Lo que los líderes de seguridad necesitan saber sobre la gobernanza de la IA para SaaS

La IA generativa no llega de golpe, sino que se está incorporando poco a poco al software que las empresas ya utilizan a diario. Ya se trate de videoconferencias o CRM, los proveedores se apresuran a integrar asistentes y copilotos de IA en sus aplicaciones SaaS. Slack ya puede proporcionar resúmenes de IA de conversaciones de chat, Zoom puede proporcionar resúmenes de reuniones, y suites ofimáticas como Microsoft 365 incluyen asistencia de IA para la redacción y el análisis. Esta tendencia en el uso de la IA implica que la mayoría de las empresas están dando cuenta de una nueva realidad: las capacidades de IA se han extendido por toda su infraestructura SaaS de la noche a la mañana, sin un control centralizado.

Una encuesta reciente reveló que el 95% de las empresas estadounidenses utilizan IA generativa, un aumento masivo en tan solo un año. Sin embargo, este uso sin precedentes se ve atenuado por una creciente ansiedad. Los líderes empresariales han comenzado a preocuparse por el posible desenlace de toda esta actividad oculta de la IA. La seguridad y la privacidad de los datos se han convertido rápidamente en las principales preocupaciones, y muchos temen que la información confidencial pueda filtrarse o utilizarse indebidamente si el uso de la IA no se controla. Ya hemos visto algunos ejemplos que nos sirven de advertencia: bancos globales y empresas tecnológicas han prohibido o restringido internamente herramientas como ChatGPT tras incidentes de intercambio involuntario de datos confidenciales.

Por qué es importante la gobernanza de la IA en SaaS

Con la IA entrelazada en todo, desde las aplicaciones de mensajería hasta las bases de datos de clientes, la gobernanza es la única forma de aprovechar los beneficios sin generar nuevos riesgos.

¿Qué queremos decir con gobernanza de la IA ?

En términos sencillos, se refiere básicamente a las políticas, procesos y controles que garantizan el uso responsable y seguro de la IA dentro de una organización. Si se implementa correctamente, la gobernanza de la IA evita que estas herramientas se conviertan en una competencia generalizada y, en cambio, las alinea con los requisitos de seguridad, las obligaciones de cumplimiento y los estándares éticos de la empresa.

Esto es especialmente importante en el contexto SaaS, donde los datos fluyen constantemente hacia servicios de nube de terceros.

1. La exposición de datos es la preocupación más inmediata. Las funciones de IA a menudo requieren acceso a grandes cantidades de información; piense en una IA de ventas que lee los registros de los clientes o en un asistente de IA que revisa su calendario y las transcripciones de llamadas. Sin supervisión, una integración de IA no autorizada podría acceder a datos confidenciales de clientes o propiedad intelectual y enviarlos a un modelo externo. En una encuesta , más del 27 % de las organizaciones afirmaron haber prohibido por completo las herramientas de IA generativa tras las alarmas sobre privacidad. Claramente, nadie quiere ser la próxima empresa en los titulares porque un empleado proporcionó datos confidenciales a un chatbot.

2. Las infracciones de cumplimiento normativo son otra preocupación. Cuando los empleados utilizan herramientas de IA sin autorización, se crean puntos ciegos que pueden dar lugar a infracciones de leyes como el RGPD o la HIPAA. Por ejemplo, subir la información personal de un cliente a un servicio de traducción de IA podría infringir las normas de privacidad; sin embargo, si se hace sin el conocimiento del departamento de TI, la empresa podría no tener ni idea de que ha ocurrido hasta que se produzca una auditoría o una infracción. Los organismos reguladores de todo el mundo están ampliando las leyes sobre el uso de la IA, desde la nueva Ley de IA de la UE hasta directrices específicas para cada sector. Las empresas necesitan una gobernanza que les permita demostrar qué hace la IA con sus datos o, de lo contrario, se enfrentarán a sanciones en el futuro.

