La IA generativa (GenAI) ha pasado de ser un experimento personal en hogares y dispositivos privados a convertirse en una herramienta profundamente integrada en los hábitos laborales. Si bien ha generado ganancias de productividad, también ha expuesto a las organizaciones a brechas de seguridad significativas. Datos sensibles de la empresa, de forma accidental o no, terminan regularmente en sistemas de IA públicos, lo que obliga a los líderes de TI y ciberseguridad a actuar con rapidez.
Una vez que los datos propietarios son procesados por una herramienta de IA pública, pueden pasar a formar parte de los datos de entrenamiento del modelo, quedando a disposición de otros usuarios. Por ejemplo, en marzo de 2023, se reportó que una multinacional fabricante de electrónica sufrió varios incidentes en los que empleados ingresaron datos confidenciales, incluido código fuente de productos, en ChatGPT. Las aplicaciones de IA generativa, como los modelos de lenguaje de gran escala, están diseñadas para aprender de las interacciones. Ninguna empresa quiere entrenar aplicaciones de IA públicas con datos propietarios.
Ante el riesgo de perder secretos comerciales u otros datos valiosos, muchas organizaciones optaron por bloquear el acceso a las aplicaciones de IA generativa. Esta medida pretendía frenar el flujo de información sensible hacia plataformas no autorizadas, pero ha resultado ineficaz y ha llevado a que los empleados busquen alternativas, utilizando dispositivos personales, enviando datos a cuentas privadas o incluso tomando capturas de pantalla para subirlas fuera de los sistemas monitoreados. Este comportamiento subterráneo ha generado un punto ciego conocido como 'Shadow AI' (IA en la sombra).
Además, al bloquear el acceso, los líderes de TI y seguridad pierden visibilidad sobre lo que realmente ocurre, sin gestionar de manera efectiva los riesgos de seguridad y privacidad de los datos. Esta medida también sofoca la innovación y las ganancias de productividad.
Un enfoque estratégico para abordar los riesgos de la IA
Mitigar eficazmente los riesgos derivados del uso de la IA por parte de los empleados requiere un enfoque multifacético centrado en la visibilidad, la gobernanza y la habilitación de los empleados.
El primer paso es obtener una imagen completa de cómo se utilizan las herramientas de IA en toda la organización. La visibilidad permite a los líderes de TI identificar patrones de actividad de los empleados, señalar comportamientos de riesgo (como intentos de subir datos sensibles) y evaluar el impacto real del uso de aplicaciones de IA públicas. Sin este conocimiento fundamental, las medidas de gobernanza están condenadas al fracaso porque no abordan el verdadero alcance de las interacciones de los empleados con la IA.
El siguiente paso crítico es desarrollar políticas adaptadas. Las organizaciones deben evitar las prohibiciones generales y, en su lugar, las políticas deben enfatizar controles contextuales. Para las aplicaciones de IA públicas, se pueden implementar técnicas de aislamiento del navegador que permitan a los empleados usar estas aplicaciones para tareas generales sin poder cargar ciertos tipos de datos de la empresa. Alternativamente, los empleados pueden ser redirigidos a plataformas de IA autorizadas y aprobadas por la empresa que ofrezcan capacidades similares, garantizando la productividad sin exponer información propietaria. Mientras que algunos roles o equipos pueden requerir un acceso matizado a aplicaciones específicas, otros pueden necesitar restricciones más estrictas.
Para prevenir el uso indebido, las organizaciones deben implementar mecanismos sólidos de prevención de pérdida de datos (DLP) que identifiquen y bloqueen los intentos de compartir información sensible con plataformas de IA públicas o no autorizadas. Dado que la divulgación accidental es una de las principales causas de filtraciones de datos relacionadas con la IA, habilitar la aplicación de DLP en tiempo real puede ser una red de seguridad que reduzca el potencial de daño para la organización.
Por último, los empleados deben ser educados sobre los riesgos inherentes de la IA y las políticas diseñadas para mitigarlos. La capacitación debe incluir orientación práctica –qué se puede y qué no se puede hacer de forma segura con la IA– junto con una comunicación clara sobre las consecuencias de exponer datos sensibles. La concienciación y la responsabilidad deben ir de la mano con las protecciones impulsadas por la tecnología para completar la estrategia de defensa.
Equilibrando innovación y seguridad
La IA generativa ha cambiado fundamentalmente la forma en que los empleados trabajan y las organizaciones funcionan, ofreciendo oportunidades transformadoras junto con riesgos notables. La respuesta no es rechazar esta tecnología, sino adoptarla de manera responsable. Las organizaciones que se centren en la visibilidad, implementen políticas de gobernanza reflexivas y eduquen a sus empleados pueden lograr un equilibrio que fomente la innovación mientras protegen los datos sensibles.
El objetivo no debería ser elegir entre seguridad y productividad, sino crear un entorno donde ambas coexistan. Las organizaciones que logren este equilibrio se posicionarán a la vanguardia de un panorama digital en rápida evolución. Al mitigar los riesgos de la Shadow AI y permitir una adopción segura y productiva de la IA, las empresas pueden convertir la IA generativa en una oportunidad en lugar de una responsabilidad, asegurando su éxito a futuro.
Para obtener más información, visite zscaler.com/security
