En un contexto donde las amenazas entre Estados y las ciberamenazas externas capturan la atención, es fácil que las organizaciones centren su esfuerzo en lo que ocurre fuera del negocio y olviden los riesgos que pueden originarse desde dentro. Este texto propone una visión profesional sobre cómo la adopción de herramientas de IA generativa en el entorno laboral crea nuevas complejidades de seguridad que requieren atención estratégica y operativa.

Aunque las herramientas de IA generativa han introducido eficiencias innegables para los empleados, también han generado una clase de riesgo: muchas organizaciones admiten no poder rastrear si los empleados comparten datos a través de herramientas aprobadas. En muchos casos, los empleados no actúan por malicia, sino que envían información sensible a modelos como ChatGPT y Claude para acelerar tareas rutinarias.

Una gran mayoría de CEOs a nivel global ha adoptado IA generativa en el último año, pero gran parte de esta actividad ocurre sin supervisión, en el navegador, lo que dificulta el seguimiento del flujo de información empresarial, incluyendo cuándo y dónde se sube. Este descontrol está elevando riesgos significativos para las empresas.

Entre los riesgos destacan: (1) compartir credenciales o datos de acceso con modelos públicos, lo que podría facilitar accesos no autorizados si el modelo es comprometido; y (2) subir datos personales a LLMs, lo que puede generar incumplimientos de normativas como el GDPR y posibles multas y daños reputacionales. Para contrarrestarlo, los líderes deben implementar herramientas que brinden visibilidad y control sobre el uso a nivel de navegador y de aplicaciones.

El problema de incentivos

La solución no pasa por más formación obligatoria en ciberseguridad. El verdadero reto es incentivarlo correctamente. Muchos LLMs propiedad de la empresa siguen en fase piloto, sin igualar la velocidad y precisión de las alternativas públicas. Aun así, un porcentaje significativo de empresas admite que se comparte datos a través de herramientas externas, lo que sugiere que parte de la fuerza laboral prioriza la eficiencia sobre las medidas de seguridad ante herramientas más lentas.

En sectores regulados como servicios financieros, estos comportamientos pueden convertir a los LLM no autorizados en «icebergs» ocultos: silenciosos hasta que causan daños graves, como la exposición inadvertida de historiales de transacciones o puntuaciones de crédito de clientes. El avance hacia herramientas aprobadas e integrables con plataformas existentes (por ejemplo, Microsoft 365 y Google Workspace) es fundamental para frenar este fenómeno y mejorar la experiencia de uso sin doblegar la productividad.

Siguiendo investigaciones de consultoras y firmas de análisis, la mayoría de las organizaciones aún no ha escalarizado sus iniciativas de IA. ¿Qué pueden hacer hoy para ganar control sobre el uso no autorizado de IA?

La solución: herramientas para traer el uso no autorizado de IA bajo control

No se puede controlar lo que no se ve. Las empresas deben obtener una visión en tiempo real de quién o qué accede a qué datos, desde qué dispositivos y hacia dónde se comparte. Las plataformas de seguridad de próxima generación permiten entender de inmediato cómo los empleados interactúan con herramientas de IA de consumo como ChatGPT, Claude y Gemini, monitorizando la frecuencia de interacción y las cargas de documentos.

Una vez identificados comportamientos de alto riesgo, las organizaciones pueden automatizar acciones correctivas, redirigir a alternativas seguras o solicitar justificación de casos de uso antes de continuar. La visibilidad será aún más importante con la aparición de agentes anidados, donde un único chatbot podría delegar tareas a varios agentes subyacentes, dificultando la trazabilidad de la información compartida.

Una solución de seguridad de identidad crea un registro de agentes en tiempo real que actúa como una verificación de todas las actividades e interacciones de los agentes y aplica controles a cada uno. Se concede el mínimo privilegio necesario, en el momento exacto y por la duración más corta posible, para evitar que las autorizaciones se propaguen sin control. Si un agente quiere conectarse con otro, debe ser verificado por el sistema.

Cerrando la brecha de visibilidad

La Shadow AI es más que un problema de herramientas: es un problema de identidad. Las organizaciones deben cerrar la brecha de visibilidad mediante herramientas que midan la frecuencia de interacción, bloqueen cargas de documentos sensibles y soliciten a empleados y agentes de IA justificar su caso de negocio antes de usar herramientas no autorizadas.

Conocer qué herramientas se usan, qué datos acceden y hacia dónde se dirigen es crucial para aplicar controles efectivos que aseguren conductas humanas y no humanas. La gestión de identidades debe volverse adaptativa, pasando de enfoques estáticos a dinámicos y en tiempo real para respaldar un modelo de confianza cero donde ninguna identidad, ya sea humana o no humana, es confiable por defecto.

En la era de los agentes de IA, asegurar la identidad se ha convertido en un prerrequisito para la innovación. Este enfoque facilita que las organizaciones avancen con seguridad y agilidad en la implementación de herramientas de IA en el entorno empresarial.

from Latest from TechRadar https://ift.tt/evxyZmb
via IFTTT IA