Hay una razón por la que el shadow IT nunca se resolvió: no es un incidente, sino una consecuencia estructural de cómo se compra el software hoy. Las áreas de negocio compran directamente, la tarjeta corporativa es más rápida que el proceso de compras, y el proveedor no pregunta si TI está al tanto. Lo que cambió este año es lo que está en juego: ya no se trata solo de licencias duplicadas, sino de datos de la empresa que desaparecen dentro de modelos de terceros.
Los números detrás de la intuición
Verizon mide anualmente cómo ocurren las brechas. Su Data Breach Investigations Report 2026 contiene la serie más reveladora disponible en este momento: la proporción de empleados que usan herramientas de IA no aprobadas subió del 15% al 45% en un solo año, y ese uso es ahora la tercera forma más común en que los datos se filtran de manera involuntaria. De forma independiente, una encuesta a dos mil empleados en organizaciones con más de quinientas personas confirma el panorama: el 49% usó herramientas de IA sin aprobación de su empleador y el 51% conectó una de esas herramientas a los sistemas de trabajo sin involucrar a TI.
La misma edición contiene la cifra que golpea a la gestión de proveedores: el 48% de todas las brechas involucró a un tercero. Dos ediciones antes esa cifra era del 15%, luego del 30%. Se triplicó en dos años. Quien todavía trata el riesgo de proveedores como un cuestionario anual no está gestionando la categoría más grande.
El tamaño del portafolio
El problema de fondo es la escala. Zylo, que mide el gasto en SaaS de sus clientes, reporta un promedio de 305 aplicaciones por organización en 2026, con una mediana de 240; las grandes empresas suman 21 por mes en promedio. Una investigación de BetterCloud entre más de quinientos profesionales de TI y seguridad muestra que solo el 56% de esas aplicaciones cuenta con aprobación formal de TI — aproximadamente el 44% funciona sin ella. Una de cada cinco organizaciones descubrió nuevas herramientas de SaaS e IA no autorizadas en el último año, y el 18% detectó filtraciones de datos que provenían directamente de herramientas de IA o chatbots.
El centro de gravedad del gasto también dejó atrás a TI hace tiempo. Según los mismos datos, las áreas de negocio controlan el 81% del gasto en SaaS, mientras que TI gestiona directamente el 15%. Eso explica por qué el control desde un solo departamento no funciona.
Por qué su sistema de inicio de sesión no lo encontrará
La mayoría de las organizaciones buscan el shadow IT a través de su proveedor de identidad: ¿qué aplicaciones usan el inicio de sesión único (single sign-on)? Es útil, pero es justamente el canal que la nueva generación de herramientas evita. El mayor crecimiento está en el gasto que pasa por reembolsos de gastos y tarjetas corporativas — un aumento del 267% interanual, con ChatGPT como la aplicación que más se registra en gastos. Una herramienta que alguien paga de forma personal y usa con una cuenta privada nunca aparece en sus reportes de SSO.
Por eso, un descubrimiento eficaz se apoya en al menos cuatro fuentes a la vez: los datos de inicio de sesión para lo que funciona de manera oficial, los datos de gastos y cuentas por pagar para lo que está en la tarjeta, la telemetría de red o de navegador para lo que se está invocando, y el registro de contratos para lo que se firmó. Solo cuando esas cuatro fuentes se colocan lado a lado surge un panorama completo — y por lo general contiene una sorpresa desagradable.
Mientras tanto, el lado de los costos sube
La proliferación no es solo un problema de riesgo. En 2026, el 79% de los líderes de TI enfrentó un aumento de precio en la renovación, y el 78% vio cargos inesperados por modelos de precios basados en consumo o en IA, frente al 66.5% del año anterior. Para el 61%, eso obligó a recortar proyectos. El índice de inflación de SaaS de Vertice, basado en el gasto que gestionan, alcanzó el 16.4% en junio de 2026 frente a una inflación general del 4.2% — aproximadamente cuatro veces más alto. Se trata de una fuente de un proveedor y no de una agencia estadística, pero la tendencia está ampliamente corroborada.
La visibilidad es más débil justo donde el crecimiento es más rápido: solo el 31% de las organizaciones tiene visibilidad sobre el gasto en software de IA y solo el 29% mide su valor, mientras que el 59% informa que el desperdicio en el gasto en IA ha aumentado.
Lo que sí funciona
Cuatro cosas, en este orden. Descubra a partir de múltiples fuentes como se describió arriba, y repítalo — esto es un ritmo, no un proyecto. Asigne a cada aplicación un responsable en el negocio, porque ahí es donde está el 81% del dinero; un responsable sin presupuesto no es un responsable. Cree un calendario de renovaciones: una organización promedio procesa unas 211 renovaciones al año, aproximadamente una por día hábil, y el plazo de cancelación en la práctica cae entre treinta y noventa días antes del vencimiento — si se le pasa esa fecha, ya no está negociando. Y ponga la IA de manera explícita en la agenda trimestral: no solo cuántas cuentas, sino qué consumo, con qué datos, bajo qué condiciones.
En la parte de IA, esto no es únicamente una cuestión de costos. Lo que el personal pega en herramientas no controladas — datos de investigación, registros de personal, cifras financieras — es exactamente aquello de lo que usted debe poder rendir cuentas bajo el RGPD y el Reglamento de IA de la UE (EU AI Act). Nuestra metodología está en la página de gobernanza de IA.