Los Peligros Ocultos de los Copilotos de IA y Cómo Fortalecer la Seguridad y Cumplimiento
Los copilotos de IA, como el de Microsoft, introducen nuevos riesgos de seguridad, privacidad y cumplimiento. Si estos modelos no están adecuadamente asegurados, las organizaciones corren el riesgo de convertirse en el próximo titular de noticias, enfrentando incidentes que van desde filtraciones de datos hasta violaciones de regulaciones de privacidad.
Los riesgos asociados a los copilotos de IA no son solo teóricos; los incidentes del mundo real han demostrado los peligros de la adopción descontrolada de la IA. Recientemente, el asistente de IA Copilot de Microsoft expuso el contenido de más de 20,000 repositorios privados de GitHub de empresas como Google, Intel, Huawei, PayPal, IBM y Tencent. Además, en 2023, se filtraron 38TB de datos confidenciales debido a una mala configuración de controles de acceso en GitHub.
Estos incidentes sirven como una advertencia clara sobre los riesgos que plantea la exposición excesiva de datos y la falta de gobernanza adecuada.
Sistemas Abiertos vs. Modelos de IA de Ciclo Cerrado
Antes de discutir cómo asegurar de manera segura los modelos de IA, es fundamental entender la diferencia entre un modelo de IA de sistema abierto y uno de ciclo cerrado.
Un modelo de IA de ciclo cerrado permite a las empresas entrenar modelos de IA solo con sus datos dentro de su entorno de Azure. Este enfoque minimiza el riesgo de que la IA comparta datos sensibles entre clientes o geolocalizaciones.
Sin embargo, modelos de IA como Copilot y ChatGPT no son de ciclo cerrado y continúan aprendiendo y actualizando sus respuestas basándose en las indicaciones de los usuarios y datos de Internet. Aunque los modelos de IA abiertos ofrecen muchos beneficios, también introducen los riesgos mencionados anteriormente. Las organizaciones pueden garantizar que adoptan la IA de forma segura si implementan un enfoque de múltiples capas para la seguridad y gobernanza.
Un Enfoque de Múltiples Capas para la Seguridad de la IA Generativa
No se puede proteger lo que no se conoce. El primer paso para preparar a su organización para la IA es la capacidad de clasificar y etiquetar todos los datos que residen en sus sistemas, incluyendo lo que es sensible, confidencial o apto para consumo de IA. Sin una clasificación y etiquetado adecuados, la IA, como Microsoft Copilot, puede procesar y exponer datos que deberían permanecer confidenciales.
Las organizaciones deben implementar medidas de gobernanza tales como:
- Realizar evaluaciones de riesgo de datos exhaustivas en plataformas como OneDrive, SharePoint y Teams.
- Etiquetar y clasificar datos sensibles, críticos o regulados para identificar aquellos seguros para que la IA los utilice en su entrenamiento.
- Establecer políticas automatizadas para señalar o remediar violaciones de políticas antes de que escalen.
- Eliminar datos duplicados, redundantes y obsoletos de los almacenes de datos utilizados para entrenar IA.
- Restringir los permisos de acceso a la IA para datos que han sido designados y validados como seguros para su uso.
Una vez que las organizaciones establecen visibilidad sobre sus datos, el siguiente paso crucial es controlar el acceso. Como se observó en la exposición de datos de GitHub mencionada anteriormente, incluso los datos etiquetados y clasificados pueden seguir siendo un riesgo si no se restringe el acceso a los tipos de datos que se alimentan en un modelo de IA.
Los líderes de seguridad deben poder rastrear qué conjuntos de datos se están utilizando para entrenar los modelos de IA y auditar las salidas generadas por la IA para detectar posibles violaciones de cumplimiento. Sin la implementación exitosa de fuertes medidas de gestión de datos de IA, las organizaciones corren el riesgo de violar regulaciones como GDPR, CCPA u otras normativas de privacidad.
Estas violaciones regulatorias conducen a multas impuestas a las organizaciones y pueden dañar la marca de la organización y la pérdida de confianza de los consumidores. Por eso, las organizaciones deben asegurarse de que la privacidad esté incorporada en los cimientos de su estrategia de seguridad y gobernanza de IA para evitar infringir inadvertidamente las obligaciones regulatorias.
Seguridad de Datos de IA y Gobernanza en la Era de la IA
La transformación digital impulsada por la IA ha llegado, y requiere un nuevo enfoque para la seguridad y el cumplimiento. Las organizaciones que no implementen medidas de gobernanza sólidas corren el riesgo de exponer su activo más valioso: los datos. Ahora es el momento para que los líderes de TI refuercen las políticas de seguridad de la IA y aseguren que la IA generativa se utilice de manera segura y responsable.
