Tu inventario recoge las aplicaciones que has aprobado. De hecho, una organización media utiliza 106 aplicaciones SaaS. La diferencia entre esas dos cifras es lo que se conoce como«Shadow IT»: las herramientas que tu personal ha adoptado porque la opción aprobada era más lenta, más engorrosa o, sencillamente, no estaba disponible. Por lo general, esto se debe a que alguien tiene que cumplir un plazo urgente y recurre a cualquier herramienta que le permita terminar el trabajo ese mismo día.
Para un equipo de TI reducido que da servicio a entre unos cientos y unos miles de usuarios, esa diferencia se reduce a una cuestión de visibilidad. No se puede auditar una herramienta que nunca se ha visto.
El término abarca tres categorías, no solo una: software no autorizado, dispositivos no gestionados y archivos compartidos fuera de los canales aprobados. La versión clásica era una memoria USB en un cajón del escritorio. La versión actual es una aplicación web a la que alguien se ha registrado con un correo electrónico del trabajo en unos 90 segundos.
Es fácil subestimar la magnitud del fenómeno. Esa media de 106 aplicaciones procede del informe «2025 State of SaaS» de BetterCloud, una encuesta realizada a unos 600 profesionales de TI. En el mismo informe, el 59 % de los equipos de TI afirman seguir estando algo o muy preocupados por las herramientas no autorizadas.
Hay dos factores que hacen que esa cifra siga aumentando. La adquisición de software ya no requiere una orden de compra ni una instalación, por lo que la aprobación es ahora la parte más lenta del proceso de adopción. Además, las pilas tecnológicas corporativas están diseñadas para el departamento medio, por lo que los departamentos que se salen de esa media buscan alternativas en otros lugares.
La mayoría de las herramientas no autorizadas son soluciones provisionales, no un acto de rebeldía. Tu proceso ha creado la fricción, y una política disciplinaria no solucionará un problema de flujo de trabajo.
Pregunta a diez responsables de seguridad dónde se encuentra la tecnología no autorizada y obtendrás diez listas diferentes. En la práctica, la mayor parte de lo que se le escapa a una empresa mediana se encuentra en tres lugares.
Un equipo necesita actuar más rápido de lo que permite el departamento de compras. Alguien se registra con un correo electrónico del trabajo, invita a cuatro compañeros y empieza a trabajar. En menos de una semana se suben listas de clientes, hojas de precios y hojas de ruta de productos.
Aquí es también donde se producen fugas silenciosas en los entornos de Microsoft 365. Un usuario que dispone de SharePoint y OneDrive sigue trasladando un archivo a una cuenta personal de Dropbox o Google Drive, porque es ahí donde ya trabaja el socio externo. El archivo sale de tu entorno y tus políticas se detienen en el límite.
La herramienta nunca entra en el inventario, por lo que tampoco se somete a una revisión de riesgos. Y cuando la persona que creó la cuenta se marcha, los datos permanecen en una cuenta de la que nadie es propietario y que nadie puede revocar.
Este se oculta a plena vista porque parece una navegación normal. Se pegan borradores, contratos, transcripciones de asistencia técnica y código fuente en herramientas de IA generativa porque realmente ahorra una hora.
No hay instalación, ni rastro de adquisición y, a menudo, ningún registro de lo que ha salido de la empresa. La pestaña ha estado abierta todo el día y nada en tu sistema lo ha registrado como una transferencia de datos.
Pequeñas utilidades. Un conversor de PDF, un corrector gramatical, una herramienta para hacer capturas de pantalla. Cada una solicita permiso para leer y modificar todo lo que hay en cada página, se aprueba con un solo clic y luego se olvida.
Las extensiones son las menos auditadas de las tres y las que gozan de más privilegios. Se alojan dentro de la sesión del navegador, donde ya están abiertos tus archivos clasificados.
El Informe sobre la defensa frente a ciberamenazas de 2025 de CyberEdge Group reveló que el 39,2 % de los encuestados mencionó la detección de aplicaciones no autorizadas y servicios en la nube no autorizados como uno de los principales retos de seguridad en entornos híbridos y multicloud. El informe señala que los departamentos se suscriben a servicios no aprobados y almacenan allí documentos confidenciales.
Esa es la realidad del problema. Sus datos sensibles acaban en algún lugar fuera del alcance de sus controles.
|
Categoría de riesgo |
Cómo se manifiesta en la práctica |
Por qué los equipos reducidos son los primeros en notarlo |
|
Exposición de datos |
Listas de clientes y contratos subidos a servicios no verificados |
No hay registro de auditoría, por lo que la exposición se descubre a posteriori |
|
Cumplimiento normativo |
Los registros regulados se procesan fuera del ámbito de aplicación del RGPD, la HIPAA o la norma PCI DSS |
Los auditores solicitan un inventario del sistema que no puedes presentar |
|
Expansión descontrolada de los accesos |
Cuentas vinculadas a personas, no a la empresa |
La baja de un empleado no revoca lo que el departamento de TI nunca supo que existía |
|
Las trabas operativas |
Herramientas duplicadas, integraciones conflictivas, gasto redundante |
Los equipos pequeños asumen la carga del soporte sin personal adicional |
Fíjate en lo que tienen en común estos cuatro puntos. Cada uno de ellos es consecuencia del desconocimiento, más que de la herramienta en sí misma. Un servicio de sincronización de archivos no es peligroso. Lo que sí lo es es un servicio de sincronización de archivos que almacena tus archivos clasificados, al margen de tu política de seguridad y sin que figure ningún propietario.
