La seguridad es un objetivo móvil, y la inteligencia artificial la ha hecho moverse con mayor rapidez de lo que muchas organizaciones pueden gestionar. Los equipos de SOC enfrentan un desafío enorme ante un flujo casi constante de anuncios de nuevos modelos o proveedores, lo que expande la superficie de ataque. Aunque los equipos de seguridad trabajan para revisar y aprobar la mayor cantidad posible de herramientas, el volumen sigue siendo abrumador. Hoy, apenas el 22% de los trabajadores dependen exclusivamente de las herramientas de IA proporcionadas por su empleador, mientras que más de un tercio (35%) de los miembros de la Generación Z afirman preferir aplicaciones de IA personales frente a las aprobadas por la empresa. Por cada herramienta sancionada, gran parte de la fuerza laboral opera (de forma silenciosa) fuera de su control. Si casi el 80% de los empleados utiliza herramientas de IA no autorizadas, no es una anomalía sino la norma. Shadow AI es una realidad en las organizaciones, pero la magnitud del desafío es subestimada por quienes deben gestionarlo.

Encajar el problema dentro de una visión de control excesivo tiende a empeorarlo: bloquear herramientas no evita que el empleado las use, solo desplaza el riesgo fuera de la vista. Si la herramienta elegida se bloquea en el portátil del empleado, podrá acceder a ella desde su teléfono o usar una dirección de correo personal. Esto ocurre con muchas herramientas de TI, pero es especialmente cierto con la IA, ya que las personas pueden volverse muy apegadas a ciertas personalidades de chatbot. Como resultado, el uso de IA se mueve más profundamente a las sombras, dejando cero visibilidad o registro para que los equipos de seguridad detecten posibles filtraciones de datos u otros riesgos.

Esta es la trampa central de la mayoría de las estrategias de shadow AI: cuanto más intenta una organización eliminar el problema, menos puede verlo. Y cuanto menos puede verlo, más peligroso se vuelve el problema. Una gobernanza que parece impecable en papel puede no coincidir con lo que realmente sucede en el negocio.

Las consecuencias no son abstractas. Cuando la información confidencial fluye hacia plataformas de terceros no gestionadas, el costo de una brecha de datos puede aumentar hasta 670,000 dólares, y la mayoría de los responsables no tiene idea de haber creado un riesgo.

Política no equivale a ejecución

La velocidad de desarrollo de la IA es la razón de estos problemas. ChatGPT tiene apenas cinco años y la diferencia de rendimiento en ese tiempo es enorme. Una de las consecuencias es que la formación sobre seguridad y buenas prácticas en IA ha quedado inadecuada. La idea inicial era no sobrecargar a los empleados con demasiada información, manteniendo las guías simples y centradas en uno o dos herramientas aprobadas, con ejemplos de escenarios de baja complejidad y adopción temprana para facilitar el cumplimiento. En tecnología normal, sería una estrategia sensata; sin embargo, el nivel de adopción de IA impulsada por los usuarios ha superado con creces las expectativas. Shadow AI es generalizado y la seguridad no puede seguir aplicando reglas que no funcionan a la práctica.

Para gobernar el comportamiento de los empleados, es necesario entenderlo y poder analizarlo. En IA, eso significa obtener visibilidad de qué herramientas y modelos utilizan, cómo y dónde realmente aportan valor.

Un enfoque basado en la experiencia

Este cambio exige visibilidad de cómo se usa la IA en toda la fuerza laboral. Un enfoque DEX (Digital Employee Experience) ofrece precisamente eso: detectar automáticamente tanto IA aprobada como shadow AI mediante patrones de tráfico y actividad en los endpoints, sin depender de que los empleados informen.

Los datos de uso y experiencia se presentan en una vista única, segmentada por equipos y flujos de trabajo, para que los líderes identifiquen dónde las personas buscan soluciones fuera de las reglas y actúen en consecuencia.

A partir de ahí, la respuesta deja de ser una prohibición contundente y se vuelve mucho más útil. La orientación in-app puede dirigir a los empleados hacia herramientas sancionadas en el flujo de trabajo, reforzando el comportamiento correcto sin afectar la productividad que persiguen.

Las políticas pueden basarse en el uso real en lugar de conjeturas. Y dado que el 96% de los líderes ya reconoce que el soporte de adopción digital es crítico para la preparación de IA, esa misma visibilidad muestra exactamente dónde deben enfocarse las formaciones para cerrar brechas en lugar de simplemente marcar un cheque.

Es hora de gestionar Shadow AI

Shadow AI no va a desaparecer, y fingir lo contrario es una de las mayores debilidades organizativas. Las empresas que lo gestionen bien serán aquellas que dejen de intentar prohibirlo y comiencen a prestar atención a su presencia real. El resto solo espera que su política se cumpla, sin una forma real de saberlo.

El artículo recuerda que hemos destacado el mejor software de protección de endpoints. Esta pieza se produce como parte de TechRadar Pro Perspectives, nuestra vía para presentar ideas de las mentes más brillantes de la industria tecnológica. Las opiniones expresadas son propias del autor y no necesariamente reflejan a TechRadar Pro o Future plc. Si estás interesado en contribuir, puedes obtener más información aquí: https://ift.tt/sSmV4GI

from Latest from TechRadar https://ift.tt/2F4zHas
via IFTTT IA