09/02/2026
El Shadow IT (o “Tecnología en la sombra") hace referencia al uso de software o hardware dentro de una empresa sin la autorización, supervisión o conocimiento del equipo de TI.
Es una práctica más habitual de lo que parece y puede darse en situaciones cotidianas, como utilizar una plataforma de videollamadas distinta a la aprobada, subir archivos de trabajo a una nube personal o usar herramientas de inteligencia artificial para realizar tareas profesionales desde una cuenta personal.
En estos casos, usuarios autorizados realizan acciones no autorizadas, normalmente por comodidad, familiaridad con la herramienta o desconocimiento de los riesgos que esto puede suponer para la seguridad de la información de la empresa y para el cumplimiento de licencias de software, derechos de terceros y protección de activos intangibles (know-how/secretos empresariales, información confidencial, etc.).
Aunque suele nacer de una buena intención (empleados que quieren ser más productivos y utilizan herramientas más modernas y con más funcionalidades), el uso de aplicaciones no autorizadas en la organización implica riesgos importantes: cuando el equipo de TI no sabe que una aplicación existe, no puede protegerla ni puede verificarse si la herramienta está correctamente licenciada, si sus condiciones de uso permiten el uso profesional/corporativo, o si impone cesiones de derechos o usos secundarios de la información.
Principales riesgos del Shadow IT
- Vulnerabilidades: si el software no se actualiza o no cumple con los estándares de seguridad de la empresa, es una puerta abierta para los ciberdelincuentes.
- Fuga de datos y accesos no autorizados: los empleados pueden subir información confidencial a nubes personales (como Dropbox o Google Drive personal) que no tienen el cifrado ni el control de acceso corporativo.
- Incumplimiento normativo: si los datos de los clientes se almacenan en una aplicación no autorizada, la empresa puede enfrentar multas millonarias simplemente por no saber dónde reside la información (aunque no se haya producido un incidente de seguridad).
- Impactos económicos y reputacionales como consecuencia de los riesgos anteriores.
- Riesgos de Propiedad Intelectual y licencias (software y contenidos):
- Uso sin licencia o fuera del alcance de la licencia (p. ej., licencias “personal”, “freemium” usadas para fines corporativos; límites de usuarios/instalaciones; prohibición de uso comercial).
- Incumplimiento de condiciones de uso (restricciones territoriales, de finalidad, de confidencialidad, de ingeniería inversa, etc.), con posibles reclamaciones, penalizaciones contractuales y retirada de servicio.
- Riesgo de contaminación de código/entregables por uso no controlado de componentes open source o herramientas que introducen obligaciones, afectando la posibilidad de explotar o distribuir software corporativo.
- Pérdida o debilitamiento de la protección de secretos empresariales/know-how/información confidencial al cargar información sensible en servicios personales o en herramientas cuyo proveedor pueda acceder a datos por soporte/seguridad, o por configuración inadecuada.
- Herramientas de IA: riesgo de introducir datos protegidos (confidenciales, secretos, obras de terceros) y de aceptar condiciones que permitan su uso para entrenamiento/mejora del servicio o que generen incertidumbre sobre derechos de uso del output.
Buenas prácticas para mitigar el Shadow IT
- Establecer y difundir políticas claras sobre el uso de la tecnología en la empresa. Estas políticas de uso de aplicaciones y dispositivos deben cumplir con los estándares de seguridad necesarios y con los requisitos legales (incluyendo: licencias, términos de uso aceptables, propiedad intelectual, secretos empresariales y pautas de uso de IA).
- Establecer normas para el uso de servicios de almacenamiento en la nube y herramientas de colaboración, tales como la implementación de la autenticación multifactor, el cifrado de información sensible, la restricción de accesos basada en el principio de mínimo privilegio, etc.
- Utilizar herramientas avanzadas para monitorizar, detectar y controlar las aplicaciones y dispositivos no autorizados en la compañía. El Instituto Nacional de Ciberseguridad (INCIBE) ofrece algunos ejemplos de herramientas en este artículo.
- Realizar auditorías de los sistemas y aplicaciones para identificar posibles brechas de seguridad y garantizar el cumplimiento de las políticas establecidas.