También te puede interesar: Software de cumplimiento normativo: cómo el DLP simplifica el RGPD y la HIPAA
La respuesta instintiva es una prohibición generalizada. Bloquear las categorías, bloquear el navegador, publicar una política estricta.
Esto fracasa por una razón previsible. Las personas siguen teniendo la fecha límite que les llevó a utilizar la herramienta en primer lugar. Recurren a un dispositivo personal, una cuenta personal o un servicio del que aún no has oído hablar, ocultando el riesgo de la vista en lugar de eliminarlo por completo.
Una prohibición generalizada también da por sentado que todas las herramientas no autorizadas tienen la misma importancia. No es así. Un equipo que utiliza un tablero de proyectos no aprobado para el seguimiento interno de tareas es un problema distinto al de un equipo que sube contratos firmados a un conversor de archivos gratuito. Tratar ambos casos como infracciones merma la credibilidad que necesitarás para el segundo caso.
El enfoque sostenible es más específico: verlo todo, valorar lo que importa y controlar las pocas herramientas por las que realmente circulan datos sensibles.
También te puede interesar: No ignores el riesgo operativo de tu equipo de ciberseguridad
La mayoría de los esfuerzos de detección se estancan en el mismo punto. El equipo crea una hoja de cálculo, y esa hoja de cálculo solo es precisa durante un día. Lo que necesitas es un catálogo que se actualice a medida que se producen los cambios.
Esta es la secuencia que funciona para un equipo de entre cinco y quince personas:
El sexto paso es el que los equipos suelen saltarse: cuando tres departamentos llegan de forma independiente a la misma herramienta no autorizada, ese patrón apunta a una laguna en tu conjunto de herramientas aprobadas, no a una infracción de la política.
Este es el flujo de trabajo en torno al cual se ha diseñadoSafetica. La plataforma detecta software, dispositivos y archivos compartidos no autorizados, y luego los puntúa en función de los datos clasificados a los que acceden. Un administrador puede ver qué herramientas no autorizadas suponen un riesgo real y cuáles simplemente le resultan desconocidas.
A continuación, las políticas restringen el acceso a lo que supone un riesgo, sin interrumpir los flujos de trabajo de los que dependen los usuarios. La actividad personal se mantiene en una vista separada, sujeta a controles de privacidad.
Esa distinción es lo que permite a un equipo pequeño actuar de forma selectiva en lugar de prohibir categorías por principio.
El uso no autorizado de la IA, a menudo denominado «IA en la sombra», sigue el mismo camino que todas las soluciones alternativas anteriores. Solo que avanza más rápido.
El informe de IBM «Cost of a Data Breach Report 2025», basado en 600 organizaciones que sufrieron filtraciones, reveló que el 63 % carecía de una política de gobernanza de la IA o aún la estaba desarrollando. El 20 % sufrió una filtración relacionada con la «IA en la sombra». Las organizaciones con altos niveles de «IA en la sombra» registraron unos costes por fuga de datos aproximadamente 670 000 dólares superiores a los de aquellas que no la tenían. Solo el 37 % contaba con políticas para regular el uso de la IA o detectar herramientas de IA no autorizadas.
El mecanismo es conocido: una herramienta útil, un plazo real, ausencia de proceso de aprobación y datos confidenciales que van a parar a algún lugar no auditado. La diferencia es que los datos no se quedan ahí sin más. Pueden conservarse, revisarse o reutilizarse en el entrenamiento de modelos, lo que los deja totalmente fuera de tus opciones de recuperación.
Si su programa actual no tiene en cuenta las herramientas de IA, ese es el ámbito de mayor valor al que debe ampliarlo.
Empieza por la detección automatizada en los terminales, en lugar de un análisis manual. Una herramienta que catalogue de forma continua las aplicaciones, los dispositivos y los sitios web en uso proporciona a un equipo pequeño una referencia precisa en cuestión de días. A continuación, prioriza según qué aplicaciones acceden a archivos clasificados, no según cuántas hayas encontrado.
No. Muchas de ellas no contienen datos sensibles y no suponen un riesgo significativo. El riesgo depende de qué datos circulan por la herramienta, quién controla la cuenta y si la actividad está sujeta a una normativa que debas cumplir. Evalúa el riesgo antes de actuar.
Shadow AI es un subconjunto de un problema más amplio. Se refiere específicamente a los servicios de IA generativa utilizados para el trabajo sin autorización ni supervisión. Merece una atención especial porque los datos introducidos pueden conservarse o reutilizarse en el entrenamiento de los modelos, lo que hace que la exposición sea mucho más difícil de revertir.
La TI en la sombra no va a desaparecer, porque la presión que la genera no va a desaparecer. Tu personal seguirá encontrando opciones más rápidas, y algunas de esas opciones seguirán entrando en contacto con datos importantes.
Lo que sí puede cambiar es si se entera de ello en sus propios términos. Un catálogo preciso, clasificado según la exposición de los datos, convierte una preocupación vaga en una lista breve y manejable de decisiones.
Descubre qué se está ejecutando realmente en tu entorno. Realiza una visita guiada por la plataforma Safetica.