El Mes de la Ciberseguridad, que se realiza cada octubre, vuelve a poner el foco en cómo personas y organizaciones protegen su información y en qué medida los hábitos digitales naturalizados resultan seguros. Este año, la discusión se concentra en la inteligencia artificial (IA) y en los riesgos que aparecen cuando su adopción masiva avanza más rápido que las políticas internas para regularla.
Facundo Balmaceda, especialista en Ciberseguridad de SONDA Argentina, planteó que el desfasaje tiene un origen claro: la tecnología llegó a las compañías antes que los marcos de gobernanza. “A la inteligencia artificial le dimos un poder enorme, pero no la misma responsabilidad”, dijo Facundo Balmaceda, especialista en Ciberseguridad de SONDA Argentina.
La IA “por la ventana” y el fenómeno shadow AI
La incorporación de IA generativa en el trabajo cotidiano es uno de los puntos críticos. En ese esquema, la adopción suele comenzar por iniciativa de los empleados, antes de que intervengan los equipos de sistemas, lo que deriva en modelos que toman decisiones y procesan datos sin un marco claro sobre qué información pueden ver o qué acciones pueden ejecutar.
En ese contexto aparece el shadow AI: el uso de herramientas de IA por fuera del control del área de sistemas. Las consecuencias pueden ir desde filtraciones hasta decisiones sesgadas. Un caso habitual ocurre cuando un empleado copia un contrato o una base de clientes en un chatbot gratuito para agilizar una tarea, sin advertir que esa información ya salió del perímetro de control de la empresa.
Frente a ese panorama, el punto de partida no pasa por elegir una plataforma, sino por clasificar la información y ordenar su gobernanza de datos. La organización necesita identificar qué información es crítica, cuál es sensible y cuál es pública, para definir reglas de uso y permisos acordes. “En criollo, no se trata de prohibir la IA, sino de establecer reglas claras”, afirmó Balmaceda.
Desarrollos a medida y nuevas superficies de ataque
Los desarrollos internos tampoco están exentos de riesgos. Un chatbot corporativo mal desarrollado puede ampliar la superficie de exposición, en particular cuando falta segmentación entre la información que el bot puede consultar y la que debería mostrar, o cuando no existen controles frente a inyecciones de prompt.
Otra práctica en crecimiento, especialmente en Recursos Humanos y en cotizaciones comerciales, es el uso de texto oculto en documentos —letras blancas sobre fondo blanco o tamaños de fuente invisibles— para intentar manipular el análisis de una IA e influir en la selección de un candidato o de un presupuesto. El riesgo, en este caso, es que el contenido pueda sesgar el resultado si no hay supervisión humana ni herramientas capaces de detectar ese texto.
El eje de la advertencia se completa con el uso de la IA para delegar decisiones —aprobación de créditos, filtrado de postulantes o gestión de accesos— sin mantener un control humano efectivo. Balmaceda sostuvo que, cuanto mayor es el impacto de una decisión sobre un cliente, un empleado o el negocio, mayor debería ser el nivel de supervisión humana.
En el sector público, la exigencia debería ser aún mayor, con auditorías independientes, trazabilidad completa de las decisiones automatizadas y soberanía sobre dónde y bajo qué jurisdicción se procesan los datos del Estado, además de un criterio ético: si una tecnología puede afectar la vida, la plata o los derechos de una persona, tiene que poder explicarse.
