La tradicional dicotomía entre Microsoft 365 y Google Workspace ha saltado por los aires. La irrupción de entornos de trabajo nativos de inteligencia artificial, como ChatGPT Work, ChatGPT Space o Claude Docs, ha atomizado la productividad de las plantillas. Para un administrador de sistemas o responsable de seguridad, esto no es solo un cambio de herramientas; es una pesadilla de Shadow IT y fuga de información (DLP) en potencia.
La dispersión de los datos corporativos en la nube de terceros
Cuando un equipo de desarrollo sube código propietario a Claude Docs para refactorizarlo, o el departamento financiero comparte balances en ChatGPT Space para generar proyecciones, perdemos la trazabilidad del dato. Las suites tradicionales contaban con perímetros de cumplimiento bien definidos (contratos BAA, normativas SOC 2 y cumplimiento de RGPD). Con la proliferación de estas nuevas plataformas basadas en IA, el riesgo de que la información confidencial acabe entrenando modelos públicos o residiendo en silos no autorizados se multiplica.
Acciones técnicas para mitigar la fuga de información por IA
No podemos prohibir la IA sin empujar a los usuarios a usar cuentas personales en sus propios dispositivos. La aproximación debe ser técnica y gobernada:
- Implementar políticas de retención cero (Zero Data Retention - ZDR): Si se van a utilizar servicios como OpenAI o Anthropic, se debe hacer mediante suscripciones Enterprise o a través de sus APIs oficiales. Los contratos de API suelen garantizar que los datos de entrada no se utilizarán para el entrenamiento de futuros modelos de lenguaje.
- Control de acceso mediante CASB y firewalls de capa 7: Conviene bloquear los accesos web a las versiones gratuitas y de consumo de estos servicios mediante inspección SSL en el firewall corporativo, permitiendo únicamente el tráfico hacia las instancias corporativas autenticadas con Single Sign-On (SSO).
- Control de API Keys de forma centralizada: El uso de herramientas de infraestructura como código (IaC) como Terraform permite desplegar pasarelas de API (API Gateways) que centralizan las llamadas a los LLM. Así se controla qué departamento consume qué modelo, estableciendo límites de cuotas y un registro de auditoría de las peticiones (logging de prompts).
Cumplimiento y gobierno bajo la norma ISO 27001
Desde la perspectiva de gobierno y ciberseguridad, la adopción de estas suites exige actualizar el inventario de activos y el análisis de riesgos. El control A.8.12 de la norma ISO 27001 (Prevención de fuga de datos) debe incluir reglas específicas para el uso de inteligencia artificial. Cada nueva suite que un departamento quiera adoptar debe pasar por un proceso de homologación que asegure la soberanía del dato y el cifrado en tránsito y en reposo mediante llaves gestionadas por el cliente (BYOK) cuando sea técnicamente viable. Mitigar el riesgo empieza por centralizar la identidad y auditar el flujo real del dato.
Comentarios