Casi la mitad de las empresas no sabe cómo están usando la inteligencia artificial las personas que trabajan en ellas. Esa es la conclusión más llamativa del Informe de Evaluación de la Ciberseguridad 2026 elaborado por Bitdefender, basado en más de 1.200 profesionales de TI y seguridad de grandes organizaciones de Europa, Estados Unidos y Singapur.
El dato que preocupa
El 47,4% de las organizaciones reconoce tener una visibilidad parcial o directamente nula sobre el uso de herramientas de inteligencia artificial por parte de sus empleados, especialmente las que se usan desde cuentas personales o aplicaciones no autorizadas. Lo que se conoce como Shadow AI: la IA que entra por la puerta de atrás sin que nadie lo sepa ni lo controle.
El problema de fondo
Que un empleado use una herramienta de IA pública para hacer su trabajo más rápido no es malo en sí mismo. El problema aparece cuando en ese proceso sube documentos internos, datos de clientes, información financiera o cualquier contenido sensible a un modelo que procesa y almacena esos datos fuera de la empresa.
El informe de Bitdefender detecta una contradicción significativa: aunque el 45% de los responsables de seguridad identifica los sistemas de IA internos como el entorno con mayor riesgo, uno de cada cinco profesionales considera que la filtración de información sensible a modelos públicos de IA representa un riesgo bajo. La brecha entre lo que se percibe y lo que realmente ocurre es el problema.
Otro dato que no debería pasar desapercibido
El 55,2% de los profesionales que sufrió una brecha de seguridad el último año asegura haber recibido instrucciones para mantener el incidente en secreto, incluso cuando consideraba que debía comunicarse a las autoridades. La cultura de ocultar los incidentes sigue siendo habitual en muchas organizaciones y eso complica enormemente la capacidad de aprender y mejorar.
Lo que esto dice de 2026
La IA ha llegado a las empresas más rápido de lo que los equipos de seguridad han podido adaptarse. El reto ya no es solo proteger los sistemas propios, sino entender qué datos salen de la empresa a través de herramientas que nadie autorizó formalmente.
