Shadow AI es un desafío de seguridad. Cuando los empleados utilizan herramientas de inteligencia artificial no autorizadas sin supervisión formal, información sensible puede acabar en plataformas que la empresa no ha aprobado, monitoreado o asegurado.

Los riesgos en torno a la protección de datos, cumplimiento y gobernanza son reales, y las organizaciones tienen motivos para tomarlos en serio.

Pero si solo vemos shadow AI desde una lente de seguridad, corremos el riesgo de tratar el síntoma en lugar de la causa.

La mayoría de los empleados no intenta deliberadamente eludir políticas ni crear riesgo.

En la mayoría de los casos, buscan resolver un problema de forma rápida y avanzar en su trabajo. Cuando las herramientas aprobadas son lentas, difíciles de acceder, limitadas en funcionalidad o poco claras de usar, las personas naturalmente buscan alternativas que les ayuden a hacer su trabajo.

Eso significa que shadow AI no es solo un desafío de seguridad. También es una señal de que la tecnología en el lugar de trabajo está fallando para satisfacer las necesidades de los empleados.

Para las organizaciones, la lección es clara: reducir shadow AI requiere más que controles más fuertes. Requiere proporcionar a los empleados herramientas seguras y accesibles que sean capaces de sostener la forma en que realmente se trabaja.

Cuándo las herramientas aprobadas no son suficientes

Muchos organismos todavía enmarcan el uso de IA no sancionado como un fallo del comportamiento del empleado. Desde esa perspectiva, la respuesta parece simple: emitir políticas más estrictas, bloquear más herramientas y recordar a las personas los riesgos.

Esto puede reducir cierta exposición a corto plazo, pero rara vez resuelve el problema subyacente. Los empleados recurren a herramientas de IA porque ofrecen velocidad, comodidad y apoyo con tareas que los sistemas oficiales no manejan bien.

El desafío no es solo que los empleados usen herramientas incorrectas. Es que la ruta oficial puede no parecer suficientemente práctica para usar.

Esa distinción importa. Si el proceso oficial es demasiado lento, las personas pueden eludirlo. Si la orientación es demasiado vaga, los equipos pueden tomar sus propias decisiones. Si las herramientas aprobadas no satisfacen las necesidades reales del negocio, las herramientas no oficiales llenarán el vacío.

Shadow AI no es solo una señal de incumplimiento, sino también una señal de fricción subyacente.

La fricción digital crea riesgos ocultos

La fricción digital se refiere a las barreras tecnológicas cotidianas que dificultan que los empleados hagan su trabajo de manera eficiente. Podría ser un proceso de inicio de sesión que tarda demasiado, una plataforma bloqueada que impide una tarea simple, un flujo de aprobación que ralentiza un proyecto o una herramienta sancionada que carece de la funcionalidad que los empleados necesitan.

Individualmente, estos problemas pueden parecer menores. Juntos, moldean cómo se comportan los empleados.

Cuando la tecnología del lugar de trabajo dificulta el trabajo, los empleados tienden a buscar sus propias soluciones. Investigaciones han encontrado que el 80% de los empleados pierde tiempo debido a IT disfuncional, lo que les cuesta un promedio de 1,3 días hábiles por mes. Casi la mitad también dice que ha retrasado operaciones o proyectos críticos.

El riesgo no es solo la productividad perdida. La fricción digital también puede debilitar la confianza en los sistemas aprobados, empujando el trabajo a entornos menos visibles donde los equipos de seguridad tienen menos supervisión.

Por eso bloquear herramientas sin abordar las necesidades de los empleados puede generar resultados en el corto plazo pero a largo plazo provocar más problemas. Puede empujar el comportamiento fuera de la vista en lugar de acercarlo al control.

La seguridad no puede triunfar si compite con la productividad

Durante años, la seguridad ha sido vista por los empleados como algo que interrumpe el trabajo.

Contraseñas, solicitudes de acceso, cadenas de aprobación y restricciones de herramientas existen por razones válidas, pero pueden sentirse como barreras cuando están mal diseñadas.

Lo mismo ocurre con la gobernanza de IA. Una política que simplemente diga qué herramientas no se pueden usar probablemente no será suficiente. Los empleados necesitan orientación práctica sobre qué pueden usar, qué información se puede introducir y a dónde acudir cuando no están seguros.

La ruta segura tiene que ser lo suficientemente clara para seguir y lo suficientemente útil como para elegirla.

Esto no significa debilitar la seguridad. Significa diseñar la seguridad en torno a cómo realmente se trabaja. Los controles más fuertes suelen ser aquellos que los empleados pueden seguir sin sentir que se les obliga a elegir entre protección y productividad.

La autenticación es un ejemplo útil. Las contraseñas han sido una fuente de frustración para los empleados y una debilidad conocida para las organizaciones. Enfoques como el zero trust y la autenticación biométrica pueden fortalecer la protección mientras mejoran la experiencia del usuario.

El principio es simple: una buena seguridad debería reducir el riesgo sin añadir fricción innecesaria.

La gobernanza de IA necesita un responsable

Una de las razones por las que shadow AI puede crecer rápidamente es que la responsabilidad a menudo no está clara.

