AI adoption did not begin with procurement. Microsoft found that 75% of surveyed knowledge workers already used AI at work. Among those users, 78% brought their own tools and 52% hesitated to admit important uses.
La adopción de IA no comenzó con compras. Microsoft encontró que 75% de los trabajadores del conocimiento encuestados ya usaba IA en el trabajo. Entre esos usuarios, 78% llevaba herramientas propias y 52% dudaba en admitir usos importantes.
The third option is not unrestricted access. It combines contracts, identity, data controls and investigation records. These terms describe the mechanisms that move AI into an environment the organization can manage.
La tercera opción no es el acceso sin límites. Combina contratos, identidad, controles de datos y registros para investigar. Estos términos describen los mecanismos que trasladan la IA a un entorno que la organización puede gestionar.
When employees can reach AI from an ordinary laptop, policy must make that use visible and governable.
Cuando los empleados pueden acceder a la IA desde un portátil común, la política debe hacer que ese uso sea visible y gobernable.
A 2026 UK survey reported the same shadow-AI rate under opposite policies. Both explicit bans and enabling policies recorded 33%. This does not prove bans cause hidden use, but prohibition alone did not change the reported rate.
Una encuesta británica de 2026 reportó la misma tasa de IA en la sombra con políticas opuestas. Tanto las prohibiciones explícitas como las políticas habilitantes registraron 33%. Esto no demuestra que las prohibiciones causen uso oculto, pero la prohibición por sí sola no cambió la tasa reportada.
Three sources capture different parts of the visibility problem. Microsoft reported 52% reluctance to admit important AI use, Cisco reported 48% entering non-public information, and Harmonic Security found 64% personal-account use. The denominators differ, but each result points toward activity outside normal oversight.
Tres fuentes captan partes diferentes del problema de visibilidad. Microsoft reportó 52% de resistencia a admitir usos importantes, Cisco reportó 48% que introdujo información no pública y Harmonic Security encontró 64% de uso con cuentas personales. Los denominadores difieren, pero cada resultado apunta a actividad fuera de la supervisión normal.
IBM's global average rose from $4.24 million in 2021 to $4.88 million in 2024. The 2025 report then estimated $4.44 million. That reversal means a shadow-AI premium cannot be treated as a universal rise in every breach.
El promedio global de IBM subió de US$4,24 millones en 2021 a US$4,88 millones en 2024. El informe de 2025 estimó después US$4,44 millones. Esa reversión significa que una prima asociada a IA en la sombra no puede tratarse como un aumento universal de cada brecha.
The shadow-AI penalty is material, while the scale of the automation advantage shows that active governance can create a much larger defensive benefit.
La penalización por IA en la sombra es material, mientras que la magnitud de la ventaja de la automatización muestra que la gobernanza activa puede generar un beneficio defensivo mucho mayor.
IBM's 2026 report put AI-enabled malicious breaches at $6 million on average. The global average was $4.99 million. This is not a shadow-AI estimate, but it shows why uncontrolled AI belongs inside the breach-response system.
El informe de IBM de 2026 situó las brechas maliciosas habilitadas por IA en US$6 millones en promedio. El promedio global fue de US$4,99 millones. Esto no es una estimación de IA en la sombra, pero muestra por qué la IA sin control debe entrar en el sistema de respuesta a brechas.
IBM measured a 258-day average breach lifecycle in 2024. Identification consumed 194 days and containment another 64. The series improved from 287 days in 2021, but the evidence does not isolate extra delay caused by shadow AI.
IBM midió un ciclo promedio de brecha de 258 días en 2024. La identificación consumió 194 días y la contención otros 64. La serie mejoró desde 287 días en 2021, pero la evidencia no aísla la demora adicional causada por la IA en la sombra.
Governed AI gives investigators a clearer trail when they need to reconstruct an incident.
La IA gobernada ofrece a los investigadores un rastro más claro cuando necesitan reconstruir un incidente.
The Dutch authority fined Yango's European operator €100 million for transferring personal data to Russia. Romania fined Renault Commercial Roumanie €125,000 after an attack on a processor-administered application. These are not AI incidents, but they show why processing obligations need enforceable form.
La autoridad neerlandesa multó con €100 millones a la operadora europea de Yango por transferir datos personales a Rusia. Rumania multó con €125.000 a Renault Commercial Roumanie tras un ataque contra una aplicación administrada por un encargado. Estos no son incidentes de IA, pero muestran por qué las obligaciones de tratamiento necesitan una forma exigible.
Latvia's data authority reprimanded Līvāni after more than 25 million records were compromised at processor ZZ Dats. The municipality lacked a proper processing agreement despite ISO certification. Certification can support governance, but it cannot replace the contract governing a real data flow.
