Datos rápidos

• El 83% de las organizaciones ya utiliza IA en sus operaciones diarias, pero solo el 13% tiene una supervisión sólida del acceso a los datos de IA.
• Dos tercios han detectado que las herramientas de IA acceden indebidamente a información sensible.
• Solo el 7% cuenta con un equipo dedicado a la gobernanza de IA; la mayoría depende de controles anticuados enfocados en humanos.
• El 76% de los profesionales de ciberseguridad considera que los agentes autónomos de IA son los sistemas más difíciles de proteger.
• Casi la mitad de las organizaciones carece de visibilidad sobre cómo o dónde se utiliza la IA internamente.

El auge de la “identidad sombra”

Imagina a un nuevo empleado incansable que nunca duerme, se mueve a la velocidad de la luz y puede colarse silenciosamente en cualquier archivo de la empresa. Así es el sistema de IA moderno: ya no es solo una herramienta, sino una identidad digital con su propia agenda, operando en gran medida de forma invisible. Según el Informe 2025 sobre el Estado de la Seguridad de los Datos en IA, la rápida adopción de la IA ha superado la capacidad de la mayoría de las organizaciones para controlar o incluso rastrear lo que hacen estos sistemas. En la carrera por automatizar, los equipos de seguridad están descubriendo que sus antiguos métodos para gestionar “quién puede ver qué” simplemente no funcionan cuando el “quién” es un agente incansable impulsado por código.

Patrones históricos, puntos ciegos modernos

No es la primera vez que la tecnología supera a sus guardianes. Cuando la computación en la nube irrumpió, la “TI en la sombra” - aplicaciones y servicios no autorizados - se convirtió en un gran dolor de cabeza para los equipos de seguridad. Ahora, las “identidades sombra” son la nueva frontera: agentes de IA que operan con poca supervisión y, a menudo, con más acceso del previsto. La famosa brecha de Capital One en 2019, por ejemplo, puso de manifiesto cómo los permisos de sistema pasados por alto pueden provocar filtraciones masivas. Los agentes de IA actuales son aún más difíciles de rastrear, ya que interactúan automáticamente con datos sensibles, a veces sin intervención humana ni registros claros de auditoría.

Vacíos en la gobernanza: ¿una bomba de tiempo regulatoria?

A medida que la IA se integra en los procesos empresariales, los reguladores empiezan a prestar atención. Sin embargo, solo el 11% de las organizaciones se siente preparada para cumplir con las nuevas exigencias normativas. La Ley de IA de la Unión Europea y propuestas similares en todo el mundo indican que se avecina un escrutinio más estricto. Sin embargo, la mayoría de las empresas está muy rezagada: apenas el 7% cuenta con equipos dedicados a la gobernanza de IA y la mayoría sigue tratando la IA como cualquier otro software, sin notar que estos sistemas pueden tomar decisiones, aprender y actuar de forma autónoma.

Problemas técnicos: por qué la IA supera a los controles antiguos

Los modelos tradicionales de identidad y seguridad están diseñados en torno a usuarios humanos: personas que inician sesión, solicitan acceso y pueden ser monitoreadas. Los agentes de IA, en cambio, operan a velocidad de máquina, a menudo sin registros claros ni límites definidos. Más de la mitad de las organizaciones no puede bloquear acciones riesgosas de la IA en tiempo real, y casi una cuarta parte carece de controles para los prompts o salidas que genera la IA. Como resultado, los datos sensibles pueden terminar en lugares no previstos, sin una forma sencilla de rastrear cómo llegaron allí. Los expertos advierten: “No se puede proteger a un agente de IA que no se identifica, ni gobernar lo que no se puede ver.”

¿Qué sigue?: tratar a la IA como a un colega (con reglas)

El informe propone un replanteamiento radical: las organizaciones deben tratar a la IA como un “usuario” distinto, con accesos estrictamente definidos, monitoreo continuo y políticas adaptadas al comportamiento de las máquinas. Esto implica adoptar una supervisión centrada en los datos, descubrir en tiempo real el uso de la IA y establecer nuevos controles tanto para los prompts como para las salidas. Mientras las empresas se apresuran a aprovechar el potencial de la IA, el mensaje es claro: ignora la identidad sombra bajo tu propio riesgo. En la oficina digital, el insider más peligroso puede que ya no sea humano.

WIKICROOK

• Agente de IA: Un agente de IA es un programa de software autónomo que utiliza inteligencia artificial para realizar tareas o tomar decisiones por usuarios o sistemas.
• Identidad sombra: Una identidad sombra es una cuenta digital no gestionada, a menudo utilizada por sistemas de IA o automatizados, que puede acceder a recursos sin supervisión ni controles estándar.
• Datos: Los datos son información - como texto, números o imágenes - almacenada y procesada por computadoras. La seguridad centrada en los datos protege esta información directamente, dondequiera que resida.
• Gobernanza: La gobernanza es el sistema de reglas, políticas y coordinación que asegura que las organizaciones gestionen la ciberseguridad de manera efectiva y trabajen juntas eficientemente.
• En tiempo real: En tiempo real se refiere a la adquisición instantánea de datos - recopilando y analizando información al instante mientras los usuarios interactúan con los sistemas, lo que permite una detección de amenazas más rápida.