Automatizaciones en la sombra: el problema de inventario que nadie asume
El shadow IT solía ser una suscripción SaaS no aprobada. La versión moderna es peor: no una herramienta que alguien compró, sino un proceso que alguien construyó — que corre desatendido, guarda credenciales, escribe en sistemas de producción y no aparece en ningún registro.
Dónde se esconden
Casi nunca en un repositorio. Viven dentro de las plataformas para las que los equipos de negocio ya tienen licencia, que es justo la razón por la que nunca llegan a un comité de revisión.
01 · Orquestación
n8n, Make, Zapier, Power Automate: un escenario programado construido en una tarde, con una API key pegada en un nodo, todavía funcionando dos años después.
02 · Dentro de apps de negocio
Flows de Salesforce, workflows de Zoho, secuencias de HubSpot, reglas de SharePoint. Configuración, no código — así que nadie los trata como software.
03 · Llamadas a modelos
Una API key personal contra un proveedor de modelos, conectada a una hoja de cálculo o a un script programado. Lo bastante barato para no aparecer en ningún radar de compras.
Por qué las construyó negocio — y por qué eso no es el villano
El low-code entregó exactamente lo que prometía: un equipo de marketing que ya no espera dos trimestres una cola en IT. Esa autonomía es una ventaja real, y una política de gobernanza que intente revertirla va a perder — en silencio, en forma de automatizaciones construidas donde no puedes verlas.
El objetivo no es quitar las herramientas. Es que lo que se construya sea visible, tenga dueño y esté acotado.
Las cuatro preguntas que responde un primer escaneo
- ¿Qué automatizaciones existen, en qué plataforma y disparadas por qué?
- ¿De qué sistemas leen y en cuáles escriben?
- ¿Con la credencial de quién funcionan, y esa persona sigue en la empresa?
- ¿Cuáles tocan datos personales, registros de facturación o dinero?
La primera conexión suele sacar a la luz más automatizaciones operativas de las que el CTO esperaba — y las que importan rara vez son las sofisticadas. Son el workflow de dos nodos que replica datos de facturación hacia contabilidad, construido por alguien que ya no está en la empresa, con una credencial que nadie ha rotado desde entonces.
Y esa es la parte incómoda: ninguna de las normativas en vigor acepta «no sabíamos que existía» como respuesta. El art. 30 del RGPD espera esa actividad de tratamiento en un registro. NIS2 la espera en un inventario de activos. DORA, en un registro de activos TIC. El deber no espera al descubrimiento.