La autoridad letona reprendió a Līvāni después de que se comprometieran más de 25 millones de registros en el encargado ZZ Dats. El municipio carecía de un acuerdo de tratamiento adecuado pese a su certificación ISO. La certificación puede apoyar la gobernanza, pero no puede sustituir el contrato que rige un flujo real de datos.
Verizon found that a human element was involved in 68% of the breaches analyzed in its 2024 report. That does not measure DLP effectiveness directly. It explains why a policy document alone cannot carry the full burden of preventing sensitive data from leaving.
Verizon encontró que un elemento humano estuvo involucrado en 68% de las brechas analizadas en su informe de 2024. Eso no mide directamente la eficacia de DLP. Explica por qué un documento de política no puede cargar por sí solo con la prevención de salidas de datos sensibles.
ISO published ISO/IEC 42001 in 2023 as an AI management-system standard suitable for third-party certification. It can make responsibilities and review processes auditable. Certification verifies the management system, not the safety or accuracy of every output.
ISO publicó ISO/IEC 42001 en 2023 como una norma de sistemas de gestión de IA apta para certificación por terceros. Puede hacer auditables las responsabilidades y los procesos de revisión. La certificación verifica el sistema de gestión, no la seguridad o exactitud de cada resultado.
Morgan Stanley reported 98% adoption among adviser teams. The assistant was evaluated and connected to approved documents rather than released as an unrestricted public tool. The governed route worked because it was useful enough to choose.
Morgan Stanley reportó 98% de adopción entre los equipos asesores. El asistente fue evaluado y conectado con documentos aprobados, en lugar de ofrecerse como herramienta pública sin restricciones. La ruta gobernada funcionó porque era suficientemente útil para elegirla.
Copilot users completed a bounded coding task 55.8% faster. In BCG's experiment, suitable tasks gained speed, volume and quality. On one task beyond GPT-4's frontier, assisted consultants were 19 percentage points more likely to answer incorrectly.
Los usuarios de Copilot completaron una tarea acotada de programación 55,8% más rápido. En el experimento de BCG, las tareas adecuadas ganaron velocidad, volumen y calidad. En una tarea fuera de la frontera de GPT-4, los consultores asistidos tuvieron 19 puntos porcentuales más de probabilidad de responder incorrectamente.
AI assistance was associated with a 14% average productivity gain across 5,179 support agents. Novice and lower-skilled workers gained about 34%. Controlled practice can therefore be a learning system as well as a productivity tool.
La asistencia de IA se asoció con una ganancia promedio de productividad de 14% entre 5.179 agentes de soporte. Los trabajadores principiantes y menos calificados ganaron cerca de 34%. La práctica controlada puede ser un sistema de aprendizaje además de una herramienta de productividad.
Microsoft reported that 66% of leaders would not hire someone without AI skills. Another 71% preferred a less-experienced candidate who had them. If formal learning is blocked, employees may still learn through channels the organization cannot observe.
Microsoft reportó que 66% de los líderes no contrataría a alguien sin habilidades de IA. Otro 71% prefería a un candidato menos experimentado que sí las tuviera. Si se bloquea el aprendizaje formal, los empleados pueden seguir aprendiendo mediante canales que la organización no puede observar.
GAO reported a ninefold increase in generative-AI use across U.S. federal agencies from 2023 to 2024. The supplied claim does not include the endpoints needed for a growth curve. The multiplier still shows how quickly institutional adoption can move.
La GAO reportó que el uso de IA generativa en las agencias federales de Estados Unidos se multiplicó por nueve entre 2023 y 2024. La afirmación suministrada no incluye los valores inicial y final necesarios para una curva. El multiplicador todavía muestra la rapidez del cambio institucional.
This is Hanademi analysis, not a conclusion published by Eurostat. Spain's measure was 2.21 in 2025 and Germany's was 1.4. Dividing those values gives 1.58x, displayed as 1.6x.
Este es un análisis de Hanademi, no una conclusión publicada por Eurostat. La medida de España fue 2,21 en 2025 y la de Alemania fue 1,4. Dividir esos valores da 1,58 veces, mostrado como 1,6 veces.
This is Hanademi analysis, not a conclusion published by Eurostat. Italy trailed Spain in 2015, crossed ahead in 2019 and ended at 6.15 versus Spain's 5.24 in 2024. Subtracting the two values gives a 0.91 gap.
Este es un análisis de Hanademi, no una conclusión publicada por Eurostat. Italia estaba detrás de España en 2015, pasó al frente en 2019 y terminó en 6,15 frente a 5,24 de España en 2024. Restar los dos valores da una brecha de 0,91.
EU employment of ICT specialists rose from 6.56 million in 2015 to 10.45 million in 2025. That is an increase of nearly 3.9 million people. The series is labor-market context, not proof that AI policy caused the growth.
