Si bien los debates sobre la inteligencia artificial (IA) se centran en algunos de los escenarios más aterradores —una superinteligencia que somete rápidamente a sus creadores humanos para que cumplan sus órdenes o un Estado rebelde que utiliza la IA para comenzar a conquistar el mundo—, los riesgos más probables de la IA son más prosaicos. Y mucho más manejable.
Esto debería suponer una buena noticia para los innumerables empresarios deseosos de incorporar formas de inteligencia artificial generativa (GenAI), es decir, cualquier sistema capaz de generar nuevos textos, imágenes, audio o código en respuesta a indicaciones. Los riesgos de « » asociados a la IA generativa ya son bien conocidos por los responsables de tecnología de las empresas y los directores de seguridad de la información (CISO). Se refieren a los datos , la gobernanza, , la seguridad de los datos, , la toma de decisiones ética y fiable, y la seguridad de las propias aplicaciones de IA.
La diferencia —y es una diferencia importante— entre estas preocupaciones y los riesgos de ciberseguridad más habituales a los que se han enfrentado las empresas a lo largo de los años radica en que la tecnología de IA generativa dentro de la empresa es nueva y sus consecuencias en materia de seguridad son impredecibles. Aunque la magnitud de esta imprevisibilidad ha preocupado a muchos científicos, no es un obstáculo insuperable. Existen medidas que las empresas pueden adoptar para gestionar de forma eficaz los riesgos generales que plantea la IA generativa.
«El primer paso es contar, como mínimo, con una política que ofrezca orientación sobre cómo utilizar los modelos de lenguaje a gran escala», afirma Walter Haydock, fundador y director ejecutivo de StackAware, una empresa especializada en ciberseguridad basada en la inteligencia artificial. De todas las nuevas formas de IA generativa (GenAI) disponibles en la actualidad, los grandes modelos de lenguaje (LLM), que generan texto o código bajo demanda, están despertando un gran interés entre empresas de todos los tamaños.
«. El primer paso es contar, como mínimo, con una política que ofrezca orientación sobre cómo utilizar los modelos de lenguaje a gran escala.»Walter Haydock, fundador y director ejecutivo de StackAware
Se estima que las empresas gastaron 19.4 000 millones de dólares en soluciones de IA generativa en 2023 —y podrían invertir hasta 151 000 millones de dólares para 2027 —, según las cifras de «» de la empresa de investigación International Data Corp. Los modelos de lenguaje a gran escala (LLM), en particular, ya se utilizan como chatbots en empresas líderes de diversos sectores, entre ellos el de los viajes (Expedia), los seguros (Allstate), los servicios financieros (Mastercard) y la industria manufacturera (Schneider Electric).
¿Qué está en juego? Las empresas que no cuenten con buenas políticas de gobernanza interna se darán cuenta de que no podrán confiar en los resultados de sus modelos LLM desarrollados internamente. Serán más vulnerables a las infracciones éticas y de derechos de autor, o a las fugas de datos . Y podrían perder el control del propio modelo LLM si sufren un ciberataque.
Establecer una gobernanza eficaz de la IA generativa es más rápido de lo que cree
John Pescatore, director de tendencias emergentes en seguridad del SANS Institute —la organización líder mundial en investigación y formación en ciberseguridad—, coincide con Haydock y aconseja a las organizaciones que empiecen por implantar un modelo de gobernanza integral. Esto incluye proteger el propio modelo y los datos que lo alimentan, así como supervisar el comportamiento del modelo.
«No se trata de crear el modelo y olvidarse de él; es la gestión continua lo que permite alcanzar los objetivos.»John Pescatore, director de tendencias emergentes en materia de seguridad del Instituto SANS
El proceso no tiene por qué durar meses. Se puede llevar a cabo en cuestión de semanas, siempre y cuando se tenga claro que no se trata de establecer un conjunto definitivo de normas y directrices para supervisar todos los sistemas de IA generativa de forma permanente. Su estrategia se irá ajustando (y así debe ser) con el paso del tiempo, a medida que cambien la tecnología y las necesidades de su empresa. «No se trata de crear el modelo y olvidarse de él; es la gestión continua lo que permite alcanzar los objetivos», afirma Pescatore.
