Brecha de seguridad en un sistema de IA
Los lamentos del día después
Descargar PublicaciónCuando el Shadow AI abre la puerta a una brecha
Un comercial abre una cuenta personal en un sistema de IA para analizar los datos del CRM, y un grupo de ransomware convierte ese atajo en una filtración masiva de datos de clientes.
- El origen. Una cuenta personal abierta en un sistema de IA para analizar el CRM y automatizar la gestión de la cartera de clientes.
- El ataque. Un grupo especializado en ransomware encuentra en los sistemas de IA vulnerables la vía para publicar datos personales e información confidencial.
- El dato. Según el informe de IBM citado en la publicación, el 13 % de las organizaciones ha sufrido brechas en modelos o aplicaciones de IA y el 97 % no contaba con controles de acceso adecuados, con un coste medio de 10,22 millones de dólares en Estados Unidos.
- El día después. El comité de crisis descubre que el registro de actividades de tratamiento, las evaluaciones de impacto y los análisis de riesgos no contemplaban el uso de IA, y que los seguros no cubren el tratamiento de datos en sistemas de IA.
"Llega la hora de los lamentos, el momento de analizar las medidas que podían haber evitado la brecha."
La publicación reconstruye la valoración completa del comité y detalla el catálogo de medidas que podían haber evitado la brecha, desde las políticas de uso de la IA y la prohibición del Shadow AI hasta los controles técnicos y la formación obligatoria del artículo 4 del Reglamento de IA. Para leerla entera, puedes descargar la publicación completa.
Relacionados
Caso de uso IA farma 04 – Uso de la IA en ensayos clínicos
Caso de uso IA Farma 04 – Uso de la IA en ensayos clínicos. Análisis de riesgos del uso de un sistema de IA basado en PLN y aprendizaje automático en el reclutamiento, el diseño, la monitorización y la gestión de datos del ensayo clínico.
Claves de una evaluación de impacto en 2026
La sanción de 10 millones de euros a AENA por incumplimiento del artículo 35 del RGPD fija los criterios que debe cumplir una evaluación de impacto en protección de datos: RAT completo, gestión correcta del riesgo, juicios de idoneidad, necesidad y proporcionalidad por finalidad, y análisis documentado de alternativas.
La hiperregulación como atenuante
La hiperregulación dificulta cumplir el 100 % de las obligaciones legales. Juan Pablo Tornos analiza cómo el cumplimiento parcial puede atenuar la sanción.