El nuevo rol del CIO frente a la proliferación de herramientas IA
- Por Amparo Silva | Amsoft
Introducción
Dos tercios de los profesionales de oficina ya usaron una herramienta de IA en el trabajo sin autorización de su empresa. Es el hallazgo central de la Encuesta de Shadow AI 2026 de PagerDuty, realizada entre 1.250 profesionales de Australia, Japón, Reino Unido y Estados Unidos. El dato describe un ecosistema de herramientas de IA que crece dentro de la empresa sin que TI lo autorice ni lo sepa.
El fenómeno tiene nombre: shadow AI, y su costo ya es medible. Según IBM, las brechas de seguridad con alto nivel de shadow AI cuestan en promedio USD 670.000 más. Una de cada cinco organizaciones ya sufrió una brecha vinculada al uso no controlado de IA. El 97% de las empresas con un incidente de este tipo admite que carecía de controles de acceso adecuados.
En Chile, el tema ya llegó a la agenda gremial: la ACTI contribuyó a una hoja de ruta regional de gobernanza de IA para el sector privado latinoamericano. Francisco Rojas, de Accenture Chile, advierte sobre el marco legal local. Una filtración originada en shadow AI puede derivar en multas de hasta 20.000 UTM, según el proyecto de Ley de IA que se tramita en el país.
Frente a este escenario, el rol del CIO está cambiando de naturaleza. Ya no se trata solo de administrar la infraestructura que la empresa decidió comprar. Se trata de gobernar un ecosistema de herramientas que los equipos adoptan por su cuenta, fuera de cualquier control. Este artículo examina ese problema, los riesgos de no gobernarlo, y cómo se redefine el perfil del CIO.
1. El nuevo problema del CIO: herramientas IA que llegan sin pasar por TI
1.1 La adopción ya no pasa por un solo canal de compra
Durante décadas, la adopción de tecnología en una empresa seguía un camino relativamente predecible. Un área de negocio identificaba una necesidad, TI evaluaba alternativas, se firmaba un contrato y la herramienta entraba al inventario corporativo con sus controles de seguridad y acceso. La IA generativa rompió ese patrón. Cualquier colaborador con una cuenta de correo puede registrarse en un asistente de IA gratuito, un plugin de navegador o un asistente de programación en minutos. Lo hace sin pasar por ninguna aprobación.
Según la Encuesta Shadow AI 2026 de PagerDuty, el 88% de los profesionales de oficina ya compartió información relacionada con el trabajo en herramientas de IA públicas como ChatGPT, Claude o Gemini. Un 34% llegó a ingresar datos de clientes. Otro 31% compartió información financiera o documentos y estrategias confidenciales de la empresa. Casi nueve de cada diez encuestados que usan IA en el trabajo dicen haberla conocido primero en su vida personal. Una vez adoptada, la usan con más frecuencia en el trabajo que en casa. La frontera entre herramienta personal y herramienta corporativa, que antes estaba clara, prácticamente desapareció.
1.2 Un problema de percepción, no solo de política
Lo más revelador de la encuesta de PagerDuty está en las razones detrás del uso sostenido de IA sin autorización, más que en la cifra misma. El 72% de los profesionales de oficina cree conocer la IA mejor que su propio equipo de tecnología. Esa cifra sube a 80% en empresas con ingresos sobre mil millones de dólares. El 86% de los encuestados cree que su organización tiene políticas de IA. Sin embargo, el 81% también cree que el liderazgo opera bajo reglas distintas a las del resto de la empresa. Esa percepción de doble estándar erosiona cualquier política que el CIO intente aplicar, porque nadie respeta una regla que percibe como aplicada de forma selectiva.
Esto cambia el problema de fondo. No basta con redactar una política de uso de IA y distribuirla por correo. El desafío es de legitimidad. Si los equipos no confían en que la política se aplica parejo, seguirán resolviendo sus necesidades de IA por su cuenta, exactamente como lo hacían antes de que existiera la política.