Para «llevar a cabo el trabajo» de forma eficaz a lo largo del tiempo, los expertos recomiendan que las organizaciones adopten las siguientes medidas.
1. Defina el alcance de su programa de IA/LLM y de gobernanza de datos
Esto implica determinar y exponer con claridad los objetivos específicos de su sistema de IA generativa, así como definir sus límites. El establecimiento de límites claros contribuirá a evitar resultados que puedan incumplir las normas de cumplimiento normativo o de privacidad. Para confirmar las funciones, las responsabilidades y las buenas prácticas, pregunte y determine lo siguiente: ¿Quién es responsable de garantizar la seguridad y la gestión del programa LLM, de las fuentes de datos y de la clasificación de los datos en el LLM? ¿De qué manera recopilará, almacenará, gestionará y utilizará el modelo esos datos?
2. Establezca unas prácticas sólidas de gestión de datos
Las organizaciones deben detallar cómo se limpian, enriquecen y validan los datos utilizados para entrenar los modelos de lenguaje a gran escala (LLM). Una vez más, deberían definir quién supervisará estos procesos y cuáles serán los protocolos previstos. Es fundamental validar los datos de entrenamiento (para garantizar su exactitud) y depurarlos de cualquier dato sensible , datos regulados o propiedad intelectual (si se trata de un modelo destinado al público) , con el fin de evitar fugas de datos o violaciones de la privacidad ..
3. Exija una seguridad de datos sólida
En pocas palabras, la seguridad de los datos es fundamental, señala Ron Reiter, cofundador y director técnico de Sentra, una empresa emergente dedicada a la seguridad en la nube. «Si se toma las precauciones necesarias para proteger los datos sensibles que se transmiten, se minimiza la superficie de ataque, lo que permite elaborar una política de seguridad más eficaz», afirma.
Asimismo, es recomendable establecer políticas relativas al acceso a los modelos y a su desarrollo, a los datos que alimentan dichos modelos, así como a la forma en que se protegerán tanto los modelos como los datos que contienen. Los responsables de la planificación de la gobernanza deben determinar cómo garantizará la organización que los datos y las acciones del modelo cumplan con las normativas gubernamentales y las normas de la empresa.
4. Supervisar de forma continua
Las organizaciones deben establecer sistemas para supervisar el comportamiento de la IA, las fuentes de datos del modelo y la forma en que se utiliza este. La empresa puede verse obligada a cerrar si el modelo comienza a comportarse de forma maliciosa o a filtrar datos confidenciales.
5. Reducir los sesgos
Aunque es imposible eliminar los sesgos, una empresa puede crear y aplicar medidas para reducir los sesgos en los sistemas de modelos de lenguaje a gran escala (LLM) e identificarlos cuando surjan. Los sesgos derivados de la inteligencia artificial generativa (GenAI) pueden afectar a las decisiones relativas a la concesión de préstamos, la evaluación de la solvencia crediticia, las prácticas de contratación e incluso a la difusión de información errónea sobre el « ». Las medidas de mitigación deben incluir la gestión de datos (utilizando datos procedentes de diversas fuentes), herramientas de detección de sesgos, transparencia en lo que respecta a los datos y al modelo de lenguaje grande (LLM), así como un seguimiento frecuente. Las empresas deben llevar a cabo controles continuos para evitar resultados sesgados debidos a posibles sesgos en los datos de la empresa.
6. Revise su plan de respuesta ante incidentes
Desempolve esos manuales de respuesta ante incidentes de y asegúrese de que aborden el tema de la IA generativa. Su plan de respuesta ante incidentes debe incluir instrucciones paso a paso en caso de que sus sistemas de IA general (GenAI) fallen o sean objeto de un ciberataque.
