El peligro de la 'Shadow AI': El 33% de empleados en Ecuador usa IA personal en el trabajo

En Ecuador, el uso de la Inteligencia Artificial no solo se ha masificado entre los consumidores o usuarios de a pie, sino también en las empresas y organizaciones. Sin embargo en muchos casos las prácticas de uso de la IA no se rigen por entornos controlados, en medio de un ambiente que denota brechas en la cultura de protección de datos.

Según un informe de GMS publicado en septiembre de 2026, el 66% de los empleados de organizaciones ecuatorianas dice que ocupa herramientas de inteligencia artificial todos los días, aunque en torno al 70% afirma que en su espacio de trabajo existe una preparación básica o con brechas importantes para el uso de la IA.

Esas cifras toman un matiz de preocupación cuando el mismo documento señala que el 33% de los trabajadores ocupaban cuentas personales para actividades laborales con la IA. Este tipo de actividad es conocida en la industria como 'shadow AI', es decir, el uso de herramientas de inteligencia artificial no autorizadas y que no cumplen con un mínimo de estándares para su uso empresarial.

• Marc Vidal: "La inteligencia artificial, tal y como se define, todavía no existe"

Ese dato tiene un matiz más cuando, de acuerdo con ESET, el 70% de las organizaciones no tiene una regulación interna para la IA.

¿Por qué es peligroso ocupar una IA personal en el trabajo?

"Muchas de las veces las personas tienen la falsa percepción de que, como es una aplicación conocida, está compartiendo de forma segura esos datos y para nada es así", explica a PRIMICAS Paul Nacimba, experto en ciberseguridad, y Gerente de Preventa de GMS.

"Cuando yo utilizo una cuenta personal, eso está completamente abierto. La empresa no tiene controles, no tiene posibilidad de hacer bloqueos, a diferencia de una IA corporativa en la que la empresa sí podría establecer este tipo de controles", añade Nacimba.

Este experto detalla que una de las necesidades de cualquier organización es la llamada gobernanza de datos, es decir, que pueda saber cuáles son sus datos sensibles, donde están almacenados y quiénes lo gestionan.

Es decir, un uso de IAs 'en las sombras' incrementa el riesgo de que información sensible sea divulgada hacia personas desconocidas.

A eso se debe sumar que el robo de credenciales o cuentas personales es mucho más fácil en comparación a aquellas de carácter corporativo, que suelen tener más capas de seguridad.

• ONU lanza una dura advertencia sobre la IA: “Todos los derechos humanos están en riesgo”

En ese sentido, Nacimba añade que si bien las inteligencias artificiales corporativas que se ofrecen en servicios como ChatGPT o Gemini mantienen un mayor nivel de restricción, en el que se puede configurar que la información subida al chatbot no sea ocupada para entrenamiento en el modelo ocupado por millones de personas al rededor del mundo, también hay detalles a tomar en cuenta.

Este magíster en Seguridad Informática por la Universidad Tecnológica Israel expone que han habido casos en los que personas de un departamento dentro de una organización ven información sensible de otras áreas no relacionadas. Es decir, la forma en la que funciona estas inteligencias más cerradas puede permitir que una persona del cuerpo técnico vea información que en algún punto fue subida por empleados de talento humano o de finanzas, o viceversa.

Una cultura de protección y conciencia de riesgos

Iván Ortiz, director del programa de Ciberseguridad de la Universidad de las Américas, considera que una empresa que ocupa la IA primero debe socializar con los empleados los riesgos personales y organizacionales que pueden tener un mal uso de herramientas de IA.

Pero también añade que uno de los problemas que existen en Ecuador es que hay empresas que al considerar que no son tan grandes o que no tratan información sensible, no enfocan los recursos (de por sí más reducidos que el de organizaciones grandes) para temas de ciberseguridad.

"A veces las organizaciones consideran que no están en el nivel necesario de uso o flujo de datos como para que puedan ser regulados. Por ejemplo, alguien que tiene una mediana empresa considera que no puede generar mucho daño", y por eso el presupuesto para protección suele quedar fuera.

• La IA ya no basta: estas habilidades humanas empiezan a marcar la diferencia en las empresas

Daniel Tenorio, experto en ciberseguridad de bSmart y especialista para ESET Ecuador, expone que existen casos muy graves en los que tras la implementación de agentes de IA, organizaciones a escala mundial han sufrido la pérdida incluso de bases de datos.

Los expertos consideran que si bien hay un entorno de rápida adopción de la IA en la sociedad y las empresas ecuatorianas, tampoco existe todavía una cultura generalizada de protección de datos. Es decir hay una brecha entre empresas o entidades grandes que sí lo aplican, y otras de menor tamaño que con frecuencia se limitan a un cumplimiento legal, pero no en los aspectos tecnológicos.

Además, con el uso más masificado de herramientas y asistentes de IA en entornos de programación, los tres reconocen que hay un mayor riesgo de que código defectuoso o mal intencionado pueda llegar al público o a plataformas de uso masivo. 

Pese a los importantes avances de los modelos, Tenorio argumenta que estas herramientas de IA "todavía no están listas para ser ocupadas de manera automatizada en tareas que puede ser consideradas muy críticas".

• Gigantes de la inteligencia artificial están de acuerdo en poner un pie en el freno a su desarrollo