El empleo de especialistas TIC en la UE subió de 6,56 millones en 2015 a 10,45 millones en 2025. Es un aumento de casi 3,9 millones de personas. La serie aporta contexto laboral, no prueba que la política de IA causara el crecimiento.
Germany rose from 1.47 million ICT specialists in 2015 to 2.32 million in 2025. France increased from 0.91 million to 1.43 million. Both expanded, while Germany's absolute lead became larger.
Alemania pasó de 1,47 millones de especialistas TIC en 2015 a 2,32 millones en 2025. Francia aumentó de 0,91 millones a 1,43 millones. Ambas crecieron, mientras la ventaja absoluta de Alemania se hizo mayor.
Italy led Spain throughout the first 9 observations. Italy then fell from 970,400 specialists in 2023 to 904,800 in 2025. Spain continued rising and reached 1.06 million, making the crossing visible.
Italia lideró a España durante las primeras 9 observaciones. Italia cayó después de 970.400 especialistas en 2023 a 904.800 en 2025. España siguió subiendo y llegó a 1,06 millones, haciendo visible el cruce.
The Netherlands grew from 414,400 ICT specialists in 2015 to 708,800 in 2025. Sweden rose from 293,800 to 470,900. Both expanded, but the Dutch series added more absolute capacity.
Países Bajos pasó de 414.400 especialistas TIC en 2015 a 708.800 en 2025. Suecia subió de 293.800 a 470.900. Ambos crecieron, pero la serie neerlandesa sumó más capacidad absoluta.
The supplied Eurostat measure declined from 2.59 in 2021 to 2.04 in 2025. Every observation moved downward. The source unit is absent from the claim payload, so the series should be read as direction and context rather than a familiar percentage.
La medida suministrada por Eurostat bajó de 2,59 en 2021 a 2,04 en 2025. Cada observación descendió. La unidad de la fuente no aparece en la afirmación, por lo que la serie debe leerse como dirección y contexto, no como un porcentaje conocido.
France's supplied measure rose from 0.67 in 2021 to 0.89 in 2023. It then fell to 0.71 in 2025. The reversal cautions against treating organizational capability as a one-time achievement.
La medida suministrada para Francia subió de 0,67 en 2021 a 0,89 en 2023. Luego cayó a 0,71 en 2025. La reversión advierte contra tratar la capacidad organizacional como un logro único.
The EU enterprise-training measure moved from 7.64 in 2015 to 8.56 in 2024. It dipped in 2020 and recovered afterward. The modest change contrasts with the much larger expansion in ICT-specialist employment.
La medida de capacitación empresarial de la UE pasó de 7,64 en 2015 a 8,56 en 2024. Bajó en 2020 y se recuperó después. El cambio modesto contrasta con la expansión mucho mayor del empleo de especialistas TIC.
Germany remained above France and Sweden across the series. France ended below its 2015 level, while Sweden fell sharply after its 2022 peak. Technical workforce growth and enterprise training can therefore move on different paths.
Alemania permaneció por encima de Francia y Suecia durante toda la serie. Francia terminó por debajo de su nivel de 2015, mientras Suecia cayó con fuerza después de su pico de 2022. El crecimiento de la fuerza técnica y la capacitación empresarial pueden seguir caminos diferentes.
The Netherlands rose from 11.8 in 2015 to a peak of 15.47 in 2022. It eased to 14.1 in 2024 but remained above its starting level. The series shows a comparatively strong enterprise-training context within the supplied group.
Países Bajos subió de 11,8 en 2015 a un pico de 15,47 en 2022. Bajó a 14,1 en 2024, pero permaneció por encima de su nivel inicial. La serie muestra un contexto de capacitación empresarial comparativamente fuerte dentro del grupo suministrado.
El rápido crecimiento del empleo técnico no garantiza que las empresas desarrollen las capacidades y los controles amplios necesarios para adoptar IA con gobernanza.
This matrix is illustrative, not an observed organizational result. It places prohibition at risk 6 and value 2, uncontrolled use at risk 9 and value 8, and governed adoption at risk 3 and value 7. Within that scoring, governance preserves 87.5% of value while reducing residual risk by 66.7%.
Esta matriz es ilustrativa, no un resultado organizacional observado. Coloca la prohibición en riesgo 6 y valor 2, el uso sin control en riesgo 9 y valor 8, y la adopción gobernada en riesgo 3 y valor 7. Dentro de esa puntuación, la gobernanza conserva 87,5% del valor y reduce el riesgo residual en 66,7%.
La gobernanza conserva la mayor parte del valor disponible y convierte cada unidad aceptada de riesgo residual en un beneficio organizativo mucho mayor.
The workforce did not wait for a corporate rollout. Governed adoption replaces invisible use with named controls.
