Salidas de IA Generativa
Las herramientas de inteligencia artificial generativa conllevan el riesgo inherente de una exposición inadvertida de datos sensibles. Esto abarca desde información personal de usuarios o detalles confidenciales de sus negocios, hasta la potencial inclusión de elementos identificativos extraídos de material fotográfico. Este vector de fuga de datos es tan crítico que, en el ámbito empresarial, aquellas corporaciones preocupadas por la integración de sus secretos comerciales en los modelos de IA han optado por prohibir explícitamente su uso a los empleados.
ENTIDAD
2 - IA
INTENCIÓN
2 - Involuntario
TIEMPO
2 - Post-despliegue
ID del riesgo
mit491
Linea de dominio
2. Privacidad y Seguridad
2.1 > Compromiso de la privacidad por filtración o inferencia de información sensible
Estrategia de mitigacion
1. Implementar Mecanismos de Desinfección y Prevención de Fugas de Datos (DLP) Desplegar soluciones de Prevención de Pérdida de Datos (DLP) específicas para IA, capaces de identificar, clasificar y anular la transferencia inadvertida de información sensible (incluyendo PII, secretos comerciales y código fuente) en tiempo real. Esto debe realizarse mediante la anonimización, el enmascaramiento o la redacción automática de datos antes de que sean procesados por el modelo generativo. 2. Adoptar una Arquitectura de Confianza Cero y Entornos de IA Seguros Priorizar el alojamiento de modelos de IA, especialmente para el manejo de datos de alta criticidad, en entornos privados y aislados (instancias de Private AI) o infraestructura interna, asegurando que los insumos de los usuarios no se utilicen para el entrenamiento del modelo. Paralelamente, aplicar el principio de Mínimo Privilegio mediante el control de acceso basado en roles (RBAC) y la autenticación multifactor (MFA) para limitar estrictamente el acceso a los datos y herramientas. 3. Establecer un Marco de Gobernanza con Políticas Granulares y Monitoreo Continuo Desarrollar y aplicar políticas internas de uso de IA de carácter obligatorio que definan con precisión qué tipos de datos pueden ser compartidos y con cuáles herramientas (internas o externas). Estas políticas deben estar respaldadas por un sistema de monitoreo continuo para detectar el "Shadow AI" (uso no autorizado) y realizar auditorías recurrentes de los registros de *prompts* y los *outputs* del modelo, lo que permite una detección temprana de la inferencia o fuga de información.