La IA abre un nuevo frente de riesgo en las empresas: regalar valor

Un gerente comercial tiene que preparar una propuesta para la reunión de las once. Sube a una herramienta de inteligencia artificial la planilla con el historial de compras del cliente, sus márgenes y sus datos de contacto, y en un minuto tiene un borrador impecable. Hizo bien su trabajo. Y acaba de sacar de la empresa información confidencial y datos personales protegidos por ley. No hubo ataque ni mala intención. Por eso nadie lo vio.

No es un caso aislado. Una encuesta de Telus Digital encontró que casi siete de cada diez empleados que usan IA generativa acceden a asistentes públicos con cuentas personales, y más de la mitad admite haber cargado información sensible: datos personales, información de clientes, márgenes y presupuestos. El fenómeno ya tiene nombre: shadow AI, la inteligencia artificial que se usa en la empresa sin que nadie la haya aprobado. Y tiene costo. Según el último informe de IBM sobre filtraciones de datos, las organizaciones con alto uso de shadow AI pagaron en promedio 670.000 dólares más por cada incidente. El mismo estudio encontró que el 63% de las empresas analizadas no tiene políticas para gobernar el uso de la IA.

En Argentina, además, es un tema legal. La Ley 25.326 de Protección de Datos Personales restringe la transferencia de datos a países sin un nivel de protección adecuado, y Estados Unidos —donde se procesan buena parte de estas herramientas— no figura en la lista oficial. Subir la base de clientes a una de ellas puede ser una transferencia internacional no autorizada, sin contar los acuerdos de confidencialidad con esos mismos clientes.

Prohibir no alcanza 

En la misma encuesta, casi un tercio de los empleados reconoció que su empresa le prohíbe cargar esa información, y lo hace igual. Una política escrita, sola, no protege nada.

La respuesta es gobernar el uso, no negarlo: herramientas aprobadas con licencias empresariales, que ofrecen garantías sobre qué pasa con los datos; una política clara sobre qué se puede compartir y qué nunca; y controles de prevención de pérdida de datos —DLP, por sus siglas en inglés—, que detectan cuando información sensible intenta salir de la organización y la bloquean.

La IA es una de las grandes palancas de productividad de esta década. El desafío no es dejar de usarla, sino usarla sin regalar lo que hace valiosa a la empresa.

Tres preguntas para su equipo técnico

1. ¿Qué herramientas de IA usa hoy nuestra gente —incluidas las que nadie autorizó— y cuáles garantizan que nuestros datos no se usan para entrenar modelos?

2. Si mañana alguien sube la base de clientes a una IA externa, ¿nos enteraríamos? ¿Qué lo detecta o lo bloquea?

3. ¿Sabemos en qué país se procesan esos datos, y eso cumple con la Ley 25.326 y con lo que les prometimos a nuestros clientes?

Si alguna respuesta empieza con "no sé", el problema ya no es tecnológico: es de gestión.

Fuentes útiles 

Ley 25.326 — texto oficial en Infoleg

Lista oficial de países con protección adecuada — Disposición 60-E/2016, artículo 3, texto actualizado

 

(*) Fabio Olivera es Ing en Sistemas, especialista en ciberseguridad y fundador de ScoreFive, una plataforma argentina que evalúa la madurez en ciberseguridad de las empresas combinando inteligencia artificial con revisión experta. Cuenta con más de 15 años de experiencia en gestión de la seguridad de la información, auditoría y ethical hacking. Asesora a organizaciones en la adopción de marcos como ISO 27001, NIST y la normativa del BCRA entre otras.