El 34 % de los empleados en Colombia utiliza herramientas de IA no autorizadas

La inteligencia artificial se abrió paso en las empresas colombianas antes de que estas hubieran decidido cómo integrarla. Los datos de Colombia recogidos en el informe “Del riesgo Agéntico Al Acierto Humano: Cómo Construir una Cultura de Seguridad en la Era de la IA Agéntica”, elaborado por KnowBe4, líder mundial en seguridad de la plantilla digital, que protege tanto a los agentes de IA como a las personas, ofrecen una perspectiva de la magnitud del fenómeno: el 34 % de los trabajadores colombianos encuestados utiliza en ocasiones herramientas de IA que obtienen por su cuenta, lo que supone un 12 % más que la media mundial.

Sin embargo, la encuesta reveló que el 49 % de la muestra utiliza únicamente las herramientas proporcionadas por su organización y solo el 7 % utiliza exclusivamente herramientas externas. Estas cifras se ajustan más a la media mundial, donde el 48 % de la muestra utiliza exclusivamente herramientas proporcionadas por la empresa y el 8 % adquiere sus propias herramientas para el uso diario. En Colombia, prácticamente ningún empleado se queda atrás en lo que respecta a la tecnología; lo que sigue siendo un punto de discordia es quién decide qué herramientas utilizar.

Mientras que un empleado puede adoptar una herramienta en cuestión de minutos, la organización avanza lentamente. Según Strand Partners, durante el último año, más de 130 000 empresas han comenzado a utilizar herramientas de IA, pero solo el 12 % ha marcado un hito verdaderamente transformador. Cuando la solución oficial tarda en llegar o simplemente no existe, la brecha acaba cubriéndose por cuenta propia.

El riesgo, sin embargo, no radica en la herramienta en sí, sino en lo que se pierde cuando se utiliza fuera del perímetro corporativo: la trazabilidad. En cuanto un empleado sale de ese entorno, la organización ya no sabe qué datos se han transferido, a qué proveedor se han enviado ni bajo qué política de retención se han almacenado; no hay registros, ni controles de acceso, ni forma de revocar la información que ya se ha compartido.

No obstante, los datos de KnowBe4 muestran que el 84 % de los trabajadores colombianos es consciente del peligro que supone el uso indiscriminado de la IA, pero sigue habiendo un 16 % relevante de trabajadores que no están familiarizados con el peligro de la IA, y un 17 % que ha introducido información confidencial en proveedores externos.

Los empleados ya están identificando el riesgo. El 45 % cita los datos confidenciales compartidos con herramientas de IA (a través de solicitudes, cargas de archivos o imágenes) como una de las tres principales causas de riesgo cibernético relacionado con el factor humano en su organización, cuatro puntos porcentuales por encima de la media mundial del 41 %. Los responsables de seguridad observan la misma tendencia: el 43 % identifica el uso de la IA al margen de la política corporativa como uno de los tres comportamientos que más han afectado a su postura de seguridad durante el último año.

El problema no es que nadie vea el riesgo, sino que muchas organizaciones siguen teniendo dificultades para gestionarlo. El 20 % admite que la IA se utiliza sin autorización oficial al menos en algunas áreas, lo que sugiere que los límites entre el uso legítimo y la posible exposición al riesgo no siempre están claramente definidos. La brecha no radica en la concienciación, sino en los marcos necesarios para traducir esa concienciación en normas claras, supervisión y prácticas más seguras.

“La ciberseguridad ha entrado en una fase volátil en la que las organizaciones intentan proteger a una plantilla híbrida formada por personas y agentes de IA. Se trata de un entorno dinámico que está cambiando más rápido de lo que los responsables de seguridad pueden seguir el ritmo”, afirmó Rafael Peruch, asesor técnico de CISO en KnowBe4.

Este fenómeno forma parte de un cambio más amplio: la plantilla colombiana ya no está compuesta únicamente por personas, sino también por agentes de IA que interactúan con los sistemas y los datos corporativos en las mismas condiciones de presión, rapidez y visibilidad limitada.