¿Prohibir la inteligencia artificial en la empresa?

¡Damas y caballeros, bienvenidos! Muchas empresas están reaccionando al uso de inteligencia artificial de una forma que parece lógica a primera vista: prohibiéndola.

El argumento suele ser siempre el mismo. Si los empleados utilizan herramientas como ChatGPT, Copilot, Claude o cualquier otro sistema de inteligencia artificial, existe el riesgo de que se filtre información confidencial de la empresa.

Y como existe ese riesgo, la solución aparentemente más sencilla es bloquear su uso.

Prohibir la inteligencia artificial dentro de una organización no solo frena la innovación, sino que también genera frustración entre los empleados, reduce la productividad y coloca a la empresa en una posición de desventaja frente a competidores que sí están aprovechando estas herramientas.

El error que muchas empresas están cometiendo

El problema no es que los empleados utilicen inteligencia artificial. El problema es no tener controles sobre cómo se utiliza. Muchas organizaciones están reaccionando como ocurrió hace años con la llegada de Internet. En lugar de adaptarse a la nueva tecnología y aprender a gestionarla, algunas empresas optaron por bloquearla completamente.

Mientras unos seguían trabajando con procesos antiguos y herramientas obsoletas, otros empezaban a utilizar nuevas aplicaciones que les permitían trabajar más rápido, ser más eficientes y avanzar con mayor agilidad.

Con la inteligencia artificial está ocurriendo algo muy parecido. Mientras algunas empresas están intentando bloquear su uso, otras están integrándola en sus procesos de trabajo para mejorar la productividad, automatizar tareas repetitivas y aprovechar mejor el tiempo de sus equipos.

El verdadero riesgo: la fuga de información

Aunque prohibir la inteligencia artificial no sea la solución, eso no significa que el riesgo no exista. De hecho, el problema que preocupa a muchas empresas es real: la fuga de información sensible.

Imaginemos una situación bastante habitual: Un empleado tiene que revisar un contrato largo y decide copiar parte del documento en una herramienta de inteligencia artificial para que le ayude a resumirlo. Sin darse cuenta, acaba de enviar información confidencial de la empresa a un sistema externo.

Lo mismo puede ocurrir cuando un programador pega código en Copilot para resolver un problema o cuando un comercial copia datos de clientes para analizar tendencias de venta.

Estas situaciones no suelen producirse por mala intención, sino por desconocimiento o por falta de controles adecuados dentro de la empresa.

Riesgos legales existentes

En España y el resto de los países de Europa, existen varias normativas que obligan a las organizaciones a proteger los datos y los sistemas informáticos. Entre ellas se encuentran regulaciones como el Reglamento General de Protección de Datos (RGPD), la directiva europea NIS2 sobre ciberseguridad, el Reglamento Europeo de Inteligencia Artificial (AI Act), el Esquema Nacional de Seguridad (ENS), la LOPDGDD en España o el Real Decreto-ley 12/2018 relacionado con la seguridad de redes y sistemas de información.

Todas estas regulaciones (explicadas también en este articulo) tienen algo en común: obligan a las empresas a proteger los datos que manejan y a aplicar medidas de seguridad adecuadas para evitar filtraciones o accesos no autorizados.

La solución no es prohibir, sino controlar

Si? y como? me preguntaras. Aquí es donde entran en juego los sistemas conocidos como DLP o Data Loss Prevention. Un sistema DLP está diseñado para identificar información sensible dentro de la organización y evitar que salga de los sistemas de forma no controlada.

Estos sistemas pueden detectar, por ejemplo, si se están enviando datos confidenciales fuera de la empresa, si se están copiando archivos sensibles o si determinados documentos están siendo utilizados de forma indebida.

Herramientas que pueden ayudar a prevenir fugas de información

Existen diferentes tipos de herramientas que permiten implementar controles para detectar y prevenir fugas de información dentro de una empresa. Algunas organizaciones ya tienen acceso a estas soluciones dentro de las plataformas que utilizan diariamente, mientras que otras optan por herramientas especializadas o soluciones basadas en software libre.

Estas herramientas permiten detectar cuando se están compartiendo datos sensibles, evitar que determinados documentos salgan de la organización y controlar cómo se utiliza la información.

Microsoft Purview DLP (Microsoft 365 / Azure)

Microsoft Purview no es un software que tengas que instalar en servidores propios. Se trata de un servicio integrado dentro del ecosistema de Microsoft 365 y Azure. Se gestiona desde el panel de administración de Microsoft y permite aplicar políticas de seguridad directamente sobre correos, documentos, Teams o SharePoint. En muchos casos ya viene incluido en planes empresariales, aunque algunas funcionalidades más avanzadas requieren licencias superiores.

Netskope

Netskope permite controlar cómo se utilizan aplicaciones en la nube, detectar posibles fugas de información y aplicar políticas de seguridad cuando los empleados utilizan servicios externos o herramientas de inteligencia artificial.

Normalmente se configura mediante agentes en los equipos o a través de la red corporativa, permitiendo monitorizar el uso de aplicaciones en la nube y aplicar políticas de seguridad en tiempo real. Es una solución orientada a empresas que trabajan intensivamente con servicios SaaS.

Forcepoint DLP

Forcepoint es una solución muy extendida en entornos empresariales que permite identificar información sensible, aplicar controles de seguridad y detectar comportamientos que podrían indicar una posible fuga de datos.

Funciona tanto en entornos locales como en la nube, dependiendo de la arquitectura de la empresa. Suele requerir la instalación de agentes en los equipos de los usuarios y una consola central desde la que se gestionan las políticas de seguridad.Es una solución más avanzada, pensada para organizaciones que necesitan un control muy detallado sobre la información que manejan.

