{"id":992,"date":"2026-05-27T12:39:43","date_gmt":"2026-05-27T12:39:43","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/27\/cinco-pasos-para-gestionar-herramientas-de-ia-en-la-sombra-sin-ralentizar-a-los-empleados-cyberdefensa-mx\/"},"modified":"2026-05-27T12:39:43","modified_gmt":"2026-05-27T12:39:43","slug":"cinco-pasos-para-gestionar-herramientas-de-ia-en-la-sombra-sin-ralentizar-a-los-empleados-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/27\/cinco-pasos-para-gestionar-herramientas-de-ia-en-la-sombra-sin-ralentizar-a-los-empleados-cyberdefensa-mx\/","title":{"rendered":"Cinco pasos para gestionar herramientas de IA en la sombra sin ralentizar a los empleados \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Cuando un empleado instala un asistente de escritura con IA, conecta un copiloto de codificaci\u00f3n a su IDE o comienza a resumir reuniones con una nueva herramienta de navegador, est\u00e1 haciendo exactamente lo que deber\u00eda hacer un empleado productivo: encontrar formas m\u00e1s r\u00e1pidas de trabajar.<\/p>\n<p>Hoy en d\u00eda, en la mayor\u00eda de las organizaciones, los empleados utilizan de tres a cinco herramientas de inteligencia artificial en un d\u00eda determinado. La mayor\u00eda nunca fueron revisadas por TI. Una parte importante se conecta a los datos corporativos a trav\u00e9s de tokens OAuth o sesiones de navegador, d\u00e1ndoles acceso a unidades compartidas, correos electr\u00f3nicos y documentos internos que el empleado nunca tuvo la intenci\u00f3n espec\u00edfica de exponer. Los equipos de seguridad a menudo no tienen visibilidad de nada de esto.<\/p>\n<p>Esta es la brecha de la IA en la sombra, y se est\u00e1 ampliando r\u00e1pidamente. La mayor\u00eda de las herramientas de seguridad se crearon para monitorear el correo electr\u00f3nico y el tr\u00e1fico de red que fluye a trav\u00e9s de la red corporativa. Una herramienta de inteligencia artificial basada en navegador que se conecta a los datos de la empresa a trav\u00e9s de una r\u00e1pida aprobaci\u00f3n de inicio de sesi\u00f3n evita esos controles por completo, porque nunca pasa a trav\u00e9s de la red corporativa. De acuerdo a <a href=\"https:\/\/www.gartner.com\/en\/newsroom\/press-releases\/2025-11-19-gartner-identifies-critical-genai-blind-spots-that-cios-must-urgently-address0\" rel=\"nofollow\" target=\"_blank\">Gartner<\/a>el 69% de las organizaciones sospecha o ha confirmado que los empleados est\u00e1n utilizando herramientas de IA prohibidas en el trabajo, y solo el 37% cuenta con una pol\u00edtica de gobernanza de la IA. El resultado es una desconexi\u00f3n cada vez mayor entre la forma en que trabajan los empleados y lo que pueden ver los equipos de seguridad.<\/p>\n<p>Un programa que canaliza la adopci\u00f3n de la IA hacia un camino seguro, visible y aprobado brinda a los equipos de seguridad la visibilidad que necesitan y a los empleados las herramientas que desean. Los cinco pasos siguientes muestran exactamente c\u00f3mo construir uno.<\/p>\n<h3 style=\"text-align: left;\"><b>Paso 1: cree una imagen completa de lo que se est\u00e1 ejecutando<\/b><\/h3>\n<p>Un programa de seguridad s\u00f3lo puede gestionar lo que puede ver. El primer paso es descubrir qu\u00e9 herramientas de IA se utilizan en toda la organizaci\u00f3n, y la mayor\u00eda de los equipos de seguridad encontrar\u00e1n la respuesta sorprendente.<\/p>\n<p>Tres \u00e1reas representan la mayor parte de la actividad de la IA en la sombra.<\/p>\n<ul>\n<li><b>Conexiones OAuth.<\/b> La mayor\u00eda de las herramientas de inteligencia artificial solicitan acceso a Google Workspace o Microsoft 365 a trav\u00e9s de OAuth, lo que les otorga permisos de lectura o escritura sobre datos corporativos. Una auditor\u00eda trimestral de aplicaciones de terceros conectadas, clasificadas por alcance de permiso, generalmente muestra docenas de herramientas que el equipo de seguridad nunca revis\u00f3.