La inteligencia artificial se convirtió en una herramienta cotidiana para miles de trabajadores y empresas. Sirve para redactar documentos, analizar información, corregir códigos, resumir reuniones, preparar presentaciones y resolver problemas en cuestión de segundos. Sin embargo, esa comodidad también abrió una nueva puerta para la ciberseguridad empresarial: los propios empleados.
El problema no necesariamente surge de un ataque informático o de un hacker que logra ingresar a los sistemas de una compañía. En muchos casos, la información sale voluntariamente de la organización porque un trabajador decide copiarla y pegarla en un chatbot para obtener ayuda.
Ese fenómeno es conocido como Shadow AI o “IA en las sombras”, y representa uno de los nuevos desafíos para las empresas que buscan proteger sus datos, información comercial y propiedad intelectual.
Uno de los casos más conocidos ocurrió en Samsung en 2023. Un ingeniero de la compañía utilizó ChatGPT para solucionar un problema relacionado con un código fuente vinculado a la fabricación de chips. El trabajador copió parte del código en la herramienta de inteligencia artificial y obtuvo una respuesta que le permitió resolver el inconveniente.
El problema fue que, al hacerlo, había enviado información perteneciente a la empresa a una plataforma externa que no estaba bajo el control directo de Samsung.
La situación no quedó limitada a ese trabajador. Otros empleados utilizaron la herramienta para tareas similares: uno compartió código relacionado con la detección de chips defectuosos y otro recurrió a la inteligencia artificial para transcribir una reunión interna y elaborar una minuta.
No hubo un robo de información en el sentido tradicional. Tampoco existió necesariamente una intención de perjudicar a la compañía. El riesgo apareció justamente a partir de una acción que, desde la perspectiva del empleado, parecía completamente normal: utilizar una herramienta disponible en internet para hacer más rápido su trabajo.
La reacción de Samsung fue restringir el uso de herramientas de inteligencia artificial generativa dentro de la compañía. Pero el episodio dejó una advertencia que hoy adquiere todavía más relevancia: una vez que determinada información abandona los sistemas corporativos, recuperar el control sobre ella puede ser extremadamente difícil.
Cuando el empleado se convierte en la puerta de entrada
El problema no afecta solamente a grandes compañías tecnológicas ni requiere conocimientos avanzados de informática.
Un empleado de Recursos Humanos puede introducir datos reales de un trabajador en un chatbot para pedirle que redacte una comunicación. Un vendedor puede cargar una base de clientes para solicitar una estrategia comercial. Un abogado puede copiar un contrato que todavía está siendo negociado para pedir una revisión automática.
Incluso una persona que participa de una reunión interna podría grabarla y utilizar posteriormente una aplicación de inteligencia artificial para obtener un resumen.
En todos esos casos, la intención puede ser mejorar la productividad. El trabajador no necesariamente busca evadir las normas de seguridad ni compartir información confidencial. Simplemente encuentra una herramienta que le permite resolver una tarea en menos tiempo.
El inconveniente aparece cuando la empresa no sabe qué información está siendo enviada a esas plataformas, quién la está enviando y con qué finalidad.
Ahí está el verdadero problema de la IA en las sombras.
Las organizaciones pueden contar con firewalls, antivirus, sistemas de detección de intrusiones y otras herramientas de seguridad, pero aun así tener dificultades para controlar lo que ocurre cuando un empleado utiliza desde su computadora o teléfono un servicio externo al que accede directamente desde internet.
La inteligencia artificial hizo que esa situación sea todavía más frecuente porque los chatbots son fáciles de utilizar y pueden integrarse prácticamente en cualquier actividad laboral.
