Fugas de datos por IA generativa: cómo se producen en la empresa y cómo frenarlas

Por Alan Sonny

X (Twitter) Facebook Pinterest LinkedIn Email WhatsApp

Una de cada cinco organizaciones analizadas en el informe Cost of a Data Breach 2025 de IBM sufrió una brecha de seguridad ligada a la shadow AI, el uso de herramientas de inteligencia artificial que la empresa no ha aprobado ni controla. En las compañías con un nivel alto de ese uso no autorizado, cada brecha costó de media 670.000 dólares más, según el estudio, que elaboró Ponemon Institute con datos de 600 organizaciones recogidos entre marzo de 2024 y febrero de 2025.

Las claves de las fugas de datos por IA generativa en las empresas en 30 segundos

IBM vincula a la shadow AI las brechas de una de cada cinco organizaciones de su estudio de 2025, con un sobrecoste medio de 670.000 dólares.
Netskope contó en 2025 una media de 223 envíos mensuales de datos sensibles a aplicaciones de IA por organización, sobre todo código fuente.
El riesgo ya alcanza a asistentes integrados, conectores y agentes, no solo al chatbot.
Las medidas pasan por herramientas corporativas, DLP, mínimo privilegio, formación y contratos revisados conforme al RGPD.

El caso que puso nombre al problema llegó en la primavera de 2023. Ingenieros de Samsung Electronics subieron código fuente interno a ChatGPT y, poco después, la compañía envió un memorando a la plantilla de una de sus mayores divisiones para restringir el uso de herramientas de IA generativa. Según informó entonces Bloomberg, la empresa temía que los datos enviados a estos servicios quedaran almacenados en servidores externos, fueran difíciles de recuperar o borrar y pudieran acabar en manos de otros usuarios. Una encuesta interna del mes anterior indicaba que el 65 % de los empleados consultados veía en estos servicios un riesgo de seguridad. Samsung nunca detalló qué información concreta salió de la empresa.

Tres años después, el gesto de copiar y pegar sigue ahí, pero los caminos por los que se escapa la información se han multiplicado. Hoy la IA está dentro del correo, del paquete ofimático, del navegador y de los entornos de desarrollo, y cada vez más empresas dan a agentes de software permiso para leer documentos y ejecutar acciones en su nombre.

Del copiar y pegar a los agentes: por dónde se escapan los datos

La vía más directa sigue siendo el prompt, la instrucción que el usuario escribe al modelo, y los archivos que adjunta. Harmonic Security, empresa que vende herramientas de control para la IA, analizó más de tres millones de prompts y subidas de archivos en organizaciones de Estados Unidos y Reino Unido entre julio y septiembre de 2025. Según sus datos, el 26,4 % de los archivos subidos a herramientas de IA generativa contenía información sensible, frente al 22 % del trimestre anterior. Más de la mitad de esa información era de negocio o legal (contratos, operaciones de fusión o previsiones financieras), un 25 % era técnica, con predominio del código fuente propietario, y un 15 % correspondía a datos personales o de empleados.

Netskope llega a una foto parecida desde su propia telemetría. En su Cloud and Threat Report 2026, la compañía calcula que la organización media registró en 2025 unos 223 incidentes al mes en los que se enviaban datos sensibles a aplicaciones de IA generativa, el doble que un año antes. En el cuartil con más incidentes la cifra sube a unos 2.100 mensuales. Por tipo de dato, el código fuente supone el 42 % de las violaciones, los datos regulados (personales, financieros o sanitarios) el 32 % y la propiedad intelectual el 16 %.

Buena parte de ese tráfico pasa por cuentas personales. El Data Breach Investigations Report (DBIR) 2025 de Verizon, con incidentes de noviembre de 2023 a octubre de 2024, señala que el 15 % de los empleados accedía a servicios de IA generativa desde dispositivos corporativos al menos una vez cada 15 días, y que la mayoría lo hacía con correos no corporativos como identificador de la cuenta, sin el inicio de sesión gestionado por la empresa.

