Seguridad de la IA | ¿Es la IA una vía directa para la filtración de datos y tecnología? Es prioritario implantar sistemas de prevención

El hecho de que las filtraciones de tecnología se produzcan mediante métodos difíciles de detectar con los sistemas de seguridad tradicionales también aumenta la dificultad de respuesta.

Los sistemas de seguridad tradicionales están diseñados principalmente para controlar la carga o el almacenamiento de archivos. Sin embargo, una proporción considerable de las filtraciones reales de datos y tecnología no se produce mediante archivos, sino al copiar y pegar información, es decir, durante su introducción en los prompts.

Así, las empresas pueden quedar en una situación en la que no solo son incapaces de impedir la filtración, sino que ni siquiera llegan a advertir que se ha producido.

En el proceso de utilización de la IA, los flujos de trabajo cuya visibilidad y control se han debilitado constituyen un factor de riesgo mayor que la propia tecnología.

En entornos empresariales extranjeros se han documentado casos en los que la mera introducción de información en prompts de IA durante la revisión de código o la organización de documentos técnicos expuso al exterior la estructura de algoritmos esenciales.

En el momento en que los empleados introducen información confidencial en un prompt, esta puede quedar fuera del ámbito de control de la empresa.

En función del modo de funcionamiento del servicio de IA, resulta difícil descartar por completo que la información introducida pueda utilizarse para registros o análisis de datos.

Se trata de un método de ataque que, mediante entradas externas, induce a la IA a revelar datos de forma involuntaria o a eludir las reglas internas.

El riesgo aumenta especialmente en tareas automatizadas como la atención al cliente, el resumen de documentos y la verificación de código.

Más allá de un incidente de seguridad menor, esto puede dar lugar al riesgo de que la empresa asuma responsabilidades jurídicas o contractuales no previstas en procesos automatizados de toma de decisiones.

Los resultados generados por la IA aparecen como «contenidos generados secundarios», por lo que resulta muy difícil demostrar posteriormente su identidad con la tecnología original, la vía de filtración y el sujeto responsable.

Por ello, las empresas pueden enfrentarse a los siguientes riesgos de gestión.

La seguridad de la IA ya no se limita al departamento de seguridad de la información ni a determinados responsables, sino que se está convirtiendo en un riesgo de gestión que debe abordarse en toda la empresa.

Cuando se utiliza directamente una IA generativa de acceso público, la información introducida por los empleados se transmite a los servidores de un servicio externo, en lugar de permanecer dentro de la empresa.

Durante este proceso, a la empresa le resulta difícil comprobar o controlar directamente dónde se almacenan estos datos, cómo se tratan e incluso si vuelven a utilizarse para el entrenamiento.

En cambio, en un entorno local en el que la empresa dispone de servidores propios y opera la IA exclusivamente dentro de sus sistemas internos, o en una estructura de IA privada basada en una VPC dedicada que, aunque utilice una nube externa, ejecuta la IA en un espacio independiente y aislado destinado exclusivamente a la empresa, esta puede gestionar directamente el almacenamiento, el tratamiento y el ámbito de acceso a los datos.

Al permitir controlar que los datos no se filtren al exterior, esta estructura ya se está consolidando como una premisa básica y no como una mera opción.

Las políticas y los compromisos por sí solos tienen limitaciones.

Para evitar errores, se necesitan mecanismos físicos de contención que vayan más allá de la mera «disciplina».

Los controles deben funcionar en todas las fases, desde la recopilación de datos hasta el entrenamiento, la inferencia y la eliminación.

La filtración de tecnología y datos causada por la IA generativa ya es un ámbito en el que se exige una asignación clara de responsabilidades.

Es necesario determinar los responsables de las políticas de uso de la IA, el control de acceso y la respuesta ante incidentes, e incorporar aspectos relativos a la IA en sistemas de seguridad existentes como el ISMS-P.

Esto también está directamente relacionado con la estructura de defensa jurídica necesaria para acreditar que, en caso de incidente, la empresa cumplió sus responsabilidades de gestión.

La IA es una herramienta que puede aumentar la competitividad de las empresas, pero, si no se controla, también puede convertirse en la vía más rápida de filtración de información.

Por ello, es importante revisar conjuntamente la estructura de toma de decisiones y el sistema de responsabilidades de la organización.

Para responder a estos cambios, Daeryun Sociedad de Abogados ha creado un grupo de inteligencia de IA y datos y ha establecido un sistema de análisis de casos y gestión de riesgos basado en datos que integra ▲cumplimiento normativo en materia de IA ▲estrategias de IA por sectores ▲ciberseguridad y respuesta ante crisis ▲análisis forense digital&e-discovery.

Si necesita revisar la estructura de uso de la IA, evaluar los riesgos de filtración de datos o diseñar una gobernanza interna de la IA, puede examinar las medidas de respuesta mediante una evaluación integrada desde la perspectiva de las soluciones de seguridad y los riesgos de gestión.