Usuarios empoderados y protección contra la pérdida de datos por GenAI
Cuando las herramientas de IA generativa estuvieron ampliamente disponibles a finales de 2022, no solo los tecnólogos prestaron atención. Empleados de todas las industrias reconocieron de inmediato el potencial de la IA generativa para aumentar la productividad, agilizar la comunicación y acelerar el trabajo. Como tantas oleadas anteriores de innovación tecnológica orientada al consumidor —como el intercambio de archivos, el almacenamiento en la nube y las plataformas de colaboración—, la IA llegó a las empresas no a través de canales oficiales, sino a través de empleados ansiosos por trabajar de manera más inteligente. Ante el riesgo de que datos sensibles fueran introducidos en interfaces públicas de IA, muchas organizaciones respondieron con urgencia y firmeza: bloquearon el acceso. Aunque comprensible como medida defensiva inicial, bloquear aplicaciones públicas de IA no es una estrategia a largo plazo, sino un parche. Y en la mayoría de los casos, ni siquiera es efectivo.
IA sombra: el riesgo invisible
El equipo ThreatLabz de Zscaler ha estado rastreando el tráfico de IA y aprendizaje automático (ML) en las empresas, y los números cuentan una historia convincente. Solo en 2024, ThreatLabz analizó 36 veces más tráfico de IA y ML que el año anterior, identificando más de 800 aplicaciones de IA diferentes en uso. Bloquear no ha impedido que los empleados usen la IA. Envían archivos a cuentas personales, usan sus teléfonos o dispositivos domésticos, y capturan pantallas para ingresarlas en sistemas de IA. Estas soluciones alternativas mueven las interacciones sensibles a las sombras, fuera del alcance de la supervisión y las protecciones empresariales. ¿El resultado? Un punto ciego creciente conocido como Shadow AI. Bloquear aplicaciones de IA no aprobadas puede hacer que el uso parezca cero en los paneles de informes, pero en realidad, su organización no está protegida; solo está ciega a lo que realmente sucede.
Lecciones de la adopción de SaaS
Ya hemos estado aquí antes. Cuando surgieron las primeras herramientas de software como servicio, los equipos de TI se apresuraron a controlar el uso no autorizado de aplicaciones de almacenamiento de archivos en la nube. La respuesta no fue prohibir el intercambio de archivos, sino ofrecer una alternativa segura, fluida y con inicio de sesión único que cumpliera con las expectativas de los empleados en cuanto a conveniencia, usabilidad y velocidad. Sin embargo, esta vez lo que está en juego es aún mayor. Con SaaS, la fuga de datos a menudo significaba un archivo mal colocado. Con la IA, podría significar entrenar inadvertidamente un modelo público con su propiedad intelectual sin posibilidad de eliminar o recuperar esos datos una vez que se han ido. No hay un botón de 'deshacer' en la memoria de un modelo de lenguaje grande.
Primero visibilidad, luego política
Antes de que una organización pueda gobernar inteligentemente el uso de la IA, necesita entender lo que realmente está sucediendo. Bloquear el tráfico sin visibilidad es como construir una valla sin saber dónde están los límites de la propiedad. Ya hemos resuelto problemas como estos antes. La posición de Zscaler en el flujo de tráfico nos brinda un punto de vista incomparable. Vemos qué aplicaciones se están utilizando, por quién y con qué frecuencia. Esta visibilidad en tiempo real es esencial para evaluar el riesgo, dar forma a las políticas y permitir una adopción de IA más inteligente y segura. A continuación, hemos evolucionado la forma en que manejamos las políticas. Muchos proveedores simplemente ofrecen opciones binarias de 'permitir' o 'bloquear'. El mejor enfoque es una gobernanza basada en políticas contextuales que se alinee con los principios de cero confianza, que asumen que no hay confianza implícita y exigen una evaluación contextual continua. No todos los usos de la IA presentan el mismo nivel de riesgo, y las políticas deben reflejarlo. Por ejemplo, podemos proporcionar acceso a una aplicación de IA con una advertencia para el usuario o permitir la transacción solo en modo de aislamiento del navegador, lo que significa que los usuarios no pueden pegar datos potencialmente sensibles en la aplicación. Otro enfoque que funciona bien es redirigir a los usuarios a una aplicación alternativa aprobada por la empresa que se gestione localmente. Esto permite a los empleados obtener beneficios de productividad sin arriesgar la exposición de datos. Si sus usuarios tienen una forma segura, rápida y autorizada de usar IA, no necesitarán evadirlo. Por último, las herramientas de protección de datos de Zscaler permiten que los empleados usen ciertas aplicaciones públicas de IA, pero evitan que envíen inadvertidamente información sensible. Nuestra investigación muestra más de 4 millones de violaciones de prevención de pérdida de datos (DLP) en la nube de Zscaler, lo que representa casos en los que datos empresariales sensibles —como datos financieros, información de identificación personal, código fuente y datos médicos— estaban destinados a ser enviados a una aplicación de IA, y esa transacción fue bloqueada por la política de Zscaler. Se habría producido una pérdida real de datos en estas aplicaciones de IA sin la aplicación de DLP de Zscaler.
Equilibrar la habilitación con la protección
No se trata de detener la adopción de la IA, sino de moldearla de manera responsable. La seguridad y la productividad no tienen por qué estar reñidas. Con las herramientas y la mentalidad adecuadas, las organizaciones pueden lograr ambas cosas: empoderar a los usuarios y proteger los datos. Más información en zscaler.com/security
