Shadow IT es toda la tecnología que se usa en una empresa sin que el departamento de IT lo sepa o lo apruebe: la suscripción que contrató un equipo por su cuenta, la automatización casera que monta alguien de operaciones en una tarde, la herramienta gratuita que se volvió crítica sin que nadie lo decidiera. La cifra que se suele citar, atribuida a Gartner, es que supone entre el 30% y el 40% del gasto en tecnología de las grandes empresas.
1 de cada 3 aplicaciones de una empresa es shadow IT, y las líneas de negocio controlan ya el 70% del gasto en software: Zylo SaaS Management Index.
Casi la mitad del dinero que una organización dedica a software puede estar ocurriendo fuera del radar de quien debería velar por su seguridad y su coherencia. No es un problema menor de cumplimiento: es una parte sustancial de la realidad tecnológica de la empresa, operando a oscuras.
Por qué la gente lo hace (y por qué prohibirlo no funciona)
La reacción instintiva es tratarlo como un problema de control: prohibir, bloquear, perseguir. Es leer el síntoma al revés. La gente no monta soluciones paralelas por rebeldía, sino porque el sistema oficial no le deja hacer su trabajo, o le obliga a hacerlo más despacio que la alternativa que se ha buscado. El shadow IT es, en el fondo, una medida de fricción: aparece exactamente donde la tecnología oficial pone más piedras que soluciones.
Por eso prohibirlo no cierra el problema, solo lo esconde. Si la vía oficial sigue siendo peor que la alternativa, la gente seguirá buscando atajos, ahora menos visibles y peor controlados. Y mientras tanto se pierde la información más valiosa que ofrece el fenómeno: cada hoja de cálculo crítica y cada herramienta no autorizada señala un hueco concreto entre lo que el negocio necesita y lo que sus sistemas dan.
El shadow IT mide la distancia entre lo que la empresa necesita y lo que sus sistemas le dan. Prohibirlo no acorta esa distancia: solo apaga la luz que la señala.
El shadow AI lo ha llevado a otra escala
La inteligencia artificial generativa ha añadido una capa nueva y más peligrosa. Hoy cualquier empleado puede pegar un contrato, un listado de clientes o un informe financiero en un chatbot público para resolver una tarea en treinta segundos. Es rápido, es útil, y es invisible: no deja rastro en ningún sistema de la empresa. Gartner prevé que el 40% de las organizaciones sufrirá brechas de seguridad relacionadas con el shadow AI para 2030.
La diferencia con el shadow IT clásico es la velocidad y la superficie de exposición. Una herramienta SaaS no autorizada es un riesgo acotado: una cuenta, unos datos, un proveedor. Datos sensibles saliendo de forma continua hacia modelos de terceros, sin control, sin registro y sin que nadie sepa dónde acaban, es un riesgo que escala con cada empleado y cada día. Y crece justo porque la alternativa oficial ( si existe ) suele ser más lenta o más restrictiva que abrir una pestaña.
La respuesta: leer el mapa y construir lo que falta
La gestión sensata del shadow IT y del shadow AI tiene dos movimientos, y ninguno es prohibir sin más:
- Inventariar y leer. Saber qué tecnología no autorizada se usa de verdad, y entender qué carencia revela cada caso. Donde se acumulan hojas de cálculo y herramientas paralelas es donde los sistemas oficiales se han quedado cortos. Ese mapa vale oro para decidir qué construir.
- Construir alternativas que la gente quiera usar. Cuando la vía oficial es mejor que el atajo ( más rápida, más cómoda, igual de capaz ) el shadow IT se reduce solo, sin necesidad de perseguir a nadie. Para la IA, eso significa dar a la gente herramientas internas seguras que hagan lo que de todos modos van a intentar hacer por su cuenta.
Una empresa con poco shadow IT no suele ser la que mejor lo prohíbe, sino la que mejor cubre las necesidades reales de su gente con sistemas que funcionan. El control llega como consecuencia de eso, no como sustituto. La pregunta para dirección no es cómo bloquear más, sino qué están intentando hacer sus equipos que la empresa todavía no les deja hacer bien.