<\/li>\n<li><b>Extensiones del navegador.<\/b> Muchas herramientas de inteligencia artificial se ejecutan como extensiones del navegador y nunca tocan el sistema operativo, por lo que las herramientas tradicionales de administraci\u00f3n de terminales las pasan por alto por completo. Una soluci\u00f3n de administraci\u00f3n de navegador o un agente liviano instalado en los dispositivos de los empleados puede buscar e identificar qu\u00e9 extensiones est\u00e1n activas en toda la organizaci\u00f3n.<\/li>\n<li><b>Funciones de IA incluidas en herramientas ya aprobadas.<\/b> Microsoft Copilot, Google Gemini y Salesforce Einstein son ejemplos de capacidades de IA que pueden haberse introducido despu\u00e9s de la revisi\u00f3n original del proveedor, a menudo sin una evaluaci\u00f3n de seguridad separada.<\/li>\n<\/ul>\n<p>Tambi\u00e9n vale la pena realizar una sencilla encuesta a los empleados. Una encuesta enmarcada en ayudar a los empleados a trabajar de forma m\u00e1s segura tiende a obtener respuestas sinceras. Muchas herramientas ocultas surgen a trav\u00e9s de encuestas que el descubrimiento automatizado pasa por alto por completo.<\/p>\n<p>El objetivo de este paso es un inventario actual y preciso: cada herramienta de IA en uso, qui\u00e9n la usa y a qu\u00e9 datos tiene acceso.<\/p>\n<h3 style=\"text-align: left;\"><b>Paso 2: escriba una pol\u00edtica que funcione con los empleados<\/b><\/h3>\n<p>La mayor\u00eda de las pol\u00edticas de uso aceptable de la IA se estancan por la misma raz\u00f3n: brindan a los empleados una lista de herramientas prohibidas sin orientaci\u00f3n sobre cu\u00e1l es la ruta aprobada. Una pol\u00edtica dise\u00f1ada como una gu\u00eda pr\u00e1ctica, que identifique las herramientas aprobadas y proporcione un proceso claro para solicitar otras nuevas, es la base que los empleados necesitan para tomar buenas decisiones.<\/p>\n<p>Una pol\u00edtica eficaz de gobernanza de la IA abarca cinco aspectos.<\/p>\n<ul>\n<li>Una lista actualizada de herramientas aprobadas y d\u00f3nde encontrarlas.<\/li>\n<li>Reglas claras de clasificaci\u00f3n de datos que especifican qu\u00e9 categor\u00edas de datos, incluidos registros de clientes, c\u00f3digo fuente e informaci\u00f3n financiera, nunca deben ingresarse en ninguna herramienta de inteligencia artificial.<\/li>\n<li>Un estado de exclusi\u00f3n voluntaria de la capacitaci\u00f3n de datos verificado para cada herramienta aprobada. Muchas herramientas de IA utilizan aportaciones de la empresa para mejorar sus modelos de forma predeterminada, a menos que la configuraci\u00f3n empresarial est\u00e9 configurada expl\u00edcitamente de otra manera. La aprobaci\u00f3n debe requerir una exclusi\u00f3n voluntaria confirmada de cualquier herramienta que maneje datos confidenciales.<\/li>\n<li>Un proceso definido para solicitar nuevas herramientas, con un tiempo de respuesta objetivo.<\/li>\n<li>Una explicaci\u00f3n en lenguaje sencillo de por qu\u00e9 existen las pautas.<\/li>\n<\/ul>\n<p>Ese \u00faltimo elemento importa m\u00e1s de lo que parece. Los empleados que entienden por qu\u00e9 las conexiones OAuth conllevan un riesgo de exposici\u00f3n de datos aplican ese razonamiento a cada decisi\u00f3n que toman sobre herramientas. La pol\u00edtica se convierte en una forma de educaci\u00f3n cuando se incluye el razonamiento.<\/p>\n<h3 style=\"text-align: left;\"><b>Paso 3: cree una v\u00eda r\u00e1pida para solicitudes de nuevas herramientas<\/b><\/h3>\n<p>Shadow AI crece m\u00e1s r\u00e1pido en organizaciones donde el proceso de aprobaci\u00f3n oficial no puede seguir el ritmo de la tasa de lanzamientos de productos de IA. Un empleado que necesita una herramienta hoy y se enfrenta a una revisi\u00f3n de seguridad de seis semanas encontrar\u00e1 una soluci\u00f3n en cuesti\u00f3n de d\u00edas. El objetivo de este paso es eliminar esa fricci\u00f3n.