2. Los riesgos de un ecosistema IA sin gobierno: seguridad, costos y fragmentación
2.1 El riesgo de seguridad es real y ya tiene precio
El riesgo de seguridad del shadow AI dejó de ser hipotético. Según IBM, las organizaciones con alto nivel de shadow AI enfrentan brechas que cuestan en promedio USD 4,63 millones. Es decir, USD 670.000 más que el promedio general de brechas de datos. Solo el 37% de las organizaciones cuenta con políticas para gestionar IA o detectar su uso no autorizado. El 63% de las empresas que sufrieron una brecha vinculada a IA no tenía ninguna política de gobernanza de IA, o la tenía en desarrollo pero no implementada.
El patrón que documenta IBM es consistente. Las brechas de shadow AI comprometen con más frecuencia información personal identificable de clientes, 65% de los casos frente a 53% del promedio global, y a un costo por registro más alto. La razón es estructural: cuando la información fluye hacia plataformas externas sin control, la empresa pierde visibilidad sobre dónde queda esa información y qué protecciones tiene.
2.2 El costo y la fragmentación que nadie está sumando
Más allá de la seguridad, el segundo riesgo es financiero y organizacional. Sin un inventario centralizado de qué herramientas de IA usa cada área, las empresas terminan pagando por suscripciones individuales y créditos de API dispersos que nadie audita ni justifica. Distintos equipos, además, evalúan y adoptan herramientas redundantes sin saber que otra área ya resolvió el mismo problema con otra plataforma. El resultado es un gasto tecnológico fragmentado. Nadie en la organización puede responder con precisión cuánto cuesta realmente la IA que la empresa está usando, ni qué área está obteniendo valor real de ella.
Esta fragmentación tiene un costo adicional menos visible. Cada herramienta adoptada de forma aislada introduce su propio criterio de calidad, su propia lógica de seguridad y su propia curva de aprendizaje. No hay ningún estándar común que permita comparar resultados entre áreas o escalar lo que funciona.
3. De administrador de sistemas a arquitecto de decisiones: el nuevo perfil del CIO
3.1 Lo que el CIO ya no puede seguir siendo
El CIO tradicional se definía por el control del stack tecnológico: qué software se compra, qué infraestructura se despliega, qué accesos se otorgan. Ese modelo asumía que la tecnología entraba a la empresa por una sola puerta. Con la proliferación de herramientas de IA de adopción individual, esa puerta ya no es la única. En muchos casos, ni siquiera es la más usada. Un CIO que sigue operando como administrador exclusivo de un inventario cerrado de sistemas está gobernando una fracción cada vez menor de la tecnología. Es la fracción que realmente se usa en su empresa.
Según el CIO Agenda 2026 de Gartner, con datos de más de 3.000 líderes, el 94% de los CIO espera cambios importantes en sus planes y resultados dentro de los próximos 24 meses. Sin embargo, solo el 48% de las iniciativas digitales cumple o supera sus objetivos de negocio. La brecha entre expectativa y ejecución es, en gran medida, un problema de gobernanza. No es falta de tecnología, sino falta de un marco que ordene cómo se adopta.
3.2 El arquitecto de decisiones: gobernar sin ser el único proveedor
El nuevo perfil que exige este escenario es el de un arquitecto de decisiones. No pretende ser la única puerta de entrada de la tecnología. Sí define las reglas bajo las cuales cualquier herramienta puede operar con datos de la empresa, la compre TI o la adopte un equipo de marketing o finanzas. Esto implica correr el foco desde qué sistemas administro hacia qué decisiones de riesgo, costo y calidad debo garantizar. Da igual quién trajo la herramienta a la empresa.
Gartner identifica tres capacidades que distinguen a los CIO de mejor desempeño en este nuevo escenario. La primera es la repriorización ágil de las iniciativas fuera de los ciclos de planificación tradicionales. Solo el 18% lo practica hoy, pero ese grupo tiene 24% más probabilidad de ser de alto desempeño. Las otras dos son la preparación ante riesgos regulatorios y geopolíticos, y una orientación tenaz hacia resultados financieros medibles de cada iniciativa tecnológica, incluida la IA. Ninguna de las tres depende de controlar cada herramienta que entra a la empresa. Dependen de tener el criterio y la autoridad para evaluarlas todas.
