Shadow AI: lo que cuesta la IA que nadie autorizó
El costo medio de una brecha de datos bajó por primera vez en cinco años. La excepción son las organizaciones donde la IA entró sin control de acceso ni política de gobierno.
Resumen ejecutivo
El costo medio mundial de una brecha de datos cayó a 4,44 millones de dólares, un 9% menos que el año anterior. Es el primer descenso en cinco años y se explica sobre todo por una detección más rápida.
El 13% de las organizaciones sufrió una brecha relacionada con sus modelos o aplicaciones de inteligencia artificial. De ese grupo, el 97% no tenía controles de acceso específicos para la IA.
El 63% de las organizaciones no tiene ninguna política de gobierno de IA. Cuando la IA no autorizada estuvo implicada, la brecha costó 670.000 dólares por encima de la media general.
En la Unión Europea, el freno declarado para no adoptar IA no es el precio: el 70,9% señala la falta de experiencia interna y el 52,5% la incertidumbre sobre las consecuencias legales.
Contexto
La inteligencia artificial entra en las organizaciones por dos puertas. Una es el proyecto aprobado, con presupuesto, proveedor y responsable. La otra es el navegador de cualquier empleado que pega un documento en una herramienta gratuita.
La segunda puerta no aparece en ningún inventario y no se cierra con una política escrita que nadie leyó. Se cierra con una alternativa autorizada que funcione bien y con control de acceso en el punto de uso.
Figura 1 · Frenos declarados para no adoptar IA en la Unión Europea
% de empresas que se lo plantearon y no lo hicieronTabla 1 · Dónde se concentra el sobrecosto
brechas de datos, 2025| Indicador | Valor | Lectura |
|---|---|---|
| Costo medio mundial de una brecha | 4,44 M USD | Un 9% menos que los 4,88 millones de 2024 |
| Sobrecosto con IA no autorizada | +670.000 USD | Sobre la media, cuando hubo shadow AI |
| Organizaciones con brecha ligada a IA | 13% | De ellas, el 97% sin control de acceso |
| Sin política de gobierno de IA | 63% | Casi dos tercios de la base encuestada |
| Tiempo de identificación y contención | 241 días | La cifra más baja de los últimos nueve años |
Implicaciones para el negocio
Inventaríe el uso real antes de escribir la política. El registro de proveedores no muestra lo que se pega en un navegador. La telemetría de red y de puesto de trabajo, sí.
Ponga el control de acceso donde ocurre el uso. El 97% de las brechas ligadas a IA se dio en organizaciones sin ese control. Es el punto de mayor retorno por unidad de esfuerzo.
Ofrezca una alternativa autorizada antes de bloquear. El bloqueo sin sustituto traslada el uso a dispositivos personales, donde ya no hay registro posible de nada.
Metodología y datos
Dos fuentes públicas con metodología declarada: el Cost of a Data Breach Report 2025 de IBM Security, elaborado con el Ponemon Institute sobre 600 organizaciones que sufrieron una brecha; y la encuesta comunitaria de uso de TIC de Eurostat, aplicada a empresas de la Unión Europea de 10 o más empleados.
Las cifras de brechas son mundiales; las de frenos a la adopción corresponden solo a la Unión Europea.
Referencias
IBM Security y Ponemon Institute (2025). Cost of a Data Breach Report 2025. · Eurostat (2025). Use of artificial intelligence in enterprises, Statistics Explained. · Eurostat (11 de diciembre de 2025). Nota de prensa sobre el uso de IA en las empresas de la Unión Europea.