Riesgos de la IA en la sombra en el gobierno: resolviendo la crisis oculta

Estados Unidos alberga el ecosistema de IA más avanzado del planeta. Las empresas estadounidenses están desarrollando los modelos más punteros. Los investigadores estadounidenses publican los artículos más innovadores. El capital de riesgo estadounidense impulsa la próxima generación de startups de IA.

Y sin embargo, cuando se trata de aplicar la IA dentro del gobierno, EE. UU. se está quedando atrás de países a los que debería superar con creces.

Puntos clave

1. La Shadow AI ya es un riesgo de seguridad en todo el gobierno. En las agencias que no han proporcionado herramientas de IA aprobadas, el 64% de los empleados públicos usa credenciales personales en el trabajo y el 70% utiliza IA sin que su responsable lo sepa. Los datos gubernamentales —incluida información personal identificable de los ciudadanos, registros fiscales y archivos policiales— están circulando por herramientas de IA de consumo no verificadas, sin registros auditables, sin supervisión y sin capacidad de respuesta ante incidentes.
2. EE. UU. ocupa el séptimo lugar de 10 países a pesar de liderar el desarrollo global de IA. Estados Unidos obtuvo solo 45 puntos sobre 100 en el Índice de Adopción de IA en el Sector Público, quedando por detrás de Sudáfrica y Brasil. La brecha no es tecnológica, sino de gobernanza, directrices claras e infraestructura segura que brinde confianza a los empleados públicos para usar IA en su trabajo diario.
3. Restringir el acceso a la IA genera más riesgos que habilitarla de forma segura. Las organizaciones que optan por «avanzar con cautela» limitando el acceso a la IA no logran frenar su uso: lo empujan a la clandestinidad. Los datos del índice muestran que la habilitación segura con herramientas aprobadas, controles de gobernanza de datos y registros auditables integrales es el único enfoque que reduce el riesgo y a la vez libera ganancias de productividad.
4. Integrar la IA en los flujos de trabajo es lo que desbloquea el verdadero valor. EE. UU. obtuvo solo 39 puntos sobre 100 en integración —el puntaje más bajo de las cinco dimensiones del índice—. Esto importa porque el 61% de los empleados públicos en entornos con alta integración reportan beneficios del uso avanzado de IA, frente a solo el 17% donde la integración es baja. Cuando la IA se integra en los sistemas que la gente ya usa, las mejoras de productividad se extienden a todos los grupos de edad y niveles de habilidad.
5. Los empleados públicos no piden presupuesto, piden claridad y seguridad. Al preguntarles qué fomentaría un uso más frecuente de la IA, los empleados públicos de EE. UU. priorizan directrices claras (38%), herramientas más fáciles de usar (36%) y garantías de privacidad de datos (34%). El presupuesto dedicado quedó último con un 12%. Las barreras a la adopción se pueden resolver con políticas, comunicación y compras inteligentes, no con grandes gastos nuevos.

El Índice de Adopción de IA en el Sector Público 2026, publicado recientemente por Public First para el Center for Data Innovation con el patrocinio de Google, encuestó a 3,335 empleados públicos en 10 países —incluidos 301 en Estados Unidos—. EE. UU. ocupa el séptimo lugar de diez, con solo 45 puntos sobre 100. Esto lo sitúa por debajo de Sudáfrica y Brasil, y muy lejos de los adoptantes avanzados como Singapur (58), Arabia Saudita (66) e India (58).

No es un problema tecnológico. Es un problema de gobernanza, seguridad y liderazgo —y está generando un enorme riesgo de Shadow AI que la mayoría de los responsables de TI gubernamentales ignoran.