4. Cómo construir un marco de governance de IA sin frenar la innovación
4.1 Empezar por ver, no por prohibir
El primer paso de cualquier marco de gobernanza de IA consiste en lograr visibilidad real sobre qué herramientas se están usando, antes de intentar restringir el acceso a ellas. Un inventario vivo de aplicaciones de IA en uso es la base sobre la que se puede construir cualquier política posterior. Debe identificar con claridad qué plataformas están aprobadas y cuáles quedan fuera de los estándares de seguridad corporativa. Prohibir sin visibilidad solo empuja el uso más hacia la sombra, no lo elimina.
Esta visibilidad se construye con auditorías de acceso y monitoreo del tráfico hacia servicios externos de IA. Sobre todo, se construye con canales internos donde los equipos puedan declarar qué herramientas están usando sin temor a una sanción automática. La experiencia de quienes ya transitaron este problema es clara: los equipos reportan sus herramientas cuando el canal de reporte reduce su riesgo, no cuando lo aumenta.
Esta visibilidad se construye con auditorías de acceso y monitoreo del tráfico hacia servicios externos de IA. Sobre todo, se construye con canales internos donde los equipos puedan declarar qué herramientas están usando sin temor a una sanción automática. La experiencia de quienes ya transitaron este problema es clara: los equipos reportan sus herramientas cuando el canal de reporte reduce su riesgo, no cuando lo aumenta.
Esta lógica conecta directamente con el problema de percepción descrito en la sección 1.2. Si el 81% de los profesionales cree que el liderazgo de su empresa opera bajo reglas distintas a las del resto de la organización, la visibilidad debe empezar por ahí. Un programa que exija declaraciones solo a los niveles operativos, sin incluir a la alta gerencia, reforzará esa desconfianza en lugar de resolverla. La visibilidad debe aplicarse parejo, desde el directorio hacia abajo. Solo así el inventario resultante será realmente representativo del uso de IA en la empresa.
4.2 Gobernar por niveles de riesgo, no con una regla única
Un marco de gobernanza efectivo no trata todas las herramientas de IA por igual. Un asistente de escritura para borradores internos no exige el mismo nivel de control que una herramienta que procesa datos de clientes o información financiera. Clasificar las herramientas por el tipo de dato que tocan y el nivel de decisión que automatizan permite aplicar controles proporcionales. Eso significa aprobación rápida para usos de bajo riesgo, y revisión más rigurosa para los que tocan información sensible o decisiones con impacto en clientes.
Esta gradualidad es también lo que evita que la gobernanza se convierta en un freno a la innovación. Según Gartner, los CIO que usan IA para traer trabajo de vuelta a la organización, en lugar de externalizarlo sin control, pueden reducir costos entre 5% y 30%. Ese resultado exige justamente lo contrario de la prohibición general: un marco que permita experimentar rápido en lo de bajo riesgo, mientras protege lo que realmente importa.
5. AI Dev Cell como modelo de desarrollo con IA bajo control: criterios, supervisión y trazabilidad
5.1 Gobernanza aplicada al desarrollo de software
El desarrollo de software es una de las áreas donde la proliferación de herramientas de IA generativa avanzó más rápido que cualquier política corporativa. Asistentes de código, agentes de generación automática y copilotos de programación se instalan en minutos. Procesan, sin ninguna supervisión adicional, el código fuente y la lógica de negocio más sensible de una empresa. AI Dev Cell, la célula de desarrollo de Amsoft, aplica al desarrollo de software el mismo principio de gobernanza por niveles de riesgo descrito en la sección anterior. La generación de código asistida por IA se usa donde agrega valor comprobado. La revisión experta se mantiene donde el riesgo de un error, una vulnerabilidad o una filtración de lógica de negocio lo justifica.
5.2 Trazabilidad como respuesta ordenada, no como freno
La diferencia entre adoptar IA de forma descontrolada y adoptarla bajo un modelo gobernado no está en cuánta IA se usa. Está en qué tan trazable es su uso. Cada línea de código generado con asistencia de IA en un proyecto de AI Dev Cell queda con registro de quién la revisó y bajo qué criterio se aprobó. Es exactamente el tipo de trazabilidad que, según IBM, el 63% de las organizaciones que sufrieron una brecha de shadow AI no tenía implementada. Para un CIO que necesita convencer al directorio de que la IA se está usando de forma responsable dentro de sus proyectos de desarrollo, esa trazabilidad es la evidencia concreta. Sostiene esa afirmación en lugar de una promesa genérica de “usamos IA con cuidado”.
