El CEO de Mimecast, Ranjan Singh, considera que la IA en la sombra es la principal oportunidad para los socios

Ranjan Singh, CEO de Mimecast, ha identificado la IA en la sombra como la “oportunidad número 1” para los socios, según una entrevista difundida a través de Google News. La afirmación convierte el uso no autorizado de IA de un problema interno de seguridad en una oportunidad de ventas para el canal. También plantea una exigente prueba para los proveedores de servicios gestionados: deben reducir el riesgo para los datos sin bloquear las herramientas que los empleados ya utilizan.

Singh asumió el cargo principal el 25 de junio de 2026, tras desempeñarse como director de producto y tecnología de Mimecast. Su ascenso tuvo efecto inmediato, mientras que el anterior CEO, Marc van Zadelhoff, pasó a ocupar un puesto de asesor del consejo. Mimecast señaló que Singh lideraría la próxima fase de ejecución y crecimiento centrada en la plataforma.

El cambio de liderazgo importa porque Mimecast se está expandiendo más allá de su conocida posición en la seguridad del correo electrónico. Ahora presenta el comportamiento humano, los datos corporativos y la actividad de IA como una única superficie de riesgo conectada. La IA en la sombra, es decir, el uso de sistemas de IA en el lugar de trabajo sin aprobación ni supervisión formal, se sitúa directamente en la intersección de esas categorías.

Esta expansión también coloca a Mimecast en una competencia saturada. Cloudflare, CrowdStrike, Fortinet, Netskope, SailPoint, SentinelOne y otras empresas de seguridad ya promocionan herramientas para detectar o gobernar el uso no autorizado de IA. La oportunidad es real, pero Mimecast no la domina por defecto.

Por tanto, el argumento de Singh para los socios se basa en una disyuntiva. Las organizaciones quieren que los empleados adopten IA rápidamente, pero los equipos de seguridad necesitan visibilidad sobre prompts, archivos, identidades y acciones automatizadas. Los socios que resuelvan esa tensión pueden crear trabajo recurrente de asesoramiento y seguridad gestionada. Quienes se limiten a revender otro panel de control tendrán dificultades para diferenciarse.

El foco de Google News sigue una rápida transición de CEO

El nombramiento de Singh convierte a la IA en la sombra en una de las primeras pruebas de la estrategia de plataforma más amplia de Mimecast bajo su nuevo director ejecutivo.

Mimecast nombró a Singh CEO el 25 de junio, menos de 15 meses después de que se incorporara a la compañía como director de producto y tecnología. La empresa lo describió como un sucesor interno encargado del crecimiento de la plataforma. También lo nombró miembro de su consejo.

Ese calendario da a su mensaje sobre la IA en la sombra más peso que el de una presentación rutinaria de producto. Un nuevo director ejecutivo está utilizando el tema para definir dónde deberían encontrarse Mimecast, sus socios y su plataforma en expansión. El titular de Google News recoge la promesa comercial, pero la estrategia subyacente va más allá de vender un único control.

Singh sostiene que las organizaciones afrontan un riesgo combinado que involucra a las personas, la información y la IA. Esa formulación coincide con el intento de Mimecast de ir más allá de la protección aislada del correo electrónico. Considera que un empleado que pega material confidencial en un chatbot público constituye al mismo tiempo un evento de comportamiento, un movimiento de datos y un fallo de gobernanza de IA.

Este enfoque es valioso para los socios porque los clientes rara vez compran un concepto abstracto llamado seguridad de IA en la sombra. Necesitan ayuda para descubrir aplicaciones, clasificar información sensible, establecer políticas, responder a infracciones y medir la adopción. Cada tarea puede convertirse en una evaluación, un proyecto de integración o un servicio gestionado.

Mimecast ya tiene acceso a señales de comunicación y colaboración que pueden respaldar ese enfoque. Su desafío consiste en convertir esas señales en controles útiles para navegadores, aplicaciones de IA, agentes y flujos de datos corporativos. La visibilidad del correo electrónico por sí sola no revela todos los prompts enviados mediante una cuenta personal ni todos los modelos conectados mediante una interfaz de programación de aplicaciones.

