Shadow AI · IA en la sombra
Shadow AI (IA en la sombra) es el uso de herramientas de inteligencia artificial por parte de los empleados de una empresa sin autorización, supervisión o conocimiento del departamento de IT o de la dirección. Es la evolución del concepto Shadow IT, aplicada a la inteligencia artificial.
Shadow IT es cualquier tecnología (aplicaciones, servicios en la nube, dispositivos) que se usa en la empresa sin el control de IT. Shadow AI es el mismo fenómeno aplicado a la inteligencia artificial: asistentes y herramientas de IA en los que los empleados introducen información de la empresa sin que nadie lo gestione.
Los principales son seis: fuga de información (datos confidenciales en una IA pública), incumplimiento del RGPD (datos personales sin las garantías contractuales y legales necesarias), seguridad (herramientas de IA con acceso no autorizado a sistemas internos), información incorrecta usada para decidir, pérdida de control sobre qué IA se usa y costes ocultos por contrataciones sin coordinar.
No necesariamente. Prohibir suele llevar el uso todavía más a la sombra, porque la necesidad sigue ahí. Lo que funciona es gobernar la IA y dar a los equipos una alternativa aprobada que les resuelva lo que buscaban fuera. Esa alternativa es Citizen: IA corporativa dentro de Microsoft Teams, con las reglas de la empresa.
Cuando los empleados introducen datos personales en herramientas de IA sin control, la empresa puede estar tratando esos datos sin las garantías que exige el RGPD. Además, según el uso concreto, el Reglamento Europeo de Inteligencia Artificial (AI Act) puede imponer obligaciones a la empresa. Saber qué IA se usa y con qué datos es la base para poder cumplirlas.
Citizen contra la Shadow AI · la solución
Dando a los equipos lo que buscaban fuera, pero dentro de las reglas de la empresa. Con Citizen piden en Microsoft Teams la aplicación que necesitan, o arrastran su Excel, y Citizen la construye con SQL Server en el Azure de la empresa, con roles por app, plan aprobado antes de ejecutar nada, secretos en un vault por proyecto y coste trazable. Ya no hace falta subir datos a herramientas de IA externas para resolver el trabajo.
Porque no se limita a prohibir: sustituye. Cubre la necesidad real de los equipos (aplicaciones a medida, en minutos, en lenguaje natural) y a la vez da a IT el control completo: los datos en su propio Azure, el código en su GitHub, el modelo de IA que elige la empresa, roles, aprobaciones y coste a la vista. Todo desde Microsoft Teams, sin herramientas nuevas.
Las aplicaciones y sus datos viven en SQL Server, en la suscripción de Azure de tu empresa, y el código en un repositorio GitHub de tu empresa. Para entender las peticiones, Citizen usa el modelo de lenguaje del proveedor que elige la empresa, cuyo consumo puede ir a tu propia cuenta del proveedor. Las credenciales se guardan en un vault por proyecto, nunca en el chat ni en el código.
OWASP Check · seguridad de las apps
Un OWASP Check es una revisión de seguridad de una aplicación web, API o software para detectar vulnerabilidades que podrían permitir ataques informáticos, accesos no autorizados o robos de información. Toma como referencia el trabajo de OWASP (Open Worldwide Application Security Project), una organización de referencia internacional en seguridad de aplicaciones.
Es la lista de referencia de OWASP con los riesgos de seguridad más importantes en aplicaciones web, que se usa como guía en un OWASP Check. Su versión más reciente es la de 2025 y se publica en top10.owasp.org. Entre las comprobaciones habituales están el control de accesos, la inyección SQL, la autenticación, la seguridad de las API, la configuración de servidores, el cifrado de datos, las dependencias vulnerables y el registro de eventos.
No. Pasar un OWASP Check no equivale a obtener una certificación oficial de OWASP ni garantiza que una aplicación esté libre de vulnerabilidades. Demuestra que el software ha pasado una revisión de seguridad, y lo habitual es documentarlo con un informe: vulnerabilidades detectadas, su nivel de riesgo, las correcciones realizadas y el resultado de las pruebas posteriores.
Sí. Cada aplicación que construye Citizen pasa un OWASP Check antes de llegar a producción, tomando como referencia el OWASP Top 10. Recibes el informe con las vulnerabilidades detectadas, su nivel de riesgo, las correcciones realizadas y el resultado de las pruebas posteriores.