Conclusión
La proliferación de herramientas de IA sin gobierno difícilmente se resuelve sola. Prohibir su uso tampoco la resuelve: la esconde mejor. Los datos son categóricos. Dos tercios de los profesionales ya usan IA sin autorización formal. Casi nueve de cada diez han compartido información de trabajo con plataformas públicas. Las organizaciones que no gobiernan ese uso pagan, en promedio, USD 670.000 más cuando sufren una brecha de seguridad.
El rol del CIO frente a este escenario dejó de ser el de administrador exclusivo de un inventario tecnológico cerrado. Según Gartner, los CIO que logran adaptarse con agilidad, gestionar el riesgo de forma proactiva y perseguir resultados financieros medibles de cada iniciativa de IA tienen una ventaja medible. Son entre 24% y 51% más propensos a ser de alto desempeño que quienes no lo hacen. Ese es, en esencia, el nuevo perfil: menos guardián de un perímetro, más arquitecto de las decisiones que determinan qué riesgo es aceptable. Y eso aplica sin importar quién trajo la herramienta a la empresa.
En Chile, el marco normativo en torno a la protección de datos y la inteligencia artificial avanza con fuerza. Ya contempla sanciones de hasta 20.000 UTM para los usos de mayor riesgo. Construir esa gobernanza se vuelve una condición de corto plazo, no una tarea postergable. La adopción de IA ya está ocurriendo, la autorice o no el área de TI. De esa gobernanza depende que no se convierta en el próximo incidente de seguridad que termine en la mesa del directorio.
¿Cómo puede Amsoft ayudarte en este camino?
En Amsoft acompañamos a los equipos de TI y a los CIO que necesitan construir un marco de gobernanza de IA. Lo hacemos sin frenar la innovación que sus propios equipos ya están impulsando. A través de AI Dev Cell, aplicamos ese mismo principio de gobernanza por niveles de riesgo al desarrollo de software. Usamos generación de código asistida por IA donde agrega valor comprobado, y revisión experta y trazable donde el riesgo lo exige.
No llegamos con una política genérica de “prohibido usar IA sin autorización”, porque los datos muestran que ese enfoque no funciona. Llegamos con un criterio distinto: visibilidad primero, clasificación de riesgo después, y control proporcional al final. Ese criterio se aplica tanto a la forma en que su empresa gobierna sus herramientas de IA como a la forma en que su equipo de desarrollo las incorpora en sus proyectos.
¿Tu empresa tiene claridad sobre qué herramientas de IA está usando cada área, y bajo qué reglas? Contáctanos.
Este artículo fue elaborado por Amparo Silva, miembro del equipo de Amsoft, comprometida con la innovación y la excelencia en el ámbito tecnológico.
Referencias
- PagerDuty, Inc. (2026, 11 junio). PagerDuty Report Finds Two-Thirds (66%) of Office Professionals Have Used Unauthorized AI Tools at Work. https://www.pagerduty.com/newsroom/shadow-ai-workplace-survey-2026/
- IBM. (2025, 30 julio). 2025 Cost of a Data Breach Report: Navigating the AI rush without sidelining security. https://www.ibm.com/think/x-force/2025-cost-of-a-data-breach-navigating-ai
- Gartner. (2025, 25 noviembre). Strategic Pivots Will Define the CIO’s Agenda in 2026 (The CIO Agenda 2026). https://www.gartner.com/en/articles/cio-agenda
- Asociación Chilena de Empresas de Tecnologías de Información (ACTI). (2026). ACTI contribuye a iniciativa regional de gobernanza de la IA distinguida en los Small Business Champions 2026. https://acti.cl/acti-contribuye-a-iniciativa-regional-de-gobernanza-de-la-ia-distinguida-en-los-small-business-champions-2026/
- Contreras, M. (2025, 7 mayo). Shadow AI: cada interacción con un chatbot puede exfiltrar datos sensibles (entrevista a Francisco Rojas, Accenture Chile). EMB Gerencia. https://www.gerencia.cl/inteligencia-artificial/el-riesgo-del-shadow-ai-para-las-empresas-chilenas/