Lo que los números de IA sombra están ocultando

Los empleados en la mayoría de las organizaciones ya están usando herramientas de IA que su empleador nunca aprobó. A estas alturas, eso no debería sorprender a nadie. Los empleados siempre se han inclinado hacia tecnologías que les ayudan a trabajar de manera más eficiente, hayan sido o no presentadas formalmente por TI. La IA simplemente ha acelerado ese comportamiento.

La velocidad de adopción de la IA es solo una parte de la historia. Más revelador es lo que nos indica sobre los entornos donde ocurre esa adopción. Que los empleados elijan sus propias herramientas de IA a menudo es una señal de que TI no tiene una visión completa de cómo se realiza el trabajo. Las mismas organizaciones que tienen dificultades para identificar el uso no autorizado de IA también pueden estar lidiando con actualizaciones más lentas, cifrado inconsistente o dispositivos que quedan fuera de las políticas de seguridad establecidas. La IA sombra no crea esas vulnerabilidades, pero puede resaltarlas con mayor claridad.

Nuestro propio Informe State of Digital Workspace 2026 analizó la telemetría de millones de dispositivos gestionados en 17 industrias, evitando las limitaciones de preguntar a los empleados qué herramientas utilizan o recuerdan. Descubrió que el uso de asistentes de IA creció cerca del 1.000 % durante 2025, convirtiéndose en la categoría de aplicaciones de mayor crecimiento en el entorno laboral.

La cifra nos muestra cuán rápido está cambiando el comportamiento de los empleados. También abre una línea de investigación menos familiar: ¿las organizaciones con alta exposición a aplicaciones no aprobadas presentan debilidades en áreas más establecidas de la gestión de dispositivos? La salud ofrece la indicación más clara de que podrían hacerlo. En nuestro estudio, el sector de la salud aparece entre las industrias más expuestas al riesgo de cumplimiento por aplicaciones no autorizadas; y en otras partes del informe también se registran algunas de las actualizaciones más lentas y mayores tasas de escritorios sin cifrar.

La adopción es solo parte del panorama

Comprender qué herramientas de IA utilizan los empleados es solo una pieza del rompecabezas. La pregunta más reveladora es por qué las eligen, ya que esas decisiones a menudo ponen de relieve la brecha entre el entorno de TI que la empresa cree haber creado y el que los empleados experimentan diariamente.

La distribución entre herramientas de IA aprobadas y no aprobadas se vuelve más reveladora una vez que se establece su uso. Microsoft Copilot está instalado ampliamente en dispositivos móviles gestionados donde TI controla el despliegue, gracias a su posición dentro de Microsoft 365. Fuera de ese entorno gestionado, ChatGPT lidera por un margen considerable. Aparece en el 91 % de los dispositivos iOS no autorizados y en el 61 % de los dispositivos Android no autorizados, mientras que Gemini representa gran parte del resto del uso en Android.

Los servicios aprobados y los auto‑seleccionados pueden coexistir fácilmente dentro de un mismo entorno de trabajo. Los empleados pueden tener acceso al servicio de IA corporativo y, aun así, recurrir a otra herramienta porque la consideran más rápida, más familiar o más adecuada para una tarea específica. Desde su perspectiva, a menudo es la forma más práctica y rápida de cumplir con su trabajo. Para los equipos de TI y cumplimiento, esto genera incertidumbre sobre qué aplicaciones están manejando la información de la empresa y si se están siguiendo las políticas de gobernanza existentes.

El patrón dentro del software de comunicación es similar. Las aplicaciones de mensajería para consumidores representan casi la mitad de las herramientas de comunicación instaladas en plataformas de escritorio gestionadas, junto con Teams, Zoom y Slack. Los servicios financieros y la salud, a pesar de sus estrictas obligaciones de registro, no están exentos. El problema de cumplimiento surge cuando una organización asume que las conversaciones sensibles permanecen dentro de canales aprobados. Una consulta de política, una discusión con un paciente o una decisión interna trasladada a una aplicación de consumo puede ya no estar dentro de los sistemas utilizados para retención, monitoreo o investigación. El empleado involucrado puede no tener la intención de eludir los controles y simplemente estar usando el canal donde un colega responde más rápido.

