¿Qué pasa cuando los empleados usan IA que la empresa no conoce?
El uso de aplicaciones externas de IA puede exponer información corporativa mientras dificulta a las organizaciones saber qué herramientas utilizan sus trabajadores y para qué fines.
El uso de herramientas de inteligencia artificial no autorizadas por las organizaciones está generando dos riesgos simultáneos para las empresas: la posible exposición de información corporativa y una creciente falta de visibilidad sobre cómo, dónde y con qué propósito se están utilizando estos servicios. Así lo advierte Rafael Peruch, CISO Advisor de KnowBe4, en entrevista exclusiva con Radar Tecnológico.
Según Peruch, los empleados recurren a aplicaciones de IA externas principalmente por la presión de mejorar su productividad y porque, en algunos casos, las organizaciones todavía no cuentan con políticas o una gobernanza suficientemente desarrolladas para orientar su utilización.
En otros, las reglas existentes son tan restrictivas que los usuarios optan por herramientas no aprobadas para realizar sus tareas con mayor facilidad.
La falta de visibilidad amplía el riesgo sobre los datos.
El problema no se limita a la información que los trabajadores introducen en estas aplicaciones. También existe una brecha de visibilidad que impide a las compañías conocer qué herramientas están utilizando sus empleados y qué información están compartiendo.
“Está este riesgo de exfiltración de datos, de información. Pero también una brecha de visibilidad porque si la organización no tiene la capacidad efectivamente de monitorear si la gente está haciendo eso tampoco tiene conocimiento sobre qué se está pasando”.
La situación adquiere mayor relevancia cuando están involucrados datos de clientes, información financiera, proyectos, productos o código de software. El ejecutivo señala que el uso de aplicaciones no controladas puede comprometer la trazabilidad de esos datos y, en el caso de información personal, generar riesgos asociados al cumplimiento de las regulaciones de protección de datos que avanzan en distintos países de América Latina.
Peruch menciona entre estos marcos regulatorios a Brasil, Chile, Argentina, México y Colombia, y advierte que la pérdida de control sobre la información puede traducirse no solo en riesgos de seguridad, sino también en impactos financieros y de credibilidad para las organizaciones.
Las empresas buscan equilibrar seguridad y operación.
El desafío, sin embargo, no consiste únicamente en restringir el acceso. Para el ejecutivo, las empresas deben encontrar un equilibrio entre seguridad y las necesidades reales de sus trabajadores. Esto implica comprender cómo se utiliza la IA en el negocio y establecer directrices que permitan aprovecharla sin crear controles que dificulten innecesariamente la operación.
“Es permitir que se pueda favorecer la velocidad del negocio y la continuidad del negocio, conociendo el negocio y ahí poniendo las directrices ideales para que sean seguras”.
Ese equilibrio también será necesario ante la expansión de los agentes de inteligencia artificial, que ya comienzan a operar junto con los empleados y a acceder a información y sistemas corporativos. Para Peruch, estos agentes deben incorporarse al modelo de gestión de riesgos de las compañías como parte de una fuerza laboral híbrida.
La preocupación en este caso cambia: mientras con los empleados es necesario trabajar en concientización y comportamiento, con los agentes resulta fundamental conocer qué hacen, con qué frecuencia se utilizan, qué información reciben y qué permisos tienen dentro de los sistemas.
El mínimo privilegio también alcanza a los agentes.
En ese contexto, Peruch plantea aplicar también a los agentes el principio de mínimo privilegio, de manera que sus cuentas de servicio y accesos no dispongan de permisos superiores a los necesarios. Un agente creado para una tarea específica, pero que permanece activo con privilegios elevados, podría convertirse en un punto de riesgo si es utilizado de manera maliciosa.
Frente a este escenario, la recomendación de KnowBe4 parte de un autodiagnóstico de la organización para entender sus procesos, aplicaciones, necesidades tecnológicas y formas de utilización de la IA.
A partir de allí, plantea establecer políticas y procedimientos, comunicarlos de forma comprensible a los empleados y proporcionar los recursos necesarios para que puedan trabajar dentro de los límites definidos.
La gestión de IA requiere pasar de la conciencia al comportamiento.
La concientización ocupa un lugar importante en ese proceso, pero Peruch advierte que conocer un riesgo no necesariamente conduce a un comportamiento seguro. Por eso plantea avanzar desde la conciencia hacia el comportamiento y, finalmente, hacia una cultura de ciberseguridad.
“Tenemos que buscar maneras de modificar el comportamiento de los usuarios para que lleguen efectivamente a una cultura segura de cómo se portan y cómo utilizan la tecnología”.
El mismo principio, sostiene, debe aplicarse a la gestión de la inteligencia artificial. La expansión de estas herramientas y de los agentes no implica necesariamente una ampliación inevitable del riesgo, pero sí exige que las organizaciones conozcan cómo están siendo utilizadas y ajusten sus controles, procesos y formación a esa nueva realidad.
Para Peruch, la IA representa en última instancia una oportunidad para potenciar el trabajo, siempre que su adopción esté acompañada por una gestión adecuada de los datos, los accesos, los procesos y el comportamiento de quienes la utilizan: “No se puede controlar lo que no se puede medir”, concluye.
Ver la entrevista en Youtube
Escuchar en Spotify
|
|
| Recomendados | ||
|
|
| Debes saber esto | ||