El segundo frente son los asistentes integrados en herramientas que la empresa sí ha aprobado. En junio de 2025 Microsoft corrigió EchoLeak (CVE-2025-32711, con una puntuación CVSS de 9,3), un fallo de Microsoft 365 Copilot descubierto por Aim Security. Bastaba con enviar un correo con instrucciones ocultas para que el asistente, al procesarlo junto con documentos internos, sacara información a través de enlaces, sin que la víctima hiciera nada. No consta que llegara a explotarse. A principios de 2026 la compañía reconoció otro error que llevó a Copilot a resumir correos con etiqueta de confidencialidad pese a las políticas DLP configuradas por los clientes. DLP son las siglas de prevención de pérdida de datos (data loss prevention).

EchoLeak encaja en lo que OWASP, la fundación que mantiene listas de referencia sobre seguridad de software, sitúa en primer lugar de su Top 10 para aplicaciones con modelos de lenguaje de gran tamaño (LLM) en su edición de 2025: la inyección de prompts. Esa misma lista coloca en segundo lugar la revelación de información sensible y en sexto la llamada agencia excesiva, es decir, dar a un sistema más permisos o autonomía de los que necesita. Ese último punto pesa más con los agentes, que pueden consultar bases de datos, enviar correos o modificar registros. Sobre ese tipo de ataques ya existen planes de defensa contra prompt injection y envenenamiento de datos que conviene revisar antes de conectar un agente a sistemas internos. La Agencia Española de Protección de Datos (AEPD) publicó el 18 de febrero de 2026 unas orientaciones específicas sobre IA agéntica desde la perspectiva de la protección de datos, con medidas para responsables y encargados del tratamiento.

Informes que miden cosas distintas

Las cifras sobre fugas por IA conviene leerlas con cuidado, porque casi todas proceden de empresas que venden soluciones de seguridad y se basan en la telemetría de sus propios clientes. Además, cada informe mide una cosa diferente. IBM cuenta organizaciones que ya han sufrido una brecha. Netskope cuenta incidentes de política por organización y estima que solo el 3 % de los usuarios de IA generativa los comete. Harmonic mide el porcentaje de archivos y prompts con datos sensibles.

Donde más se separan es en el peso de las cuentas personales. Netskope sostiene que el 47 % de los usuarios de IA generativa seguía usando aplicaciones personales en 2025, frente al 78 % del año anterior, mientras que el uso de cuentas gestionadas por la empresa subió del 25 % al 62 %. Harmonic, en cambio, atribuye a cuentas personales solo el 12 % de las exposiciones de datos sensibles que detectó en el tercer trimestre de 2025. El DBIR de Verizon, con datos más antiguos, apunta a que la mayoría de quienes usaban IA generativa en dispositivos de trabajo lo hacía con cuentas ajenas a la empresa. Muestras, periodos y definiciones no coinciden, así que las cifras no son comparables entre sí.

Gartner, por su parte, publicó el 20 de noviembre de 2025 una previsión según la cual más del 40 % de las organizaciones sufrirá incidentes de seguridad o de cumplimiento normativo por el uso de IA no autorizada antes de 2030. La consultora apoyaba esa estimación en una encuesta en la que el 69 % de los responsables de ciberseguridad decía tener pruebas o sospechas de que sus empleados usaban IA generativa pública en el trabajo. Que IBM ya hable de una de cada cinco organizaciones afectadas no contradice necesariamente esa previsión, porque una se refiere a brechas ya ocurridas en una muestra concreta y la otra a una proyección de incidentes a escala global.

Medidas para reducir el riesgo en la empresa

Samsung optó en 2023 por restringir. Desde entonces muchas compañías han preferido dar a sus plantillas herramientas corporativas, y los datos de Netskope reflejan ese giro: el uso de cuentas gestionadas por la empresa pasó del 25 % al 62 % en un año. Aun así, el gobierno de la IA va por detrás. IBM señala que el 63 % de las organizaciones con brechas no tenía una política de gobierno de la IA o aún la estaba preparando, y que el 97 % de las que sufrieron incidentes en modelos o aplicaciones de IA carecía de controles de acceso adecuados. Estas son las medidas que más se repiten entre los organismos y guías consultados:

