El uso de herramientas de inteligencia artificial no autorizadas, la reutilización de contraseñas o el acceso a redes Wi-Fi públicas están generando una nueva categoría de riesgos que está impulsando la demanda de servicios especializados en protección, gobernanza y formación. Así lo refleja el ‘Estudio sobre Higiene en Ciberseguridad 2026’ de WatchGuard Technologies, que pone el foco en un problema creciente: el denominado shadow AI o IA en la sombra.
Según el estudio, el 64% de los empleados utiliza herramientas de inteligencia artificial no autorizadas para realizar tareas laborales, mientras que menos del 30% considera que su empresa tiene un inventario actualizado del software que utiliza su plantilla.
La adopción acelerada de la inteligencia artificial está permitiendo a las pymes ganar eficiencia en tareas administrativas, comerciales o de atención al cliente. Sin embargo, también está provocando que muchos trabajadores recurran a aplicaciones de IA por iniciativa propia, introduciendo información corporativa en plataformas que no han sido aprobadas por la empresa.
Para una pyme, donde los recursos destinados a ciberseguridad suelen ser limitados y los equipos de TI son reducidos o inexistentes, esta falta de control puede traducirse en fugas de información sensible, pérdida de propiedad intelectual o incumplimientos normativos.
El informe evidencia además una importante brecha de visibilidad: cerca del 40% de los empleados asegura que su organización no conoce todas las aplicaciones que utiliza la plantilla, dificultando cualquier estrategia efectiva de protección.
El comportamiento humano se convierte en el principal punto débil
Más allá de la inteligencia artificial, el estudio revela que muchos de los riesgos continúan estando ligados a prácticas cotidianas. El 76% de los empleados reutiliza contraseñas en distintas plataformas y un 30% reconoce compartirlas con otras personas. Además, el 70% trabaja desde redes Wi-Fi públicas, mientras que la mitad accede a recursos corporativos sin utilizar una VPN.
A ello se suma otro fenómeno cada vez más habitual en el trabajo híbrido: el 55% utiliza los dispositivos profesionales para fines personales, aumentando la exposición frente a campañas de phishing, malware o robo de credenciales.
En conjunto, estas prácticas amplían considerablemente la superficie de ataque de las empresas, especialmente en organizaciones donde la seguridad depende más de la confianza en los usuarios que de controles tecnológicos avanzados.
La ciberseguridad evoluciona
El informe refleja una tendencia que ya comienza a transformar el mercado: la ciberseguridad deja de centrarse exclusivamente en proteger infraestructuras para incorporar la gestión del riesgo humano. En la práctica, la ciberseguridad se está convirtiendo en un servicio gestionado de forma integral, donde la prevención pasa tanto por la tecnología como por la cultura empresarial.
Este cambio está impulsando nuevos modelos de negocio para proveedores tecnológicos y empresas especializadas, especialmente los Managed Service Providers (MSP), que encuentran una oportunidad para ampliar su oferta más allá de la instalación de soluciones de seguridad.
La demanda ya no se limita a antivirus, cortafuegos o copias de seguridad. Las pymes comienzan a necesitar servicios continuos de supervisión del uso de aplicaciones, políticas de gobernanza sobre inteligencia artificial, control de accesos, autenticación multifactor, formación permanente para empleados y análisis del comportamiento de los usuarios.
La IA gana protagonismo
La ausencia de estas políticas convierte a la IA en un nuevo punto ciego para las organizaciones. En muchos casos, los trabajadores recurren a estas herramientas buscando mejorar su productividad, pero sin ser conscientes del riesgo que supone introducir datos confidenciales en plataformas externas.
El informe de WatchGuard apunta a un cambio de enfoque para las pequeñas y medianas empresas. La ciberseguridad deja de percibirse únicamente como un coste asociado a la tecnología para convertirse en una inversión ligada a la continuidad del negocio, la confianza de los clientes y la protección de la información.
En este escenario, medidas como la autenticación multifactor, el uso de gestores de contraseñas, las políticas de uso de IA, las conexiones seguras mediante VPN o modelos Zero Trust y la formación continua de los empleados se perfilan como elementos cada vez más habituales en la estrategia digital de las pymes.
La conclusión es clara: en un entorno donde la inteligencia artificial y el trabajo híbrido redefinen la forma de trabajar, el mayor riesgo para muchas empresas ya no está únicamente fuera de la organización, sino también en aquellos comportamientos cotidianos que permanecen invisibles hasta que se produce un incidente.