Las cifras que deberían quitarle el sueño a cualquier CISO gubernamental

El índice mide cómo experimentan la IA los empleados públicos en cinco dimensiones: entusiasmo, formación, habilitación, empoderamiento e integración. En EE. UU., los puntajes muestran una fuerza laboral con acceso a la IA pero sin la confianza, claridad ni infraestructura segura para usarla bien:

• Entusiasmo: 43/100 — uno de los puntajes más bajos a nivel global. El 40% de los empleados públicos estadounidenses describe la IA como «abrumadora».
• Formación: 50/100 — existen capacitaciones, pero suelen ser introductorias y distribuidas de forma desigual entre organizaciones.
• Empoderamiento: 46/100 — más de uno de cada tres empleados públicos no sabe si su organización siquiera tiene una política formal de IA.
• Habilitación: 45/100 — hay herramientas disponibles, pero «acceso» no significa «seguro» ni «cumple con las normativas».
• Integración: 39/100 — el puntaje más bajo de las cinco dimensiones. Las herramientas de IA conviven con sistemas heredados en lugar de integrarse en los flujos de trabajo.

Casi la mitad de los empleados públicos estadounidenses (45%) dice que su organización debería «avanzar con cautela para evitar errores». Menos de la mitad siente que recibe instrucciones claras del liderazgo sobre cómo usar la IA. Solo el 56% afirma sentirse seguro usando herramientas de IA.

Estas no son cifras de una fuerza laboral que rechaza la IA. Son cifras de una fuerza laboral que espera que alguien le diga que es seguro avanzar.

La bomba de tiempo de la Shadow AI

Este es el hallazgo que debería poner en alerta a cualquier CISO gubernamental.

En entornos de baja habilitación según el índice, el 64% de los trabajadores entusiastas de la IA reporta usar credenciales personales en el trabajo, y el 70% utiliza IA para tareas laborales sin que su responsable lo sepa.

Cuando los gobiernos no proporcionan herramientas de IA aprobadas, políticas claras o soporte accesible, los empleados públicos no dejan de usar IA. Simplemente lo hacen por su cuenta, fuera de los controles. Y las consecuencias son mucho más graves que un simple incumplimiento.

Piénsalo en la práctica para las agencias federales de EE. UU.: datos gubernamentales circulando por cuentas personales de ChatGPT sin supervisión, sin registros auditables y sin controles de seguridad de datos. Información confidencial de ciudadanos —PII/PHI, registros fiscales, datos policiales— potencialmente ingresando en LLM públicos para resúmenes, análisis o redacción. Decisiones de política influenciadas por herramientas de IA que no han sido verificadas en cuanto a precisión, sesgo o idoneidad. Y posibles incumplimientos de HIPAA, FISMA y leyes estatales de privacidad, sin evidencia forense para determinar el alcance.

La ironía es dolorosa. Las organizaciones que intentan ser «cautelosas» con la IA restringiendo el acceso están generando mucho más riesgo que las que ofrecen herramientas aprobadas con directrices claras de uso. Los datos del índice lo confirman en todos los países analizados.

Es aquí donde la conversación debe pasar de «¿debemos permitir la IA?» a «¿cómo habilitamos la IA de forma segura?». Soluciones como Secure MFT Server de Kiteworks representan la infraestructura capaz de cerrar esa brecha: permiten la productividad con IA a través de herramientas como Claude, ChatGPT y Copilot, manteniendo los datos sensibles dentro de la red privada. Los marcos de gobernanza existentes (RBAC/ABAC) se extienden a todas las interacciones con IA, cada operación queda registrada para cumplimiento y análisis forense, y el contenido confidencial nunca sale del entorno de confianza. Para las agencias federales, la Autorización FedRAMP de impacto moderado y la alineación con los memorandos de IA de la Casa Blanca y el Marco de Gestión de Riesgos de IA del NIST hacen que estas protecciones se ajusten directamente a las obligaciones de cumplimiento existentes.

La alternativa —fingir que restringir el acceso detendrá el uso— es una fantasía que los datos del índice han desmontado con cifras contundentes.