MyDLP (alternativa open source)

MyDLP Community Edition es una alternativa que puede desplegarse en tu propio servidor. Su instalación es relativamente sencilla en entornos Linux y permite tener un control básico sobre la información sin necesidad de contratar licencias.

Aunque no ofrece todas las funcionalidades de la versión comercial, puede ayudarte a detectar información sensible dentro de la infraestructura. Es una opción interesante para pequeñas empresas o entornos donde se quiere empezar a aplicar controles sin realizar una gran inversión inicial.

Wazuh

Wazuh no es un DLP como tal, pero permite monitorizar sistemas, detectar comportamientos anómalos y generar alertas cuando se producen accesos o actividades sospechosas. También es inicialmente gratuito.

Wazuh se puede instalar de forma gratuita en servidores propios, incluso en entornos pequeños o laboratorios tipo homelab. Funciona mediante agentes que se instalan en los equipos y envían información a un servidor central. Aunque su uso básico es completamente gratuito, existen servicios adicionales de soporte y funcionalidades avanzadas que pueden requerir soluciones de pago.

Comparativa de soluciones para prevenir fugas de información

Herramienta	Tipo	Instalación	Coste	Nivel de complejidad	Enfoque principal
Microsoft Purview DLP	Cloud (Microsoft 365)	No requiere instalación local	Incluido en licencias (E3/E5)	Media	Control de datos en correo, documentos y nube
Netskope	Cloud (CASB)	Agentes o integración de red	Suscripción	Alta	Control de uso de apps cloud y tráfico
Forcepoint DLP	Híbrido (cloud/on-prem)	Agentes + consola central	Licencia	Alta	Protección avanzada de datos sensibles
MyDLP	On-premise (open source)	Servidor propio	Gratuito	Media	Control básico de fuga de datos
Wazuh	On-premise / open source	Servidor + agentes	Gratuito (soporte opcional)	Media	Monitorización y detección de comportamientos

Otros controles de seguridad más allá del DLP

Por ejemplo, los sistemas CASB (Cloud Access Security Broker) permiten controlar cómo se utilizan aplicaciones en la nube y detectar qué herramientas están usando los empleados, incluidas plataformas de inteligencia artificial.

Un ejemplo de solución CASB es Microsoft Defender for Cloud Apps. Este tipo de herramientas permite a la empresa ver qué aplicaciones en la nube están utilizando sus empleados, incluidas herramientas de inteligencia artificial, y aplicar políticas de seguridad. Por ejemplo, puede detectar si un usuario está subiendo información sensible a una aplicación externa o limitar el acceso a determinados servicios.

Las plataformas SIEM (Security Information and Event Management) es una solución de ciberseguridad que centraliza, correlaciona y analiza en tiempo real los registros (logs) de seguridad de toda la infraestructura informática (redes, servidores, aplicaciones) para detectar, alertar y responder a amenazas potenciales), como Wazuh (ya mencionado) o Elastic, permiten detectar comportamientos anómalos y posibles incidentes de seguridad.

Además, algo fundamental es la clasificación de datos. Si una empresa no sabe qué información es sensible, difícilmente podrá protegerla correctamente. Este punto es especialmente importante cuando se utilizan herramientas de inteligencia artificial dentro de los procesos de trabajo.

Diferencias entre DLP, CASB y SIEM

Tipo de solución	Qué hace	Objetivo principal	Ejemplos
DLP	Detecta y bloquea la salida de datos sensibles	Evitar fugas de información	Microsoft Purview DLP, Forcepoint DLP, Symantec DLP
CASB	Controla el uso de aplicaciones en la nube	Supervisar y limitar el uso de herramientas externas (incluida IA)	Microsoft Defender for Cloud Apps, Netskope, McAfee MVISION Cloud
SIEM	Monitoriza eventos y detecta comportamientos anómalos	Detectar incidentes de seguridad	Elastic Security, Wazuh, Splunk

Algunas organizaciones utilizan plataformas SOAR para automatizar la respuesta ante incidentes, lo que permite bloquear accesos, generar alertas y documentar eventos automáticamente, algo que encaja con los controles exigidos por SOC 2 Type II.

De forma sencilla podríamos decir que:

• DLP → intenta evitar que los datos salgan.
• CASB → controla cómo se utilizan las aplicaciones externas.
• SIEM → permite detectar cuándo algo sospechoso ya está ocurriendo.
• SOAR → responde automáticamente

Cómo puedo ayudar a las empresas a gestionar este riesgo

En muchos casos, las empresas no tienen claro por dónde empezar. Mi trabajo consiste en ayudar a las organizaciones a revisar sus sistemas, analizar cómo se están utilizando las herramientas tecnológicas dentro de la empresa y detectar posibles riesgos relacionados con la fuga de información.

Esto incluye revisar infraestructuras, analizar el uso de herramientas de inteligencia artificial, evaluar configuraciones de seguridad y proponer controles que permitan proteger los datos sin frenar la productividad ni la innovación.

Primera revisión orientativa gratuita

Para facilitar ese primer paso, ofrezco una revisión inicial orientativa gratuita en la que analizamos la situación tecnológica de la empresa.

Curiosidades finales

• Muchas empresas creen que el mayor riesgo de la inteligencia artificial es utilizarla. En realidad, el mayor riesgo suele ser no tener visibilidad sobre cómo se está utilizando dentro de la organización.
  
• En la práctica, los empleados ya están usando estas herramientas, muchas veces sin supervisión.
  
• Las empresas que realmente están avanzando son aquellas que entienden el potencial de estas tecnologías y aplican los controles adecuados para proteger la información.
  
• En un entorno cada vez más competitivo, la clave no está en evitar la tecnología, sino en saber gestionarla correctamente.