Por: ESET
Con la irrupción masiva de la inteligencia artificial generativa, muchas empresas reaccionaron inicialmente restringiendo o prohibiendo su uso interno por temor a filtraciones de información confidencial. Sin embargo, la realidad operativa ha cambiado drásticamente: en la actualidad, el desafío central ya no radica en bloquear estas herramientas, sino en establecer políticas claras para gobernar su uso y aprovechar sus ventajas sin comprometer la ciberseguridad.
El cambio de paradigma en las organizaciones
A diferencia de años anteriores, cuando las directrices de seguridad se limitaban a la gestión de contraseñas, uso de dispositivos externos o prevención de phishing y ransomware, la adopción de la IA ha pasado al centro de la agenda empresarial. Sin embargo, el grado de madurez sobre este tema sigue siendo desigual.
Según datos del más reciente ESET Security Report, las empresas adoptan diferentes posturas respecto a la IA:
- 39.7%: Promueve su uso bajo marcos y políticas internas estructuradas.
- 39.2%: No tiene una política definida y deja la adopción a criterio de cada empleado.
- 17.8%: Limita su uso únicamente a casos o áreas específicas.
- 3.4%: Mantiene una prohibición total sobre estas herramientas.
El riesgo del Shadow AI y la falta de reglas claras
Que casi cuatro de cada diez organizaciones no cuenten con políticas definidas no significa que sus empleados no utilicen IA. Por el contrario, esta falta de regulación fomenta el fenómeno conocido como Shadow AI, donde los colaboradores emplean asistentes virtuales sin autorización, supervisión ni conocimiento del departamento de Tecnologías de la Información (TI).
Entre los principales riesgos asociados a esta práctica destacan:
- Fuga de información sensible: Ingreso accidental o intencional de código fuente, datos de clientes o estados financieros en plataformas públicas.
- Inconsistencia operativa: Falta de criterios unificados sobre qué herramientas son aptas para el trabajo diario.
- Ausencia de supervisión humana: Confianza ciega en respuestas o análisis automáticos aplicados a procesos o decisiones críticas sin previa validación.
Marcos regulatorios y estándares internacionales
Para guiar a las organizaciones hacia una adopción segura, diversos organismos internacionales han desarrollado estándares de gobernanza globales, entre los que destacan:
- NIST AI RMF (EE. UU.): Marco diseñado para identificar, evaluar y monitorear los riesgos derivados de la IA a lo largo de su ciclo de vida.
- ISO/IEC 42001: Primer estándar internacional para implementar un Sistema de Gestión de Inteligencia Artificial (AIMS).
- EU AI Act: Regulación de la Unión Europea que clasifica los sistemas de IA según su nivel de riesgo y establece obligaciones claras para desarrolladores y usuarios corporativos.
- NIST Cybersecurity Framework (CSF) 2.0: Estructura global para gestionar riesgos tecnológicos en general, aplicable al entorno de la IA.
Seguridad vs. Conveniencia: El verdadero reto empresarial
Contar con una política redactada no garantiza su cumplimiento. Cuando las organizaciones imponen restricciones demasiado rígidas o proporcionan herramientas corporativas más lentas que las alternativas públicas, los colaboradores tienden a eludir las reglas para mantener su productividad.
Por ello, el gran reto para los líderes de ciberseguridad consiste en integrar soluciones empresariales seguras (como ChatGPT Enterprise, Microsoft Copilot o Gemini para Workspace) acompañadas de programas de capacitación constante, logrando que la vía más segura para usar inteligencia artificial sea también la más conveniente para el usuario.
Fuente: Enlace original