Guía de seguridad: riesgos y buenas prácticas al usar herramientas de IA

Integrar herramientas de IA en el trabajo diario o en una empresa introduce riesgos de seguridad y privacidad específicos que conviene entender antes de adoptar cualquier herramienta nueva, más allá de los riesgos de ciberseguridad tradicionales ya conocidos por la mayoría de organizaciones.

Fuga de información confidencial

El riesgo más directo es que empleados introduzcan información confidencial de la empresa (código propietario, datos financieros, estrategia comercial) en herramientas de IA públicas cuyas políticas de privacidad permiten usar esas conversaciones para entrenar futuros modelos, exponiendo esa información fuera del control de la organización.

Inyección de instrucciones maliciosas

Un riesgo más técnico y menos conocido es la inyección de prompts: contenido malicioso oculto en un documento, email o página web que un sistema de IA procesa, diseñado para manipular al modelo y hacer que ejecute acciones no autorizadas por el usuario legítimo del sistema.

Suplantación mediante voz y vídeo sintéticos

La calidad actual de clonación de voz y generación de vídeo con IA ha hecho viables ataques de ingeniería social muy convincentes, como llamadas falsas suplantando a un directivo pidiendo una transferencia urgente, un riesgo que requiere protocolos de verificación adicionales más allá de reconocer una voz familiar.

Dependencia excesiva de sistemas automatizados

Delegar decisiones críticas completamente en sistemas de IA sin supervisión humana adecuada puede generar puntos únicos de fallo, especialmente si el sistema fue manipulado, tiene un error no detectado, o simplemente no está preparado para una situación fuera de los patrones con los que fue entrenado.

Buenas prácticas básicas para empresas

Establecer una política clara sobre qué información puede introducirse en herramientas de IA externas, priorizar planes empresariales con garantías contractuales de privacidad sobre planes gratuitos, y formar al equipo sobre riesgos como la inyección de prompts son medidas de bajo coste con impacto significativo en la reducción de riesgo.

Verificación en procesos sensibles

Para transacciones financieras o cambios de configuración crítica, establecer protocolos de verificación adicional (una llamada de confirmación por un canal distinto, aprobación de más de una persona) reduce significativamente el riesgo de ataques basados en suplantación mediante IA generativa, cada vez más sofisticados y accesibles.

Mantenerse informado sobre nuevas amenazas

El panorama de riesgos asociados a la IA evoluciona rápidamente, con nuevas técnicas de ataque apareciendo con frecuencia. Seguir fuentes especializadas en seguridad de IA y revisar periódicamente las políticas internas de la organización ayuda a mantener las defensas actualizadas frente a un panorama de amenazas en constante cambio.

Auditorías de seguridad específicas para sistemas de IA

Más allá de las auditorías de ciberseguridad tradicionales, las organizaciones que dependen significativamente de IA deberían incluir pruebas específicas de resistencia a inyección de prompts y manipulación del sistema, un área de auditoría relativamente nueva que muchos equipos de seguridad todavía no han incorporado a sus protocolos habituales.

Seguros y cobertura frente a incidentes de IA

El mercado de seguros está empezando a ofrecer pólizas específicas que cubren incidentes relacionados con el uso de IA en una empresa, una consideración adicional para organizaciones que dependen de forma crítica de estos sistemas en sus operaciones diarias y quieren mitigar el riesgo financiero de un incidente grave.

Ejemplo de protocolo de verificación adicional

Antes de ejecutar una transferencia bancaria solicitada por "voz" de un directivo, un protocolo simple pero efectivo consiste en confirmar la solicitud por un canal alternativo ya establecido previamente (una llamada al número de teléfono habitual, no al que aparece en el mensaje sospechoso), un paso que neutraliza la mayoría de intentos de suplantación mediante IA.

Invertir en formación básica de seguridad relacionada con IA para todo el equipo, no solo para el departamento técnico, reduce significativamente el riesgo general de la organización.