Además de pasar un OWASP Check antes de PROD, Citizen construye todas las apps sobre la misma base y con las mismas reglas, lo que cubre por diseño varios puntos del OWASP Top 10: roles y permisos por app, inicio de sesión con la cuenta corporativa de Microsoft, SQL destructivo bloqueado para los bots, secretos en un vault cifrado por proyecto, Test y PROD separados y el código en un repositorio GitHub de tu empresa, listo para revisarlo.
Citizen · IA corporativa en Teams
Citizen es la plataforma de IA corporativa de Q2BSTUDIO para crear aplicaciones desde Microsoft Teams de forma gobernada, y la respuesta a la Shadow AI. Los equipos piden la aplicación que necesitan o arrastran su Excel; Citizen pregunta, propone un plan, espera tu OK y la construye con base de datos SQL Server. Después la publica en Azure: primero en Test y, con tu confirmación, en Producción.
Cualquiera, y sin límite de aplicaciones: pedidos y ventas, reservas y citas, CRM, inventario y almacén, incidencias y soporte, portal del empleado, proyectos y tareas, presupuestos y facturas, paneles y KPIs, formularios y aprobaciones, calidad y auditorías, webs y APIs internas. Cada app nace con las mismas reglas, la misma seguridad y tu imagen de marca.
Sí. Arrastras el Excel al chat de Citizen en Teams y lo analiza hoja a hoja. Propone tablas, roles y plan, y corrige al importar celdas con error, duplicados y valores escritos de formas distintas. Tus datos pasan a SQL Server y la app queda publicada en Azure.
Cada app estrena su propia base de datos SQL Server en Azure (Azure SQL Database), diseñada desde cero (SQL Greenfield) según una normativa común de base de datos: relaciones, campos, tipos de campo, claves e índices, que revisas en el plan antes de construir. El stack por defecto es React + Node en Azure App Service, o el que prefiera tu empresa. Test y Producción tienen cada uno su propia base de datos, con copias de seguridad automáticas.
Sí. En la implantación se definen las reglas de estilo (el Soul de marca): tipografía, colores y componentes de tu identidad corporativa. Citizen las aplica automáticamente a todas las aplicaciones, y los usuarios no pueden cambiarlas, así que todas las apps se ven como tuyas.
Sí. Cada app se publica primero en Test con su URL de pruebas y, al pasar a Producción, puede usar un dominio personalizado de tu empresa, con certificado SSL automático.
Con GitHub. Cada proyecto tiene su propio repositorio en el GitHub de tu empresa, así que cada cambio queda versionado, con su historial completo: se puede revisar, comparar y auditar en cualquier momento.
Nada se ejecuta sin OK PLAN. Las reglas comunes y el Soul de marca están bloqueados, cada app nace con roles y permisos, los bots trabajan con permisos limitados, el SQL destructivo está bloqueado y los secretos se guardan en un vault por proyecto. Pasar a Producción o eliminar recursos de Azure siempre lo decide una persona, y desde Teams decides quién puede usar Citizen.
De tu empresa. Cada proyecto tiene su repositorio en GitHub, auditable y versionado, y la base de datos SQL Server es tuya: puedes exportarla a Excel y conectarla a Power BI, SQL Server Management Studio o tus herramientas habituales. Las apps se publican en la suscripción de Azure de la empresa, con coste y propiedad trazables.
El único requisito es Microsoft Teams. La implantación de Citizen se hace en una semana, para toda la empresa y sin límite de usuarios ni de apps: dejamos configurada la app de Teams de tu empresa, la conexión directa con tu Azure, las reglas de diseño, los requisitos del dossier de cada proyecto y quién puede crear apps.
Es un servicio con tres piezas: implantación (pago único), Agente Q2B (cuota mensual por bloques de usuarios creadores, con mantenimiento y actualizaciones incluidos; quien sólo usa las apps publicadas no cuenta) y consumo de tokens y Azure según el uso. Pídenos los importes o una propuesta para tu caso en q2bstudio.com/contacto.
Shadow AI · Citizen
Saca la IA de la sombra. Ponla a trabajar con tus reglas.
Te enseñamos Citizen funcionando con un caso real de tu empresa, o con tu propio Excel. Implantación en una semana; sólo necesitas Microsoft Teams.