Por Ricardo Ortega O. Libresoft S. A.
La inteligencia artificial ha seguido una trayectoria similar a la de otras tecnologías que modificaron el trabajo y la operación de las empresas. Después de una primera etapa marcada por dudas y expectativas, actualmente se utiliza para generar contenidos, analizar información, desarrollar software y automatizar procesos.
La expansión de asistentes generativos, agentes y plataformas de automatización también plantea desafíos para las áreas de ciberseguridad.
Los asistentes de inteligencia artificial están disponibles desde computadores y dispositivos móviles. Una persona puede utilizarlos para redactar documentos, crear presentaciones, analizar archivos, generar imágenes, desarrollar programas o automatizar tareas.
El nivel de riesgo cambia cuando la herramienta deja de utilizarse para una consulta general y empieza a procesar información corporativa. Un usuario puede cargar documentos confidenciales, analizar correos, instalar extensiones, conectar aplicaciones o permitir que un agente ejecute acciones en su nombre.
Cuando estas actividades se realizan sin conocimiento de las áreas de tecnología y ciberseguridad, la organización pierde visibilidad sobre las herramientas utilizadas, los datos procesados, los permisos concedidos y las acciones ejecutadas. Esta situación no responde únicamente al comportamiento del usuario. También muestra la necesidad de contar con servicios autorizados, políticas de uso y procesos para evaluar nuevas herramientas.
Datos, contenidos y permisos
Los modelos generativos producen contenidos a partir de patrones identificados durante su entrenamiento y de las instrucciones proporcionadas por el usuario. Sus resultados pueden contener errores, información no verificable o elementos similares a materiales existentes. Por esta razón, deben revisarse antes de incorporarlos en documentos, comunicaciones, programas o decisiones.
También es necesario conocer qué ocurre con la información cargada en una plataforma externa. Su procesamiento, almacenamiento, retención y ubicación dependen del proveedor, el servicio contratado, la configuración y las condiciones de uso. Antes de autorizar una herramienta, la organización debe determinar qué información puede procesarse, durante cuánto tiempo se conserva y si intervienen terceros.
No toda la información representa el mismo nivel de riesgo. Una consulta sobre un tema público no debe recibir el mismo tratamiento que los datos personales, la información financiera, el código fuente, los contratos, las credenciales o los documentos estratégicos.
El riesgo aumenta con los agentes de inteligencia artificial que pueden consultar información, conectarse con otras aplicaciones y ejecutar tareas. Un agente con permisos excesivos podría acceder a datos innecesarios, modificar archivos, ejecutar acciones incorrectas o transferir información hacia servicios externos.
Las habilidades, extensiones y automatizaciones también deben evaluarse antes de su instalación. La revisión debe considerar su procedencia, los permisos solicitados, las conexiones utilizadas y las acciones que pueden ejecutar. Los agentes deben operar con accesos limitados y mantener trazabilidad sobre sus actividades. Cuando una acción puede modificar información, realizar una transacción o afectar un sistema corporativo, debe existir supervisión humana.
IA local: mayor control, pero no ausencia de riesgos
Una alternativa para determinados casos consiste en instalar modelos de inteligencia artificial en computadores o servidores administrados por la propia organización. Esta modalidad puede mantener el procesamiento dentro de la infraestructura definida por la empresa y funcionar sin una conexión permanente a internet.
Una implementación local puede reducir la exposición de información a servicios externos y proporcionar mayor control sobre los datos, los accesos y la configuración. También permite adaptar el modelo a necesidades específicas y establecer qué usuarios pueden utilizarlo.
Sin embargo, operar localmente no elimina todos los riesgos. La organización todavía debe verificar el origen de los modelos, corregir vulnerabilidades, administrar accesos, aplicar actualizaciones y monitorear el funcionamiento de la plataforma. También debe proteger la información utilizada y revisar la calidad de las respuestas.
Los modelos locales demandan recursos técnicos. Algunas soluciones pueden ejecutarse en equipos convencionales con un desempeño limitado, mientras otras necesitan procesadores gráficos, mayor memoria y almacenamiento. La decisión dependerá de los casos de uso, el volumen de información, el nivel de servicio esperado y la infraestructura disponible.
La IA local tampoco debe considerarse la única opción para el trabajo corporativo. Una organización puede combinar herramientas públicas, servicios empresariales y modelos privados según la sensibilidad de la información. Las consultas generales pueden realizarse en servicios externos sin incluir datos internos, mientras que los procesos confidenciales o de mayor valor pueden utilizar entornos con controles específicos o infraestructura local.
Gobierno y validación humana
La adopción de inteligencia artificial necesita la participación de tecnología, ciberseguridad, áreas de negocio, riesgos, cumplimiento y asesoría legal. La responsabilidad no puede concentrarse únicamente en los usuarios ni en el equipo técnico.
Las organizaciones deben conocer qué herramientas están utilizando sus colaboradores, definir cuáles están autorizadas y establecer el tipo de información que puede procesarse en cada una. También necesitan limitar los permisos de los agentes, revisar extensiones y conectores, registrar las acciones ejecutadas y capacitar a los usuarios sobre los riesgos.
La validación humana debe mantenerse en los procesos críticos. Un resultado generado por inteligencia artificial puede servir como insumo para el análisis, pero no debería utilizarse sin una revisión que confirme su exactitud, pertinencia y cumplimiento de las políticas internas.
La inteligencia artificial también puede contribuir a la ciberseguridad mediante el análisis de eventos, la detección de anomalías, la priorización de alertas y la identificación de posibles vulnerabilidades. Estas aplicaciones deben integrarse en procesos supervisados por especialistas y no operar como mecanismos aislados de decisión.
La incorporación de inteligencia artificial no debería detenerse, pero tampoco puede avanzar sin reglas. Las organizaciones necesitan conocer qué herramientas utilizan sus colaboradores, qué datos procesan y qué permisos reciben los agentes.
Referencias
- Ayerbe, A. (2020). La ciberseguridad y su relación con la inteligencia artificial. Real Instituto Elcano.
- Jada, I., & Mayayise, T. O. (2024). The impact of artificial intelligence on organisational cyber security: An outcome of a systematic literature review. Data and Information Management, 8(2), 100063. https://doi.org/10.1016/j.dim.2023.100063
- National Institute of Standards and Technology. (2024). Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile. NIST AI 600-1.
- OWASP Foundation. (2025). OWASP Top 10 for Large Language Model Applications.
- Sarker, I. H., Furhad, M. H., & Nowrozy, R. (2021). AI-driven cybersecurity: An overview, security intelligence modeling and research directions. SN Computer Science, 2, 173. https://doi.org/10.1007/s42979-021-00557-0
