Durante años, muchas empresas consideraron la inteligencia artificial como una tecnología emergente, algo prometedor, pero no urgente. Sin embargo, esa percepción ya quedó obsoleta. Un nuevo informe de LayerX, empresa especializada en seguridad de IA y navegadores, demuestra que la IA se ha convertido en el principal canal de exfiltración de datos corporativos, superando incluso al uso de aplicaciones no autorizadas o al intercambio de archivos fuera de control.
En otras palabras: el verdadero riesgo ya no está en las filtraciones del futuro, sino en las herramientas que tus empleados usan hoy, cada día, sin supervisión.
La IA pasó de “emergente” a esencial en tiempo récord
En apenas dos años, las herramientas de inteligencia artificial generativa —como ChatGPT, Claude o Copilot— alcanzaron niveles de adopción que el correo electrónico tardó décadas en lograr. Según LayerX, el 45% de los empleados en empresas ya utiliza alguna herramienta de IA, y solo ChatGPT tiene una penetración del 43%.
Además, la IA representa más del 11% de toda la actividad de aplicaciones empresariales, un porcentaje que la coloca al mismo nivel que plataformas de productividad o de intercambio de archivos.
Pero este crecimiento explosivo vino acompañado de un problema: falta de control. El informe indica que el 67% de las sesiones de IA se realizan con cuentas personales o no gestionadas, lo que deja a los responsables de seguridad (CISOs) prácticamente ciegos ante lo que sucede con la información corporativa.
% de usuarios que acceden a diferentes categorías de SaaS (Fuente: The Hacker News)
Los datos sensibles ya están saliendo de las empresas
Lo más alarmante es que la fuga de datos ya está ocurriendo. Según el informe, el 40% de los archivos cargados en herramientas de IA contienen información sensible —como datos personales, financieros o confidenciales de clientes— y cuatro de cada diez de esos archivos se suben desde cuentas personales.
Y no solo se trata de archivos. El verdadero riesgo, según LayerX, está en el simple acto de copiar y pegar.
El estudio revela que el 77% de los empleados copia y pega información en herramientas de IA, y el 82% de esa actividad ocurre fuera del entorno corporativo. En promedio, un empleado realiza 14 pegados por día, y al menos tres contienen datos sensibles.
Esto convierte al copy-paste en la vía número uno de fuga de datos, superando con creces los canales tradicionales. Lo peor es que las soluciones de Data Loss Prevention (DLP) actuales ni siquiera monitorean esta actividad, ya que fueron diseñadas para entornos basados en archivos o sistemas internos.
Lee más: El Uso de IA en Empresas es Invisible para Los Equipos de Seguridad
La falsa sensación de seguridad de las cuentas corporativas
Muchos líderes de seguridad asumen que usar una cuenta corporativa equivale a tener un entorno seguro. Pero los datos de LayerX muestran lo contrario.
Aunque los empleados acceden a sistemas críticos como CRM o ERP con sus credenciales de trabajo, la mayoría de los inicios de sesión no están federados ni protegidos por SSO (inicio de sesión único).
- 71% de los accesos a CRM no usan autenticación federada.
- 83% de los accesos a ERP tampoco la tienen.
Esto significa que, en la práctica, una cuenta corporativa sin federación es igual de insegura que una cuenta personal. El inicio de sesión con un correo del trabajo no garantiza ni visibilidad ni control sobre los datos que maneja el usuario.
Acceso Corporativo vs. No Corporativo en Categorías de Sitios Web (Fuente: The Hacker News)
Mensajería instantánea: la fuga silenciosa
Mientras la IA es el canal más rápido de exfiltración, la mensajería instantánea se ha convertido en el más silencioso. Según el informe, el 87% del uso de chats empresariales ocurre a través de cuentas no gestionadas, y el 62% de los usuarios envía información personal o financiera a través de ellas.
