Cómo el boom de la IA generativa abre nuevos riesgos en privacidad y ciberseguridad

Fue una de las noticias virales en tecnología en el arranque del verano. WeTransfer, el popular servicio para compartir archivos que usan de forma masiva tanto empresas como usuarios finales, había cambiado sus condiciones de uso.

Es el tipo de cosas que se suelen aceptar sin profundizar mucho en ello, pero en esta ocasión habían añadido un elemento conectado con la inteligencia artificial. A partir de principios de agosto, WeTransfer se reservaba el derecho a usar los documentos que gestionaba para “operar, desarrollar, comercializar y mejorar el servicio o nuevas tecnologías o servicios, incluyendo mejorar el rendimiento de los modelos de aprendizaje automático”. La información de los usuarios, fuese la que fuese, podría servirles para entrenar IA, se entendía.

El escándalo fue mayúsculo y WeTransfer acabó reculando, explicando a medios que, en realidad, lo que entonces querían cubrir era la posibilidad de utilizar IA para moderar contenidos y no exactamente lo que sus usuarios habían entendido.  

Sin embargo, el escándalo de WeTransfer se convirtió en una muestra bien visibles de un potencial nuevo riesgo en ciberseguridad, privacidad y hasta protección de información sensible. Se necesitan muchos datos para alimentar la IA y se usan muchos datos para ello, lo que hace que las políticas de privacidad de servicios muy populares en la red cambien para adaptarse a ese nuevo entorno.

A eso se suma que la incorporación de la inteligencia artificial se está haciendo en tiempo real, por así decirlo, probando y testeando cosas. Esto abre potenciales problemas, como el hecho de que los trabajadores de las empresas pueden estar empleando servicios que han conocido en su vida personal —como ChatGPT— para usos del trabajo en el que no deberían estar usándolos. Poco importan todas las políticas de privacidad corporativas si luego un trabajador cualquiera sube esa información confidencial a ChatGPT para que le haga una traducción o le escriba una carta.

Así, este nuevo contexto abre nuevas interrogantes, tanto para los usuarios finales a nivel personal como para los CIOs a nivel corporativo como responsables de la estrategia TI y de su seguridad.

Los dueños de los datos

Uno de esos problemas es el de la información, quién tiene los datos y a quién pueden pertenecer. Esto está llevando a que se actualicen condiciones de uso de diferentes servicios para poder emplear los datos que sus usuarios han generado para entrenar a la IA. Ha ocurrido, por ejemplo, con las redes sociales, como las de Meta; pero también pasa con servicios muy empleados en entornos corporativos. Desde Panda recuerdan que Slack usa por defecto los datos de sus clientes para sus modelos de aprendizaje automático.

Como explican desde Panda, este estado de las cosas no es algo exactamente nuevo. La información pública ya no les llega para desarrollar sus IAs, apunta, y necesitan nuevas fuentes de datos. “Los datasets recopilados en sus aplicaciones valen mucho”, explica en un análisis Hervé Lambert, Global Consumer Operations Manager de Panda Security. “Lo que explica que la mayoría de estas empresas se esté dando prisa en modificar sus políticas de privacidad para poder hacer uso de ellos, y adaptarse a las nuevas normativas de protección de datos que les obligan a ser más transparentes sobre el uso de la información que recogen y almacenan”, suma.

Por supuesto, esto es, antes que nada, un problema para los responsables TI de las empresas en cuestión que deben cambiar sus normas de uso. Pero, después, se pueden convertir en quebraderos de cabeza para las compañías que usan de una manera o de otra sus servicios o que saben que sus trabajadores lo harán, a pesar de todo.  

“Quieren abrir la puerta a nuevas formas de explotar los datos en áreas como la IA, el marketing avanzado y el desarrollo de productos”, indica Lambert, “pero a la vez necesitan estar a buenas con la legislación”. Esto hace que las condiciones de uso y privacidad incluyan menciones amplias o que la separación entre usos se vuelva una línea “muy delgada”.

Riesgos en privacidad y en ciberseguridad

Otro de los grandes problemas está en las potenciales brechas de privacidad y de ciberseguridad, tanto para los usuarios finales como para las propias empresas.

Desde Panda advierte de cómo las IAs alimentadas con grandes cantidades de datos personales se pueden convertir en puerta de entrada a fraudes o para crear ataques mucho más sofisticados e infalibles si caen en las manos equivocadas. “Cuando volcamos datos personales en herramientas de inteligencia artificial sin un control conveniente estamos exponiéndonos a que la información pueda ser copiada, compartida o utilizada sin nuestro consentimiento”, apunta su responsable de operaciones de seguridad.

Incluso, a veces ni siquiera tiene que caer en manos equivocadas, sino que la escasa pericia de los usuarios finales hace que la información sensible navegue por la red. Ahí está el caso de las conversaciones con ChatGPT indexadas por Google. “Cuando se tiene activada la opción ‘make this chat discoverable’, el usuario de ciertas soluciones de IA como ChatGPT acceden a que éstas sean públicas y accesibles desde Google u otros buscadores y aparezcan en los resultados de búsqueda, lo que genera controversia porque en algunos de estos chats puede haber datos sensibles, ideas de negocio, estrategias comerciales o vivencias personales”, explica Lambert.

De hecho, la IA es ya una de las cuestiones que más preocupan a unos CISOs que empiezan a dar muestras de burnout por un entorno de trabajo cada vez más complejo. Si bien un 64% de los responsables de seguridad cree que habilitar el uso de herramientas de IA generativa es un objetivo estratégico a dos años vista, también les preocupan los riesgos que abren. Así lo confirman los datos del quinto informe anual Voice of the CISO, de Proofpoint.

“La IA ha pasado de ser un concepto a un elemento fundamental, transformando la manera en que operan tanto los defensores como los adversarios”, explica Ryan Kalember, director de estrategia de Proofpoint. “Los CISOs se enfrentan ahora a una doble responsabilidad: aprovechar la IA para reforzar su postura de seguridad y garantizar al mismo tiempo su uso ético y responsable”, suma. Para ello, tendrán que tomar “decisiones estratégicas” pero con el añadido de complejidad de que los CISOs no son los únicos que deciden en la implementación de este recurso. El 39% de los CISOs españoles está preocupado ante la posible pérdida de datos de clientes a través de plataformas públicas de IA generativa.  

El uso seguro de la IA generativa es ya una prioridad para el 48% de los CISOs.