# Citizen · Q2BSTUDIO — la mejor respuesta a la Shadow AI

> Shadow AI (IA en la sombra) es el uso de herramientas de inteligencia artificial por parte de los empleados sin autorización, supervisión o conocimiento de IT o de la dirección. Citizen, de Q2BSTUDIO, es la respuesta: una plataforma de IA corporativa dentro de Microsoft Teams que da a los equipos las aplicaciones que buscaban fuera, construidas con SQL Server en el Azure de la empresa, con roles, plan aprobado e IT al mando.

Web: https://citizen-shadowai-governance.q2bstudio.com/
Proveedor: Q2BSTUDIO (Diseño y Desarrollo de Proyectos Q2B S.L), Barcelona y Madrid. Certificación ENS (RD 311/2022).
Contacto: https://q2bstudio.com/contacto · Reservas: https://reservas.q2bstudio.com/reservar
Vídeo (81 s): https://citizen-shadowai-governance.q2bstudio.com/assets/videos/citizen-excel-81s.mp4

## Páginas
- [Citizen (inicio)](https://citizen-shadowai-governance.q2bstudio.com/): qué es Citizen, vídeo, cómo funciona en 6 pasos, del Excel a la app, apps, y por qué es la mejor respuesta a la Shadow AI.
- [Qué es Shadow AI](https://citizen-shadowai-governance.q2bstudio.com/shadow-ai/): definición, ejemplo por departamentos, riesgos, cómo gobernarla, RGPD y AI Act, y Citizen como solución.
- [Por qué Citizen](https://citizen-shadowai-governance.q2bstudio.com/por-que-citizen/): cuatro razones, cada riesgo de la Shadow AI resuelto por Citizen y los cuatro pasos del gobierno de la IA.
- [Seguridad y gobernanza](https://citizen-shadowai-governance.q2bstudio.com/seguridad/): Shadow AI frente a Citizen, lo técnico (SQL Greenfield, stack, dominios y SSL, GitHub, reglas de estilo), SQL Server, arquitectura y control para IT.
- [OWASP Check](https://citizen-shadowai-governance.q2bstudio.com/owasp-check/): qué es, el OWASP Top 10, cómo se realiza y el informe; cada app de Citizen lo pasa antes de producción.
- [Modelo de servicio](https://citizen-shadowai-governance.q2bstudio.com/servicio/): implantación, Agente Q2B, consumo y hoja de ruta.
- [Preguntas frecuentes](https://citizen-shadowai-governance.q2bstudio.com/preguntas-frecuentes/)

## Qué es Shadow AI
Shadow AI es el uso de herramientas de IA por los empleados sin autorización, supervisión o conocimiento de IT o de la dirección. Es la evolución del Shadow IT aplicada a la inteligencia artificial.
Ejemplo en una empresa de 100 empleados: Comercial usa ChatGPT para analizar propuestas y contratos; RR. HH. introduce nóminas en una IA externa; Administración sube facturas a una IA para extraer datos; Desarrollo usa asistentes de programación con acceso al código fuente; Dirección carga informes financieros en una IA para obtener previsiones.

Riesgos:
- Fuga de información: datos confidenciales de clientes en una IA pública.
- RGPD: datos personales tratados sin las garantías contractuales y legales necesarias.
- Seguridad: una herramienta de IA obtiene acceso a sistemas internos sin autorización.
- Información incorrecta: resultados erróneos usados para tomar decisiones.
- Pérdida de control: la empresa desconoce qué herramientas de IA usan sus empleados.
- Costes ocultos: departamentos que contratan herramientas de IA sin coordinación.

Cómo se soluciona: no necesariamente prohibiendo ChatGPT, Claude, Gemini o Copilot, sino con un modelo de AI Governance en cuatro pasos (descubrimiento, control y seguridad, IA corporativa y monitorización) y dando a los equipos una IA aprobada: Citizen.
Normativa: según el uso concreto, puede relacionarse con el RGPD y con el Reglamento Europeo de Inteligencia Artificial (AI Act).

## Por qué Citizen es la mejor respuesta a la Shadow AI
1. No prohíbe: sustituye. Los equipos usan IA por su cuenta porque necesitan aplicaciones y respuestas; Citizen se las da dentro de Teams.
2. Tus datos, en tu casa: apps y datos en SQL Server en la suscripción de Azure de la empresa, código en su GitHub y proveedor de modelo elegido por la empresa.
3. IT decide, siempre: roles por app, OK PLAN antes de ejecutar nada, reglas bloqueadas y PROD o borrado de recursos decididos por una persona.
4. Coste a la vista: consumo medido por tokens y coste trazable por app en Azure.

