Shadow AI: la nueva amenaza de seguridad que ya está dentro de tu hospital (y no es un virus)
A las 8:05 h, una residente copia y pega en un chatbot “gratuito” el resumen de un paciente para mejorar la redacción del informe. A las 8:17 h, alguien del área de recepción le pide a otra IA que redacte un correo de cobro con datos del asegurado. Nadie quiso “romper” nada… pero ya salieron datos clínicos a servicios sin acuerdo de confidencialidad ni controles. Eso, no un malware, es la puerta trasera más común hoy en hospitales: Shadow AI.
Mientras LATAM vive un pico de ciberataques (la región registra 39% más incidentes semanales que el promedio global y más víctimas nombradas en sitios de filtración que en 2023), el vector silencioso es el uso de herramientas de IA no aprobadas en tareas cotidianas. (Check Point Blog)
La señal roja en salud es clara: un reporte de octubre de 2025 muestra que 95% de las organizaciones dice que su personal ya usa IA en correo electrónico (sin políticas claras ni aprobaciones formales). Ese mismo informe advierte que muchos empleados asumen que cualquier IA “es compatible con HIPAA”, cuando
no lo es. (Business Wire)
¿Qué es “Shadow AI” (IA en la sombra) y por qué importa?
Es el uso de IA sin aprobación o fuera de los canales corporativos: cuentas personales de ChatGPT/Gemini/Copilot, extensiones de navegador o apps web donde se pegan textos clínicos, autorizaciones, pólizas, CSV de pacientes… El problema es masivo: >80% de trabajadores —incluido personal de seguridad— reconoce usar IA no aprobada; y en Reino Unido, 71% de empleados lo ha hecho,
más de la mitad semanalmente. (cybersecuritydive.com)
Riesgos concretos para un hospital:
- Divulgación de PHI (datos clínicos protegidos) en servicios sin BAA, trazabilidad ni borrado.
- Pérdida de control: no hay garantía de residencia de datos, retención ni auditoría.
- Cumplimiento: exposición a sanciones y brechas reportables.
- Ingeniería social de “vuelta”: lo que se filtra puede regresar como spear-phishing cada vez más creíble (tendencia destacada por Health-ISAC). (health-isac.org)
El “doble frente” en LATAM: ransomware arriba, Shadow AI adentro
- Exposición regional: LATAM mantiene actividad de ataque muy por encima del promedio; además, crecieron 15% las víctimas listadas en sitios de extorsión entre 2023 y 2024. (Check Point Blog)
- Uso informal de IA: reportes 2025 muestran que una mayoría significativa del personal usa IA no aprobada y comparte información sensible desde su flujo diario (correo, documentos, finanzas). (IT Pro)
Traducción al día a día: puedes tener el servidor “blindado” contra ransomware y, aun así, exfiltrar datos por un copy-paste inocente hacia una IA pública.
Blueprint anti–Shadow AI en hospitales (sin tecnicismos)
1. Política clara de IA (una página, aplicable hoy).
Qué herramientas están aprobadas, qué datos jamás se suben (PHI, financieros, legales), y cómo se solicita un nuevo caso de uso. Basar el enfoque en NIST AI RMF (gobierno del riesgo) e ISO/IEC 42001 (sistema de gestión de IA). (NIST)
2. “Lista blanca” + SSO.
Habilita solo IA corporativas con inicio de sesión institucional y registros de auditoría. Bloquea las gratuitas en redes/terminales clínicos (proxy/DNS/url filtering).
3. Controles de datos (DLP) en correo y web.
Reglas que detecten PHI, pólizas, números de expediente y detengan el envío a dominios no aprobados. (La evidencia en salud muestra el correo como vector crítico). (health-isac.org)
4. BAA / contratos y residencia.
Exige acuerdos de tratamiento de datos (BAA o equivalentes) y define dónde “viven” los datos (región), cuánto tiempo y con qué cifrado.
5. Capacitación “de bolsillo” (15 min/rol).
Micro-módulos para clínicos, admisiones, finanzas y TI: qué sí, qué no, ejemplos reales de filtraciones y simulacros trimestrales.
6. Inventario vivo de casos de IA.
Un registro simple (hoja o tablero) con quién usa qué, propósito, fuentes de datos y riesgo. Actualízalo mensualmente.
7. Monitoreo y métricas.
o % de uso en herramientas aprobadas vs. no aprobadas
o Incidentes prevenidos por DLP
o Tiempos de respuesta a solicitudes de nuevos casos de IA
“Bloquear todo” vs. “canalizar el valor”
Prohibir la IA no funciona: la gente necesita acelerar su trabajo. El enfoque ganador es canalizar: dar herramientas corporativas, con controles y experiencias equivalentes o mejores que lo “gratis”. Gartner advierte que, sin gobernanza, hasta 40% de las empresas sufrirá brechas por Shadow AI en 2030; los líderes deben combinar política, educación y monitoreo. (IT Pro)
Dónde encajan HarmoniMD + CLARA
HarmoniMD (HIS/EHR en la nube): controles de acceso por rol,
trazabilidad de acciones clínicas y conectores HL7 para integrar datos sin usar cuentas personales ni copiar/pegar a servicios externos.
CLARA (asistente médico con IA de HarmoniMD): uso aprobado y gobernado dentro del flujo del EHR: resúmenes verificables, soporte a documentación y consultas clínicas sin sacar PHI a herramientas “en la sombra”. Paneles de uso para administración, y enfoque alineado con marcos de gobernanza de IA.
Conclusión
Los hospitales del 2025 ya no solo se defienden del ransomware; también deben cerrar la fuga silenciosa de datos vía Shadow AI. La buena noticia: con política simple, herramientas aprobadas, DLP y un registro de casos de uso, puedes reducir riesgo sin frenar la productividad clínica. La IA no es el enemigo; el enemigo es usarla sin reglas.
¿Quieres verlo aplicado a tu operación?
Agenda una demo de HarmoniMD + CLARA o conversemos de tu proyecto para diseñar un plan de adopción segura de IA con métricas de riesgo y productividad claras.
