A Samsung le tocó aprenderlo a la mala. En 2023 permitió a sus ingenieros usar ChatGPT y, en cuestión de semanas, ya habían filtrado código confidencial de semiconductores en repetidas ocasiones (Bloomberg, 2023). La empresa prohibió todo. ¿Final de la historia? No: tres años después, la misma empresa acaba de desplegar la versión empresarial de esa herramienta, ahora con controles corporativos y observabilidad, para todos sus empleados en Corea del Sur y su división global de dispositivos (OpenAI, 2026).
La lección es contundente: prohibir no funciona. La gente la usa igual, solo que desde su celular y sin que nadie vea qué información está saliendo.
A este fenómeno se le conoce como shadow AI: inteligencia artificial que los colaboradores usan sin reglas, sin política y sin visibilidad. Y dejó de ser un tema teórico para convertirse en un tema de dinero. Las brechas de seguridad en organizaciones con alto uso de IA no autorizada costaron en promedio $670,000 dólares más que las demás (IBM, Cost of a Data Breach Report 2025).
El 63% de las empresas no cuenta con una política de gobernanza de IA y, de las que ya sufrieron un incidente relacionado con IA, el 97% carecía de controles de acceso (IBM, 2025). Los propios CEOs ya cambiaron de preocupación: la fuga de datos por IA generativa es hoy su principal inquietud en la materia, por encima de los ataques sofisticados (WEF, Global Cybersecurity Outlook 2026).
Esto es solo la mitad del problema. La otra mitad es que los atacantes también adoptaron inteligencia artificial, y la operan mejor. Los deepfakes que le costaron 25.6 millones de dólares a la firma de ingeniería Arup ya ni siquiera sorprenden (CNN, 2024). Lo que sí debería quitarnos el sueño es la velocidad: la ventana entre que se descubre una vulnerabilidad y alguien la explota pasó de casi cinco días a entre 24 y 48 horas (FortiGuard Labs, 2026).
Las víctimas confirmadas de ransomware casi se quintuplicaron a nivel global en solo un año, y México es el segundo país más atacado de América Latina (Fortinet, 2025). ¿Y del lado de la defensa? Las organizaciones tardan en promedio 241 días en identificar y contener una brecha (IBM, 2025). El atacante corre en horas; nosotros respondemos en meses. Esa asimetría de velocidad es, desde mi perspectiva, el riesgo empresarial más subestimado de la década.
