Las empresas dejan de confiar en la IA externa

El Reglamento Europeo de IA y la preocupación por el destino de los datos que se comparten con proveedores externos están cambiando la forma en que las organizaciones deciden sobre inteligencia artificial. La pregunta ya no es qué herramienta de IA usar, sino dónde acaba la información que compartimos y quién controla lo que ocurre con ella.

En corto: las empresas dejan de confiar en la IA externa porque cada consulta a un proveedor en la nube saca datos corporativos fuera de su control, con tres consecuencias que ya están cuantificadas (fugas, sobrecoste por incidente y exposición regulatoria). La respuesta que gana terreno es procesar la IA dentro de la propia infraestructura, con modelos privados o locales, para que los datos no salgan.

La adopción de IA en la empresa ha dejado de ser una cuestión de innovación para convertirse en una decisión con consecuencias directas sobre la privacidad y la soberanía de los datos. A medida que las organizaciones incorporan estas herramientas a sus flujos de trabajo, crece la conciencia de un riesgo que hasta hace poco pasaba desapercibido: cada consulta a un proveedor externo implica ceder información a una infraestructura que la organización no controla.

Los datos de 2025 marcan el punto de inflexión. Solo el 9% de las empresas españolas fija límites concretos al uso de IA y, entre las que sí los aplican, la privacidad y la seguridad de los datos es el principal motivo, citado por el 52%, según la consulta de Transformación digital de InfoJobs. En el plano global, el 83% de las organizaciones carece de controles técnicos básicos para impedir que sus datos acaben en herramientas de IA, según el Informe de Seguridad de Datos 2025 de Kiteworks. La distancia entre adoptar IA y controlarla es amplia, y las consecuencias ya se están notando.

¿Qué ocurre cuando una empresa usa IA externa?

Cuando un empleado sube un contrato a una plataforma de IA en la nube para que lo resuma, introduce datos de clientes para que un modelo los analice o usa un asistente externo para redactar comunicaciones internas, toda esa información sale de la red corporativa. Pasa a servidores de un tercero, puede quedar almacenada durante un tiempo indefinido, puede utilizarse para mejorar o entrenar los modelos del proveedor y queda expuesta ante cualquier incidente de seguridad que afecte a ese tercero.

El uso de IA no autorizada por parte de los empleados (lo que el sector llama shadow AI) es hoy uno de los vectores de riesgo más relevantes. Una de cada cinco organizaciones sufrió una brecha vinculada a este uso de IA sin supervisión, según el Informe Cost of a Data Breach 2025 de IBM. El vector más habitual de los incidentes relacionados con IA es la cadena de suministro (aplicaciones, APIs y plugins de terceros), y en el 60% de los casos derivó en un compromiso amplio de datos, según el mismo informe. No es un riesgo hipotético: es el canal por el que ya está ocurriendo buena parte de las fugas asociadas al uso de IA.

Como resume Gartner en sus tendencias tecnológicas estratégicas para 2026, trasladar las cargas de trabajo a entornos con mayor soberanía permite a las organizaciones recuperar el control sobre la residencia de los datos, el cumplimiento normativo y la gobernanza.

El sobrecoste de perder el control

El impacto económico de ceder datos a herramientas externas sin supervisión también está cuantificado. Las organizaciones con un uso elevado de IA no gestionada registraron un sobrecoste medio de 670.000 dólares por incidente frente a las que mantenían control sobre qué plataformas externas procesaban sus datos, según el informe de IBM. Una cifra que no incluye el daño reputacional ni las posibles sanciones por incumplimiento del RGPD.

A ello se suma que la confianza pública en los proveedores de IA para proteger los datos personales cayó del 50% al 47% entre 2023 y 2024, según el AI Index 2025 de Stanford. La percepción de que estos servicios no ofrecen garantías suficientes se extiende tanto entre consumidores como entre responsables de tecnología.

Kiteworks lo expresa con claridad en su informe de 2025: las organizaciones no pueden rastrear qué datos han compartido sus empleados con servicios de IA de terceros, ni controlar cómo se procesan o almacenan, ni recuperarlos una vez enviados.

¿Qué obligaciones impone la regulación europea?

A la preocupación empresarial se suma la presión normativa. El marco europeo (el Reglamento de IA junto con el RGPD) exige a las organizaciones identificar y controlar qué proveedores externos tratan sus datos y bajo qué condiciones. La exposición no es menor: Gartner prevé que los procesos manuales de cumplimiento en IA expongan al 75% de las organizaciones reguladas a sanciones superiores al 5% de su facturación global hasta 2027, según su predicción de 2026.

En España, la privacidad de los datos se ha consolidado como el principal freno al uso de IA externa entre las empresas que fijan límites. El marco regulatorio no hace más que reforzar lo que la experiencia ya enseña: delegar el tratamiento de datos sensibles en un tercero exige garantías que la mayoría de las plataformas de IA en la nube no está en condiciones de ofrecer.

La alternativa: que los datos no salgan

La respuesta más directa a este problema es también la más evidente: que el procesamiento de IA ocurra dentro de la propia infraestructura de la organización, sin que los datos abandonen nunca su red. Es el principio que articula la IA local, y explica por qué su adopción crece con fuerza entre empresas e instituciones con requisitos estrictos de privacidad.

Cuando la IA opera en local no hay transferencia de datos a terceros, ni almacenamiento externo, ni riesgo de que el proveedor use la información para entrenar sus modelos, ni dependencia de las condiciones de uso de una plataforma ajena. La organización mantiene el control total sobre qué datos procesa el modelo, quién puede acceder a él y bajo qué condiciones opera.

Gartner estima que, para 2030, el 75% de las empresas europeas y de Oriente Medio habrá trasladado sus cargas de trabajo a soluciones con mayor soberanía digital, frente a menos del 5% en 2025, según sus análisis sobre soberanía digital. La pregunta que cada organización debe responder no es si este cambio va a ocurrir, sino si sus datos pueden permitirse esperar.

La respuesta de Lur Nova

El problema de la IA externa no es nuevo para nosotros. Antes de que los informes del sector lo cuantificaran, ya era una preocupación constante en las organizaciones con las que trabajamos: cómo aprovechar todo el potencial de la inteligencia artificial sin exponer información que no puede salir de su perímetro. Contratos, datos de clientes, propiedad intelectual, historiales académicos, evaluaciones confidenciales. Información que, en manos equivocadas o simplemente en servidores ajenos, representa un riesgo que ninguna organización responsable puede asumir.

Esa es la razón de ser de Lur Nova AI Model Hub. Una plataforma que lleva la IA al interior de la organización, no al revés. Los modelos de IA privados se ejecutan en la infraestructura propia. Los datos no salen, no se registran en sistemas externos y no contribuyen al entrenamiento de ningún modelo ajeno. La organización decide qué modelos usa, quién tiene acceso y qué queda registrado. Sin dependencias externas y sin cesión de control. Si quieres valorar cómo aplicarlo a tu caso, puedes contactar con nosotros.

Referencias

Kiteworks, Data Security and Compliance Risk Report 2025. kiteworks.com

IBM Security, Cost of a Data Breach Report 2025. ibm.com

Stanford University, AI Index Report 2025 (Public Opinion). hai.stanford.edu

InfoJobs, consulta de Transformación digital, 2025. infojobs.net

Gartner, análisis sobre soberanía digital y cumplimiento en IA, 2025-2026. gartner.com