3. Las razones operativas son otra razón para frenar la proliferación de la IA. Los sistemas de IA pueden introducir sesgos o tomar malas decisiones (alucinaciones) que afectan a personas reales. Un algoritmo de contratación podría discriminar inadvertidamente, o una IA financiera podría arrojar resultados inconsistentes a lo largo del tiempo a medida que su modelo cambia. Sin directrices, estos problemas pasan desapercibidos. Los líderes empresariales reconocen que gestionar los riesgos de la IA no se trata solo de evitar daños, sino que también puede ser una ventaja competitiva. Quienes empiezan a utilizar la IA de forma ética y transparente, generalmente, pueden generar mayor confianza con los clientes y los organismos reguladores.

Los desafíos de la gestión de la IA en el mundo SaaS

Desafortunadamente, la propia naturaleza de la adopción de la IA en las empresas actuales dificulta su precisión. Un gran desafío es la visibilidad. A menudo, los equipos de TI y seguridad simplemente desconocen cuántas herramientas o funciones de IA se utilizan en la organización. Los empleados, deseosos de aumentar su productividad, pueden habilitar una nueva función basada en IA o registrarse en una aplicación de IA inteligente en segundos, sin necesidad de aprobación. Estas instancias de IA oculta pasan desapercibidas, creando focos de uso de datos sin control. Es el clásico problema de la TI oculta, amplificado: no se puede proteger lo que ni siquiera se sabe que existe.

El problema se agrava por la propiedad fragmentada de las herramientas de IA. Cada departamento puede implementar sus propias soluciones de IA para resolver problemas locales: Marketing prueba con un redactor de IA, Ingeniería experimenta con un asistente de código de IA, Atención al cliente integra un chatbot de IA, todo ello sin coordinarse entre sí. Sin una estrategia centralizada real, cada una de estas herramientas puede aplicar controles de seguridad diferentes (o inexistentes). No existe un único responsable, y preguntas importantes empiezan a pasar desapercibidas:

1. ¿Quién verificó la seguridad del proveedor de IA?

2. ¿A dónde van los datos?

3. ¿Alguien estableció límites de uso?

El resultado final es una organización que utiliza la IA de una docena de formas diferentes, con muchas brechas que un atacante podría explotar potencialmente.

Quizás el problema más grave sea la falta de procedencia de los datos en las interacciones con IA. Un empleado podría copiar texto propietario y pegarlo en un asistente de escritura con IA, obtener un resultado pulido y usarlo en una presentación a un cliente, todo ello al margen de la supervisión habitual de TI. Desde la perspectiva de la empresa, esos datos confidenciales simplemente abandonaron su entorno sin dejar rastro. Las herramientas de seguridad tradicionales podrían no detectarlos porque no se vulneró el firewall ni se produjo una descarga anormal; los datos se cedieron voluntariamente a un servicio de IA. Este efecto de caja negra, donde no se registran las indicaciones ni los resultados, dificulta enormemente que las organizaciones garanticen el cumplimiento normativo o investiguen incidentes.

A pesar de estos obstáculos, las empresas no pueden darse el lujo de darse por vencidas.

La respuesta es aplicar a la IA el mismo rigor que a otras tecnologías, sin frenar la innovación. Es un equilibrio delicado: los equipos de seguridad no quieren convertirse en el departamento de no que prohíbe todas las herramientas de IA útiles. El objetivo de la gobernanza de la IA en SaaS es facilitar una adopción segura. Esto implica implementar medidas de protección para que los empleados puedan aprovechar las ventajas de la IA y minimizar las desventajas.

5 mejores prácticas para la gobernanza de la IA en SaaS

Establecer la gobernanza de la IA puede parecer abrumador, pero se vuelve factible si se divide en unos pocos pasos concretos. Estas son algunas de las mejores prácticas que las organizaciones líderes están utilizando para controlar la IA en su entorno SaaS:

1. Inventario de su uso de IA

Empieza por arrojar luz sobre las sombras. No se puede gobernar lo que se desconoce. Realiza una auditoría de todas las herramientas, funciones e integraciones relacionadas con la IA en uso. Esto incluye las aplicaciones de IA independientes y obvias, así como aspectos menos obvios, como las funciones de IA dentro del software estándar (por ejemplo, la nueva función de notas de reunión con IA en tu plataforma de video). No olvides las extensiones del navegador ni las herramientas no oficiales que los empleados puedan estar usando. Muchas empresas se sorprenden de lo larga que es la lista una vez que la revisan. Crea un registro centralizado de estos activos de IA, indicando su función, qué unidades de negocio los utilizan y qué datos manipulan. Este inventario dinámico se convierte en la base de todas las demás iniciativas de gobernanza.

