Seguridad de datos e inteligencia artificial

La inteligencia artificial puede ayudar a redactar documentos, analizar información, responder consultas o automatizar procesos.

Sin embargo, cada vez que una persona introduce información en una herramienta de IA puede estar compartiendo datos de clientes, trabajadores, proveedores o de la propia empresa.

Por eso, antes de incorporar estas soluciones, es necesario responder a una pregunta fundamental: ¿sabemos dónde van nuestros datos y qué hace el proveedor con ellos?

¿Qué riesgos existen al compartir datos con una IA?

Un nombre, un correo electrónico, una factura, una grabación o una evaluación laboral pueden contener datos personales.

También existe información que, aunque no sea personal, puede resultar crítica para el negocio:

• Contratos.
• Presupuestos.
• Estrategias comerciales.
• Información financiera.
• Credenciales de acceso.
• Documentación técnica.
• Propuestas para clientes.
• Secretos empresariales.

Introducir estos datos en una plataforma sin revisar previamente sus condiciones puede provocar pérdida de confidencialidad, accesos no autorizados o utilización de la información para finalidades no previstas.

Cinco controles antes de utilizar una herramienta de IA

1. Determinar qué información necesita

No debe compartirse información adicional simplemente porque esté disponible.

La Agencia Española de Protección de Datos recuerda que el principio de minimización exige tratar únicamente los datos necesarios y limitar su accesibilidad y conservación.

Antes de introducir un documento completo, conviene preguntarse si la herramienta necesita realmente toda la información que contiene.

2. Comprobar dónde se almacenan los datos

La empresa debería conocer:

• Dónde están ubicados los servidores.
• Durante cuánto tiempo se conserva la información.
• Si existen transferencias internacionales.
• Qué medidas de seguridad aplica el proveedor.
• Qué sucede con los datos al cancelar el servicio.

3. Revisar quién puede acceder

Los permisos deben asignarse de acuerdo con las funciones de cada trabajador.

No todas las personas necesitan acceso a todas las herramientas, documentos o bases de datos. Aplicar accesos individuales también facilita la trazabilidad y permite identificar posibles usos indebidos.

4. Saber si los datos se utilizan para entrenar modelos

Algunas herramientas pueden utilizar las conversaciones, documentos o instrucciones introducidas para mejorar sus servicios.

La empresa debe revisar las condiciones del proveedor y configurar correctamente las opciones de privacidad antes de autorizar el uso de la plataforma.

5. Establecer cómo se eliminan los datos

Debe existir un procedimiento para borrar información, retirar permisos, cancelar cuentas y finalizar la relación con el proveedor.

También es importante conservar únicamente los datos necesarios durante el tiempo imprescindible.

La ciberseguridad debe cubrir todo el ciclo de vida

La seguridad no termina al contratar una herramienta.

ENISA, la Agencia de la Unión Europea para la Ciberseguridad, recomienda aplicar buenas prácticas durante las diferentes etapas de los sistemas de IA: selección, implantación, utilización, mantenimiento y retirada.

Esto implica revisar periódicamente:

• Los permisos de los usuarios.
• Las actualizaciones de seguridad.
• Los incidentes detectados.
• Los cambios en las condiciones del proveedor.
• Las integraciones con otros sistemas.
• Los datos que sigue necesitando la herramienta.

Crear una política de uso seguro de la IA

Una política interna puede establecer:

• Qué herramientas están autorizadas.
• Qué datos está prohibido introducir.
• Qué tareas requieren supervisión humana.
• Cómo deben comprobarse los resultados.
• Quién autoriza nuevas aplicaciones.
• Cómo se comunican posibles incidentes.

Estas reglas deben coordinarse con el plan de adaptación al Reglamento Europeo de Inteligencia Artificial.

También deben tenerse en cuenta al preparar la infraestructura tecnológica de la pyme para utilizar IA, ya que la protección de los datos depende tanto de las normas internas como de la seguridad de los sistemas.

La seguridad genera confianza

Proteger los datos no debe considerarse un obstáculo para innovar.

Una empresa que establece controles, forma a su equipo y selecciona adecuadamente a sus proveedores puede utilizar la inteligencia artificial con más garantías.

Además, podrá explicar a sus clientes cómo protege su información y qué medidas aplica para evitar usos inadecuados.

Preguntas frecuentes sobre seguridad de datos e IA

¿Se pueden introducir datos personales en una herramienta de IA?

Depende de la finalidad, de la base jurídica, de las condiciones del proveedor y de las medidas de protección aplicadas. No deberían introducirse datos personales sin una revisión previa.

¿Una cuenta de pago garantiza la confidencialidad?

No necesariamente. Es necesario comprobar las condiciones concretas del servicio, su configuración de privacidad y el contrato aplicable.

¿Qué información no debería compartirse?

Como norma general, no debería introducirse información confidencial, credenciales, datos sensibles o documentación de clientes sin autorización y sin comprobar previamente las garantías del proveedor.

Protege los datos de tu empresa al utilizar IA

¿Sabes qué información está compartiendo tu equipo con las herramientas de inteligencia artificial?

En HST revisamos tus soluciones, sus configuraciones y los procesos internos para elaborar una política de uso seguro de la IA adaptada a tu empresa.