El ascenso también preserva la continuidad. Singh no llegó como un externo con un plan de transformación desconectado. Ayudó a definir la dirección de producto que ahora debe comercializar. Esto puede acortar la brecha entre el mensaje ejecutivo y la ejecución del producto, aunque también implica que la nueva estrategia merece ser examinada frente a las capacidades ya anunciadas.

Antes de que Singh se convirtiera en CEO, Mimecast presentó productos centrados en el riesgo humano y las operaciones de seguridad asistidas por IA. Su asistente Mihra y Human Risk Command Center reflejaron el esfuerzo de la compañía por correlacionar señales de seguridad y priorizar comportamientos de riesgo. Mimecast también ha hablado de controles para reconocer actividad no autorizada de IA generativa.

La cuestión estratégica es si esas piezas forman una capa operativa coherente para los socios. Una colección de alertas puede revelar riesgos sin ayudar a un proveedor de servicios a remediarlos. Los socios necesitan flujos de trabajo de políticas, informes por cliente, integraciones, administración delegada y pruebas de que las intervenciones reducen la exposición.

El lenguaje de “oportunidad número 1” de Singh eleva ese nivel de exigencia. Sugiere que la IA en la sombra no es un complemento secundario de un contrato de correo electrónico. Se supone que debe respaldar una práctica de seguridad más amplia que los socios puedan evaluar, desplegar y operar a lo largo del tiempo.

Por qué la IA en la sombra se ha convertido en un problema para el canal

El uso no autorizado de IA es difícil porque el comportamiento empresarial que crea el riesgo suele parecer productivo, no malicioso.

Los empleados recurren a chatbots públicos, asistentes de reuniones, sistemas de programación y herramientas de documentos porque ahorran tiempo. Un representante de ventas puede resumir un intercambio con un cliente. Un ingeniero puede pedir a un modelo que diagnostique código propietario. Un directivo puede cargar un documento confidencial de planificación para analizarlo.

Cada acción puede generar exposición cuando la herramienta, la cuenta o el flujo de datos queda fuera de los controles aprobados. Sin embargo, una prohibición general suele empujar ese mismo comportamiento aún más fuera de la vista. Entonces, el equipo de seguridad pierde la limitada supervisión que tenía anteriormente.

Los propios hallazgos de riesgo humano de Mimecast de 2025 indicaron que el 80 por ciento de los incidentes de seguridad fueron causados por el 8 por ciento de los usuarios. Se trata de un hallazgo patrocinado por la empresa, no de una medición universal. Aun así, ilustra por qué Mimecast conecta el comportamiento individual con resultados de seguridad más amplios.

Su informe también indicó que el 95 por ciento de las organizaciones encuestadas utilizaba IA en ciberseguridad. Esto otorga a la tecnología un doble papel. Los defensores utilizan IA para clasificar amenazas e investigar actividad, mientras que empleados y atacantes emplean capacidades similares de formas que crean nuevas exposiciones.

Informes más recientes del sector muestran con qué rapidez las cuentas personales de IA pueden complicar la gobernanza. Los datos de Netskope de 2026, resumidos en un informe sobre el uso personal de IA, revelaron que el 47 por ciento de los usuarios de IA generativa accedía a aplicaciones personales. La organización promedio analizada registró 223 incidentes mensuales de políticas relacionados con datos sensibles enviados a aplicaciones de IA.

Estas cifras proceden del entorno de clientes de un proveedor, por lo que no deben aplicarse a todas las organizaciones. No obstante, describen una oportunidad práctica de servicio. Los clientes necesitan que alguien inventaríe las herramientas, distinga los usos aceptables de los peligrosos y ajuste la aplicación de controles sin interrumpir el trabajo legítimo.

Los socios están bien posicionados porque ya gestionan sistemas de identidad, defensas de correo electrónico, prevención de pérdida de datos, acceso seguro, navegadores y controles de endpoints. La IA en la sombra atraviesa todos esos ámbitos. Un cliente puede disponer de los productos necesarios, pero carecer de las personas o del modelo operativo para conectarlos.

Esa brecha cambia la conversación comercial. El servicio no consiste simplemente en “bloquear ChatGPT”. Comienza con el descubrimiento y continúa con la clasificación de datos, las políticas de acceso, la orientación a empleados, la respuesta a incidentes y la revisión recurrente.

