IA en la sombra: lo que los clientes no les dicen a sus proveedores de servicios gestionados (MSP)

Se espera que los MSP comprendan los entornos tecnológicos de sus clientes. Saben qué endpoints están gestionados, qué aplicaciones son críticas para el negocio, qué sistemas requieren parches o mantenimiento, dónde residen los datos confidenciales y quién tiene acceso a ellos. Sin embargo, cada vez más, las decisiones tecnológicas críticas se están tomando sin la intervención de TI o de los MSP.

En los entornos de los clientes, esto puede adoptar muchas formas:

• Un equipo de marketing utiliza una plataforma de diseño basada en inteligencia artificial para crear elementos visuales para sus campañas
• Un representante de ventas conecta un asistente de IA a un CRM para resumir las interacciones con los clientes
• Un gerente de recursos humanos sube un currículum a un chatbot público para su evaluación
• Un desarrollador utiliza una herramienta de programación con IA para solucionar problemas en el código fuente de la empresa

Y cada instancia puede ocurrir sin que el MSP llegue a enterarse.

Eso no significa necesariamente que los clientes estén ocultando información de forma deliberada. El problema es que, en la práctica, el uso de la IA se ha vuelto altamente descentralizado. Los empleados y departamentos individuales pueden acceder a herramientas poderosas con poco más que un navegador, una tarjeta de crédito o una aprobación de OAuth, en lo que se conoce como IA en la sombra, lo que permite que nueva tecnología entre a la organización antes de que los equipos de TI o los proveedores de servicios siquiera se enteren de ello, y mucho menos puedan evaluarla a fondo.

Para los MSP, eso crea un problema inmediato: no pueden proteger eficazmente un entorno que no pueden ver, y no pueden defender lo que no saben que existe.

Cómo la IA en la sombra crea riesgos de seguridad para los MSP

La TI en la sombra ha representado un desafío para las organizaciones durante años, ya que los empleados continúan adoptando tecnología fuera de los canales de TI aprobados. Sin embargo, la IA en la sombra eleva la posible exposición. Estas aplicaciones no solo coexisten junto a los sistemas de la empresa: pueden interactuar con datos confidenciales de la compañía, conectarse a plataformas existentes más allá de su alcance inicial, y ejecutar tareas con una autonomía cada vez mayor.

Investigaciones recientes muestran cuán generalizado se ha vuelto este comportamiento. El informe sobre IA en la sombra de KPMG de 2025 reveló que el 44 % de los empleados encuestados en EE. UU. usó la IA a sabiendas de que infringía las políticas o directrices de su organización. La motivación no es necesariamente maliciosa; a menudo se debe a cuestiones de comodidad, velocidad y eficiencia. La cultura laboral actual recompensa cada vez más esas mismas cualidades, lo que alienta a los empleados a automatizar tareas repetitivas y a adoptar herramientas que consideran que les ayudarán a desempeñarse mejor.

Pero la búsqueda de una mayor eficiencia no elimina el riesgo.

Para los MSP, la verdadera preocupación es qué agrega cada aplicación no reconocida al entorno: otro conjunto de conexiones, permisos y posibles vías de acceso que operan fuera de la supervisión establecida.

El acceso y los permisos ocultos detrás de las herramientas de IA

Las implicaciones de seguridad del uso de la IA no siempre son evidentes para la persona que adopta la tecnología. Lo que parece una simple conexión puede introducir permisos y accesos que van mucho más allá de la tarea inmediata.

Considere qué sucede cuando un empleado conecta una aplicación de IA a una plataforma empresarial.

Para el usuario, el proceso puede ser tan simple como hacer clic en el botón “Permitir”. Detrás de esa aprobación puede haber toda una serie de permisos para recuperar archivos, acceder a contactos, interactuar con información de clientes o conectarse con otras aplicaciones.