Key findings
Microsoft reported that 75% of surveyed knowledge workers used AI at work and 78% of those users brought their own AI tools. Microsoft and LinkedIn
Cisco reported that 48% of respondents had entered non-public company information into generative-AI tools. Cisco
IBM reported that breaches at organizations with extensive shadow AI cost about $670,000 more than at organizations with little or none. IBM
JPMorgan restricted public ChatGPT use in 2023 and reportedly made its internal LLM Suite available to about 60,000 employees in 2024. cnbc.com
In a 50-physician randomized study, GPT-4 access did not significantly improve diagnostic reasoning, while GPT-4 alone scored higher than either physician group. pubmed.ncbi.nlm.nih.gov
In Mata v. Avianca, lawyers submitted six fabricated judicial decisions generated through ChatGPT and were sanctioned after failing to verify them. American Bar Association
On a task outside GPT-4's capability frontier, assisted BCG consultants were 19 percentage points more likely to give an incorrect answer. Harvard Business School
The Dutch DPA fined MLU B.V., operator of Yango’s European taxi app, €100 million for transferring personal data to Russia. autoriteitpersoonsgegevens.nl
Enterprises that provided training to develop/upgrade ICT skills of their personnel by NACE Rev.2 activity: the gap between Italy and Spain reached 0.9 in 2024. Eurostat
Netskope telemetry indicated that organizational use of generative-AI applications rose sharply between mid-2023 and mid-2024. Netskope Threat Labs
Microsoft reported that 52% of AI users were reluctant to admit using AI for their most important work tasks. Microsoft and LinkedIn
IBM associated extensive security AI and automation with a 98-day shorter lifecycle and $2.22 million lower breach cost than no deployment. IBM
The argument
Closing the approved door did not remove employee demand.
Personal accounts can remove corporate identity, retention and deletion controls.
The baseline moves, so shadow-AI comparisons need matched controls.
AI can raise the stakes even when it is not the hidden channel.
Without identity and logs, investigators begin with fewer clues.
Outsourced processing does not outsource accountability.
This research is published in English and Spanish. Ver en español
La investigación detrás de esta presentación
La fuerza laboral no esperó un despliegue corporativo. La adopción gobernada sustituye el uso invisible por controles definidos.
Hallazgos clave
Microsoft informó que 75% de los trabajadores del conocimiento encuestados usaba IA y 78% de esos usuarios llevaba herramientas propias. Microsoft and LinkedIn
Cisco informó que 48% de los participantes había introducido información empresarial no pública en herramientas de IA generativa. Cisco
IBM informó que las brechas en organizaciones con shadow AI extendida costaron unos 670.000 dólares más que en organizaciones con poca o ninguna. IBM
JPMorgan restringió ChatGPT público en 2023 y habría puesto su LLM Suite interna a disposición de unos 60.000 empleados en 2024. cnbc.com
En un estudio aleatorizado con 50 médicos, el acceso a GPT-4 no mejoró significativamente el razonamiento diagnóstico, mientras GPT-4 solo obtuvo mayor puntuación. pubmed.ncbi.nlm.nih.gov
En Mata contra Avianca, abogados presentaron seis decisiones judiciales inventadas mediante ChatGPT y fueron sancionados tras no verificarlas. American Bar Association
En una tarea fuera de la frontera de GPT-4, los consultores asistidos tuvieron 19 puntos porcentuales más de probabilidad de responder incorrectamente. Harvard Business School
La autoridad neerlandesa de protección de datos multó con €100 millones a MLU B.V., operadora de la aplicación europea de taxis Yango, por transferir datos personales a Rusia. autoriteitpersoonsgegevens.nl
Enterprises that provided training to develop/upgrade ICT skills of their personnel by NACE Rev.2 activity: la brecha entre Italy y Spain alcanzó 0,9 en 2024. Eurostat
La telemetría de Netskope indicó que el uso organizacional de aplicaciones de IA generativa aumentó con rapidez entre mediados de 2023 y mediados de 2024. Netskope Threat Labs
Microsoft informó que 52% de los usuarios de IA era reacio a admitir su uso en sus tareas laborales más importantes. Microsoft and LinkedIn
IBM asoció el uso amplio de IA y automatización de seguridad con un ciclo 98 días menor y un costo 2,22 millones de dólares inferior. IBM
El argumento
Cerrar la puerta aprobada no eliminó la demanda de los empleados.
Las cuentas personales pueden eliminar controles corporativos de identidad, retención y eliminación.
La referencia cambia, por lo que las comparaciones de IA en la sombra necesitan controles equivalentes.
La IA puede elevar el impacto aunque no sea el canal oculto.
Sin identidad ni registros, los investigadores comienzan con menos pistas.
Externalizar el tratamiento no externaliza la responsabilidad.
Esta investigación se publica en inglés y español. Read in English