Un MSP puede ayudar a un cliente a crear un catálogo de IA aprobada, definir qué información corresponde a cada aplicación e identificar cuentas personales de riesgo. Un MSSP puede supervisar infracciones de políticas e investigar patrones inusuales de prompts o cargas. Un socio de consultoría puede vincular esos controles con requisitos legales, contractuales y sectoriales.

Estos trabajos requieren un contexto que un proveedor de software no puede aportar por sí solo. Un hospital, una empresa manufacturera, un bufete de abogados y una empresa de software no comparten la misma información sensible ni el mismo flujo de trabajo de IA aceptable. Los socios pueden traducir controles generales en decisiones específicas para cada cliente.

La presión recae tanto en los equipos de seguridad como en las empresas del canal. Los clientes deben responder a una adopción de IA que ya está ocurriendo. Los socios deben desarrollar experiencia antes de que los proveedores de nube y seguridad empaqueten el mismo trabajo en servicios nativos más sencillos.

La principal competencia es la gobernanza frente a la prohibición

La propuesta de valor más sólida para los socios es una adopción de IA gobernada, no una versión más dura de la prohibición tradicional de software.

Las organizaciones ya han visto este patrón con la TI en la sombra. Los empleados adoptaron aplicaciones de intercambio de archivos, plataformas de mensajería y productos de software como servicio más rápido de lo que los equipos centrales podían aprobarlos. Los proveedores de seguridad respondieron con herramientas de descubrimiento, controles de acceso y políticas de datos.

La IA generativa repite esa historia con una interfaz más sensible. Los usuarios no se limitan a almacenar archivos en una aplicación. Introducen preguntas, material de origen, información de clientes y código en sistemas que producen contenido nuevo. Los agentes de IA también pueden conectarse a herramientas y realizar acciones mediante los permisos concedidos.

Esto hace que el desafío de gobernanza sea más dinámico. Una aplicación de IA aprobada aún puede utilizarse de manera insegura. A la inversa, una herramienta no aprobada no participa automáticamente en una filtración. Los equipos de seguridad deben evaluar al usuario, los datos, el destino, el tipo de cuenta y la acción.

Mimecast afirma que las organizaciones pueden establecer visibilidad, control y gobernanza para la IA en la sombra. Su enfoque se basa en señales de comunicación y riesgo humano, en lugar de tratar cada aplicación como un destino aislado. Esto ofrece una base plausible, pero las afirmaciones de la compañía aún requieren validación por parte de los clientes.

Los socios deben determinar si la plataforma puede responder preguntas operativas. ¿Puede identificar una cuenta personal de IA por separado de una gestionada? ¿Puede reconocer cargas sensibles antes de que salgan los datos? ¿Puede aplicar políticas distintas a un desarrollador, un abogado y un empleado de marketing? ¿Puede explicar por qué un evento fue clasificado como riesgoso?

Las respuestas importan porque los falsos positivos también generan costes empresariales. Una regla que interrumpe el trabajo seguro con demasiada frecuencia anima a los usuarios a buscar otra vía. Una política que permite demasiado puede convertir la gobernanza en teatro.

Por eso la prohibición es el adversario principal equivocado. La demanda de asistencia de IA no está esperando una arquitectura de seguridad perfecta. Los empleados con plazos ajustados seguirán buscando formas más rápidas de resumir, buscar, programar y redactar.

Un incidente reportado hizo visible esa tensión de forma especialmente clara. A comienzos de 2026, expertos en seguridad criticaron al jefe interino de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos después de que, según informes, se cargaran documentos sensibles en una versión pública de ChatGPT. Un especialista en amenazas de Mimecast declaró a la publicación que cubrió la carga de documentos que los trabajadores suelen actuar bajo presión por eficiencia, no con intención maliciosa.

El caso demuestra por qué los documentos de políticas son insuficientes. El personal directivo puede eludir las salvaguardas incluso cuando comprende la seguridad. Por tanto, los controles técnicos deben funcionar junto con alternativas aprobadas, orientación clara y consecuencias proporcionales al riesgo.

Para los socios, el modelo práctico es una ruta controlada hacia la adopción. Pueden ayudar a los clientes a seleccionar sistemas aprobados, configurar cuentas empresariales, limitar entradas sensibles y supervisar comportamientos excepcionales. También pueden registrar decisiones de políticas en una base de conocimientos con capacidad de búsqueda, para que los empleados encuentren orientación actualizada en lugar de depender de formaciones obsoletas.

