Cyberspace risks (Risks of information leakage due to improper usage)
La ausencia de una directriz de uso regulado y apropiado de los servicios de Inteligencia Artificial (IA) expone al personal de entidades gubernamentales y corporaciones a un riesgo de seguridad crítico: la introducción no intencionada de información interna sensible—como datos industriales o secretos de negocio—directamente en el modelo, culminando en la exfiltración de este material confidencial y la consecuente fuga de datos empresariales críticos
ENTIDAD
1 - Humano
INTENCIÓN
2 - Involuntario
TIEMPO
2 - Post-despliegue
ID del riesgo
mit657
Linea de dominio
2. Privacidad y Seguridad
2.1 > Compromiso de la privacidad por filtración o inferencia de información sensible
Estrategia de mitigacion
1. Prioridad Alta: Establecimiento de un Marco de Gobernanza y Políticas de Uso Aceptable (PUA)La mitigación fundamental reside en la formalización de directrices corporativas que definan claramente el uso permitido, restringido y prohibido de los servicios de IA generativa. Esto incluye la categorización explícita de las herramientas de IA (aprobadas vs. públicas/no sancionadas) y el mapeo de los tipos de datos sensibles (propiedad intelectual, secretos de negocio) que está estrictamente prohibido introducir en cualquier modelo de IA de terceros.2. Prioridad Media-Alta: Implementación de Controles de Prevención de Pérdida de Datos (DLP) y Gestión de Shadow AIDesplegar soluciones técnicas de Prevención de Pérdida de Datos (DLP) o Agentes de Seguridad de Acceso a la Nube (CASB) para obtener visibilidad sobre las aplicaciones de IA que están utilizando los usuarios y bloquear automáticamente la exfiltración de información clasificada o confidencial a plataformas no aprobadas. Esta medida garantiza el cumplimiento de la PUA de forma proactiva.3. Prioridad Media: Capacitación Continua y Fomento de la "Higiene de Prompts"Desarrollar un programa de concientización y capacitación continua para el personal, centrado en el principio de "higiene de prompts". Dicho programa debe instruir a los empleados sobre la identificación y la no divulgación inadvertida de información interna sensible en las entradas del modelo, enfatizando la responsabilidad final del usuario sobre la información que alimenta a los sistemas de IA.