El uso de herramientas de inteligencia artificial no autorizadas por parte de los empleados se ha convertido en uno de los principales riesgos de ciberseguridad para las pequeñas y medianas empresas. Así lo refleja el 'Informe sobre Higiene en Ciberseguridad 2026', elaborado por WatchGuard Technologies, que sitúa el auge del shadow AI y los hábitos de trabajo poco seguros entre los principales factores que incrementan la exposición de las organizaciones a los ciberataques.
Según el estudio, el 64% de los empleados reconoce utilizar aplicaciones de inteligencia artificial no autorizadas para realizar tareas laborales. Para la compañía, esta práctica está acelerando el fenómeno conocido como shadow AI, es decir, el uso de herramientas tecnológicas fuera del control de los departamentos de TI, dificultando la capacidad de las empresas para gestionar los riesgos asociados.
La investigación pone de manifiesto que muchas organizaciones carecen de la visibilidad necesaria sobre las aplicaciones que utilizan sus trabajadores. Menos del 30% de los encuestados considera que su empresa mantiene un inventario preciso del software empleado, mientras que cerca del 40% afirma que su organización no dispone de una visión completa de las aplicaciones utilizadas por los empleados.
Te puede interesar: Crece el uso de IA en la sombra en las empresas y sus riesgos asociados
Esta falta de gobernanza se traduce en la ausencia de políticas claras sobre qué herramientas de IA pueden utilizarse y qué tipo de información corporativa puede compartirse con ellas, creando nuevos puntos ciegos para los equipos de seguridad.
Más allá del uso de inteligencia artificial, el informe identifica otros comportamientos habituales que continúan debilitando la protección de las organizaciones.
El 76% de los empleados admite reutilizar contraseñas en diferentes cuentas, una práctica que facilita el compromiso de múltiples sistemas cuando una credencial resulta comprometida. Además, el 30% reconoce compartir sus contraseñas con otras personas, aumentando el riesgo de accesos no autorizados.
El estudio también revela que el 70% utiliza redes Wi-Fi públicas para trabajar y que la mitad accede a recursos corporativos sin utilizar una red privada virtual (VPN). Estas prácticas incrementan la exposición frente al robo de credenciales, la interceptación de datos y ataques de intermediario (man-in-the-middle).
A ello se suma que el 55% emplea los dispositivos corporativos para actividades personales, una circunstancia que, según WatchGuard, incrementa el riesgo de infecciones por malware, campañas de phishing y acceso a aplicaciones o páginas web que pueden eludir los controles de seguridad implantados por las organizaciones.
Marc Laliberte, director de Operaciones de Seguridad de WatchGuard, explica que "las organizaciones están invirtiendo en herramientas de seguridad, pero muchas siguen sin tener visibilidad sobre cómo trabajan realmente sus empleados". En este sentido, advierte de que "los comportamientos cotidianos, desde el uso de la IA hasta las prácticas relacionadas con las contraseñas, generan riesgos para los que los controles tradicionales no están diseñados".
El informe también apunta a que la expansión del trabajo híbrido y remoto ha difuminado la separación entre el ámbito personal y profesional, favoreciendo comportamientos que amplían la superficie de ataque y dificultan la gestión del riesgo por parte de los equipos de ciberseguridad.
En este contexto, WatchGuard considera que los proveedores de servicios gestionados (MSP) tienen una oportunidad para ayudar a las pymes a mejorar su higiene de ciberseguridad y corregir estas vulnerabilidades antes de que deriven en incidentes de mayor impacto.
Laliberte sostiene que "estos resultados reflejan un cambio más amplio en el riesgo de ciberseguridad" y señala que, "a medida que las organizaciones adoptan nuevas tecnologías y facilitan el trabajo distribuido, gestionar el comportamiento humano se está convirtiendo en un requisito fundamental". Asimismo, afirma que "para los MSP, supone una oportunidad de ir más allá de la tecnología e incorporar la visibilidad del riesgo de usuario, la gobernanza de políticas y la concienciación continua en seguridad".
Para reducir la exposición, la compañía recomienda implantar gestores de contraseñas y autenticación multifactor (MFA), identificar el uso de aplicaciones no autorizadas, definir políticas específicas para el uso de inteligencia artificial, ampliar la protección mediante VPN y estrategias Zero Trust, así como reforzar la formación continua en ciberseguridad y el seguimiento de indicadores relacionados con el riesgo humano.