Esas conexiones pueden persistir más allá de la interacción inicial, creando un acceso que el MSP podría no saber que existe. Aunque el MSP siga gestionando el endpoint, protegiendo la cuenta del usuario y resguardando la aplicación empresarial subyacente, es posible que no tenga conocimiento de la conexión que se encuentra entre ellos.

Ahí es donde la IA comienza a transformar el concepto tradicional de TI en la sombra. Lo desconocido ya no es qué aplicación se está utilizando. Los MSP también necesitan comprender a qué información puede acceder un servicio de IA, los permisos exactos que se le han otorgado, qué credenciales lo respaldan y si ese acceso sigue siendo necesario.

Las consecuencias de esta brecha de supervisión ya están emergiendo. El Informe sobre el costo de una violación de datos de 2025 de IBM determinó que el 63% de las organizaciones encuestadas que sufrieron filtraciones carecían de una política de gobernanza de IA o aún estaban desarrollando una. Entre quienes contaban con políticas establecidas, solo el 34 % realizaba auditorías periódicas para detectar el uso no autorizado de IA. Las organizaciones con niveles altos de IA en la sombra también registraron costos de vulneración de datos, en promedio, $670,000 más altos que aquellas con un uso mínimo o nulo de IA no autorizada.

Por qué los MSP necesitan visibilidad sobre el acceso a la IA

Para los MSP, la prioridad no es controlar si los clientes usan IA, sino entender cómo ese uso transforma el entorno que son responsables de proteger.

Los equipos están adoptando estas aplicaciones porque resuelven problemas reales y simplifican tareas que consumen mucho tiempo. A nivel organizacional, existen incentivos igualmente sólidos para explorar tecnologías que mejoren la productividad.

Una respuesta más efectiva comienza por replantear las preguntas que hacen los MSP.

Documentar qué aplicaciones de IA ha aprobado formalmente un cliente es un buen punto de partida, pero solo cuenta parte de la historia. Los MSP necesitan visibilidad sobre:

• Qué servicios de IA utilizan realmente los empleados
• A qué aplicaciones empresariales y datos pueden acceder esos servicios
• Qué permisos de OAuth se han concedido
• Qué claves de API o cuentas de servicio habilitan esas conexiones
• Qué acciones están autorizadas a realizar esas herramientas una vez conectadas

Y lo más importante: ¿hasta dónde se extiende ese acceso y excede lo que realmente se necesita?

Estas preguntas trasladan la discusión de la definición de políticas a la evaluación del riesgo práctico. Incluso el uso aprobado de la IA puede crear brechas:

• A un asistente de IA conectado a un CRM se le puede otorgar acceso a los registros de clientes más allá de lo que necesita para realizar su tarea prevista.
• El mismo servicio de IA puede estar restringido a fuentes de datos aprobadas para un departamento, pero recibir un acceso más amplio por parte de otro.
• El acceso concedido para un proyecto temporal puede seguir activo mucho después de que el trabajo haya terminado.

La aprobación por sí sola no garantiza el acceso adecuado.

Mantenerse al día con estos cambios requiere más que un ejercicio único de inventario. Aparecen aplicaciones nuevas constantemente, los proveedores de SaaS existentes siguen agregando funciones de IA, y los agentes autónomos realizan tareas que, hasta hace poco, requerían intervención humana directa. Supervisar esta actividad debería ser una práctica estándar en las revisiones de seguridad de los MSP y en las conversaciones continuas con los clientes.

El creciente enfoque de la industria en la detección de IA refleja la urgencia de esa necesidad. Cada vez surgen más capacidades de seguridad especializadas para identificar aplicaciones de IA generativa que se usan sin la aprobación de TI, analizar patrones de uso, evaluar el riesgo de las aplicaciones y monitorear la posible exposición de datos. Para las organizaciones más pequeñas que no cuentan con recursos comparables internamente, esto crea una oportunidad para que los MSP brinden visibilidad y orientación valiosas. El descubrimiento de IA se está convirtiendo rápidamente en una parte esencial para mantener la visibilidad en los entornos de los clientes.