Estos patrones indican un cambio más amplio en la forma en que se realiza el trabajo. Cada vez más, los empleados se desplazan entre aplicaciones, navegadores y servicios de IA que no siempre encajan perfectamente en los modelos tradicionales de gestión. El desafío no es simplemente identificar otra aplicación. Es mantener una comprensión clara de cómo se lleva a cabo el trabajo en todo el entorno para que la gobernanza pueda seguir el ritmo del comportamiento de los empleados.

La adopción de IA y la higiene de los dispositivos avanzan a ritmos diferentes

La rápida adopción de la IA ha expuesto otra realidad de TI empresarial: la tecnología no evoluciona al mismo ritmo en toda la organización. Los empleados pueden comenzar a usar un servicio de IA en minutos, sin un proceso de adquisición ni un ticket de soporte.

Cerrar una brecha en la gestión de dispositivos puede llevar meses, particularmente en entornos mixtos que incluyen portátiles corporativos, dispositivos compartidos, hardware reforzado y teléfonos de propiedad del empleado. La telemetría muestra una gran variación en la velocidad de los parches. Los dispositivos iOS alcanzan la versión más reciente aproximadamente ocho veces más rápido que los dispositivos Android, mientras que las actualizaciones de macOS son alrededor de una vez y media más rápidas que las de Windows.

La cobertura de cifrado también es desigual; el 23 % de los escritorios bancarios no están cifrados, y la cifra aumenta a alrededor del 27 % en salud y alta tecnología, y al 28 % en medios y entretenimiento. Más de la mitad de los dispositivos de escritorio y móviles en educación no están cifrados, mientras que en el sector público uno de cada cinco escritorios carece de cifrado.

El desglose por industria de las actualizaciones del sistema operativo aporta más contexto. Salud, farmacéutica y comercio minorista y mayorista tienen las mayores concentraciones de dispositivos Android con cuatro o cinco generaciones de retraso respecto a la versión actual. La información expuesta por un parche perdido varía en esos entornos, desde registros de pacientes y datos clínicos hasta investigación de fármacos e información de pagos.

Los dispositivos más antiguos a menudo están integrados en entornos operativos donde el reemplazo y el mantenimiento son difíciles. Un dispositivo portátil reforzado en una sala de hospital o en el piso de un almacén puede seguir ejecutando una versión del sistema operativo varias versiones mayores desactualizada, mientras que el personal de ese entorno tiene acceso a los últimos servicios públicos de IA. El uso de IA puede generar preocupación inmediata, aunque el punto final envejecido representa una vía de acceso a información sensible de larga data.

Aquí es donde la relación entre la adopción de IA y la gestión de puntos finales se vuelve más clara. El informe sitúa el riesgo de perímetro sombra y la higiene de seguridad en capítulos separados, pero la salud aparece en ambos. Se identifica por la exposición de cumplimiento derivada de aplicaciones no autorizadas, y vuelve a aparecer debido a sus lentas actualizaciones del sistema operativo y su relativamente alta tasa de escritorios sin cifrar. Esa superposición puede permanecer oculta cuando la seguridad, la gestión de dispositivos y la información de aplicaciones se encuentran en sistemas separados. Cada equipo puede tener una visión precisa de su propia parte del entorno mientras pasa por alto la concentración de riesgo en conjunto.

El calendario regulatorio ha cambiado

Algunas organizaciones esperaban que la regulación generara la presión necesaria para abordar estas brechas, aunque el calendario ahora les brinda más tiempo del que se anticipaba anteriormente. Según el acuerdo político alcanzado por los negociadores de la UE el 7 de mayo, las obligaciones de alto riesgo del AI Act para sistemas independientes bajo el Anexo III se han trasladado de agosto de 2026 a diciembre de 2027. Esta es la categoría bajo la cual se espera que caigan muchas implementaciones empresariales de IA. Las obligaciones de transparencia siguen aplicándose a partir de agosto de 2026, mientras que los requisitos más amplios que impulsarían a muchas organizaciones a crear inventarios de IA y evaluaciones de riesgo formales llegan ahora dieciséis meses después.