La brecha de traducción: ambición federal vs. realidad en la primera línea

El gobierno federal no ha estado inactivo. Casi el 90% de las agencias federales ya utiliza IA de alguna forma, según investigaciones recientes de Google. Las órdenes ejecutivas de la Casa Blanca y el Plan de Acción de IA de EE. UU. han posicionado la IA como prioridad estratégica. La Oficina de Administración y Presupuesto ha publicado directrices actualizadas sobre gobernanza y compras de IA. Los CIO estatales han situado la IA como su prioridad número uno para 2026, con más del 90% de los estados al menos probando proyectos de IA.

Así que los cimientos están puestos. Pero el índice revela una clara brecha de traducción entre la actividad a nivel de agencia y la experiencia en la primera línea.

Los empleados públicos estadounidenses reportan algunos de los niveles más altos de experiencia personal con IA del índice. El 76% dice usar IA en su vida personal, y casi tres cuartas partes (72%) de ellos también la usan en el trabajo. Casi nueve de cada diez (89%) que usan IA en el trabajo afirman tener acceso a herramientas a través de su organización. Alrededor de un tercio (32%) tiene acceso a herramientas de IA de nivel empresarial, una proporción mayor que en muchos otros países.

Pero ese acceso no se ha traducido en un uso seguro y entusiasta. EE. UU. obtuvo solo 43/100 en entusiasmo, lo que significa que la mayoría de los empleados públicos aún no ve beneficios claros y específicos para su función en las tareas diarias. La IA se describe más a menudo como abrumadora que como empoderadora. Menos trabajadores reportan ganancias tangibles como ahorro de tiempo o que la IA funcione como asistente eficaz.

Y el «acceso» que existe suele carecer de los controles de seguridad y gobernanza que exigen los entornos federales. La mayoría de las agencias ofrecen herramientas genéricas de IA sin acuerdos de protección de datos. No hay registros auditables que rastreen qué datos se compartieron con los sistemas de IA, cuándo o por quién. No existe la posibilidad de revocar el acceso o eliminar datos de los conjuntos de entrenamiento de IA después del hecho. El puntaje de habilitación refleja disponibilidad, no seguridad, y esa distinción es crucial cuando se trata de datos gubernamentales.

Compáralo con lo que han construido los adoptantes avanzados. En Singapur, el 73% de los empleados públicos tiene claro para qué puede y no puede usar la IA, y el 58% sabe exactamente a quién acudir cuando surge un problema. En Arabia Saudita, una estrategia nacional de arriba hacia abajo ha hecho que la IA se perciba como modernización y no como disrupción, con un 65% accediendo a herramientas de IA empresariales y un 79% usando IA para tareas avanzadas o técnicas. En India, el 83% de los trabajadores del sector público es optimista respecto a la IA y el 59% quiere que transforme radicalmente su trabajo diario.

Estos países no tuvieron éxito porque tuvieran mejor tecnología que EE. UU. Lo lograron porque facilitaron que los empleados públicos usaran la IA con confianza. Reglas claras. Herramientas aprobadas. Soporte visible. EE. UU. tiene la ventaja tecnológica, pero le falta el tejido conectivo.

La capa que falta: gobernanza de datos de IA

El índice detectó que los empleados públicos estadounidenses quieren «directrices claras y prácticas sobre cómo aplicar la IA en el sector público» (38%) y «garantía de privacidad y seguridad de los datos» (34%). No son preferencias abstractas. Señalan una brecha fundamental que subyace a todos los demás retos de adopción: la mayoría de las agencias gubernamentales no tiene visibilidad sobre qué datos se comparten con los sistemas de IA.

¿Qué empleados usan IA y para qué fines? ¿Los resultados generados por IA contienen información confidencial que no debería compartirse externamente? ¿Cómo hacer cumplir las políticas de clasificación de datos cuando intervienen herramientas de IA? Para la mayoría de las agencias, la respuesta honesta a todas estas preguntas es «no lo sabemos».

