Requisitos de Ciberseguridad para Sistemas de IA
La Ley de Inteligencia Artificial (AI Act) es el primer marco legal integral para la regulación de la IA a nivel mundial, que entró en vigor el 1 de agosto de 2024. Su objetivo es garantizar que los sistemas de IA sean confiables, seguros y respeten los derechos fundamentales. Dentro de esta legislación, se imponen requisitos específicos para los sistemas de IA de alto riesgo, que son aquellos que presentan riesgos significativos para la salud, la seguridad o los derechos fundamentales en ciertos sectores o casos de uso.
Uno de estos requisitos es lograr un nivel adecuado de ciberseguridad, lo que implica que los sistemas de IA de alto riesgo deben ser resistentes a ataques maliciosos que puedan alterar su uso, resultados o rendimiento.
Requisitos de Ciberseguridad para Sistemas de IA de Alto Riesgo
De acuerdo con el Artículo 15 de la AI Act, los sistemas de IA de alto riesgo deben ser diseñados y desarrollados de tal manera que logren un nivel adecuado de precisión, robustez y ciberseguridad, y que mantengan un rendimiento consistente a lo largo de su ciclo de vida. Esto significa que deben ser lo más resilientes posible frente a errores, fallos o inconsistencias que puedan ocurrir dentro del sistema o en el entorno en el que opera.
Las medidas técnicas para garantizar la ciberseguridad de los sistemas de IA de alto riesgo deben ser apropiadas a las circunstancias y riesgos relevantes. Las soluciones técnicas pueden incluir:
- Soluciones de redundancia técnica, que pueden incluir planes de respaldo o de seguridad.
- Medidas para prevenir, detectar, responder, resolver y controlar ataques, incluyendo aquellos llevados a cabo mediante:
- envenenamiento de datos, donde el actor de amenaza manipula los datos de entrenamiento;
- envenenamiento de modelos, donde se manipulan componentes preentrenados;
- evasión de modelos, donde se manipulan datos de entrada para engañar al modelo.
Evaluaciones de Riesgos para Sistemas de IA de Alto Riesgo
La AI Act exige que los proveedores de sistemas de IA de alto riesgo realicen una evaluación de riesgos antes de colocar el sistema en el mercado o ponerlo en servicio. Esta evaluación debe identificar y analizar los riesgos potenciales que presenta el sistema para la salud, la seguridad y los derechos fundamentales, así como las medidas tomadas para prevenir o mitigar dichos riesgos.
Además, la evaluación de riesgos debe considerar los riesgos de ciberseguridad asociados con el sistema de IA y las medidas adoptadas para asegurar su resiliencia contra ataques maliciosos. Esta evaluación debe actualizarse regularmente a lo largo del ciclo de vida del sistema de IA.
La Ley de Ciberresiliencia (CRA)
La ciberseguridad de los sistemas de IA también está influenciada por la CRA, que impone una serie de requisitos de ciberseguridad a «productos con elementos digitales», incluidos dispositivos conectados como enrutadores Wi-Fi y dispositivos IoT. Estos requisitos incluyen:
- Proteger contra el acceso no autorizado mediante herramientas como la gestión de identidades.
- Minimizar la recopilación de datos, procesando solo lo que es adecuado y relevante para el uso previsto del dispositivo.
Importancia de la Ciberseguridad en Todos los Sistemas de IA
Aunque la AI Act establece requisitos específicos para los sistemas de IA de alto riesgo, también proporciona una guía valiosa sobre el estándar de ciberseguridad razonable para soluciones de IA más arriesgadas en otros contextos. Todos los sistemas de IA que procesan datos, interactúan con usuarios o influyen en entornos físicos o virtuales están potencialmente expuestos a amenazas de ciberseguridad y deben ser diseñados con la seguridad en mente.
La ciberseguridad no solo es una cuestión de cumplimiento, sino también de confianza, reputación y competitividad. Los ciberataques pueden tener consecuencias graves, como comprometer la confidencialidad, integridad o disponibilidad de los datos, causar daños a usuarios o terceros, o violar principios éticos.
Mejores Prácticas para Proveedores de Sistemas de IA
Los proveedores de sistemas de IA deben adoptar un enfoque de seguridad por diseño y seguridad por defecto. Esto implica integrar la seguridad en el proceso de diseño y desarrollo del sistema de IA y asegurar que las configuraciones predeterminadas proporcionen el nivel más alto de seguridad posible. Además, deben realizar evaluaciones de riesgo periódicas y seguir mejores prácticas y estándares para garantizar la ciberseguridad de sus sistemas.
También es crucial que los proveedores cumplan con las leyes y regulaciones existentes relacionadas con la ciberseguridad, como el Reglamento General de Protección de Datos (GDPR) y la Ley de Resiliencia Operativa Digital (DORA), que establece requisitos para la gestión de riesgos en el sector financiero.
Conclusión
La ciberseguridad es un requisito clave para los sistemas de IA de alto riesgo bajo la AI Act, pero también es una consideración relevante para todos los sistemas de IA. Adoptar un enfoque integral hacia la ciberseguridad puede no solo cumplir con las normativas, sino también fomentar la confianza y la competitividad en un entorno digital cada vez más complejo.
