Formas habituales: SaaS contratado por un departamento sin pasar por TI, cuentas gratuitas registradas con email corporativo, extensiones de navegador y plugins, automatizaciones y scripts contra APIs externas, tenants cloud pagados con tarjeta de empresa y dispositivos personales sin gestionar.
¿Qué es el shadow IT?
El shadow IT es el conjunto de aplicaciones, servicios cloud, dispositivos y cuentas que los empleados utilizan para trabajar sin la aprobación ni el conocimiento del departamento de TI. Abarca desde un gestor de tareas gratuito registrado con el email corporativo hasta suscripciones SaaS pagadas con tarjeta de empresa, automatizaciones que llaman a APIs externas o, el capítulo más reciente, pegar información interna en herramientas de IA generativa personales. Rara vez nace de mala fe: aparece porque el negocio va más rápido que el catálogo oficial, y cada pieza amplía la superficie de ataque sin que nadie la vigile.
¿Por qué importa?
Porque no se puede proteger lo que no se sabe que existe. Cada aplicación no gestionada opera sin MFA corporativo, sin integración con el IAM, sin parcheo controlado, sin logging y sin backup: si el proveedor sufre una brecha o el empleado se marcha, nadie sabe qué datos había allí ni puede revocarlos. El offboarding es el punto ciego clásico — la cuenta de un ex-empleado en un SaaS desconocido sigue viva con datos de clientes dentro. En clave de cumplimiento, el shadow IT convierte a proveedores sin contrato en encargados de tratamiento de datos personales (problema directo de RGPD) y deja fuera del inventario a proveedores TIC que NIS2 y DORA exigen tener identificados y evaluados. Y la IA generativa lo ha multiplicado: el "shadow AI" — cuentas personales de chatbots, plugins y extensiones con permisos amplios — saca información confidencial del perímetro en forma de prompts, un flujo que el DLP tradicional no estaba diseñado para ver.
Puntos clave
Shadow AI, el vector que más crece: empleados usando chatbots y asistentes de IA con cuentas personales, pegando código, contratos o datos de clientes en los prompts. El riesgo no es la IA en sí, sino que los datos salen sin control, sin contrato y sin posibilidad de borrado.
Descubrimiento técnico: un CASB analiza logs de proxy, firewall y DNS para inventariar qué SaaS se usa realmente y con qué riesgo; la revisión de consentimientos OAuth en Microsoft 365 o Google Workspace destapa aplicaciones de terceros con acceso permanente al correo y los ficheros.
Descubrimiento de datos: el DSPM complementa al CASB respondiendo a la pregunta que importa — qué datos sensibles hay en cada repositorio cloud, quién accede y con qué exposición — en lugar de limitarse a listar aplicaciones.
Señales no técnicas igual de útiles: informes de gastos con suscripciones recurrentes, facturación de tarjetas corporativas, encuestas de amnistía por departamento y el propio IdP (inicios de sesión federados a apps que nadie aprobó).
Gobierno realista: catálogo de aplicaciones aprobadas con proceso de alta ágil (días, no meses), niveles de aprobación según sensibilidad de los datos, alternativas oficiales para las necesidades más comunes y una política que canalice en lugar de prohibir. La prohibición total solo empuja el uso a dispositivos personales, donde la visibilidad es cero.
Ejemplo: descubrimiento de shadow IT en una empresa de 200 empleados
Una empresa mediana despliega un CASB en modo descubrimiento sobre los logs de su firewall y su proxy. Resultado en dos semanas: más de 300 servicios cloud en uso, de los cuales TI conocía unos 40. Entre los hallazgos: marketing subiendo la base de datos de clientes a una herramienta de email no contratada, un desarrollador con el repositorio interno sincronizado en una cuenta personal de almacenamiento, y media plantilla usando un chatbot de IA gratuito — con fragmentos de contratos y datos personales en los prompts. Ninguna de esas herramientas tenía contrato de encargado de tratamiento, y el DPO no conocía ninguna.
La respuesta útil no fue el bloqueo indiscriminado: se clasificaron los servicios por riesgo, se sancionaron oficialmente los diez más usados (integrándolos con SSO y MFA), se ofrecieron alternativas corporativas para IA generativa y almacenamiento, se bloquearon solo las categorías indefendibles y se revisaron los consentimientos OAuth del tenant de Microsoft 365. El inventario resultante alimentó el registro de actividades de tratamiento y la evaluación de terceros exigida por NIS2. El shadow IT no desapareció — nunca lo hace — pero pasó de ser un ángulo muerto a un flujo gestionado con revisión trimestral.