Aquí es donde los marcos de gobernanza de datos de IA se vuelven esenciales, no como barrera a la adopción, sino como la base que permite una adopción segura. Las capacidades de Data Security Posture Management (DSPM) pueden descubrir y clasificar datos sensibles en todos los repositorios, incluidos los que se ingresan en sistemas de IA. La aplicación automática de políticas puede bloquear que datos privilegiados o confidenciales sean ingeridos por IA según etiquetas de clasificación. Los registros auditables integrales pueden rastrear todas las interacciones IA-datos. Y al alinearse con el Marco de Gestión de Riesgos de IA del NIST, estas capacidades ayudan a las agencias a gobernar, mapear y administrar los riesgos de IA durante todo el ciclo de vida de los datos.

El enfoque de Kiteworks ante este reto es ilustrativo. Al integrar DSPM con aplicación automática de políticas y registros auditables inmutables, las organizaciones pueden etiquetar los datos según su nivel de sensibilidad —público, interno, confidencial, clasificado— y hacer cumplir esas clasificaciones automáticamente cuando intervienen herramientas de IA. Cada interacción IA-datos se registra con ID de usuario, marca de tiempo, datos accedidos y el sistema de IA utilizado. No es solo una cuestión de cumplimiento; es la infraestructura que permite una adopción segura y escalable de la IA.

Sin esta capa, los gobiernos navegan a ciegas en cuanto a riesgos de IA. Con ella, pueden decir «sí» al uso de IA con la confianza de que los datos sensibles están protegidos, que es precisamente lo que piden los empleados públicos.

¿Qué piden los empleados públicos estadounidenses?

Cuando se les preguntó qué les animaría a usar herramientas de IA con mayor frecuencia, los empleados públicos estadounidenses fueron muy concretos:

• Directrices claras y prácticas sobre cómo aplicar la IA en el sector público (38%)
• Herramientas más fáciles de usar que no requieran habilidades técnicas especializadas (36%)
• Garantía de privacidad y seguridad de los datos (34%)
• Formación o apoyo para mejorar habilidades adaptado a funciones específicas (30%)
• Mejor integración con el software y sistemas existentes (29%)

Observa lo que no está en la parte superior de la lista: el presupuesto dedicado (12%) y el respaldo de la alta dirección (20%) ocupan los últimos lugares. Los empleados públicos no piden grandes programas nuevos ni iniciativas costosas. Piden claridad, usabilidad y confianza, cosas que pueden lograrse con políticas, comunicación y compras inteligentes.

Y fíjate cómo las tres principales peticiones —directrices, usabilidad y garantía de seguridad de los datos— forman un conjunto interconectado. No puedes dar directrices claras sin saber qué es seguro usar. No puedes garantizar la privacidad de los datos sin infraestructura de gobernanza. Y no puedes hacer que las herramientas sean fáciles de usar si los empleados públicos están paralizados por la incertidumbre sobre si usarlas les traerá problemas. Resolver una sin las otras no funciona.

Por qué la integración es lo más importante

EE. UU. obtuvo el puntaje más bajo en integración (39/100), y los datos del índice muestran por qué esa es la métrica clave.

En todos los países, el 61% de los trabajadores en entornos con alta integración reportan beneficios al usar IA para tareas avanzadas o técnicas, frente a solo el 17% donde la integración es baja. La integración también iguala las oportunidades entre grupos de edad: en entornos de alta integración, el 58% de los empleados públicos de 55 años o más reporta ahorrar más de una hora usando IA, frente a solo el 16% en entornos de baja integración. Cuando la IA se incorpora a los sistemas que la gente ya utiliza, la adopción deja de depender de la destreza tecnológica y pasa a ser cuestión de que todos mejoren en su trabajo.

Actualmente, EE. UU. se encuentra en el extremo opuesto de este espectro. El índice describe «infraestructura formal mínima, con pocos apoyos, poca inversión y grandes barreras para la integración con los sistemas existentes». Hasta que la integración no mejore, las ganancias de productividad que promete la IA seguirán concentrándose en un pequeño grupo de adoptantes tempranos en lugar de beneficiar a toda la fuerza laboral.