Política de uso por escrito. Qué herramientas están autorizadas, para qué tareas y qué tipos de dato no pueden introducirse nunca (credenciales, datos de clientes, código propietario, información financiera no publicada).
Versiones empresariales con garantías por contrato. Ofrecer una alternativa corporativa con inicio de sesión único y comprobar en las condiciones que el proveedor no usa los datos para entrenar sus modelos, cuánto tiempo los conserva y dónde los trata.
Clasificación de datos y DLP aplicado a la IA. Etiquetar la información según su sensibilidad y configurar reglas que avisen o bloqueen cuando un documento o un texto marcado se pega o se sube a un servicio de IA, tanto en el navegador como en el equipo.
Control de extensiones y conectores. Inventariar las extensiones de navegador con funciones de IA y las aplicaciones conectadas por OAuth a correo, almacenamiento o CRM, y retirar las que no estén aprobadas.
Mínimo privilegio para agentes y asistentes. Dar a cada agente solo los permisos que necesita, separar consultar de actuar, exigir aprobación humana en operaciones con impacto y hacer que los asistentes con acceso a documentos respeten los permisos del repositorio original.
Registro y auditoría. Guardar quién usa qué herramienta, con qué modelo y qué tipo de dato, teniendo en cuenta que almacenar prompts completos crea nuevas copias de información sensible que también hay que proteger.
Formación práctica. Explicar con ejemplos del día a día qué puede y qué no puede introducirse en un asistente, y cómo reconocer contenidos manipulados que intentan dar órdenes al modelo.
Revisión de contratos y del encargado del tratamiento. Si el proveedor trata datos personales por cuenta de la empresa, el Reglamento General de Protección de Datos (RGPD) exige un contrato de encargo conforme a su artículo 28. También hay que revisar las transferencias internacionales y valorar si hace falta una evaluación de impacto.

El marco legal empuja en la misma dirección. El Reglamento Europeo de Inteligencia Artificial (AI Act) entró en vigor el 1 de agosto de 2024. Las prohibiciones y la obligación de alfabetización en IA del personal se aplican desde el 2 de febrero de 2025, y las reglas para los modelos de propósito general desde el 2 de agosto de 2025. El llamado Ómnibus Digital sobre IA, publicado en el Diario Oficial de la UE el 24 de julio de 2026 y en vigor desde el 27 de julio, retrasó los requisitos de los sistemas de alto riesgo del anexo III al 2 de diciembre de 2027 y los del anexo I al 2 de agosto de 2028. También rebajó la obligación de alfabetización, que ahora consiste en apoyar la formación del personal sin exigir un nivel concreto a cada persona. En España, la AEPD publicó a finales de 2025 su propia política interna de uso de IA generativa, que puede servir como referencia de estructura para otras organizaciones.

Preguntas frecuentes

¿Qué es la shadow AI?

Es el uso de herramientas de inteligencia artificial que la empresa no ha aprobado ni controla, como un chatbot gratuito con una cuenta personal o una extensión de navegador instalada por el empleado. Según IBM, una de cada cinco organizaciones de su estudio de 2025 sufrió una brecha relacionada con este uso.

¿Qué datos se filtran más a las herramientas de IA generativa?

Según Netskope, el código fuente supuso el 42 % de las violaciones de política en 2025, seguido de datos regulados (32 %) y propiedad intelectual (16 %). Harmonic Security destaca la información de negocio y legal, como contratos o previsiones financieras.

¿Prohibir ChatGPT en la empresa evita las fugas?

Una prohibición no impide que los empleados usen estas herramientas desde cuentas personales, que la empresa no controla. Por eso las medidas más citadas combinan herramientas corporativas aprobadas, DLP, formación y una política de uso clara.

¿Qué obliga a hacer el AI Act a las empresas que usan IA generativa?

Desde el 2 de febrero de 2025 deben tomar medidas de alfabetización en IA para su personal, una obligación que el Ómnibus Digital de julio de 2026 suavizó. El tratamiento de datos personales con estas herramientas sigue sujeto al RGPD.

Fuentes: