Cuando piensas en fuga de datos por shadow AI, te imaginas una escena concreta: alguien pega un contrato en ChatGPT desde su cuenta personal.
Ese es el caso fácil. Hay una persona, un momento y una decisión. Se puede formar, se puede prohibir, se puede auditar.
El problema es que ya solo representa una parte de la exposición. Las otras cuatro vías no tienen persona identificable, no tienen momento y, sobre todo, no tienen decisión: el dato sale solo, de forma continua, mucho después de que alguien hiciera clic en un botón que parecía inofensivo.
Ya vimos los números del shadow AI: el 80% de las plantillas lo usan y la mayoría de las organizaciones no tienen visibilidad. Este artículo va de lo otro: por dónde sale exactamente.
Vía 1: el pegado (el único que tiene dueño)
El caso Samsung de 2023 sigue siendo el ejemplo canónico: ingenieros pegaron código fuente propietario en un chat a los pocos días de levantarse una prohibición interna.
Es la vía más visible y la más fácil de contar en una presentación. También es la única en la que hay alguien a quien formar.
Y aquí está el problema de fondo: casi todas las políticas de IA que se escriben en las empresas están diseñadas contra esta vía. Contra la única que la gente ve.
Vía 2: el adjunto
Nadie sube un párrafo. Sube el documento entero.
Pides un resumen de las conclusiones de un informe y arrastras el PDF de 80 páginas. Quieres analizar una columna y subes el Excel completo, con las otras catorce pestañas, las filas ocultas que alguien filtró en 2023 y los comentarios del control de cambios.
El dato que necesitabas compartir eran tres cifras. El dato que compartiste fue el fichero.
El Shadow AI Report 2026 de Teramind recoge que el contenido sensible de los prompts se concentra cada vez más en material legal y financiero (hasta un 31%) y en código fuente (alrededor de un 10%), no en texto genérico. Y eso llega, en su mayor parte, en forma de fichero adjunto: PDF, presentaciones, hojas de cálculo, registros y repositorios completos.
Vía 3: la extensión con permisos
Esta es la que cambia la naturaleza del problema.
Una extensión de navegador con IA opera dentro de la sesión del usuario, con sus permisos, por su red. Puede leer el contenido de las páginas, los campos de formulario y las cookies de sesión, no explotando una vulnerabilidad, sino por diseño, como documenta la nota de investigación de la Cloud Security Alliance sobre extensiones de IA. Un corrector gramatical con acceso al contenido de la página puede estar leyendo registros del CRM, hilos de correo y paneles financieros en tiempo real.
Dos detalles que casi nadie comprueba:
- Los tokens OAuth que se conceden a estas extensiones persisten indefinidamente hasta que alguien los revoca a mano. Sobreviven a los cambios de contraseña y a los cambios de dispositivo. Un empleado que se fue hace un año puede haber dejado un canal abierto.
- Desde el punto de vista de tu seguridad perimetral, esto no parece un ataque. No hay movimiento lateral, ni escalada de privilegios, ni procesos anómalos. Solo tráfico HTTPS normal de un usuario legítimo.
Según el informe Cloud and Threat de Netskope de 2026, recogido por Adaptive Security, el 47% de los usuarios de IA generativa acceden a estas herramientas con cuentas personales, y la empresa media acumula 223 violaciones de política de datos al mes relacionadas con IA.
Vía 4: el conector y el agente
La versión 2026 del problema.
Ya no hablamos de chatbots, sino de integraciones: conectores a Drive, copilotos incrustados en el SaaS que ya usabas, servidores MCP que exponen APIs internas, agentes con acceso persistente vía OAuth. Gartner estima que el 40% de las aplicaciones empresariales incorporarán agentes específicos a finales de 2026, frente a menos del 5% en 2025, según la recopilación de Vectra AI.
La diferencia con el pegado es cualitativa. Un empleado concede acceso una vez, con dos clics, en una pantalla de permisos que nadie lee. A partir de ahí el flujo de datos es automático y continuo. No aparece en tu inventario de aplicaciones, no lo ve tu CASB y no hay ningún evento que revisar.
Y sobre estos agentes actúan además los riesgos propios de la IA: una inyección de prompt puede convertir un agente con acceso a tu correo en un canal de salida operado desde fuera.
Vía 5: el enlace compartido
La última vía es la más doméstica y por eso se subestima.
Alguien genera un enlace público para enseñarle una conversación a un compañero. Ese enlace es una URL accesible desde internet. Sin autenticación, sin caducidad y, en algunos casos, indexable por buscadores: exactamente lo que ocurrió cuando conversaciones de Claude aparecieron en Google sin que hubiera habido ninguna brecha de seguridad.
No hubo ataque. Hubo un botón de compartir.
La fuga no termina cuando el prompt sale
Aquí está el punto que convierte un incidente puntual en una exposición prolongada.
El dato no solo sale: se queda.
En los planes de consumo, el borrado tiene menos alcance del que parece. OpenAI retira las conversaciones borradas en un plazo de 30 días, salvo excepciones legales o de seguridad. Anthropic aplica ese mismo plazo, pero si el usuario acepta contribuir a la mejora del modelo conserva los datos desidentificados hasta cinco años, y hasta dos años los que sus clasificadores marcan por política de uso. Ese salto de treinta días a cinco años, y lo que implica activarlo sin querer, ya lo contamos cuando Anthropic cambió su configuración por defecto.
Después está la revisión humana, que casi nadie tiene presente. Google advierte de que las conversaciones de Gemini revisadas por personas se conservan hasta tres años y no se borran cuando borras tu actividad. Su propio aviso no deja lugar a interpretación:
"No introduzcas información confidencial que no quieras que vea un revisor."
Y por encima de todo eso está el pleito. En mayo de 2025, una orden judicial de conservación dictada en la demanda del New York Times obligó a OpenAI a preservar registros que la política normal habría borrado, y esos datos de abril a septiembre de 2025 siguen almacenados. Tu política de retención vale hasta que un tribunal decide otra cosa.
Un empleado con cuenta personal no está teniendo una conversación. Está haciendo una cesión de datos a un tercero, sin contrato, sin garantías de transferencia internacional y sin registro en tu RAT.
Una corrección sobre el calendario legal
Cuando publicamos nuestro artículo sobre shadow AI, la fecha crítica era el 2 de agosto de 2026. Ha cambiado, y conviene decirlo con precisión.
El Digital Omnibus sobre IA, aprobado por el Parlamento Europeo el 16 de junio de 2026 y por el Consejo el 29 de junio, aplazó las obligaciones de alto riesgo del Anexo III al 2 de diciembre de 2027 y las de sistemas embebidos del Anexo I al 2 de agosto de 2028. Las obligaciones de transparencia del artículo 50, en cambio, siguen aplicándose desde el 2 de agosto de 2026.
Pero el aplazamiento no cambia nada relevante para el shadow AI, por una razón sencilla: la exposición real de una fuga de datos no es la Ley de IA. Es el RGPD, y ese lleva vigente desde 2018.
Cuando el expediente de un cliente entra en una cuenta personal, la infracción es de artículo 28 y no espera a diciembre de 2027. La factura de la suscripción es la prueba documental.
Qué hacer ahora
Un paso, esta semana: audita los tokens OAuth y las extensiones instaladas, no las aplicaciones.
El inventario de apps aprobadas no te va a enseñar nada nuevo. La lista de extensiones con permiso de lectura sobre el contenido de las páginas, y la de terceros con acceso concedido a vuestro Google Workspace o Microsoft 365, sí. Ahí es donde están las vías 3 y 4.
Con esa lista delante:
- Revoca los accesos de personas que ya no están y los de herramientas que nadie recuerda haber aprobado.
- Da una alternativa aprobada antes de prohibir nada. Los datos son consistentes: cuando existe una opción oficial que funciona, el uso no autorizado cae hasta un 89%; cuando solo hay prohibición, se esconde.
- Registra los sistemas de IA en tu registro de actividades de tratamiento.
- Añade una capa técnica antes del envío, porque las tres anteriores dependen de que las personas cumplan.
Dónde encaja Moviwa
Las cinco vías tienen una cosa en común: el dato sale en texto claro. Ese es el único punto donde se puede intervenir sin depender de que cuarenta personas hagan lo correcto.
Cuando alguien pulsa "Enviar" en ChatGPT, Claude o Gemini, Moviwa analiza el texto en
milisegundos y, si detecta datos identificativos, ofrece sustituirlos por tokens reversibles (con
el prefijo TK_) o cancelar el envío. El modelo trabaja con el contexto; el nombre, el DNI y el
IBAN se quedan dentro. Al volver la respuesta, el token se restaura.
Sobre lo que has leído aquí resuelve tres cosas:
- Cubre el adjunto, no solo el prompt. El análisis alcanza a PDF, Excel, código fuente e imágenes, que es por donde sale el volumen.
- Te da la evidencia. El panel documenta, de forma agregada y por tipo de dato, qué se ha detectado y bloqueado: material directo para tu RAT y para una auditoría de ISO 42001 o EU AI Act.
- No vigila a nadie. Moviwa no registra conversaciones ni monitoriza comportamiento individual. Actúa solo cuando hay datos sensibles en tránsito, y la decisión final es de la persona.
Fuentes
Todas consultadas el 9 de agosto de 2026.
Uso y exposición del shadow AI
- Teramind, Shadow AI Report 2026: tipología de datos sensibles en prompts, extensiones y conectores SaaS.
- Adaptive Security, Understanding Shadow AI Risks: Data Exposure & Compliance: recoge los datos de Netskope Cloud and Threat Report 2026 (47% de acceso con cuentas personales, 223 violaciones/mes) y el análisis de tokens OAuth persistentes.
- Forcepoint, What is Shadow AI: datos de Optro 2026 (80% de organizaciones con uso extendido, solo 25% con visibilidad completa) e ISACA 2026.
- Vectra AI, Shadow AI explained: risks, costs, and enterprise governance: previsión de Gartner sobre agentes, caída del 89% del uso no autorizado, vectores MCP y OAuth.
- Technology Radius, 20 Shadow AI Statistics 2024-2026: contexto del caso Samsung y de las prohibiciones reactivas.
Superficie técnica: extensiones y navegador
- Cloud Security Alliance, AI Browser Extensions: Shadow AI's Hidden Attack Surface: por qué el tráfico de una extensión es indistinguible del tráfico legítimo.
- Microsoft Edge Blog, Protect your enterprise from shadow AI: announcements at RSAC 2026: DLP en línea en la capa del navegador.
Retención y revisión humana
Documentación de los propios proveedores, que es la que cuenta cuando hay que justificar una decisión ante una autoridad de control.
- OpenAI, Chat and File Retention Policies in ChatGPT: los chats borrados se purgan en 30 días, salvo excepción legal o de seguridad.
- Anthropic, How long do you store my data: hasta cinco años en formato desidentificado en los pipelines de entrenamiento si el usuario activa la mejora del modelo, y hasta dos años lo marcado por Trust and Safety.
- Google, Actividad de las aplicaciones Gemini: las conversaciones revisadas por personas se conservan hasta tres años y no se borran al borrar tu actividad. De ahí sale el aviso citado en el artículo.
- OpenAI, How we're responding to The New York Times' data demands: la orden de conservación de mayo de 2025 y los registros de abril a septiembre de 2025.
Marco normativo
- Freshfields, EU AI Act unpacked #34: The final Digital Omnibus on AI: fechas de aprobación y nuevo calendario.
- Gibson Dunn, EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes: aplazamientos del Anexo III y del Anexo I.
- Winston Taylor, AI Act rules on high-risk AI delayed as AI Digital Omnibus agreed: calendario detallado por artículo, incluido el artículo 50.
Artículos previos
- El 80% de tus empleados ya usan IA que no puedes ver: cifras de partida del shadow AI (IBM Cost of a Data Breach 2025, DTEX/Ponemon 2026).
- Nadie hackeó nada... pero se filtró información: enlaces compartidos indexados por buscadores.
- Hackeamos nuestro propio agente IA en 90 segundos: inyección de prompt en agentes.
- Montevive, La crisis de privacidad de la IA: el cambio de Anthropic de 30 días de retención a cinco años, y qué había que tocar para evitarlo.
Empieza por lo fácil: puedes probar la misma tecnología de detección ahora mismo, sin registro, con nuestro anonimizador gratuito. Funciona en tu navegador y ningún dato sale de tu equipo.
Y luego lo demás. Solicita una demo y en 15 minutos ves el estado real de tu organización: qué está saliendo, por qué vía y con qué exposición. Sin tarjeta y sin compromiso.
Este artículo refleja el estado del marco normativo a 9 de agosto de 2026, incluida la adopción del Digital Omnibus sobre IA. Tiene finalidad informativa y no sustituye asesoramiento legal: verifica siempre la documentación oficial vigente antes de tomar decisiones de cumplimiento.