La IA en la sombra: tus empleados ya están conectando agentes a tu CRM sin que lo sepas

Esta semana se ha conocido que Pluto Security, una startup de ciberseguridad, ha levantado 42 millones de dólares para resolver un problema muy concreto: vigilar lo que hacen los agentes de inteligencia artificial que los propios empleados crean dentro de las empresas, muchas veces sin que nadie de sistemas o dirección lo sepa. Lo llaman “Shadow AI”, y aunque suena a titular de feria tecnológica, es exactamente el tipo de cosas que como CEO deberías tener ya en tu radar.

El dato que más me ha hecho pensar no es el de la ronda, sino el de origen del riesgo: según Pluto, cerca del 60% de los problemas que detectan en sus clientes no vienen de los equipos técnicos, sino de personas de finanzas, marketing y legal que han montado alguna automatización o “vibe coding” para resolver un problema del día a día. Uno de los casos que citan es el de un empleado de una empresa del Fortune 500 que construyó una aplicación interna con datos de clientes y de abandono (churn) que acabó expuesta en internet, sin que nadie la auditara nunca.

Por qué esto me toca de cerca

Llevo meses insistiendo, dentro y fuera de Millennials Consulting, en que la IA no es una app más que se instala y ya está: es un sistema que toca datos de clientes, procesos comerciales y decisiones de negocio. Y precisamente por eso me preocupa esta tendencia. Un estudio de SAP y Oxford Economics, citado en la misma noticia, dice que el 54% de las empresas ha tenido resultados inconsistentes o directamente erróneos por el uso no autorizado de IA, el 48% ha sufrido fuga de datos o exposición de propiedad intelectual, y solo el 44% lleva un registro de qué agentes de IA tiene funcionando. Es decir: más de la mitad de las empresas no sabe, con certeza, cuántos “empleados digitales” tiene trabajando dentro de sus sistemas.

Pensemos en lo que esto significa aplicado a un CRM como Zoho, que es donde vive lo más valioso de cualquier estrategia de generación de leads: el histórico de clientes, el pipeline comercial, los datos de contacto. Si un comercial conecta una extensión de IA al navegador para “automatizar” el envío de propuestas, o alguien de marketing enchufa un conector no revisado a Google Workspace para generar informes más rápido, esos datos ya no están solo donde tú crees que están. Y el informe de Mandiant que cita el artículo original es todavía más claro: un agente contable mal configurado llegó a hacer más de 15.000 llamadas a una API en menos de una hora, generando unos 50.000 dólares de coste en la nube y parando transacciones reales. No hizo falta un hacker; bastó un agente sin supervisión.

La paradoja: queremos que la IA se use, pero sin control nos puede explotar en la mano

Aquí es donde veo la contradicción que toda empresa española está viviendo ahora mismo, aupada además por el Bono de IA y el Plan IA360 de los que ya he hablado en este blog: por un lado, el discurso oficial y el mío propio como consultor es “adoptad IA ya, no os quedéis atrás”. Por otro, cuantas más personas usan IA sin un marco claro, más puertas traseras se abren a tu sistema comercial. No es un motivo para frenar la adopción —sería un error estratégico—, pero sí para hacerla con cabeza, igual que hace años aprendimos a no dejar que cualquiera instalara software pirata en el ordenador de la empresa.

Mi recomendación, con la experiencia de evaluar partners tecnológicos para nuestros clientes, pasa por tres pasos muy concretos y nada costosos de implementar:

• Haz un inventario real de qué extensiones, conectores y automatizaciones de IA están conectadas a tu Zoho CRM y a tu Google Workspace. Si no lo tienes, probablemente ya es más largo de lo que imaginas.
• Revisa los permisos de la consola de administración de Google Workspace y de Zoho antes de dar acceso a cualquier app de terceros, por muy útil que parezca en una demo de cinco minutos.
• Define quién puede aprobar una nueva herramienta de IA en la empresa. No hace falta un comité; basta con que exista un único punto de decisión, que hoy en muchas pymes no existe.

No se trata de desconfiar de la IA, sino de aplicarle el mismo criterio que exigimos a cualquier proveedor o socio de negocio: que sepamos exactamente qué hace, a qué datos accede y quién responde si algo falla. La IA en la sombra no es un problema de tecnología, es un problema de gobierno de empresa, y ese es un terreno que a los CEOs ya no nos queda más remedio que pisar.