviada a los modelos continúa siendo limitada en muchas organizaciones.
El crecimiento de los asistentes integrados dificulta además la aplicación homogénea de políticas de seguridad y cumplimiento, mientras que la proliferación de modelos y proveedores incrementa la complejidad de controlar los flujos de información.
Para Check Point, esto implica replantear las estrategias tradicionales. Bloquear herramientas de IA ya no es suficiente: es necesario comprender cómo interactúan los empleados con las capacidades generativas que ya están disponibles dentro de su entorno de trabajo.
La IA amplía los flujos de información
Cada nueva funcionalidad generativa puede introducir nuevos flujos de información, permisos o conexiones con servicios externos que requieren supervisión. El uso simultáneo de distintos modelos y proveedores añade además complejidad a la gestión del cumplimiento normativo.
La cuestión adquiere especial relevancia en sectores regulados y en organizaciones que manejan datos personales, información financiera o propiedad intelectual. En estos ámbitos, la incorporación de IA debe conjugar innovación y productividad con controles sobre el uso y circulación de la información.
El reto, por tanto, no pasa por frenar la adopción de la inteligencia artificial, sino por establecer qué datos pueden utilizarse, con qué herramientas y bajo qué condiciones.
Cuatro prioridades para controlar el Shadow AI
Check Point plantea cuatro líneas de actuación para reducir estos riesgos:
- Descubrir el uso real de la IA. Identificar qué aplicaciones incorporan capacidades generativas y cómo las utilizan realmente los empleados.
- Proteger los datos sensibles. Aplicar controles capaces de detectar y evitar la exposición de información confidencial hacia modelos de IA.
- Establecer políticas de gobernanza. Definir qué tipos de datos pueden utilizarse con asistentes generativos y bajo qué condiciones.
- Mantener una visibilidad continua. Unificar la monitorización de aplicaciones, identidades y flujos de datos para detectar comportamientos de riesgo.