7. Mantenga la flexibilidad
Las empresas deben crear un marco de gobernanza de la IA generativa lo suficientemente flexible como para adaptarse a los avances tecnológicos en materia de IA y a las nuevas normas de los organismos reguladores, tanto en EE. UU. como en el extranjero. Una política de gobernanza de la IA generativa (GenAI) eficaz también supervisará periódicamente el uso que la empresa hace de los modelos de lenguaje a gran escala (LLM) para detectar posibles incumplimientos y evaluará la eficacia de la política.
[Lea también: Guía definitiva sobre ciberseguridad basada en la IA: ventajas, riesgos y beneficios]
8. Procure que sea uniforme
Es fundamental que el marco de gobernanza de la IA regule el uso y la seguridad de la IA de manera uniforme en toda la organización. Una estrategia eficaz debería garantizar que los distintos departamentos y unidades de negocio no actúen por su cuenta en lo que respecta a la gobernanza de la inteligencia artificial.
Ajuste de sus políticas de gobernanza de la IA generativa
Los planes de gobernanza también deberían abordar el tipo de modelos de lenguaje grandes (LLM) que utiliza una empresa. (Puede utilizar un modelo de lenguaje grande (LLM) ya existente, personalizar un modelo preentrenado o crear uno propio desde cero.) Si lo crea usted mismo, puede parecer ventajoso desarrollar un único modelo de gran envergadura y segregar virtualmente los datos que se introducen en él para que los utilicen distintos departamentos. Una opción que podría resultar más adecuada: crear modelos de lenguaje grande (LLM) más pequeños y físicamente diferenciados para ámbitos como el marketing, la investigación y las finanzas, de modo que el personal y el resto de usuarios solo puedan acceder a los datos a los que tengan derecho y para los que tengan una necesidad legítima. Al limitar el acceso a los sistemas de IA generativa, se reducen los riesgos de que se produzcan fugas de datos a mayor escala. «Es la única forma que considero posible de proteger los modelos en lo que respecta al acceso y a la compartimentación de datos», afirma Reiter.
Al igual que ocurre con cualquier política integral de ciberseguridad, la gestión de riesgos de terceros resulta esencial para un plan de gobernanza de la IA de última generación. Los responsables de las empresas y los equipos de seguridad deben ir más allá de su propia arquitectura de red y fijarse en los protocolos de gobernanza y seguridad de los proveedores externos, evaluando (y supervisando de forma continua) cómo sus prácticas de gobernanza y gestión de riesgos se relacionan con las suyas.
Al igual que su planificación general en materia de gobernanza, la evaluación de los riesgos de terceros no tiene por qué llevar demasiado tiempo. «Según nuestra experiencia con los clientes, la evaluación y la mejora del entorno de seguridad para proteger la IA generativa suelen llevarse a cabo en 60 días», señala una guía reciente de PricewaterhouseCoopers titulada « » ( ), dedicada a la implantación a gran escala de la IA generativa en las empresas.
Asegurarse de que los responsables de seguridad y los altos directivos estén en sintonía le ayudará a agilizar este proceso, especialmente en lo que se refiere a los requisitos previos o procedimientos necesarios para incluir las IA de terceros en la lista de proveedores autorizados de su empresa. «Si, por cualquier motivo, el equipo de seguridad no está de acuerdo con el uso de esa herramienta o con permitir que se introduzcan ese tipo de datos en ella, este es el proceso para obtener la aceptación del riesgo, basándose en la justificación empresarial», explica Haydock.
Los expertos coinciden en que la clave de todo esto radica en comprometerse con la «seguridad desde el diseño» e invertir en ella.
«La carrera por implementar y proteger la IA generativa sigue el patrón habitual: las empresas se apresuran a ponerla en marcha y la seguridad se queda rezagada», afirma Pescatore. «Por desgracia, la seguridad siempre va por detrás», afirma. Y tratar de ponerse al nivel de los adversarios es una estrategia que garantiza el fracaso.