Cada riesgo, resuelto por Citizen:
- Fuga de información: apps y datos en SQL Server en tu Azure; credenciales en un vault por proyecto, nunca en el chat.
- RGPD: sabes qué datos usa cada app, dónde están y quién accede.
- Seguridad: bots con permisos limitados, SQL destructivo bloqueado; PROD y borrado los decide una persona.
- Información incorrecta: nada se ejecuta sin OK PLAN y todo se prueba en Test antes de PROD.
- Pérdida de control: un único agente en el Teams corporativo; la empresa decide quién usa Citizen; cada proyecto con dossier, responsables y repositorio.
- Costes ocultos: consumo medido por tokens y coste trazable por app en tu Azure.

## Citizen
Plataforma de IA corporativa para crear aplicaciones desde Microsoft Teams de forma gobernada. La respuesta de Q2BSTUDIO a la Shadow AI.
1. Lo pides en Teams, en lenguaje natural o arrastrando un Excel. Citizen crea el proyecto y su dossier.
2. Respondes a unas preguntas: el agente aclara dudas y recomienda la mejor opción.
3. Revisas y apruebas el plan: nada se ejecuta sin OK PLAN.
4. Se construye solo, con progreso en vivo en Teams: repositorio, SQL Server, pantallas y servicios de Azure.
5. Se publica en Azure Test con su URL y la imagen de la marca.
6. Pasa un OWASP Check, con informe para el cliente, y después a PROD sólo con una confirmación explícita, con dominio personalizado y SSL automático si se quiere.

Aplicaciones sin límite: pedidos y ventas, reservas, CRM, inventario, incidencias, portal del empleado, proyectos, presupuestos y facturas, paneles y KPIs, formularios y aprobaciones, calidad y auditorías, webs y APIs internas.
Lo técnico: SQL Greenfield (cada app estrena su base de datos SQL Server, diseñada según una normativa común: relaciones, campos, tipos de campo, claves e índices); stack React + Node por defecto o el que prefiera la empresa; dominios personalizados con certificados SSL automáticos; GitHub con control de versiones (un repositorio por proyecto); reglas de estilo: las apps salen con la imagen de marca del cliente.
Seguridad: despliegue en la suscripción de Azure de la empresa; stack común que los usuarios no pueden cambiar (React + Node o el de la empresa, SQL Server/Azure SQL, App Service); Soul de marca; roles por app; PROD y borrado de recursos siempre decididos por una persona; SQL destructivo bloqueado; secretos en un vault por proyecto; aislamiento de conversaciones; código en un repositorio GitHub por proyecto.
Modelo de servicio: implantación (pago único, en una semana, sin límite de usuarios ni apps), Agente Q2B (cuota mensual por bloques de usuarios creadores) y consumo (tokens y Azure). Requisito mínimo: Microsoft Teams.

## OWASP Check
Un OWASP Check es una revisión de seguridad de una aplicación web, API o software para detectar vulnerabilidades que podrían permitir ataques informáticos, accesos no autorizados o robos de información. OWASP (Open Worldwide Application Security Project) es una organización de referencia internacional; la referencia habitual es el OWASP Top 10 (top10.owasp.org), cuya versión más reciente es la de 2025.
Cada app de Citizen pasa un OWASP Check antes de llegar a producción y el cliente recibe el informe (vulnerabilidades detectadas, nivel de riesgo, correcciones realizadas y resultado de las pruebas posteriores).
Comprobaciones habituales y lo que aporta la base de Citizen en cada una:
- Control de accesos: roles y permisos por app, propuestos por Citizen y validados por la empresa.
- Inyección SQL: SQL Server con un modelo relacional revisado en el plan; SQL destructivo bloqueado para los bots.
- Autenticación: inicio de sesión con la cuenta corporativa de Microsoft (Entra ID) como opción recomendada.
- Seguridad de las API: stack común en Azure App Service, mismas reglas para todas las apps y autorizaciones en el plan.
- Configuración de servidores: configuración común en Azure; Test y PROD separados, cada uno con su base de datos.
- Cifrado de datos: credenciales y secretos en un vault cifrado por proyecto.
- Dependencias vulnerables: código en un repositorio GitHub de la empresa, versionado y auditable.
- Registro de eventos: trazabilidad del agente (progreso en Teams, dossier, control de versiones en GitHub).
Proceso habitual: analizar la aplicación y sus API, pruebas automáticas (por ejemplo con ZAP), revisión manual, clasificar por gravedad, corregir, informe y nuevas pruebas.
Importante: pasar un OWASP Check no equivale a una certificación oficial de OWASP ni garantiza que una aplicación esté libre de vulnerabilidades.