El retraso brinda a las organizaciones más tiempo para prepararse, pero también elimina una fecha límite externa inmediata que podría haber acelerado la inversión.

El mercado está respondiendo a una brecha de gobernanza reconocida, aunque el valor de esa inversión dependerá de qué tan bien esas plataformas se integren con el conjunto más amplio de puntos finales. Un panel de gobernanza de IA separado puede identificar qué herramientas están en uso mientras la condición de los dispositivos, el cifrado y el rendimiento de las aplicaciones quedan en otro lugar. La regulación puede establecer expectativas y definir responsabilidades, pero no puede crear una visión operativa completa a menos que los datos subyacentes se integren.

El punto final importa a cualquiera que implemente IA

La estrategia de IA de cada organización dependerá en última instancia de los dispositivos que los empleados usan a diario. Eso es cierto tanto si la IA se entrega a través de un navegador, está integrada en una aplicación empresarial o se ejecuta directamente en el punto final.

Los desarrolladores y equipos empresariales que implementan asistentes, agentes o modelos en el dispositivo deben trabajar con los dispositivos que ya utilizan los empleados. Estos dispositivos pueden ser más antiguos, estar fuertemente gestionados o ya estar bajo presión de rendimiento. En los escritorios Windows, la administración de TI, la seguridad y las herramientas del sistema representan cerca de dos tercios de la pila de software instalada. La protección del punto final, la gestión de parches, el cifrado y los agentes de inventario de activos compiten por la capacidad del procesador y la memoria antes de que comience una carga de trabajo de IA.

Agregar un asistente a ese entorno cambia las exigencias que se imponen al dispositivo. Esto es particularmente relevante para la inferencia en el dispositivo y los flujos de trabajo basados en agentes, donde la fiabilidad y los recursos informáticos disponibles influyen en si el servicio responde como se espera. El Informe Digital Workspace 2026 encontró que los dispositivos Windows experimentan 3,1 veces más apagados forzados y 7,5 veces más estados de aplicaciones no responsivas que los Mac. A medida que los empleados comienzan a depender de asistentes de IA durante el trabajo rutinario, esas diferencias de fiabilidad tienen un efecto directo en la adopción y la confianza. Un servicio que no está disponible, es lento o inconsistente en el momento en que se necesita pronto será eludido.

Un portátil ejecutivo recién emitido y un dispositivo clínico compartido pueden pertenecer a la misma organización, pero estar en extremos opuestos de actualización, rendimiento y control. Diseñar una implementación de IA alrededor de un punto final idealizado arriesga pasar por alto los lugares donde la implementación será más difícil. Estas debilidades a menudo se concentran en entornos regulados y operativos, donde los dispositivos permanecen en uso más tiempo y las interrupciones pueden afectar el trabajo de primera línea. Estos también son los entornos donde la falta de visibilidad conlleva las mayores consecuencias.

Viendo todo el entorno

Las políticas siguen siendo necesarias, pero su alcance es limitado cuando una organización no puede ver qué herramientas usan los empleados o el estado de los dispositivos a través de los cuales acceden a ellas. Los empleados seguirán seleccionando servicios que les ayuden a completar una tarea rápidamente. Algunos usarán un asistente aprobado, mientras que otros elegirán un servicio público que les resulte más fácil o que produzca un mejor resultado. Las normas escritas por sí solas no proporcionarán a los equipos de TI una visión precisa de ese comportamiento.

El desafío operativo es comprender el uso de la IA en contexto, lo que puede incluir la antigüedad del dispositivo, su sistema operativo, el estado de los parches, la cobertura de cifrado y las aplicaciones que ya se ejecutan en él. Vistos por separado, cada conjunto de datos puede parecer manejable. Combinados, pueden revelar dónde se acumulan varias debilidades alrededor de los mismos empleados, dispositivos o procesos empresariales. Las organizaciones reguladas deberían comenzar integrando el uso de IA, la información de parches y cifrado en una vista compartida, y luego identificar las partes del entorno que aparecen repetidamente en esos conjuntos de datos. La IA sombra puede ser la señal más visible del problema, mientras que el riesgo más amplio se encuentra en los vacíos entre los sistemas utilizados para gestionar el lugar de trabajo.