La gobernanza también ofrece a los socios un negocio recurrente mejor que una lista de bloqueo puntual. Los productos, modelos, plugins y agentes de IA cambian con frecuencia. Los clientes necesitan revisar sus políticas a medida que las herramientas incorporan nuevos conectores u opciones de manejo de datos.

La disyuntiva nunca desaparece. Los responsables de seguridad deben aceptar cierto riesgo gestionado para preservar la productividad. Los líderes empresariales deben aceptar controles que ralentizan o redirigen determinados flujos de trabajo. El valor del socio reside en hacer ese compromiso explícito, medible y ajustable.

Mimecast se enfrenta a un saturado mercado de seguridad de IA

La demanda de shadow AI no garantiza a Mimecast una posición de liderazgo, porque los principales proveedores de seguridad convergen en los mismos puntos de control.

El panorama competitivo ya es amplio. Cloudflare promueve el descubrimiento y la aplicación de políticas mediante su plataforma de red y acceso seguro. Netskope pone el acento en la inspección del tráfico en la nube y la web. CrowdStrike y SentinelOne aportan telemetría de endpoints, contexto de identidad y flujos de trabajo de operaciones de seguridad.

SailPoint aborda el problema desde la gobernanza de identidades. Fortinet conecta los controles de IA con su cartera más amplia de redes y seguridad. Los proveedores especializados en seguridad de datos se centran en descubrir información sensible antes de decidir qué actividad de IA requiere intervención.

Un resumen de 2026 sobre proveedores de seguridad de IA mostró hasta qué punto se ha homogeneizado el lenguaje del mercado. El descubrimiento, los controles en tiempo real, la protección de prompts, la supervisión de agentes y las salvaguardas de datos aparecen ahora en múltiples carteras.

La posible ventaja de Mimecast es su familiaridad con el riesgo de las comunicaciones humanas. Los sistemas de correo electrónico y colaboración proporcionan un contexto valioso sobre suplantación de identidad, phishing, intercambio de datos y comportamiento de los empleados. Muchos incidentes relacionados con IA comienzan o terminan en esos mismos flujos de trabajo.

Sin embargo, esa ventaja tiene límites. Shadow AI puede operar en navegadores, entornos de programación, plataformas en la nube, aplicaciones locales y conexiones automatizadas de agentes. Un proveedor centrado en la seguridad de las comunicaciones necesita integraciones o puntos adicionales de aplicación para cubrir esa actividad.

Aquí es donde los socios pueden reforzar o dejar en evidencia la posición de Mimecast. Pueden combinar sus señales con controles de identidad, endpoints, navegadores, redes y datos. También pueden comparar alertas solapadas y decidir qué plataforma debe dirigir la respuesta.

Ese trabajo de integración genera ingresos, pero también puede dificultar la diferenciación entre proveedores. Si un socio debe ensamblar cinco productos para ofrecer una gobernanza útil, los clientes pueden preferir al proveedor que ya controla la capa de navegador, endpoint, red o identidad.

Por tanto, los socios deben evaluar el encaje operativo de Mimecast en lugar de basarse en la etiqueta de la “oportunidad n.º 1”. Deben probar el esfuerzo de despliegue, la precisión de las políticas, la separación administrativa, los informes y la remediación. También deben examinar si las licencias y las reglas del programa respaldan un servicio gestionado rentable, sin asumir que la demanda produce automáticamente margen.

La preparación del canal es otra variable. Un producto puede funcionar bien para un cliente empresarial directo y, aun así, resultar incómodo para un MSP que atiende a muchos tenants. Los proveedores de servicios necesitan una configuración coherente, supervisión centralizada, automatización y rutas de escalado claras.

Mimecast ya ha presentado la expansión de su plataforma como una oportunidad para los socios. En 2025, su liderazgo de canal sostuvo que el avance de la empresa más allá de la seguridad básica del correo electrónico podría crear nuevos servicios para los MSP. El enfoque de Singh en shadow AI agudiza ese mensaje anterior.