2. Definir políticas claras de uso de la IA

Así como probablemente cuente con una política de uso aceptable para TI, cree una específica para IA. Los empleados deben saber qué está permitido y qué no en lo que respecta a las herramientas de IA. Por ejemplo, podría permitir el uso de un asistente de programación de IA en proyectos de código abierto, pero prohibir la introducción de datos de clientes en un servicio de IA externo. Especifique las directrices para el manejo de datos (p. ej., «no se permite información personal confidencial en ninguna aplicación de IA generativa a menos que lo apruebe el departamento de seguridad») y exija que las nuevas soluciones de IA se revisen antes de su uso. Capacite a su personal sobre estas normas y sus motivos. Un poco de claridad desde el principio puede evitar muchos experimentos arriesgados.

3. Supervisar y limitar el acceso

Una vez que las herramientas de IA estén en funcionamiento, controle su comportamiento y acceso. El principio del mínimo privilegio se aplica aquí: si una integración de IA solo necesita acceso de lectura a un calendario, no le dé permiso para modificar ni eliminar eventos. Revise periódicamente los datos a los que puede acceder cada herramienta de IA. Muchas plataformas SaaS ofrecen consolas de administración o registros; úselos para ver la frecuencia con la que se invoca una integración de IA y si está extrayendo cantidades inusualmente grandes de datos. Si algo parece extraño o fuera de la política, prepárese para intervenir. También es recomendable configurar alertas para ciertos desencadenantes, como un empleado que intenta conectar una aplicación corporativa a un nuevo servicio de IA externo.

4. Evaluación continua de riesgos

La gobernanza de la IA no es una tarea que se pueda implementar y olvidar. La IA cambia con demasiada rapidez. Establezca un proceso para reevaluar los riesgos periódicamente, por ejemplo, mensual o trimestralmente. Esto podría implicar volver a analizar el entorno en busca de nuevas herramientas de IA, revisar las actualizaciones o nuevas funciones lanzadas por sus proveedores de SaaS y mantenerse al día sobre las vulnerabilidades de la IA. Realice ajustes a sus políticas según sea necesario (por ejemplo, si la investigación revela una nueva vulnerabilidad, como un ataque de inyección rápida, actualice sus controles para abordarla). Algunas organizaciones forman un comité de gobernanza de la IA con partes interesadas de los departamentos de seguridad, TI, legal y cumplimiento normativo para revisar los casos de uso y las aprobaciones de la IA de forma continua.

5. Colaboración interfuncional

Finalmente, la gobernanza no es solo responsabilidad de TI o seguridad. Convierta la IA en un deporte de equipo. Incorpore a los responsables legales y de cumplimiento normativo para que le ayuden a interpretar las nuevas regulaciones y garantizar que sus políticas las cumplan. Incluya a los líderes de las unidades de negocio para que las medidas de gobernanza se alineen con las necesidades del negocio (y así, actúen como promotores del uso responsable de la IA en sus equipos). Involucre a expertos en privacidad de datos para evaluar cómo la IA utiliza los datos. Cuando todos comprenden el objetivo común —utilizar la IA de forma innovadora y segura—, se crea una cultura donde seguir el proceso de gobernanza se considera un factor clave para el éxito, no un obstáculo.

Para traducir la teoría a la práctica, utilice esta lista de verificación para realizar un seguimiento de su progreso:

Al adoptar estos pasos fundamentales, las organizaciones pueden usar la IA para aumentar la productividad y, al mismo tiempo, garantizar la protección de la seguridad, la privacidad y el cumplimiento.

Fuente y redacción: thehackernews.com

Compartir