La inteligencia artificial generativa se ha incorporado rápidamente al día a día de las empresas. Redactar correos electrónicos, resumir documentos, analizar información, preparar informes o generar contenidos son solo algunas de las tareas que actualmente pueden realizarse mediante estas herramientas.
Sin embargo, esta facilidad de uso ha creado un nuevo escenario de riesgo que muchas organizaciones todavía no han identificado correctamente: el prompt se ha convertido en una nueva puerta de entrada y salida de información.
Una simple caja de texto puede contener datos personales, documentación confidencial, secretos empresariales o información sometida al deber de reserva. Por ello, utilizar inteligencia artificial generativa en una organización no consiste únicamente en elegir una herramienta tecnológica. También exige establecer normas, controles y garantías para proteger la información que se introduce en ella.
El prompt: una nueva superficie de riesgo
Durante años, la seguridad de la información se ha centrado principalmente en elementos como los servidores, las contraseñas, los correos electrónicos, los dispositivos, las copias de seguridad o los accesos no autorizados.
La llegada de la inteligencia artificial generativa añade un nuevo elemento a este perímetro: la información que los usuarios introducen directamente en estas herramientas.
Pedir a una IA que resuma un contrato, mejore un correo electrónico o analice un documento puede parecer una acción cotidiana y sin riesgos. Sin embargo, detrás de ese sencillo prompt puede encontrarse información especialmente sensible.
Un trabajador puede copiar datos de clientes, información de empleados, documentos internos, contratos, reclamaciones, informes o estrategias empresariales sin ser plenamente consciente de las implicaciones que puede tener esa acción.
El problema, por tanto, no se encuentra únicamente en la respuesta que genera la herramienta. La cuestión fundamental es qué información se ha enviado previamente, dónde se procesa y bajo qué condiciones se produce ese tratamiento.
¿Qué ocurre cuando un prompt contiene datos personales?
La primera pregunta que debe hacerse cualquier organización es sencilla: ¿la información introducida en la herramienta permite identificar a una persona física?
Si la respuesta es afirmativa, puede existir un tratamiento de datos personales y, por tanto, será necesario analizar las obligaciones establecidas por el Reglamento General de Protección de Datos y la LOPDGDD.
En el contexto de la inteligencia artificial generativa, este análisis no debe limitarse únicamente a la información introducida por el usuario. Es necesario tener en cuenta todo el ciclo de vida de la información.
Un nombre, una dirección de correo electrónico, un número de identificación, una imagen o cualquier otro elemento que permita identificar directa o indirectamente a una persona puede constituir un dato personal.
Además, el riesgo aumenta cuando se introducen categorías especiales de datos, como información relacionada con la salud, ideología, religión, afiliación sindical, orientación sexual o datos biométricos.
También es importante recordar que eliminar un nombre no siempre significa anonimizar correctamente un documento. Una persona puede seguir siendo identificable mediante la combinación de otros elementos, como su puesto de trabajo, determinadas fechas, su ubicación o circunstancias concretas incluidas en el texto.
La información generada por la IA también debe revisarse
El análisis no termina con la información que se introduce en la herramienta. Las respuestas generadas por los sistemas de inteligencia artificial también pueden presentar riesgos.
Una herramienta de IA puede reproducir información, realizar inferencias o generar contenidos incorrectos. Por este motivo, las respuestas obtenidas no deben utilizarse automáticamente como si fueran siempre precisas o fiables.
Este aspecto resulta especialmente relevante cuando la inteligencia artificial se utiliza en ámbitos relacionados con los recursos humanos, la educación, la atención sanitaria, los servicios financieros o cualquier actividad que pueda afectar de forma significativa a las personas.
La supervisión humana continúa siendo fundamental. La inteligencia artificial puede ser una herramienta de apoyo, pero las organizaciones deben establecer mecanismos que permitan revisar y validar los resultados antes de tomar decisiones relevantes.
¿Qué ocurre con la información después de introducirla?
Una de las cuestiones más importantes para las empresas consiste en conocer qué sucede con los datos después de enviar un prompt.
La organización debe conocer dónde se almacena la información, durante cuánto tiempo se conserva, quién puede acceder a ella y si el proveedor puede utilizarla para determinadas finalidades.