Los competidores están haciendo el mismo cálculo. SentinelOne, por ejemplo, ha informado de que grandes socios MSSP están expandiéndose más allá de la seguridad de endpoints hacia ofertas de datos, nube e IA. Ese patrón muestra que los socios desean cada vez más plataformas consolidadas, pero no identifica qué plataforma ganará.

Los clientes pueden terminar eligiendo distintos centros de control. Una organización puede liderar con acceso seguro, otra con identidad y otra con seguridad de datos. Mimecast debe demostrar que el contexto del riesgo humano mejora los resultados lo suficiente como para merecer un papel central.

La oportunidad depende de la evidencia, no de la alarma

La tesis de Singh solo resulta creíble cuando los socios pueden demostrar una menor exposición, políticas utilizables y una economía de servicios sostenible.

La expresión shadow AI puede fomentar narrativas de amenaza exageradas. No todo prompt no autorizado filtra datos confidenciales. No toda cuenta personal de IA provoca un incidente. Los totales de descubrimiento también pueden parecer dramáticos sin mostrar gravedad ni impacto empresarial.

Los proveedores de seguridad se benefician cuando los clientes perciben un riesgo en rápida expansión. Ese incentivo comercial no invalida la amenaza, pero hace esencial la medición. Los socios deben distinguir entre descubrimiento de aplicaciones, infracciones de políticas, movimientos confirmados de datos sensibles e incidentes de seguridad reales.

Estas categorías requieren respuestas diferentes. Descubrir una herramienta de resumen no aprobada puede justificar una conversación. Detectar credenciales cargadas en un modelo público puede requerir contención inmediata. Tratar ambas situaciones como equivalentes abruma a los analistas y debilita la confianza.

El mismo escepticismo debe aplicarse a las defensas asistidas por IA. Mimecast afirma que su agente Mihra AI puede mejorar hasta siete veces la velocidad de investigación para los usuarios de su Human Risk Command Center. Se trata de una afirmación del proveedor, no de un resultado establecido de forma independiente en entornos de clientes.

Una investigación más rápida solo es útil si el sistema identifica los eventos correctos y proporciona a los analistas pruebas fiables. Una conclusión rápida pero imprecisa puede generar más trabajo. Los socios necesitan datos de pilotos que muestren cómo cambia el rendimiento bajo cargas de trabajo realistas.

También deben examinar las implicaciones de privacidad de la supervisión conductual. Los sistemas de riesgo humano correlacionan acciones individuales para estimar la exposición. Esto puede ayudar a orientar la formación y los controles, pero también puede generar preocupaciones sobre vigilancia de empleados, puntuaciones opacas y trato injusto.

La gobernanza debe abarcar el propio sistema de seguridad. Los clientes necesitan saber qué eventos se recopilan, durante cuánto tiempo se retienen los datos, quién puede acceder a las puntuaciones de riesgo y cómo los empleados pueden impugnar errores. Los requisitos regionales en materia laboral y de privacidad pueden alterar qué tipo de supervisión es apropiada.

La llegada de agentes autónomos añade otra incertidumbre. Mimecast ha destacado la convergencia del riesgo humano, de datos y de IA, pero un agente puede actuar con permisos persistentes y una participación humana directa limitada. Los controles diseñados en torno al comportamiento de los empleados deben adaptarse cuando las identidades de software inician la acción.

Los datos comunicados en 2026 ilustran la brecha. Mimecast afirmó que el 80 por ciento de las empresas Fortune 500 tenían agentes en entornos activos, mientras que solo el 14 por ciento contaba con aprobación total de seguridad. Esas cifras se repitieron en la cobertura sobre seguridad de agentes, pero siguen siendo cifras proporcionadas por el proveedor.

Aunque los porcentajes exactos varíen, el problema arquitectónico es claro. Los agentes pueden acceder a archivos, aplicaciones y credenciales mientras operan más rápido que los procesos de revisión convencionales. Por tanto, la gobernanza de shadow AI debe abarcar tanto las aplicaciones no autorizadas como los agentes autorizados que actúan más allá de los límites previstos.

Esto crea un modelo de servicio más exigente. Los socios necesitan inventarios de identidad para agentes, revisiones de permisos, registro, controles de datos y procedimientos de incidentes. También deben distinguir entre un empleado que usa un chatbot no aprobado y un agente aprobado que realiza una acción inesperada.

