Protección para sobrevivir a los ciberataques
Pegar un documento en una IA es entregar información a un servicio con unas condiciones concretas. Antes de hacerlo hay que saber qué herramienta es, qué contrato existe, para qué se usará el contenido y qué controles ha aprobado la empresa.
Cada caso exige revisar la finalidad, minimizar la información y validar el proveedor, el plan y la configuración.
Puntos principales
- No introduzcas datos personales o información sensible por defecto.
- Una herramienta aprobada puede tener límites distintos según el uso y el plan contratado.
- Anonimizar exige valorar si la persona puede volver a identificarse.
- Ante la duda, utiliza el canal responsable antes de probar.
Lista roja antes de pegar
- Credenciales, claves API, códigos de recuperación o secretos técnicos.
- Datos de salud, biométricos, ideología, afiliación sindical u otras categorías especiales.
- Expedientes de empleados, candidatos, clientes, menores o personas vulnerables.
- Contratos, litigios, ofertas, precios, estrategia y secretos empresariales.
- Código fuente, configuraciones, vulnerabilidades o arquitectura no pública.
- Información de terceros que la empresa recibió con una finalidad limitada.
- Cualquier documento cuya clasificación interna prohíba compartirlo con proveedores externos.
Cinco preguntas antes de utilizar información
- 01
¿La herramienta y ese uso concreto están aprobados?
- 02
¿Necesito realmente estos datos para conseguir el resultado?
- 03
¿Puedo sustituirlos por datos ficticios, agregados o menos precisos?
- 04
¿Conozco la conservación, el acceso, el entrenamiento y las transferencias aplicables?
- 05
¿Quién revisará la salida y qué ocurrirá si contiene o reproduce información indebida?
No envíes datos que no necesitas.
Quitar nombres no siempre basta. La combinación de cargo, empresa, fecha y contexto puede permitir volver a identificar a una persona.
Lo que la empresa debe facilitar
Prohibir una herramienta no validada es una regla necesaria, pero funciona mejor cuando la empresa ofrece alternativas y una vía realista para evaluar necesidades nuevas.
- Catálogo de herramientas aprobadas y usos permitidos.
- Clasificación de información con ejemplos comprensibles.
- Proceso ágil para evaluar una nueva herramienta.
- Área responsable y canal para dudas o incidentes.
- Reglas sobre conectores, complementos, archivos, memoria y agentes.
Este contenido ofrece orientación general y no sustituye un análisis jurídico, técnico o sectorial del caso concreto. Las obligaciones y controles deben ajustarse al sistema, al uso, a los datos y a las personas afectadas.