Errores habituales
- Prohibir sin ofrecer alternativa. Si el empleado necesita compartir un fichero grande o transcribir una reunión y no hay herramienta oficial, la necesidad no desaparece: se traslada a su móvil personal, donde ya no hay ni visibilidad ni control.
- Castigar al que lo confiesa. Si reconocer que usas una herramienta no aprobada tiene consecuencias, nadie volverá a declararlo y el inventario será ficción. Las amnistías periódicas descubren más que muchos escáneres.
- Escanear una vez y archivar el informe. El shadow IT es un flujo continuo, no una foto: sin descubrimiento recurrente y revisión periódica, el inventario queda obsoleto en meses.
- Ignorar los consentimientos OAuth. Una aplicación de terceros con permisos delegados sobre el correo o los ficheros corporativos es shadow IT con acceso persistente, aunque nadie la haya instalado en ningún equipo.
- Tratar el shadow AI solo con bloqueo de dominios. Los chatbots cambian de dominio, se accede desde el móvil y las funciones de IA vienen ya embebidas en herramientas legítimas; sin política de uso, formación y una alternativa corporativa, el bloqueo es cosmético.
Términos relacionados
Servicios relacionados
Este concepto puede tener relación con servicios como:
Preguntas frecuentes
Dirijo TI en una pyme y no tenemos CASB: ¿por dónde empiezo a descubrir el shadow IT?
Con lo que ya tienes. Los logs de DNS y del firewall dicen a qué servicios cloud se conecta tu red; el panel de administración de Microsoft 365 o Google Workspace lista las aplicaciones de terceros con consentimiento OAuth; y los informes de gastos delatan las suscripciones SaaS pagadas con tarjeta. Súmale una encuesta de amnistía por departamento — "¿qué herramientas usáis que no os haya dado TI?" — con el compromiso explícito de que no habrá represalias. Con esas cuatro fuentes montas un primer inventario en un par de semanas y decides con datos si necesitas un CASB o te basta con endurecer el IAM y el proceso de alta de aplicaciones.
Mis empleados usan ChatGPT y otras IAs por su cuenta: ¿cómo lo gobierno sin prohibirlo todo?
Canalizando, no bloqueando. Primero, una política de uso clara y corta: qué tipos de datos jamás entran en un prompt (datos personales, código propietario, información de clientes) y qué usos están permitidos. Segundo, una alternativa oficial: cuentas corporativas o planes enterprise con garantías contractuales de no-entrenamiento y retención controlada, integradas con SSO. Tercero, visibilidad: controles de DLP adaptados a canales de IA y revisión de extensiones y plugins. Y cuarto, formación con ejemplos reales del sector. La experiencia es consistente: donde solo hay prohibición, el uso continúa desde el móvil personal; donde hay alternativa oficial decente, la mayoría del uso migra a ella. Nuestro servicio de seguridad de la IA cubre exactamente esta transición.
¿El shadow IT nos puede suponer un incumplimiento del RGPD aunque no haya brecha?
Sí. Si un empleado trata datos personales en una herramienta sin contrato, esa empresa es un encargado de tratamiento sin las garantías del artículo 28 del RGPD, y el responsable — tu organización — ya está incumpliendo, haya brecha o no. A eso se suman transferencias internacionales sin base jurídica (muchos SaaS gratuitos alojan fuera de la UE), la imposibilidad de atender derechos de supresión sobre datos que no sabes dónde están, y un registro de actividades de tratamiento incompleto. Si además hay incidente, la notificación en 72 horas es inviable cuando nadie sabía que la herramienta existía. Por eso el inventario de shadow IT no es solo higiene técnica: es un requisito práctico de cumplimiento en el que el DPO debe estar implicado.
¿Qué diferencia hay entre un CASB y un DSPM para atajar el shadow IT y cuál necesito antes?
Responden a preguntas distintas. El CASB responde "¿qué aplicaciones cloud usa mi gente y con qué riesgo?": descubre servicios desde logs de red, los puntúa y permite sancionar, limitar o bloquear. El DSPM responde "¿qué datos sensibles tengo en cada almacén cloud y quién puede llegar a ellos?": clasifica la información y detecta exposiciones, incluidas las de aplicaciones ya aprobadas. Para el problema específico del shadow IT, el CASB (o la funcionalidad equivalente de tu SSE/proxy) suele ir primero, porque sin saber qué apps existen no hay nada que analizar. El DSPM llega después, cuando la pregunta deja de ser "qué usan" y pasa a ser "qué datos hay dentro y cuánto me expone".