<\/p>\n<ul>\n<li>La mayor\u00eda de las solicitudes de herramientas de IA no justifican una revisi\u00f3n completa de la adquisici\u00f3n. Para la mayor\u00eda de las herramientas de menor riesgo es suficiente un formulario de admisi\u00f3n estructurado con criterios de evaluaci\u00f3n definidos.<\/li>\n<li>Un formulario de admisi\u00f3n estructurado y un conjunto definido de criterios de evaluaci\u00f3n hacen posible tomar decisiones m\u00e1s r\u00e1pidas. Para herramientas con acceso limitado a datos, muchas organizaciones consideran factible un plazo de entrega m\u00e1s corto una vez que los criterios de evaluaci\u00f3n est\u00e1n documentados y aplicados de manera consistente.<\/li>\n<li>Los criterios de evaluaci\u00f3n deben cubrir el alcance del acceso a los datos, las pr\u00e1cticas de seguridad del proveedor, el estado de exclusi\u00f3n voluntaria de la capacitaci\u00f3n en datos, las certificaciones de cumplimiento y si la herramienta ya tiene un equivalente funcional en la lista aprobada.<\/li>\n<\/ul>\n<p>Los equipos de seguridad que publican abiertamente su lista de herramientas aprobadas y la mantienen actualizada suelen ver una reducci\u00f3n significativa en el uso de la IA en la sombra. Cuando los empleados saben d\u00f3nde encontrar las herramientas adecuadas, las utilizan.<\/p>\n<h3 style=\"text-align: left;\"><b>Paso 4: utilice la supervisi\u00f3n como capa de seguridad compartida<\/b><\/h3>\n<p>La visibilidad continua del uso de herramientas de IA en una organizaci\u00f3n sirve a dos grupos simult\u00e1neamente.<\/p>\n<ul>\n<li>Los equipos de seguridad obtienen la imagen en tiempo real que necesitan para identificar y abordar la exposici\u00f3n antes de que se convierta en un incidente.<\/li>\n<li>Los empleados obtienen una forma de protecci\u00f3n que a menudo no tienen por s\u00ed solos: una se\u00f1al cuando una herramienta que est\u00e1n utilizando puede estar poniendo en riesgo sus credenciales o los datos de la empresa.<\/li>\n<\/ul>\n<p>Un enfoque de monitoreo nativo del navegador brinda a los equipos de seguridad visibilidad de la actividad de la IA sin desviar el tr\u00e1fico web de los empleados ni agregar fricci\u00f3n al trabajo diario. Las se\u00f1ales que captura se alimentan del perfil de riesgo m\u00e1s amplio de cada empleado, junto con los resultados de la simulaci\u00f3n de phishing y los datos de finalizaci\u00f3n de la capacitaci\u00f3n en un solo lugar.<\/p>\n<p>Esa visi\u00f3n combinada es importante porque los comportamientos riesgosos se agravan. Un empleado que hace clic en enlaces de phishing, se salta la capacitaci\u00f3n y ejecuta herramientas de inteligencia artificial no aprobadas con acceso a datos confidenciales presenta un riesgo mucho mayor de lo que indicar\u00eda cualquier comportamiento individual. Ver el panorama completo en un solo lugar ayuda a los equipos de seguridad a centrarse en los empleados que m\u00e1s necesitan atenci\u00f3n.<\/p>\n<h3 style=\"text-align: left;\"><b>Paso 5: Facilite el buen comportamiento de seguridad<\/b><\/h3>\n<p>Los programas de seguridad que hacen que la elecci\u00f3n segura sea la opci\u00f3n m\u00e1s f\u00e1cil son los que siguen los empleados. En el contexto de la gobernanza de la IA, hay dos cosas que lo impulsan: el asesoramiento justo a tiempo y la capacitaci\u00f3n que explica el razonamiento detr\u00e1s de las reglas.<\/p>\n<p>El coaching justo a tiempo ofrece un mensaje breve y contextual en el momento en que un empleado intenta utilizar una herramienta no autorizada. Esto es m\u00e1s efectivo que los m\u00f3dulos de capacitaci\u00f3n trimestrales, porque la intervenci\u00f3n ocurre en el momento de la decisi\u00f3n. Un mensaje bien dise\u00f1ado le dice al empleado cu\u00e1l es la preocupaci\u00f3n, lo dirige a una alternativa aprobada y tarda menos de treinta segundos en leerse.