# Cómo encontrar la IA en la sombra en su empresa

> Un inventario en siete pasos de los servicios de IA de su empresa: contratos, consolas de administración, permisos OAuth, DNS, tráfico de red y equipos.

Source page: https://netsenx.com/es/blog/2026-11-12_find-shadow-ai-in-your-company · NetSenX Team · 2026-11-12

Para encontrar la IA en la sombra, combine lo que la empresa ya sabe de sus servicios de IA (contratos, extractos de tarjetas, consolas de administración) con lo que muestran su proveedor de identidad y su red, y después pregunte a los equipos. Ninguna fuente es completa por sí sola: la red no ve los móviles personales con datos móviles, el proveedor de identidad no ve una cuenta personal en un chatbot y nadie recuerda todas las extensiones del navegador. Juntas dan un inventario defendible. La primera vez, estos pasos le llevan a un equipo de TI pequeño unos días, y mucho menos cada trimestre después.

## 1. Empiece por lo que paga

Enumere los servicios de IA que aparecen en contratos, facturas y notas de gastos, incluidos los complementos de IA del software que ya tiene licenciado (paquetes ofimáticos, CRM, soporte, herramientas de diseño y de desarrollo). Anote quién es responsable de cada uno y si hay contrato de encargo del tratamiento. Esa es la columna de «aprobados» del inventario; todo lo que encuentre después se compara con ella.

## 2. Revise las consolas de administración

Casi todo el software empresarial incluye ya funciones de IA que un administrador puede activar o desactivar. Compruebe los ajustes de IA en la consola de cada sistema importante y anote qué está activado, para quién y si los datos de clientes pueden llegar a esa función. Muchos casos de IA en la sombra no son herramientas nuevas, sino funciones activadas por defecto en una actualización.

## 3. Revise los permisos en el proveedor de identidad

Busque en su proveedor de identidad y en las consolas SaaS aplicaciones OAuth y tokens de API vinculados a herramientas de IA: asistentes conectados a buzones, unidades, calendarios o repositorios de código. Fíjese en los permisos amplios («leer todo el correo», «acceder a todos los archivos») y en las autorizaciones concedidas por usuarios individuales y no por un administrador. Son vías de acceso que sobreviven a la salida de un empleado si nadie las revoca.

## 4. Mire los registros de DNS y del proxy

Si la empresa tiene su propio resolutor DNS o un proxy web, sus registros muestran qué nombres de servicios de IA consultan o visitan los equipos. Es una primera pasada rápida con dos límites: no dice nada del volumen, y los equipos que usan su propio DNS cifrado lo esquivan.

## 5. Añada la vista de la red

Un sensor de red en un puerto espejo del switch ve todos los dispositivos del segmento, incluidas impresoras, servidores y portátiles que ningún agente cubre. Con el nombre del servidor en cada handshake TLS y la dirección de destino identifica el servicio de IA, y mide cuántos datos le envía cada host. Este paso convierte una lista de nombres en una clasificación: qué equipos envían volúmenes reales a qué servicios y a qué servidores de modelos locales se conectan otros equipos. No lee el contenido y solo ve las redes que vigila.

## 6. Revise los equipos de desarrollo y los servidores

Los desarrolladores adoptan la IA antes y más rápido que nadie. Pregunte o analice servidores de compilación y estaciones de trabajo en busca de asistentes de código, entornos de modelos locales, frameworks de agentes y configuraciones de servidores MCP. Un servidor MCP local habla con el asistente en la misma máquina y nunca aparece en la red, así que este paso es la única forma de encontrarlo.

## 7. Pregunte a los equipos, sin buscar culpables

Envíe una encuesta breve o dedique quince minutos a cada departamento: ¿qué herramientas de IA usáis, para qué y con qué datos? La gente responde con sinceridad cuando el objetivo es darle una herramienta aprobada y no sancionarla. Sus respuestas explican lo que muestran los registros y suelen revelar herramientas usadas solo en dispositivos personales.

## Convierta los hallazgos en decisiones

Asigne a cada servicio un estado: aprobado, tolerado para datos no sensibles o a sustituir por una alternativa aprobada. Anote qué categorías de datos pueden ir a cada uno. Después, repita las comprobaciones de red e identidad cada trimestre, porque las nuevas funciones de IA siguen llegando con actualizaciones corrientes. La parte de política, incluida la obligación de alfabetización en IA del AI Act y las cuestiones del RGPD, está en la [guía de la IA en la sombra](/es/blog/2026-11-12_shadow-ai-guide).

## Dónde encaja NetSenX

El paso 5 es lo que hace NetSenX. Desde el plan Pro señala el tráfico hacia servicios de IA externos y hacia entornos de modelos de lenguaje ejecutados en local, y muestra qué host llegó a qué servicio, cuándo y cuántos datos se movieron, sin descifrar nada. No bloquea servicios ni lee prompts. La página de [detección de IA en la sombra](/es/shadow-ai-detection) explica qué cubre cada plan.

## Fuentes

- [RFC 6066, extensiones de TLS: Server Name Indication — IETF](https://www.rfc-editor.org/rfc/rfc6066)
- [RFC 6749, OAuth 2.0 Authorization Framework — IETF](https://www.rfc-editor.org/rfc/rfc6749)

---

*Escrito por el equipo de NetSenX en TriStiX S.L. Preguntas: [info@netsenx.com](mailto:info@netsenx.com).*