La amplia plataforma de riesgo de Mimecast puede respaldar ese modelo, pero su nuevo CEO aún no ha consolidado liderazgo de mercado. La empresa debe traducir una narrativa ambiciosa en controles que funcionen en identidades humanas y de máquinas.

Los socios deben exigir resultados medibles. Entre los indicadores útiles figuran menos transferencias confirmadas de datos sensibles, tiempos de investigación más cortos, un mayor uso de herramientas de IA aprobadas y menores tasas de infracciones reiteradas de políticas. Los recuentos de aplicaciones descubiertas por sí solos no demuestran una mejora.

Qué deben vigilar los socios a continuación

La siguiente etapa se decidirá por la cobertura de producto, la ejecución de los socios y el comportamiento de los clientes, no por otra oleada de titulares sobre shadow AI.

La primera señal es la entrega de productos de Mimecast bajo Singh. Los socios deben estar atentos a una cobertura más profunda de la actividad de los navegadores, las identidades de agentes, los datos de prompts y las acciones automatizadas. También deben buscar integraciones que conecten las señales de riesgo humano de Mimecast con plataformas de identidad, endpoints, red y seguridad de datos.

Una cobertura más sólida respaldaría la afirmación de Singh de que Mimecast puede abordar la superficie combinada de riesgo humano, de datos y de IA. Una visibilidad limitada fuera del correo electrónico y la colaboración la debilitaría. Las demostraciones técnicas deben mostrar flujos reales de políticas y remediación, no solo paneles de control.

La segunda señal es el empaquetado para socios. Mimecast y sus empresas de canal deben definir servicios repetibles en torno al descubrimiento, la evaluación, la gobernanza y la supervisión continua. La evidencia debe incluir tiempo de despliegue, carga de trabajo de los analistas, retención de clientes y reducción de riesgo medible.

Una oferta repetible convertiría shadow AI en ingresos recurrentes. Una serie de proyectos de consultoría personalizados aún podría aportar valor, pero sería más difícil de escalar. Los socios también deben vigilar si Mimecast proporciona administración para múltiples clientes y automatización adecuadas para servicios gestionados.

La tercera señal es el comportamiento de los clientes. La cuestión clave es si las organizaciones trasladan a los empleados hacia sistemas de IA aprobados después de ganar visibilidad. Un menor uso de cuentas personales, combinado con una mayor adopción de herramientas gobernadas, respaldaría el modelo de gobernanza.

Una simple disminución de la actividad de IA detectada podría significar que los empleados dejaron de usar las herramientas. También podría significar que se trasladaron a canales que la pila de seguridad no puede observar. Los socios deben comparar la telemetría de seguridad con entrevistas, inventarios de aplicaciones y datos de adopción empresarial.

Google News seguirá mostrando afirmaciones sobre incidentes de shadow AI, nuevos controles e impulso de los proveedores. La evidencia más valiosa provendrá de si los clientes pueden mantener un uso productivo de la IA mientras reducen el movimiento de datos no rastreado.

Singh ha identificado una oportunidad creíble para el canal. La adopción de IA atraviesa la seguridad, la identidad, los datos y el comportamiento de los empleados, lo que crea trabajo que pocos clientes pueden gestionar solo mediante software. Mimecast también entra en la competencia con relaciones establecidas y datos sobre el riesgo de las comunicaciones.

Sin embargo, la “oportunidad n.º 1” sigue siendo una afirmación estratégica. Cloudflare, CrowdStrike, Fortinet, Netskope, SailPoint, SentinelOne y proveedores especializados persiguen los mismos presupuestos. Algunos controlan una mayor parte de las capas de red, endpoint, identidad o datos donde se produce la aplicación de controles.

Los socios deben responder con pruebas disciplinadas. Inventaríen el uso de IA del cliente, identifiquen los datos que realmente requieren protección y comparen los resultados de las políticas en flujos de trabajo reales. Construyan una ruta aprobada antes de bloquear alternativas inseguras y, después, midan si los usuarios la siguen.

La pregunta decisiva no es si shadow AI existe. Es si un socio puede hacer que el uso de IA sea más seguro sin convertir la seguridad en un obstáculo que los empleados eludan. Para los lectores que siguen la historia a través de Google News, ese es el criterio con el que debe juzgarse la oportunidad de Singh.