Los administradores pueden revisar los patrones de uso, identificar aplicaciones no autorizadas, evaluar el riesgo de las aplicaciones, evaluar los permisos de acceso y monitorear la posible exposición de datos. Estas capacidades pueden revelar la actividad de la IA que, de otro modo, podría permanecer fuera de la supervisión tradicional de TI.

Para los MSP, el descubrimiento de IA se está convirtiendo rápidamente en una parte esencial para mantener la visibilidad en los entornos de los clientes.

Cómo los MSP pueden mejorar la gobernanza de la IA con los clientes

Para la mayoría de las organizaciones, cerrar esta brecha no es simplemente un desafío técnico; es un desafío de comunicación.

La brecha suele ampliarse cuando los empleados no reconocen qué decisiones relacionadas con la IA tienen implicaciones de seguridad o ameritan la intervención del MSP. Lo que en un principio puede parecer una simple aplicación, integración o compra departamental puede introducir nuevos permisos, credenciales y requisitos de acceso que se extienden mucho más allá de su uso previsto.

Para los MSP, una gobernanza de la IA más sólida comienza por establecer expectativas claras sobre cuándo y cómo los clientes comunican los cambios relacionados con la IA. Esas conversaciones deberían abordar preguntas como:

• ¿Con qué nuevas herramientas de IA están experimentando los equipos y están aprobadas para uso empresarial?
• ¿Algún departamento ha conectado herramientas de IA directamente a sistemas confidenciales o aplicaciones críticas para el negocio?
• ¿Qué datos de la empresa, de los clientes u otros datos confidenciales se están compartiendo con estas herramientas, y adónde van esos datos una vez que se envían?
• ¿Quién es responsable de cada integración de IA y de gestionar su acceso a lo largo del tiempo?
• ¿Se han ampliado o cambiado los permisos desde que se introdujo la herramienta?
• ¿Siguen siendo necesarias las integraciones aprobadas previamente o el acceso permanece después de que haya finalizado la necesidad comercial original?

Al iniciar estas conversaciones y mantenerlas activas a medida que los entornos de los clientes cambian, los MSP pueden sacar a la luz la actividad de la IA antes de que agregue otra capa no gestionada al entorno. Más importante aún, los MSP pueden permitir a los clientes avanzar rápidamente con la IA sin que el acceso, los permisos y la supervisión se queden atrás.

El objetivo es simple: los MSP necesitan visibilidad en tiempo real sobre las implementaciones de IA antes de que esas herramientas accedan a los datos o sistemas de la empresa.

Cómo los MSP pueden proteger el acceso a la IA en los entornos de sus clientes

Descubrir el uso de IA que antes se desconocía resuelve solo una parte del problema. Una vez que esa actividad se hace visible, los MSP necesitan una forma coherente de ponerla bajo control en el entorno de cada cliente.

Los asistentes, las integraciones y los agentes de IA dependen en última instancia de las credenciales, los permisos y las conexiones con los sistemas empresariales. Esas vías de acceso deben protegerse, los privilegios limitarse a lo necesario y los permisos ajustarse a medida que cambien los requisitos. Para los MSP que operan a escala, el desafío es aplicar esos principios de manera coherente en múltiples clientes a medida que evolucionan sus entornos.

Keeper proporciona a los MSP una plataforma unificada para hacer exactamente eso. Al consolidar la seguridad de credenciales, el acceso privilegiado, la gestión de secretos y la gestión de privilegios en endpoints dentro de una arquitectura de confianza cero y conocimiento cero, Keeper ayuda a los MSP a gobernar identidades humanas y de máquinas a escala sin incorporar otra capa desconectada a la pila de seguridad.

El riesgo con respecto a la IA más significativo quizás no provenga de las aplicaciones que un MSP ya gestiona.

Puede provenir de aquellas que nadie pensó en mencionar.

Descubra el programa de socios de MSP de Keeper y vea cómo Keeper equipa a los MSP para cerrar las brechas de visibilidad de la IA en los entornos de los clientes.