La IA generativa se ha integrado de forma silenciosa en el ecosistema SaaS que las empresas utilizan a diario. Plataformas como Zoom, Slack, Microsoft 365 y Salesforce ya cuentan con asistentes de IA. Estos permiten resumir reuniones o automatizar tareas rutinarias. Una encuesta reciente reveló que el 95% de las empresas estadounidenses emplean IA generativa, un aumento significativo respecto al año anterior. Sin embargo, este rápido crecimiento de funcionalidades de IA preocupa a los responsables de seguridad, ya que la información sensible podría filtrarse o ser mal utilizada sin los controles adecuados.

Shadow AI y sus riesgos de gran alcance

Cuando los empleados utilizan aplicaciones de IA sin el conocimiento o la aprobación del departamento de TI, se genera shadow AI, similar al shadow IT de aplicaciones en la nube no autorizadas, pero ahora con servicios de IA. Este uso no autorizado puede exponer a las organizaciones a problemas de privacidad, incumplimientos normativos y riesgos de desinformación.

Ya se están viendo estos riesgos en la práctica. Ingenieros de Samsung filtraron accidentalmente código sensible a ChatGPT, lo que llevó a la empresa a prohibir temporalmente el uso de IA generativa en dispositivos corporativos. También han surgido problemas de privacidad y soberanía: los reguladores italianos prohibieron brevemente ChatGPT por violaciones de privacidad, y varios países (así como agencias estadounidenses como la NASA y la Armada) han bloqueado o prohibido DeepSeek debido a preocupaciones de seguridad nacional sobre sus prácticas de datos.

Parte de la preocupación general es que la política de privacidad de DeepSeek permite enviar datos de usuarios a servidores en China. Bajo la ley china, el gobierno puede acceder libremente a esos datos. Además, DeepSeek carece de controles de seguridad: un estudio de Cisco encontró que no bloqueó ningún prompt dañino, lo que lo hace más explotable por ciberdelincuentes que otros modelos de IA. Investigadores de seguridad han observado incluso a ciberdelincuentes usando DeepSeek para generar malware y eludir controles antifraude.

Por qué 'solo prohibirlo' no es una solución real

Ante estos riesgos, algunas organizaciones optan por bloquear herramientas populares de IA, pero las prohibiciones absolutas son un instrumento contundente que rara vez funciona. La IA generativa está integrada en muchas aplicaciones, lo que dificulta deshabilitarla por completo. Los empleados suelen sortear las prohibiciones: más de la mitad de los trabajadores estadounidenses usan herramientas de IA generativa en el trabajo sin la aprobación de TI. Este shadow AI reduce la visibilidad y el control de los equipos de seguridad. Además, prohibir la IA puede sofocar la innovación y la competitividad. En lugar de prohibir, los líderes de seguridad deberían centrarse en la gobernanza, permitiendo un uso seguro de la IA para aprovechar su eficiencia y conocimientos sin riesgos.

Adoptar la gobernanza de la IA en SaaS

La gobernanza de la IA en SaaS puede definirse como el conjunto de reglas, procedimientos y controles que garantizan un uso seguro y responsable de la IA en una empresa. Una buena gobernanza asegura que las herramientas de IA se utilicen de acuerdo con las necesidades de seguridad, obligaciones legales y estándares éticos de la compañía, en lugar de permitir que cada uno haga lo que quiera. En un mundo donde los datos fluyen constantemente hacia servicios de terceros, este tipo de gobernanza es necesaria para rastrear hacia dónde van tus datos. El objetivo es hacer que la IA sea segura de usar, no impedir su uso por completo.

5 pasos clave para una gobernanza eficaz de la IA

Para abordar los riesgos sin perder los beneficios, todo líder de seguridad debería incluir un plan de gobernanza de IA en SaaS en su agenda. Estos son algunos pasos prácticos para empezar:

  • 1. Inventariar el uso de IA: Comienza por sacar a la luz la sombra. No puedes gobernar lo que no sabes que existe. Realiza una auditoría exhaustiva de tu entorno para identificar cada aplicación, función o integración potenciada por IA en uso. Construye un inventario centralizado que enumere cada herramienta de IA, qué hace, qué equipos la usan y qué datos toca.
  • 2. Definir políticas de uso: Establece una política de uso aceptable de IA. Al igual que tu política de uso de TI estándar, esta debe especificar qué herramientas de IA están aprobadas (y cuáles están prohibidas), qué tipos de datos pueden introducirse en los sistemas de IA y el proceso para evaluar y aprobar nuevas soluciones de IA.
  • 3. Monitorear el acceso a datos: Una vez que las herramientas de IA están en funcionamiento, implementa controles técnicos para supervisar su actividad y aplicar el principio de mínimo privilegio. Asegúrate de que las integraciones de IA solo accedan a los datos mínimos necesarios. Utiliza las consolas de administración o registros que proporcionen tus plataformas SaaS (o considera una plataforma de seguridad SaaS) para vigilar las integraciones de IA y los flujos de datos.
  • 4. Educar a los empleados: Capacita a los empleados sobre los riesgos de las herramientas de IA no autorizadas y la importancia de las prácticas seguras de IA. Enséñales qué es (y qué no es) aceptable compartir con las plataformas de IA (por ejemplo, nada de código propietario o datos personales en chatbots públicos). Asegúrate de que entiendan la nueva política de uso de IA y las razones detrás de ella.
  • 5. Revisar y adaptar: Escanea periódicamente en busca de nuevos servicios o funciones de IA que aparezcan en tu entorno SaaS, y evalúa las actualizaciones de las ofertas de IA de los proveedores. Mantente informado sobre las amenazas y vulnerabilidades de la IA, como nuevos exploits de inyección de prompts o incidentes de fuga de datos, y actualiza tus políticas en consecuencia.

Es momento de gobernar, no de bloquear

Se quiera o no, la IA generativa ya forma parte del nuevo ecosistema SaaS y no va a desaparecer. Por eso, todo CISO debería tener la gobernanza de la IA en SaaS en su lista de tareas pendientes. Los líderes de seguridad ya no pueden ignorar estas herramientas ni esperar que los empleados no las usen. Al mismo tiempo, prohibir la IA por completo es un enfoque contundente que podría resultar contraproducente.

La mejor manera de usar la IA de forma segura y responsable es gestionarla con anticipación. Establece límites para que tu empresa pueda aprovechar los beneficios de la IA sin asumir demasiados riesgos. Las empresas pueden convertir la IA de un gran riesgo en un activo bien gestionado haciendo transparente su uso, estableciendo reglas claras e implementando controles inteligentes.