Tres prioridades que pueden cambiar el rumbo

El índice señala tres acciones concretas que podrían acelerar la adopción de IA en los servicios públicos estadounidenses si se implementan juntas.

Primero, establecer un mandato claro desde arriba, respaldado por infraestructura segura y aprobada. Los empleados públicos necesitan una garantía visible y constante de que el uso de IA está fomentado, respaldado y alineado con los valores del servicio público. Pero el permiso sin protección es imprudente. Las agencias deben implementar soluciones de IA empresariales con acuerdos de protección de datos, controles de gobernanza y registros integrales, asegurando que los datos sensibles nunca salgan de la red privada. Plataformas como Secure MCP Server de Kiteworks demuestran cómo funciona esto en la práctica: permiten la productividad con IA en herramientas como Claude, ChatGPT y Copilot, manteniendo los controles de gobernanza de datos que exigen las agencias federales. Cuando los empleados públicos saben que las herramientas que usan están aprobadas, cumplen con las normativas y son monitoreadas, el permiso cultural llega de forma natural.

Segundo, generar confianza con evidencia y preparación ante incidentes. Muchos empleados públicos estadounidenses aún no han visto beneficios claros y específicos para su función gracias a la IA. Compartir ejemplos concretos de cómo la IA ha reducido la carga administrativa, mejorado la prestación de servicios o apoyado mejores decisiones ayudaría a hacer tangible la IA. Pero la confianza también exige saber qué ocurre cuando algo sale mal. Imagina el escenario: un empleado público pega por error miles de números de la Seguridad Social de ciudadanos en una herramienta pública de IA para análisis de datos. Los datos ya están en los sistemas del proveedor, potencialmente almacenados indefinidamente o expuestos a otros usuarios. ¿Puede la agencia responder qué se expuso, cuándo, por quién y qué otros datos sensibles se han compartido? Sin registros auditables inmutables, integración con SIEM para monitoreo en tiempo real y documentación de cadena de custodia, la respuesta es no. Las capacidades de respuesta a incidentes para escenarios específicos de IA no son opcionales: son el requisito mínimo para una adopción responsable.

Tercero, integrar formación y directrices prácticas adaptadas a cada función. La concienciación sobre IA es alta en EE. UU., pero la confianza no. Capacitaciones cortas y prácticas adaptadas a funciones específicas pueden cerrar esa brecha. Esto implica permiso explícito para tareas de bajo riesgo —redacción, investigación, resúmenes, lluvia de ideas— junto con directrices específicas que muestren cómo la IA apoya las tareas habituales. Plantillas, prompts compartidos y ejemplos prácticos hacen que la adopción sea concreta. Asociarse con proveedores tecnológicos de confianza ayuda a ofrecer formación a escala y brinda la garantía de seguridad y protección de datos que los empleados públicos buscan.

Lo que está en juego es más que un ranking

Que EE. UU. ocupe el séptimo lugar en este índice es vergonzoso, pero el verdadero coste no es reputacional, sino operativo. Cada día que los empleados públicos carecen de herramientas de IA seguras y aprobadas es un día más de datos gubernamentales circulando por cuentas personales sin supervisión. Cada semana sin directrices claras es una semana más de productividad desaprovechada. Cada mes sin gobernanza de IA integrada es un mes más en que la brecha entre el sector privado y el público estadounidense se amplía.

La Shadow AI ya está aquí. El 70% de los empleados públicos usa IA; muchos lo hacen fuera de los canales aprobados. Restringir el acceso genera más riesgo, no menos. Las herramientas existen: lo que falta es infraestructura segura y aprobada, junto con permiso cultural y directrices claras.

Los 301 empleados públicos estadounidenses encuestados en este índice envían un mensaje claro: danos las directrices, danos las herramientas seguras y déjanos trabajar. La cuestión es si los líderes gubernamentales están escuchando y si están dispuestos a resolver el problema de la Shadow AI antes de que se convierta en una crisis de seguridad de datos en toda regla.