El primer expediente por IA en la sombra ya tiene nombre y apellidos
Un empleado de un banco de Pensilvania usó una herramienta de IA no autorizada con datos de clientes. La empresa tuvo que declararlo ante la SEC. El primero, pero no el último.
No hubo hackers. No hubo intrusión. No cayó ningún sistema. Un empleado de Community Bank, en Pensilvania, usó una herramienta de IA no autorizada para gestionar datos de clientes: nombres, números de la Seguridad Social, fechas de nacimiento.
Eso bastó.
La empresa matriz, CB Financial Services, determinó que la exposición de datos superaba el umbral de incidente de ciberseguridad y presentó el formulario correspondiente ante la SEC dos días después, convirtiéndose así en la primera empresa de la historia en declarar públicamente un incidente ante el regulador bursátil estadounidense por culpa de una herramienta de IA que nadie había autorizado.
El empleado no tenía malas intenciones. Solo quería trabajar más rápido.
Lo que cambia este caso no es la gravedad del daño —el banco dijo que el impacto financiero fue mínimo— sino el precedente. La shadow AI, esa IA que los empleados usan sin permiso y sin que TI se entere, ya no es solo un riesgo interno. Es un riesgo regulatorio, legal y reputacional. Las leyes estatales sobre filtración de datos se activan cuando la información personal queda expuesta, con o sin hacker de por medio. Y detrás de las leyes, llegan los abogados.
“No tiene por qué ser un hacker. Basta con que sea algo que suponga un riesgo material para los datos confidenciales.” — Shawn Tuma, abogado especializado en ciberseguridad.
Las organizaciones que no tienen visibilidad sobre qué herramientas de IA están usando sus empleados no están ante un problema técnico pendiente de resolver. Están ante un problema que ya existe, y que de momento no ven.
Sobre cómo se extiende la shadow AI dentro de las empresas, ya escribimos aquí.