<\/p>\n<p>La capacitaci\u00f3n que explica el razonamiento detr\u00e1s de las pol\u00edticas de gobernanza de la IA genera el tipo de juicio que los empleados pueden aplicar en cualquier situaci\u00f3n que encuentren, incluidas las herramientas y amenazas que surgen mucho despu\u00e9s de la capacitaci\u00f3n misma. El panorama de las herramientas de IA est\u00e1 cambiando lo suficientemente r\u00e1pido como para que ning\u00fan programa de capacitaci\u00f3n pueda anticipar cada caso espec\u00edfico. Un empleado que comprenda que las conexiones OAuth al Google Workspace corporativo pueden exponer toda la unidad compartida a un proveedor externo aplicar\u00e1 ese conocimiento a herramientas que no exist\u00edan hace seis meses.<\/p>\n<h2 style=\"text-align: left;\"><b>Creaci\u00f3n de un programa de seguridad basado en c\u00f3mo funcionan los equipos <\/b><\/h2>\n<p>La adopci\u00f3n de la IA es una se\u00f1al de que los equipos productivos est\u00e1n haciendo bien su trabajo. Las empresas que crean programas pr\u00e1cticos en torno a ese impulso, con caminos claros hacia herramientas aprobadas y visibilidad en tiempo real para los equipos de seguridad, tienden a manejarlo mejor.<\/p>\n<p>Los equipos de seguridad que cierran esa brecha descubren que el uso de la IA en la sombra disminuye org\u00e1nicamente con el tiempo. La visibilidad nativa del navegador, los caminos claros hacia las herramientas aprobadas y el asesoramiento justo a tiempo en el momento del riesgo son lo que lo hacen posible. Cuando los empleados tienen acceso a herramientas efectivas y aprobadas y a un camino r\u00e1pido y transparente para revisar las nuevas, el incentivo para evitar el sistema desaparece en gran medida.<\/p>\n<p><span style=\"font-size: large;\"><i>El producto AI Governance de Adaptive Security brinda a los equipos de seguridad visibilidad en tiempo real de cada herramienta de AI y aplicaci\u00f3n paralela que se ejecuta en su organizaci\u00f3n, con pol\u00edticas automatizadas y capacitaci\u00f3n integrada para empleados justo a tiempo.<\/i> <a href=\"https:\/\/www.adaptivesecurity.com\" target=\"_blank\">Obtenga m\u00e1s informaci\u00f3n en adaptivesecurity.com<\/a>.<\/span><\/p>\n<div class=\"cf note-b\">\u00bfEncontr\u00f3 interesante este art\u00edculo? <span class=\"\">Este art\u00edculo es una contribuci\u00f3n de uno de nuestros valiosos socios.<\/span> S\u00edguenos en <a href=\"https:\/\/news.google.com\/publications\/CAAqLQgKIidDQklTRndnTWFoTUtFWFJvWldoaFkydGxjbTVsZDNNdVkyOXRLQUFQAQ\" rel=\"noopener\" target=\"_blank\">noticias de google<\/a>, <a href=\"https:\/\/twitter.com\/thehackersnews\" rel=\"noopener\" target=\"_blank\">Gorjeo<\/a> y <a href=\"https:\/\/www.linkedin.com\/company\/thehackernews\/\" rel=\"noopener\" target=\"_blank\">LinkedIn<\/a> para leer m\u00e1s contenido exclusivo que publicamos.<\/div>\n<\/div>\n<p><script async src=\"\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Cuando un empleado instala un asistente de escritura con IA, conecta un copiloto de codificaci\u00f3n a su IDE o comienza a resumir reuniones con una nueva herramienta de navegador, est\u00e1 haciendo exactamente lo que deber\u00eda hacer un empleado productivo: encontrar formas m\u00e1s r\u00e1pidas de trabajar. Hoy en d\u00eda, en la mayor\u00eda de las organizaciones, los [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[430,24,2089,2736,205,52,36,1585,2737,716,1673],"class_list":["post-992","post","type-post","status-publish","format-standard","hentry","category-noticias","category-trending","tag-cinco","tag-cyberdefensa-mx","tag-empleados","tag-gestionar","tag-herramientas","tag-los","tag-para","tag-pasos","tag-ralentizar","tag-sin","tag-sombra"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/992","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=992"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/992\/revisions"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=992"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=992"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=992"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}