Reco pretende erradicar los puntos ciegos de la IA en la sombra en todas las empresas

La IA se está extendiendo por los lugares de trabajo a un ritmo sin precedentes. Cada día, los empleados conectan herramientas de IA a los sistemas de la empresa, a menudo sin la aprobación o la supervisión de los equipos de seguridad informática. El resultado es lo que los expertos denominan IA en la sombra: una creciente red de integraciones y herramientas que acceden a los datos de la empresa sin supervisión.

El Dr. Tal Shapira, cofundador y director de tecnología de Reco, un proveedor de SaaS de seguridad y gobernanza de IA, afirma que esta expansión invisible podría convertirse en una de las mayores amenazas organizativas actuales. Señala que la velocidad de adopción de la IA ya ha superado las actuales salvaguardas empresariales.

"Hemos pasado de 'la IA está llegando' a 'la IA está en todas partes' en unos 18 meses. El reto es que los marcos de gobernanza no han seguido el ritmo", afirma Shapira.

La amenaza oculta en los sistemas corporativos

Según Shapira, la mayoría de los sistemas de seguridad de las empresas se crearon para una época anterior, en la que todo quedaba oculto tras cortafuegos y límites de red. La IA en la sombra altera ese modelo al operar desde dentro, oculta dentro de las propias aplicaciones de la empresa.

Muchas herramientas modernas de IA se integran directamente con plataformas SaaS cotidianas como Salesforce, Slack o Google Workspace. Aunque esto no es intrínsecamente peligroso, la IA a menudo se conecta a través de permisos o complementos que permanecen activos después de la configuración. Estas conexiones "silenciosas" pueden seguir proporcionando a la IA acceso a los datos de la empresa, incluso después de que el empleado que las instaló se marche o deje de utilizar las herramientas. Esto representa un importante reto para la IA en la sombra.

afirma Shapira: "El problema más profundo es que estas herramientas se incrustan en la infraestructura de la empresa, a veces durante meses o años sin ser detectadas".

Esta nueva clase de riesgo es especialmente difícil de rastrear, ya que muchos sistemas de IA son probabilísticos. En lugar de ejecutar órdenes fijas, la IA hace predicciones basadas en patrones. Como resultado, su comportamiento varía según el contexto, lo que dificulta la supervisión y el control.

Cuando la IA se comporta de forma inesperada

Los incidentes del mundo real revelan el impacto tangible de la IA en la sombra. Reco colaboró recientemente con una empresa financiera de la lista Fortune 100 que creía que sus sistemas eran seguros y cumplían las normativas. A los pocos días de desplegar la supervisión de Reco, la empresa descubrió más de 1.000 integraciones de terceros no autorizadas en sus entornos de Salesforce y Microsoft 365, más de la mitad impulsadas por IA.

Una integración, una herramienta de transcripción vinculada a Zoom, había grabado todas las llamadas de los clientes, incluidas las negociaciones de precios y los comentarios confidenciales. "Estaban entrenando inadvertidamente a un modelo de terceros en sus datos más sensibles", explicó Shapira. "No había contrato ni claridad sobre cómo se almacenaban o usaban esos datos".

En otro caso, un empleado conectó ChatGPT directamente a Salesforce, lo que permitió a la IA producir cientos de informes internos en horas. Aunque eficiente, esto exponía los detalles de los clientes y las previsiones de ventas a una plataforma de IA externa.

Cómo Reco revela lo que no se ve

La plataforma de Reco proporciona a las empresas una visibilidad completa de las herramientas de IA que se conectan a sus sistemas y de los datos a los que pueden acceder dichas herramientas. Analiza continuamente los entornos SaaS en busca de permisos OAuth, aplicaciones de terceros y extensiones del navegador. Una vez identificadas, Reco indica qué usuarios las instalaron, qué permisos tienen y si el comportamiento parece inusual.

Si una conexión parece arriesgada, el sistema alerta a los administradores o revoca automáticamente el acceso. "La velocidad es fundamental porque las herramientas de IA pueden extraer enormes volúmenes de datos en horas, no en días", señaló Shapira.

A diferencia de los productos de seguridad tradicionales centrados en los perímetros de red, Reco se dirige a la capa de identidad y acceso. Esto lo hace muy adecuado para las organizaciones actuales, que dan prioridad a la nube y dependen del SaaS, donde la mayoría de los datos residen más allá del cortafuegos tradicional.

Una alerta de seguridad más amplia

Los analistas del sector afirman que el enfoque de Reco refleja una tendencia de seguridad empresarial más amplia: pasar de bloquear la IA a gobernarla. Un informe reciente de Cisco sobre la preparación para la IA descubrió que el 62% de las organizaciones admiten tener una visibilidad limitada sobre cómo los empleados utilizan las herramientas de IA en el trabajo. Casi la mitad ya se ha enfrentado al menos a un incidente de datos relacionado con la IA.

A medida que la IA se integra en el software generalizado -desde Einstein de Salesforce a Microsoft Copilot-, el reto aumenta. "Puedes asumir que estás usando una plataforma de confianza", declaró Shapira, "pero no darte cuenta de que ahora incluye funciones de IA que acceden automáticamente a tu información".

La plataforma de Reco aborda esta brecha al monitorear tanto la actividad de IA aprobada como la no aprobada, ayudando a las organizaciones a comprender dónde fluyen sus datos y por qué.

Adoptar la IA con confianza

Shapira cree que estamos entrando en la "fase de infraestructura de IA", un momento en el que todas las herramientas empresariales incluirán IA de alguna forma, visible o no. Esto hace que la supervisión continua, el acceso con mínimos privilegios y los permisos limitados en el tiempo sean esenciales.

"Las empresas de éxito no serán las que bloqueen la IA", observó. "Serán las que la adopten de forma responsable, con barandillas que protejan tanto la innovación como la confianza".

La IA en la sombra, subrayó, no refleja el descuido de los empleados, sino lo rápido que avanza la tecnología. "La gente quiere ser productiva", dijo. "Nuestro papel es permitir eso sin poner a la organización en riesgo".

Para las empresas que buscan aprovechar la IA sin perder el control de sus datos, el mensaje de Reco es directo: No se puede asegurar lo que no se puede ver.

Fuente de la imagen: Unsplash