Marc Sureda
La adopción de nuevos modelos de IA en el ámbito empresarial promete ventajas como una mayor velocidad, una reducción de costes y resultados más precisos. Sin embargo, el cambio de una tecnología a otra genera una alerta crítica en los departamentos de seguridad al desconectar el sistema anterior. La firma de ciberseguridad Check Point Software Technologies señala que las compañías cometen el error de vincular sus políticas de protección a la plataforma de un proveedor específico. Esta dependencia provoca lo que se denomina una desviación de gobernanza invisible, una situación en la que las normativas internas de privacidad y control dejan de aplicarse de forma silenciosa al actualizar o modificar la infraestructura tecnológica.
En la actualidad, las corporaciones conviven con múltiples herramientas y modelos de inteligencia artificial. Los diferentes departamentos adoptan soluciones según sus necesidades de rendimiento, normativas específicas o integración de asistentes. Lo que provoca que las políticas de seguridad se interpreten de manera inconsistente en cada implementación. A modo de ejemplo, un equipo de desarrollo puede estar registrando exclusivamente las instrucciones proporcionadas por los usuarios. Mientras que otro departamento revisa los archivos pero ignora la información obtenida de los repositorios internos. Como resultado, la disparidad entre los controles teóricos y los que se aplican realmente debilita la protección global de la organización. Las listas de herramientas autorizadas resultan insuficientes en este contexto, dado que el uso seguro depende de la intención del negocio y no del software utilizado.
Para evitar que las normativas queden obsoletas ante la llegada de un nuevo proveedor, la propuesta técnica pasa por situar el caso de uso como el eje central de la gobernanza. La elección de un modelo u otro se considera una decisión de implementación tecnológica, mientras que el propósito del negocio y la asunción de riesgos deben mantenerse como directrices estables a largo plazo.
Con el objetivo de garantizar esta continuidad, es necesario cumplir con unos requisitos fundamentales aplicables a cualquier proyecto, independientemente de la tecnología subyacente. En primer lugar, se exige vincular cada interacción a una identidad conocida y asignar a un responsable de negocio. En segundo lugar, se debe definir de manera estricta el propósito permitido, delimitando las acciones concretas que puede realizar el sistema. Así mismo, es imperativo establecer límites de datos para que las normativas de privacidad y propiedad intelectual se apliquen de manera constante en las descargas y en la recuperación de información. Por otro lado, resulta vital imponer restricciones a las acciones autónomas del entorno, requiriendo la confirmación humana en aquellas decisiones de alto impacto. Finalmente, se debe generar la evidencia y auditoría necesarias para investigar posibles incidentes y verificar la eficacia de los controles tras cualquier migración.
Para comprobar la madurez de estos sistemas de protección corporativa, se propone someter a las aplicaciones a una prueba consistente en un cambio de modelo simulado. Si al sustituir al proveedor la organización no es capaz de garantizar el mantenimiento de las autorizaciones, las restricciones de datos y las evidencias de auditoría, significa que su gobernanza depende de terceros y presenta graves fallas operativas.
La materialización de una arquitectura de gobernanza que sea verdaderamente portable requiere superar la redacción de políticas sobre el papel. En este sentido, es imprescindible desplegar un plano de control común que supervise y aplique las normas de manera unificada en toda la estructura empresarial. El despliegue de soluciones orientadas a este fin, como AI Defense Plane y la interfaz AI Gateway, facilitan la creación de una arquitectura que centraliza el descubrimiento y la protección de la inteligencia artificial corporativa. Todo ello permite adaptar la supervisión en función del riesgo real, agilizando las tareas cotidianas y maximizando la seguridad en los flujos de trabajo más críticos.
