Protección para sobrevivir a los ciberataques
Una respuesta puede sonar impecable y ser falsa. Los modelos generativos producen texto plausible a partir de patrones; no comprueban necesariamente una fuente verdadera. Por eso pueden inventar una sentencia, atribuir una frase, alterar una cifra o rellenar un hueco sin avisar.
El término «alucinación» puede sonar accidental e inofensivo. En gestión de riesgos resulta más útil pensar en una afirmación no fundamentada que debe detectarse antes de que llegue a un cliente, un expediente o una decisión.
Puntos principales
- La seguridad verbal de una respuesta no demuestra su exactitud.
- Divide la salida en afirmaciones verificables y contrástalas con fuentes primarias.
- Aumenta la revisión cuando el impacto, la novedad o la irreversibilidad sean mayores.
- No pidas a la misma conversación que certifique su propia respuesta.
Por qué ocurren las alucinaciones
Un modelo de lenguaje genera texto probable condicionado por el contexto. Puede responder aunque falte información, mezclar entidades parecidas o completar una estructura con datos inventados. La instrucción «no inventes» ayuda a expresar la preferencia del usuario, pero no convierte el sistema en una base de datos infalible.
La falta de contexto, una pregunta ambigua, una fuente desactualizada, un documento mal recuperado o una cadena de razonamiento demasiado larga pueden aumentar el problema. También puede haber errores aunque la herramienta aporte enlaces: el enlace puede no sostener la afirmación.
Señales que deben activar la revisión
- Citas, normas, estudios o enlaces muy específicos que no se habían aportado.
- Cifras exactas sin método, fecha, unidad o fuente identificable.
- Conclusiones categóricas en un asunto con excepciones o incertidumbre.
- Nombres, cargos, versiones, precios o requisitos que pueden haber cambiado.
- Resúmenes de documentos que la herramienta no ha recibido o no puede consultar.
- Cambios sutiles entre la fuente y el resultado: negaciones, plazos, sujetos o condiciones.
- Una respuesta que coincide demasiado bien con lo que queríamos escuchar.
Método de verificación en seis pasos
- 01
Separa borrador y hechos. Marca nombres, fechas, cifras, citas, reglas y relaciones causales.
- 02
Prioriza. Revisa primero lo que tenga más impacto, sea difícil de revertir o afecte a una persona.
- 03
Busca la fuente primaria: norma oficial, contrato, dato interno autorizado, documentación del fabricante o publicación original.
- 04
Comprueba correspondencia. La fuente debe sostener exactamente la afirmación, no solo hablar del mismo tema.
- 05
Recalcula y reproduce cuando sea posible. Verifica unidades, filtros, supuestos y fórmulas.
- 06
Documenta la revisión proporcional: fuente, fecha, responsable y corrección realizada.
¿Podría defender esta afirmación sin mencionar que la dijo la IA?
Si la respuesta es no, todavía tienes un borrador, no una información verificada.
Cómo revisar según el tipo de salida
- Texto: hechos, tono, omisiones, derechos de terceros y adecuación al destinatario.
- Cálculo: datos de entrada, fórmula, unidades, redondeos y prueba independiente.
- Código: revisión, pruebas, dependencias, seguridad, licencias y entorno aislado.
- Imagen o audio: identidad, consentimiento, derechos, marcas y riesgo de confusión.
- Resumen: cobertura de los puntos críticos, fidelidad a la fuente y ausencia de añadidos.
- Recomendación: criterios, alternativas, sesgos, impacto y capacidad real de la persona para corregirla.
Tres niveles de control proporcional
No todo borrador necesita el mismo proceso. La empresa puede definir niveles para que la revisión sea consistente y no dependa del criterio improvisado de cada usuario.
- Bajo impacto: autocontrol del autor antes de un uso interno y reversible.
- Impacto medio: segunda revisión y contraste con fuentes antes de comunicar o ejecutar.
- Alto impacto: especialista competente, evidencia, aprobación formal y posibilidad de detener el uso.
Cómo diseñar el proceso para que la revisión ocurra
Decir «revisar siempre» es demasiado abstracto. La interfaz y el proceso deben reservar tiempo, mostrar las fuentes, señalar el carácter generado, limitar la automatización y asignar a una persona con capacidad real de cambiar o rechazar el resultado.
También conviene registrar los fallos. Una colección de incidentes y casi incidentes ayuda a mejorar prompts, bases de conocimiento, pruebas, límites y formación. El registro debe ayudar a entender por qué avanzó el error y qué hay que cambiar.
- Responsable de revisar y suplente.
- Criterios de aceptación y rechazo.
- Fuentes que deben consultarse.
- Casos que requieren segunda aprobación.
- Registro mínimo de la comprobación.
- Canal para comunicar errores y actualizar el sistema.
Este contenido ofrece orientación general y no sustituye un análisis jurídico, técnico o sectorial del caso concreto. Las obligaciones y controles deben ajustarse al sistema, al uso, a los datos y a las personas afectadas.