Nexthink: el 42% de empresas no puede monitorizar el uso de IA

El 42% de las empresas no puede ver cómo sus empleados usan la IA

La adopción de inteligencia artificial en las empresas crece más rápido que la capacidad de los equipos de TI para vigilarla. Según un estudio de Nexthink elaborado junto a Harvard Business Review Analytic Services, el 42% de los responsables de decisión admite que su infraestructura tecnológica no permite monitorizar el uso que los empleados hacen de la IA en su día a día. El dato es todavía más crudo cuando se pregunta quién corre más: el 58% reconoce que los trabajadores adoptan la IA a un ritmo que supera la capacidad del equipo de TI para gobernarla, y el 45% afirma que TI debe gobernar la IA sin tener visibilidad clara de su uso real.

Y la cosa no va a corregirse sola: solo el 19% de las organizaciones planea implementar o mejorar software de monitorización en los próximos 12 meses, según el mismo informe. Para una pyme o una startup que ya está desplegando IA en su operación, el mensaje es directo: la “IA en la sombra” no es un problema futuro, es un problema ya presente.

¿Qué pasa cuando los empleados van por delante de TI?

El CEO y cofundador de Nexthink, Pedro Bados, loresume así en el comunicado que acompaña al estudio: "Los empleados han empezado a explorar, probar e integrar la IA en sus tareas diarias antes de que muchas organizaciones lograran articular una estrategia clara respecto a la IA". Cuando TI llega tarde, debe hacerlo teniendo en cuenta preferencias de software, comportamientos y formas de trabajo ya arraigadas, no فرضiones en blanco.

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

El estudio lo confirma con cifras:

El 27% de las empresas tiene visibilidad sobre el uso extraoficial de IA. Sobre el uso oficial, la cifra sube al 46%, pero la mitad sigue a ciegas.
El 63% considera que la visibilidad del uso extraoficial debe mejorar de forma urgente.
La principal preocupación declarada es seguridad y exposición de datos, señalada por el 79% de los encuestados.

Aunque la visibilidad sigue siendo limitada, las empresas sí avanzan en otros frentes: el 75% incluye ya formación en IA para empleados en sus planes, y el 67% trabaja en nuevas políticas de gobernanza. Pero formación y política no sustituyen a la monitorización, y ahí está el hueco.

Por qué la "IA en la sombra" es el riesgo menos visible

El término técnico es shadow AI: aplicaciones, funciones de IA integradas en software que ya usas, cuentas personales y automatizaciones no-code que tocan datos de la empresa sin pasar por TI. Help Net Security publicó en julio que, según su investigación, el 47% del uso empresarial de IA generativa ocurre a través de cuentas personales en lugar de cuentas gestionadas por la organización, y más de la mitad de los empleados admite haber introducido información empresarial sensible en herramientas de IA. La consecuencia directa: hay bastante más IA operando dentro de la empresa de la que liderazgo cree.

El patrón se repite fuera del sector tech. El 2026 Healthcare AI Readiness Index, publicado por Cotiviti y MedCity News sobre 70 ejecutivos del sector salud en EE. UU., muestra que el 97% de las aseguradoras ya pilota o usa IA activamente, mientras que el 60% reconoce que sus empleados recurren a herramientas de shadow AI. Menos del 40% tiene políticas détaillées que gobiernen el uso de IA generativa por parte de los empleados. En un sector donde una filtración de datos de pacientes activa responsabilidades legales directas, la combinación es explosiva.

En salud, además, el 72% de las aseguradoras usa IA para gestión de vulnerabilidades, pero solo el 32% la usa para respuesta a incidentes, justo la función crítica cuando una brecha ya está en marcha. La diferencia entre preparar yResponder marca el pérdidas y ganancias entre un susto y una multa regulatoria.

Qué dice el mercado: las cifras que confirman la tendencia

El estudio de Nexthink no es un caso aislado. La encuesta de EY sobre riesgo y gobernanza de IA, publicada el 15 de septiembre de 2026 sobre 202 ejecutivos senior de empresas con al menos 1.000 millones de dólares de facturación, refuerza el mismo diagnóstico desde otra óptica:

El 98% dice tener políticas formales de gobernanza de IA, pero dos tercios admiten falta de experiencia interna para evolucionarlas (69%), implementarlas (63%) o diseñarlas (63%).
El 47% reconoce que su organización ha ignorado su propio proceso de gobernanza en despliegues urgentes.
El 91% usa ya IA agéntica (sistemas que ejecutan acciones por su cuenta), pero el 49% aún no ha actualizado su marco de gobernanza para incluirla.
El 85% admite que algunos de esos agentes ejecutan acciones sin supervisión humana en tiempo real, y el 26% confiesa que no puede detectar agentes no autorizados operando dentro de la organización.
En el último año, el 89% se ha encontrado con riesgos relacionados con IA (ciberseguridad 52%, riesgo humano 47%, shadow AI 46%), y un 36% ha sufrido ya un incidente de IA con impacto material negativo: pérdida de datos, daño financiero, disruption operativa o daño reputacional.

Y la velocidad del problema crece. HiddenLayer, en su 2026 AI Threat Landscape Report recogido por Yahoo Finance, sitúa al shadow AI como problema cierto o probable para el 76% de las organizaciones, frente al 61% del año anterior. En un año, la preocupación declarada subió 15 puntos porcentuales.

¿Qué significa esto para tu startup?

Aunque el estudio de Nexthink está hecho sobre grandes corporaciones, los patrones aplican y se agravan en equipos pequeños. En una startup de 10-50 personas, la distancia entre el CTO y un empleado que pega un CSV de clientes en ChatGPT es de una sola conversación. La gobernanza no puede esperar a tener 200 empleados; si la dejas, te llega el problema a través de un cliente, un regulador o una factura de un proveedor de IA que no estaba en tu mapa.

Dos acciones concretas esta semana:

Audita qué IA corre ya en tu equipo. Haz una lista honesta: qué herramientas usan, qué datos meten, qué cuentas son personales y cuáles corporativas. En una sesión de 60 minutos con tu equipo vas a encontrar sorpresas. Si usas Google Workspace o Microsoft 365, revisa los logs de acceso a funciones de IA integradas en suites tipo Copilot; los proveedores suelen exponerlos en el panel de administración.
Escribe una política de uso aceptable que sea de una página. Política de tres columnas: qué se puede hacer con datos de clientes, qué solo con datos internos agregados, qué está prohibido. Pon el documento en un canal visible y contratalo con un flujo de aprobación de 24 horas para nuevos usos. Más de tres páginas y nadie la va a leer.

El debate entre gobernanza de IA y seguridad de agentes que plantea Forbes es relevante: la gobernanza te dice si tu IA es justa y cumple; la seguridad del agente te dice si puede ser manipulada para, por ejemplo, desviar un pago. Para una startup que empieza, ambas importan, y definir quién responde de cada una (CTO vs. CISO, o la misma persona si el equipo es pequeño) evita que ambas queden en tierra de nadie.

La conclusión de Nexthink se sostiene: la IA tiene un potencial inmenso, pero exige combinar gobernanza con innovación, y automatización con conocimiento de la experiencia real del empleado. En la práctica, eso significa invertir en visibilidad antes de que la visibilidad se vuelva un incidente.