Las herramientas de IA pueden entrar en una organización a través de equipos diferentes por distintas razones. Un pequeño experimento en un departamento puede convertirse en un flujo de trabajo central antes de que alguien haya evaluado el riesgo, acordado la propiedad o definido las reglas.

Con el crecimiento de la adopción, esa brecha de gobernanza se vuelve más difícil de ignorar. La investigación ha encontrado que el 62% de los empleados no confía en que sus equipos de IT proporcionen las últimas herramientas de IA y digital; el 57% no confía en que su equipo de IT resuelva problemas de forma rápida o efectiva; y el 47% teme que los datos personales o laborales no estén adecuadamente protegidos.

Los equipos de seguridad tienen un papel importante, pero no pueden resolverlo solos. La gobernanza de IA debe contar con aportes de IT, legal, cumplimiento, HR y líderes de toda la organización. Debe convertirse en una parte central del modelo operativo de la organización, no en una política aislada.

Eso implica establecer una propiedad clara de cómo se introduce, utiliza y gobierna la IA en toda la organización. También implica reconocer que la gobernanza no es solo detener comportamientos inseguros. Se trata de habilitar comportamientos seguros a escala.

La supervisión humana sigue siendo esencial. La IA puede procesar información rápidamente, pero no comprende todo el contexto empresarial, el requisito regulatorio ni la consecuencia reputacional. Las personas deben cuestionar los resultados y asumir la responsabilidad de las decisiones que tienen un impacto real.

Los empleados necesitan orientación que realmente puedan usar

Las políticas de IA suelen fallar porque son demasiado abstractas. A los empleados se les puede decir que eviten compartir datos sensibles y que utilicen herramientas aprobadas, pero eso no siempre ayuda en el momento.

Un equipo bajo presión necesita respuestas prácticas. ¿Este documento se puede subir? ¿Se puede resumir esta consulta de cliente? ¿Este conjunto de datos se puede analizar? ¿Qué herramienta está aprobada para esta tarea? ¿A quién deben acudir si la respuesta no está clara?

La orientación debe ser específica, accesible y fácil de aplicar durante la jornada laboral. Si los empleados tienen que buscar en documentos de políticas largos o esperar días para una respuesta, pueden optar por la opción más rápida disponible.

Aquí la confianza juega un papel clave. Los empleados son más propensos a seguir la guía de seguridad cuando creen que los sistemas aprobados les ayudan a hacer su trabajo de manera efectiva. Si ven los procesos oficiales lentos, restrictivos o desconectados de la realidad, tenderán a buscar alternativas fuera de la vista.

La confianza también depende de la transparencia. Las personas deben entender por qué ciertas herramientas están restringidas, cómo se protegen los datos y qué busca lograr la ruta aprobada. Una política que simplemente diga “no uses estas herramientas” no genera confianza. Las reglas importan, pero funcionan mejor cuando las personas entienden la razón detrás de ellas.

La seguridad por diseño debe aplicarse al lugar de trabajo

La seguridad por diseño se discute con frecuencia en relación con productos y desarrollo de software, pero el mismo principio debería aplicarse al entorno digital de trabajo.

Demasiado a menudo, la seguridad se añade después de que una herramienta o proceso ya ha sido adoptado. En ese punto, los controles pueden sentirse como una capa adicional en lugar de una parte natural del flujo de trabajo. Llevar la seguridad a la conversación desde el principio ayuda a las organizaciones a identificar riesgos antes de que los comportamientos se integren.

Para la IA, esto significa involucrar a seguridad, IT y equipos de gobernanza antes de que las herramientas se implementen de forma general. También implica escuchar a los empleados sobre lo que necesitan de esas herramientas.

Si los sistemas de IA aprobados son demasiado limitados, los empleados trabajarán alrededor de ellos. Si el proceso de acceso es demasiado lento, la adopción se fragmentará. Si la orientación es poco clara, los equipos interpretarán las reglas de diferentes maneras.

Comprender esas presiones es central para reducir el riesgo.

El camino más fácil debería ser el seguro

Shadow AI demuestra que los sistemas de trabajo están teniendo dificultades para mantenerse al día con la evolución de las tareas. Cuando los empleados recurren a herramientas no sancionadas, a menudo apunta a una brecha entre lo que necesitan para hacer su trabajo y lo que permiten los sistemas aprobados.

Las organizaciones que responden bien no serán las que solo añadan controles más estrictos. serán aquellas que hagan que el comportamiento seguro sea más fácil de adoptar que las soluciones inseguras.

Para lograrlo, se necesita propiedad clara, herramientas prácticas, orientación accesible y procesos de seguridad diseñados alrededor de flujos de trabajo reales.

En la era de la IA, reducir el riesgo significa brindar a los empleados rutas seguras que sean lo suficientemente prácticas como para usar. Cuando la ruta aprobada es también la más fácil, las empresas pueden proteger los datos sin frenar a las personas.

Hemos revisado y clasificado los mejores gestores de contraseñas.

Este artículo se produce como parte de TechRadar Pro Perspectives, nuestro canal para presentar las mentes más brillantes de la industria tecnológica hoy.

Las opiniones expresadas aquí son las del autor y no necesariamente las de TechRadarPro o Future plc. Si estás interesado en contribuir, obtén más información aquí: https://www.techradar.com/pro/perspectives-how-to-submit

from Latest from TechRadar https://ift.tt/I0ME7ah
via IFTTT IA