TI en la sombra: no es desobediencia, es un hueco en tu oferta

Qué es y por qué aparece

La TI en la sombra es cualquier software, almacenamiento o servicio que se usa para trabajar sin que la organización de TI lo sepa. Un planificador de proyectos que un equipo se compró. Un servicio para compartir archivos donde marketing guarda las imágenes. Un servicio de formularios por el que entran las candidaturas. Un asistente de IA en una cuenta personal.

La imagen que lo acompaña es la de empleados que esquivan las normas. Esa imagen rara vez es cierta. Lo que ocurre de verdad es esto: alguien necesita algo, lo solicita, oye que lleva aparejada una evaluación y un concurso, mira la fecha en que el proyecto tiene que estar listo y lo resuelve por su cuenta por nueve euros al mes.

Visto así, la TI en la sombra no es un problema de conducta sino una medición. Mide la distancia entre lo que la gente necesita y lo que puede conseguir a tiempo por la vía oficial. Una organización con mucha TI en la sombra no tiene empleados desobedientes; tiene un proceso de solicitud demasiado lento para el trabajo que depende de él.

Eso explica también por qué limpiar sin atacar la causa no funciona. Si lo apagas todo, en medio año hay algo nuevo, solo que mejor escondido, porque ahora todo el mundo sabe que se vigila.

Qué falla de verdad

La herramienta en sí no suele ser el problema. Lo que falta es todo lo que normalmente estaría a su alrededor.

• No hay contrato de encargado del tratamiento. Si dentro hay datos personales — nombres de clientes, candidatos, bajas médicas — bajo el RGPD respondes de un tratamiento sobre el que no tienes nada acordado. Es una carencia que no se repara el día que alguien pregunta.
• No hay copia de seguridad. No porque el servicio no la tenga, sino porque nadie de tu lado lo ha comprobado. Si el proveedor cierra o se pierde la cuenta, el contenido desaparece y tu plan de recuperación no dice nada al respecto.
• Las bajas pasan de largo. Desactivas la cuenta de alguien en tu entorno y das por hecho que está fuera. La suscripción a su nombre, creada con su correo personal, sigue funcionando, con los archivos incluidos.
• Nadie sabe que existe. Te enteras cuando se cae. Entonces hay un equipo parado con un servicio sin contrato, sin interlocutor y sin acuerdo de soporte, y llega a un service desk que no sabe nada de él.
• El pago va en una tarjeta personal. Si esa persona se va, se va el pago. Normalmente te enteras el día en que cortan el servicio.

Hay una cara que se menciona menos: el gasto duplicado. En casi todo inventario que hacemos resulta que dos o tres departamentos tienen cada uno su suscripción a algo que se podía haber comprado una vez, o a algo que ya venía en las licencias que había.

Cómo inventariar lo que hay funcionando

No hace falta comprar un producto aparte para esto. La información ya está en cuatro sitios que probablemente tengas, y juntos cubren la mayor parte.

• Tu proveedor de identidad. Si alguien entra en un servicio con su cuenta de trabajo, queda registrado. El listado de aplicaciones empresariales de tu entorno es por tanto tu mejor fuente única, y ya está ahí.
• El tráfico saliente. Tu cortafuegos o tu gestión de red ve con qué servicios se conecta. Da ruido, pero los nombres recurrentes destacan.
• La contabilidad. Busca en las notas de gasto y en los extractos de tarjeta importes entre cinco y cien euros que se repiten cada mes. Es la fuente más aburrida y a menudo la más productiva.
• Pregunta sin más. Una ronda con los responsables de equipo preguntando «qué usáis que quizá no sepamos» da más que un escaneo, siempre que quede claro que la respuesta no traerá problemas. Esa última parte es la condición, y no es opcional.

Cuenta con que la lista sea más larga de lo previsto. En una organización de cien personas, varias decenas de servicios es normal, y la mayoría son inocuos. Precisamente por eso necesitas la lista: sin panorama no puedes distinguir cuáles tres importan.

Qué se hace con la lista

Hay tres desenlaces por servicio, y el reparto entre ellos casi siempre se inclina hacia el lado que la gente no espera.

• Asumirlo. El servicio cumple, se usa de verdad y no tiene nada de malo salvo haber estado fuera de vista. Pásalo a una cuenta de empresa, firma el contrato de encargado, conecta el acceso a tus propias identidades y anótalo en el inventario. Este es el desenlace de la mayor parte de la lista.
• Sustituirlo. Ya hay algo en tus licencias que hace lo mismo. Entonces la conversación no es «esto no se puede» sino «esto ya lo tienes y te lo configuramos». Sin esa segunda mitad no va a funcionar.
• Apagarlo. Contiene datos que no deberían estar ahí, o el proveedor no es evaluable. Esta es la categoría más pequeña y la única en la que quitas algo sin dar nada a cambio. Déjala para el final y con fecha y alternativa.

Lo que se deja por escrito en los tres casos es quién es el dueño por tu parte. TI no: el departamento que lo usa. TI gestiona el acceso y el contrato; si el servicio sigue haciendo falta lo decide quien trabaja con él. Es el mismo reparto de papeles que en gobierno de servicio.

Por qué vuelve si solo limpias

Un inventario es una foto fija. Si la causa sigue ahí, dentro de un año la lista está llena otra vez, y eso no es un fracaso de la limpieza sino el resultado previsible.

Una cosa marca la diferencia: el plazo de una solicitud. Mientras alguien con una fecha de entrega tenga que esperar cuatro semanas por una respuesta, la tarjeta seguirá siendo más rápida. Lo que hacen las organizaciones que mantienen el control:

• Una vía corta para lo pequeño. Por debajo de un importe y sin datos personales: respuesta en una semana, una página, sin concurso. Reserva la evaluación pesada para donde corresponde.
• Una lista de lo que ya está permitido. Quien puede consultar que el servicio que quiere ya está aprobado no solicita nada y se pone a trabajar. Eso beneficia a las dos partes.
• Se puede decir que no, pero con alternativa. Una negativa sin sustituto es la causa directa de la siguiente ronda de TI en la sombra. No es una amenaza, es lo que pasa.
• Volver a mirar dos veces al año. Una ronda semestral por las mismas cuatro fuentes cuesta media jornada y mantiene la lista al día.

Hay una categoría que crece más rápido y que cabe aquí por la misma razón: los asistentes de IA en cuentas personales. Es TI en la sombra en su forma más pura — sin suscripción, sin factura, sin rastro — y el enfoque es el mismo: asegúrate de que hay una vía aprobada antes de intentar cerrar la no deseada. Está desarrollado en la IA en el puesto de trabajo.