Un empleado copia información de la empresa en una herramienta de inteligencia artificial, carga un documento para analizarlo o descarga un archivo generado por un asistente. Ninguna de esas acciones necesariamente deja el mismo tipo de rastro que un incidente tradicional de ciberseguridad, pero todas pueden comprometer información corporativa.
El crecimiento de la inteligencia artificial generativa en Colombia está llevando este tipo de situaciones al trabajo cotidiano. Datos citados de Microsoft señalan que el país alcanzó una adopción del 24,5 % en 2026, por encima de Brasil y México. El uso ya se extiende a áreas como marketing, ventas, desarrollo, atención al cliente y operaciones.
El problema aparece cuando las organizaciones intentan controlar esta adopción con mecanismos diseñados para una realidad diferente. Los empleados pueden utilizar aplicaciones de IA, copilotos incorporados en servicios SaaS, extensiones de navegador o asistentes desde cuentas corporativas y personales. Además, los agentes de IA comienzan a ejecutar tareas dentro de otras aplicaciones.
Ese comportamiento está dando lugar al denominado Shadow AI, es decir, el uso de herramientas de inteligencia artificial que puede quedar fuera del control habitual de la organización. El riesgo, sin embargo, va más allá de elaborar una lista de aplicaciones autorizadas o prohibidas.
Te puede interesar: IA en Colombia: estas son las barreras que frenan su adopción en las empresas
Una sesión con una herramienta de IA puede involucrar documentos confidenciales, información copiada y pegada, archivos cargados o descargados y acciones ejecutadas por un agente. Buena parte de esa actividad ocurre directamente en el navegador, justo en el punto donde usuarios y agentes interactúan con las aplicaciones.
La frecuencia de uso también dificulta tener una fotografía uniforme. El informe de riesgos del uso de la IA empresarial de Akamai de 2026 señala que el usuario corporativo promedio registra más de 36 conversaciones con IA. En el grupo con menor actividad, la mitad registra 12 o menos, mientras que el 5 % con mayor actividad llega a 144 conversaciones. La diferencia muestra hasta qué punto el uso puede variar entre trabajadores.
El control tendría que llegar hasta cada interacción
Durante años, las estrategias de seguridad empresarial se han apoyado en controles sobre identidades, dispositivos, redes y aplicaciones. Esas herramientas mantienen su importancia, pero el crecimiento de los flujos de trabajo con IA introduce otro punto que requiere vigilancia: la interacción.
La propuesta de Akamai apunta a observar qué ocurre durante esas sesiones, determinar si una acción la realiza una persona o un agente de IA y aplicar controles en tiempo real. Entre las posibilidades están detectar una herramienta no autorizada, impedir que información sensible llegue a un servicio que incumple las políticas corporativas y controlar cargas o descargas de información sin bloquear innecesariamente el trabajo.
Te puede interesar: Colombia estrena centro de riesgo cibernético con IA: detecta amenazas en 5 minutos
La llamada seguridad de las interacciones no plantea sustituir las inversiones existentes, sino complementarlas. En el caso de la IA, el riesgo puede estar en algo tan sencillo como escribir un dato confidencial en un prompt, copiar y pegar información o permitir que una acción sea ejecutada dentro de una aplicación.
El desafío para las compañías será permitir que sus empleados aprovechen estas herramientas sin perder el control sobre los datos. La propuesta descrita busca llevar la protección al punto donde convergen usuarios, agentes de IA, aplicaciones y datos, con visibilidad en tiempo real y controles adaptativos, sin exigir cambios en el navegador, los flujos de trabajo o la arquitectura de red.
La discusión, por tanto, deja de centrarse en si las empresas permitirán o no la inteligencia artificial. La cuestión pendiente será cómo proteger aquello que ocurre cada vez que una persona o un agente interactúa con ella.