Esta combinación de IA sin control y chats no supervisados crea una doble zona ciega para los equipos de ciberseguridad. Los datos se mueven constantemente entre herramientas personales, corporativas y plataformas externas sin que nadie pueda rastrear el flujo o detectar incidentes a tiempo.
El resultado: las estrategias tradicionales de seguridad empresarial están librando la guerra equivocada. Los equipos siguen centrados en proteger servidores y archivos, cuando la verdadera batalla está en el navegador.
También podría interesarte: Xanthorox AI: Una Nueva Herramienta de IA Maliciosa llega a la Darknet
El navegador, nuevo perímetro de seguridad
El informe de LayerX subraya que el perímetro corporativo ha cambiado radicalmente. Hoy, el riesgo ya no está en las redes internas o en los servidores de datos, sino en el navegador, donde los empleados alternan entre cuentas personales y profesionales, acceden a herramientas de IA, y mueven información entre plataformas con un simple clic.
Esto plantea un reto para los responsables de seguridad: cómo proteger los datos cuando el trabajo ocurre en entornos híbridos, móviles y sin fronteras claras.
% de usuarios que pegan datos en aplicaciones empresariales (Fuente: The Hacker News)
Cómo deben adaptarse las empresas a esta nueva realidad
El estudio propone varias estrategias para que las organizaciones enfrenten esta nueva era de fugas invisibles:
- Trata la seguridad de la IA como una prioridad estratégica.
Ya no se trata de una tecnología emergente, sino de una herramienta central. Las empresas deben aplicar los mismos niveles de control y monitoreo que usan para el correo electrónico o los sistemas de almacenamiento.
- Cambia el enfoque de la protección de archivos a la protección de acciones.
Los datos ya no se pierden solo por cargas o descargas, sino por acciones sin archivo: copiar, pegar, chatear o generar prompts. Las políticas de seguridad deben reflejar esa realidad.
- Restringe el uso de cuentas personales y exige autenticación federada.
Las cuentas no gestionadas son invisibles para los equipos de seguridad. Implementar políticas que bloqueen o limiten su uso es clave para recuperar el control.
- Prioriza las categorías de mayor riesgo.
Las áreas más críticas son IA, mensajería y almacenamiento en la nube. Estas plataformas deben tener los controles más estrictos, ya que combinan alto uso con alta sensibilidad de datos.
- Monitorea el navegador como el nuevo perímetro.
Implementa soluciones que ofrezcan visibilidad en tiempo real de la actividad del usuario y que detecten comportamientos sospechosos relacionados con IA o chat.
Lo que esto significa para los líderes de seguridad
El mensaje central del informe es claro: la IA no solo está transformando la productividad, también está desafiando la gobernanza corporativa.
Las herramientas que más impulsan la innovación son las que menos control tienen, y la brecha entre uso y supervisión crece cada día.
Para los CISOs y equipos de seguridad, esto significa que ya no basta con esperar a que la IA “madure”. El cambio ya está ocurriendo, y los riesgos se multiplican mientras las empresas intentan ponerse al día.
Como lo resume LayerX:
“La IA no solo está moldeando el futuro del trabajo. También está definiendo el futuro de las fugas de datos.”
Conclusión: actuar ahora es clave
La inteligencia artificial ya no es un riesgo emergente: es una amenaza activa y cotidiana para la seguridad corporativa. Miles de empleados usan ChatGPT, Copilot u otras plataformas de IA con buena intención, pero sin las protecciones adecuadas.
Desde TecnetOne, recomendamos a las organizaciones:
- Implementar controles de acceso y monitoreo en el navegador.
- Establecer políticas claras sobre el uso de IA y cuentas personales.
- Invertir en tecnologías de ciberseguridad adaptadas al contexto de la IA.
- Fomentar la educación digital y la conciencia de riesgos entre los empleados.
El perímetro corporativo ya no está en los muros del servidor, sino en las manos de cada usuario. Y en la era de la inteligencia artificial, la seguridad debe ser tan inteligente como las herramientas que la desafían.