También es necesario analizar aspectos relacionados con los subproveedores que intervienen en el servicio, las medidas de seguridad aplicadas y las posibles transferencias internacionales de datos.
En este contexto, el principio de minimización adquiere una importancia todavía mayor. Si una información no es necesaria para obtener el resultado buscado, no debería introducirse en la herramienta.
En muchas situaciones puede ser suficiente trabajar con información previamente anonimizada, resumida o depurada, evitando copiar documentos completos que contienen datos personales o información confidencial.
El riesgo no se limita a la protección de datos
Uno de los errores más habituales consiste en pensar que, si un documento no contiene datos personales, puede introducirse libremente en cualquier herramienta de inteligencia artificial.
Sin embargo, una empresa puede manejar información que no identifica a ninguna persona física y que, aun así, tiene un enorme valor estratégico.
Las estrategias comerciales, los precios, las negociaciones con proveedores, las auditorías internas, el código fuente, las vulnerabilidades tecnológicas o determinados documentos contractuales pueden constituir información confidencial o secretos empresariales.
Permitir que empleados o colaboradores introduzcan este tipo de contenidos en herramientas externas sin ningún tipo de control puede generar importantes riesgos jurídicos, económicos y reputacionales.
La protección de la información empresarial no termina en el RGPD. La confidencialidad, los acuerdos contractuales, el secreto profesional y la protección de los secretos empresariales también deben formar parte de la estrategia de uso de la inteligencia artificial.
Especial atención al secreto profesional y la información sensible
El uso de inteligencia artificial generativa requiere una atención especial en sectores donde existe un deber reforzado de confidencialidad.
Despachos de abogados, centros sanitarios, entidades financieras, aseguradoras, centros educativos o departamentos de recursos humanos manejan habitualmente información que no puede compartirse sin las debidas garantías.
Subir un escrito jurídico a una herramienta de IA, solicitar el análisis de información sanitaria o pedir que se resuma una denuncia interna puede tener consecuencias que van mucho más allá de una posible infracción en materia de protección de datos.
En estas situaciones pueden verse afectados el secreto profesional, las obligaciones contractuales de confidencialidad o los derechos de terceros.
Por ello, antes de utilizar una herramienta de inteligencia artificial, es fundamental analizar qué tipo de información se va a utilizar y qué garantías ofrece el proveedor tecnológico.
La adopción descontrolada de la IA dentro de las empresas
En muchas organizaciones, la incorporación de herramientas de inteligencia artificial se está produciendo de forma espontánea.
Un trabajador descubre una aplicación, comienza a utilizarla para ahorrar tiempo y, progresivamente, otros empleados empiezan a hacer lo mismo.
Todo ello puede ocurrir sin autorización de la empresa, sin análisis jurídico, sin intervención del departamento tecnológico y sin conocimiento del responsable de cumplimiento o del Delegado de Protección de Datos.
Cuando la organización detecta esta situación, es posible que diferentes departamentos ya estén utilizando múltiples herramientas con cuentas personales y sin ningún tipo de supervisión.
Este fenómeno, conocido habitualmente como Shadow AI, representa uno de los principales retos actuales para las empresas.
Además, no todas las versiones de una misma tecnología ofrecen las mismas garantías. Una cuenta gratuita puede tener condiciones diferentes a una solución empresarial, y una herramienta pública no ofrece necesariamente las mismas posibilidades de control que una solución correctamente integrada en el entorno tecnológico de la organización.
La solución no es prohibir toda la inteligencia artificial
Ante estos riesgos, algunas empresas pueden plantearse prohibir completamente el uso de herramientas de inteligencia artificial.
Sin embargo, una prohibición absoluta no siempre elimina el problema. En determinadas situaciones puede provocar precisamente que los trabajadores continúen utilizando estas tecnologías sin conocimiento ni supervisión de la organización.
La alternativa más eficaz consiste en establecer una estrategia de gobernanza de la inteligencia artificial.
Esto significa conocer qué herramientas se utilizan, para qué finalidades se emplean y qué tipo de información puede introducirse en ellas.
La empresa debe establecer reglas claras que permitan diferenciar entre usos permitidos, actividades que requieren autorización previa y situaciones en las que el uso de determinadas herramientas debe estar prohibido.
