La reutilización de contraseñas, el uso de herramientas de IA sin aprobación y la falta de visibilidad sobre las aplicaciones utilizadas aparecen entre las principales preocupaciones del informe.
El 64% de los participantes en una encuesta encargada por WatchGuard afirmó utilizar herramientas de inteligencia artificial no autorizadas para realizar tareas laborales. El estudio también encontró una presencia extendida de prácticas como la reutilización de contraseñas y el empleo de redes Wi-Fi públicas.
Los resultados forman parte del Informe sobre higiene de ciberseguridad 2026, elaborado a partir de una encuesta en línea a 684 empleados de empresas pequeñas y medianas de Estados Unidos, Reino Unido, Alemania, Francia, España, Australia, México y Brasil.
El uso de IA fuera de los controles corporativos
La expresión shadow AI describe el empleo de modelos, asistentes y otras herramientas de inteligencia artificial sin conocimiento o autorización de la organización. Puede incluir desde el uso ocasional de un chatbot público hasta la incorporación de aplicaciones de IA en procesos de trabajo sin una evaluación previa de privacidad y seguridad.
El riesgo no procede solamente de utilizar una herramienta no aprobada, sino de la posibilidad de introducir en ella información confidencial, código, documentos internos o datos personales sin conocer sus condiciones de almacenamiento y tratamiento.
El Centro Nacional de Ciberseguridad del Reino Unido recomienda no introducir información sensible en modelos públicos y revisar las políticas de privacidad y retención de datos de cada servicio. Esta orientación respalda el riesgo general descrito por WatchGuard, aunque no verifica los porcentajes obtenidos por su encuesta.
Según el estudio, menos del 30% de los participantes cree que su organización mantiene un inventario preciso del software utilizado. Cerca del 40% considera que su empresa no tiene visibilidad completa sobre las aplicaciones empleadas por sus trabajadores.
Estas respuestas reflejan la percepción de los empleados. El estudio no informa que se hayan auditado los inventarios de software ni los controles técnicos de las empresas participantes.
Contraseñas y conexiones de trabajo
La reutilización de credenciales aparece como el comportamiento más frecuente: el 76% de los encuestados dijo emplear una misma contraseña en más de una cuenta, mientras que el 30% reconoció compartir contraseñas con otras personas.
Reutilizar una clave puede ampliar el impacto de una filtración, porque una credencial obtenida en un servicio podría probarse en otras plataformas. La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos recomienda emplear contraseñas únicas y gestores de contraseñas para reducir este riesgo.
El informe indica además que el 70% de los participantes utiliza redes Wi-Fi públicas para trabajar y que el 50% accede a recursos corporativos sin una VPN. Estas cifras describen hábitos de conexión, pero no demuestran por sí mismas que los datos hayan quedado expuestos.
El nivel de riesgo depende de factores que la encuesta no detalla, como el cifrado de las aplicaciones, la configuración de la red, el tipo de recurso consultado y la existencia de otros mecanismos de acceso seguro. Por ello, la ausencia de una VPN no debe interpretarse automáticamente como una conexión desprotegida.
Otro 55% señaló que utiliza dispositivos de trabajo para actividades personales. Esta práctica puede ampliar la exposición a aplicaciones y sitios que no han sido evaluados por la empresa, aunque el estudio no establece cuántos incidentes estuvieron relacionados con ese comportamiento.
Una encuesta sobre conductas declaradas
La encuesta se realizó en abril de 2026 entre empleados de organizaciones con entre 50 y 500 trabajadores. Todos los porcentajes corresponden a respuestas proporcionadas por los propios participantes.
WatchGuard no publica en la página abierta del informe el cuestionario completo, el número de participantes de cada país, el método de selección de la muestra, la ponderación estadística ni los márgenes de error. Tampoco ofrece resultados separados para México, Brasil u otros mercados incluidos. La investigación fue encargada y publicada por WatchGuard, una empresa que comercializa productos y servicios de ciberseguridad.
Estas limitaciones impiden utilizar la encuesta para comparar países o estimar con precisión la frecuencia de esas conductas en todas las pymes. Los resultados sí proporcionan una señal sobre los problemas que las organizaciones deberían revisar internamente.
Políticas y controles, no solamente formación
WatchGuard recomienda establecer reglas claras sobre las herramientas de IA autorizadas y la información que puede introducirse en ellas, identificar aplicaciones utilizadas fuera del catálogo corporativo e implantar gestores de contraseñas y autenticación multifactor.
La orientación de CISA para pequeñas y medianas empresas coincide en que la autenticación multifactor añade protección cuando una contraseña ha sido comprometida. La agencia aconseja priorizar métodos resistentes al phishing en el correo electrónico, el almacenamiento de archivos, el acceso remoto y las cuentas con privilegios elevados.
Los resultados también sugieren que atribuir el problema exclusivamente a los trabajadores sería incompleto. La falta de aplicaciones corporativas adecuadas, políticas comprensibles, inventarios de software y mecanismos seguros de acceso puede favorecer la adopción de herramientas externas para resolver necesidades cotidianas.
Fuentes: Informe sobre higiene de ciberseguridad 2026 de WatchGuard, comunicado y metodología de la encuesta, orientación del NCSC sobre modelos de lenguaje y datos sensibles y recomendaciones de CISA para pymes.
📬 Newsletter gratuito