Una política interna para utilizar la IA de forma segura
El primer paso consiste en asumir una realidad: es posible que la inteligencia artificial ya se esté utilizando dentro de la organización.
Por este motivo, resulta recomendable realizar un análisis inicial que permita conocer qué herramientas utilizan los diferentes departamentos y qué tipo de información se está introduciendo en ellas.
A partir de este análisis, la organización puede establecer una política interna que defina las condiciones de uso de la inteligencia artificial generativa.
Esta política debería establecer, entre otras cuestiones, qué herramientas están autorizadas, qué información puede utilizarse, qué contenidos están prohibidos y cuándo es necesario solicitar autorización antes de utilizar una solución de IA.
La gestión debe basarse en el nivel de riesgo. No es lo mismo utilizar una herramienta para generar ideas a partir de información pública que introducir documentos internos, datos de clientes o información sometida a obligaciones de confidencialidad.
La formación de los trabajadores es fundamental
Una política interna no será suficiente si las personas que utilizan estas herramientas no comprenden los riesgos asociados a su uso.
La formación debe ayudar a los trabajadores a identificar qué tipo de información puede introducirse en una herramienta de IA y cuándo es necesario detenerse antes de copiar y pegar un documento.
Las personas que trabajan con inteligencia artificial deben ser capaces de preguntarse si un texto contiene datos personales, si revela información confidencial, si está sometido a secreto profesional o si existen alternativas para realizar la tarea sin compartir esa información.
También deben conocer qué hacer cuando se produce un error y se introduce información que no debería haber sido enviada.
La alfabetización y la formación en inteligencia artificial se están convirtiendo, por tanto, en una parte esencial de la estrategia de cumplimiento de las organizaciones.
El prompt forma parte del nuevo perímetro de seguridad
La inteligencia artificial generativa no ha creado los problemas relacionados con la confidencialidad o la protección de datos. Lo que ha hecho es facilitar que determinados errores puedan producirse en cuestión de segundos.
Antes, una filtración podía producirse al enviar un correo electrónico al destinatario equivocado o al perder un dispositivo que contenía información sensible.
Ahora, en determinadas circunstancias, basta con copiar y pegar información en una herramienta que no ha sido analizada ni autorizada por la organización.
Por este motivo, el prompt debe considerarse un nuevo punto crítico dentro de la gestión de la información.
En una sencilla caja de texto pueden introducirse datos personales, documentos confidenciales, secretos empresariales, estrategias jurídicas o información especialmente sensible.
La inteligencia artificial no es el problema. El verdadero riesgo aparece cuando se utiliza sin conocer qué ocurre con la información y sin establecer unas reglas claras.
La gobernanza de la IA como parte de la estrategia empresarial
Las empresas que quieran aprovechar las ventajas de la inteligencia artificial generativa deben hacerlo desde una perspectiva que combine innovación, seguridad y cumplimiento normativo.
Conocer qué herramientas se utilizan, analizar los riesgos, seleccionar proveedores adecuados, establecer políticas internas y formar a los equipos son algunas de las medidas necesarias para utilizar estas tecnologías de forma responsable.
La inteligencia artificial puede convertirse en una importante ventaja competitiva, pero su incorporación debe realizarse con las mismas garantías con las que una organización protege el resto de sus activos tecnológicos y de información.
Porque una empresa que no sabe qué herramientas de IA utilizan sus trabajadores, qué información introducen o bajo qué condiciones se procesa no tiene una estrategia de inteligencia artificial. Tiene un riesgo que todavía no ha identificado.
¿Necesitas adaptar el uso de la inteligencia artificial a la normativa?
La incorporación de herramientas de inteligencia artificial en una empresa debe ir acompañada de medidas relacionadas con la protección de datos, la seguridad de la información, la confidencialidad y el cumplimiento normativo.
En FORLOPD ayudamos a las organizaciones a analizar los riesgos asociados al uso de la inteligencia artificial, establecer políticas internas, formar a los equipos y adaptar sus procesos a las obligaciones derivadas del RGPD y de la normativa europea sobre inteligencia artificial.
Contacta con nosotros y asegura el correcto cumplimiento con la normativa de protección de datos
Fuente: Laboratorio AEPD
