Cómo abordar los requisitos de cumplimiento normativo para la seguridad de GenAI

Justo cuando pensabas que gestionar los riesgos de seguridad de los datos en torno a GenAI y controlar el crecimiento de la sombra de GenAI era suficiente, aquí viene un nuevo obstáculo.

Las demandas regulatorias y legales para proteger GenAI están aumentando, y las organizaciones pronto necesitarán demostrar cómo manejan los riesgos asociados con ella. El Reglamento de Inteligencia Artificial de la UE (Reglamento de IA de la UE) es la indicación más clara de los requisitos tempranos. Etiqueta explícitamente aplicaciones de inteligencia artificial específicas como “de alto riesgo” e impone requisitos estrictos para la transparencia, la rendición de cuentas y la supervisión humana. Las sanciones por incumplimiento están diseñadas para ser punitivas, calculadas como porcentajes de los ingresos globales en lugar de multas planas. Para las empresas multinacionales, esto convierte la gobernanza de la inteligencia artificial de una práctica recomendada en una obligación legal, con graves consecuencias por incumplimiento.

En los Estados Unidos, la Comisión Federal de Comercio (FTC) ha dejado claro que el uso de la inteligencia artificial será examinado bajo su mandato de prevenir “prácticas injustas o engañosas”. Esto significa que las empresas no pueden esconderse detrás de la complejidad técnica. Si los clientes o empleados son engañados sobre cómo se gestiona su datos, o si la inteligencia artificial plantea riesgos no divulgados, los directivos pueden ser considerados responsables.

Las acciones de aplicación de la ley tempranas ya han demostrado que los reguladores están dispuestos a hacer ejemplos de empresas que actúan demasiado rápido sin controles adecuados. Por ejemplo, la FTC tomó medidas contra DoNotPay, una empresa que promovió una herramienta de inteligencia artificial como un “abogado robot” capaz de generar documentos legales válidos y orientación legal experta, encontrando que las afirmaciones de la empresa sobre las capacidades de su inteligencia artificial eran falsas o engañosas y violaban la Sección 5 de la Ley de la FTC. En otro caso, la FTC requirió que Everalbum, Inc., destruyera modelos y algoritmos de inteligencia artificial construidos utilizando fotos de consumidores recopiladas sin consentimiento adecuado, una sanción directa por utilizar datos de maneras que se desvían del consentimiento del usuario y las expectativas legales.

A nivel estatal, California y Nueva York están liderando una ola de leyes de inteligencia artificial y privacidad que se basan en marcos existentes, como la Ley de Privacidad del Consumidor de California (CCPA). Estas leyes se alinean con los requisitos de privacidad más amplios, que requieren que las empresas traten la gobernanza de la inteligencia artificial y la privacidad de los datos como un programa único e integrado.

La colisión ya es aparente. Hoy en día, un consumidor puede solicitar bajo el Reglamento General de Protección de Datos (RGPD) o la CCPA que su información personal sea eliminada de los sistemas de una empresa. Sin embargo, no hay un proceso equivalente para solicitar la eliminación de datos una vez que han sido ingeridos en un modelo de GenAI. La falta de una opción “eliminar mis datos de su modelo” pronto se convertirá en un punto de conflicto entre los reguladores y las empresas.

Por qué el cumplimiento se siente más difícil esta vez

A primera vista, regular la inteligencia artificial no parece muy diferente de los desafíos de cumplimiento anteriores. Sin embargo, la gobernanza de GenAI introduce una nueva complicación: la imprevisibilidad. El límite entre inofensivo y dañino no siempre es claro. Un solo prompt puede divulgar información confidencial, y una sola salida puede llevar contenido confidencial a lugares donde no pertenece. Los controles tradicionales, como la prevención de la pérdida de datos (DLP) y las auditorías de permisos, no fueron diseñados para este nivel de velocidad o complejidad.

Para el cumplimiento del RGPD, el enfoque era la privacidad. Las tareas eran sencillas: identificar datos personales, implementar controles y documentar el cumplimiento. GenAI, sin embargo, complica las cosas porque se trata menos de los datos en sí y más de cómo esos datos se transforman, remixan y revelan de maneras inesperadas. Las organizaciones enfrentan riesgos como Copilot que expone hojas de cálculo confidenciales almacenadas en SharePoint, empleados que pegan código confidencial en ChatGPT para depurar scripts y salidas generadas por inteligencia artificial que contienen suficiente contexto para filtrar información confidencial.

Las herramientas tradicionales no fueron diseñadas para manejar los riesgos de seguridad y cumplimiento de GenAI. Las reglas de DLP pasan por alto la sutileza. Las auditorías de permisos luchan por mantenerse al día con la colaboración. Y la sombra de la inteligencia artificial significa que la actividad ocurre fuera de las herramientas aprobadas.

Qué pueden hacer los líderes de seguridad ahora

El desafío regulatorio próximo se siente abrumador, pero no tiene que ser abrumador. El primer paso es replantear el problema. GenAI no es una nueva categoría de riesgo; es un impulsor. Amplifica los problemas existentes, como permisos de datos excesivos, clasificación deficiente y visibilidad limitada, haciéndolos más peligrosos. Abordar esos riesgos puede ayudar a cumplir con los requisitos de cumplimiento de GenAI.

Los directores de seguridad informática (CISO) deben priorizar la construcción de cimientos sólidos sobre políticas perfectas para cumplir mejor con las demandas regulatorias futuras. Esto incluye obtener visibilidad en el uso de la inteligencia artificial, aplicar la clasificación de datos consciente del contexto y crear políticas adaptativas que equilibren la seguridad con la productividad.

Las organizaciones que tengan éxito no serán aquellas con los más libros de reglas y mandamientos; serán aquellas con una comprensión clara de lo que está sucediendo, combinada con protecciones que cumplan con los requisitos de cumplimiento. A continuación, se presentan los pasos clave a seguir:

1. Evaluar la visibilidad. Identificar dónde se utiliza GenAI, incluida la sombra de GenAI. Evitar esperar a que ocurra un incidente para descubrir que las finanzas han estado pegando previsiones en ChatGPT.
2. Clasificar utilizando el contexto. Ir más allá de regex o nombres de archivos. La clasificación semántica ayuda a identificar si plan_final.docx es inofensivo o altamente sensible.
3. Restringir los permisos. El privilegio mínimo no debe ser opcional; es esencial para mantener el cumplimiento y evitar que Copilot exponga minutos confidenciales de la junta a un pasante. Las carpetas compartidas en exceso son una fuente común de riesgo y violaciones de cumplimiento futuras.
4. Tratar las salidas como entradas. El texto generado por la inteligencia artificial puede filtrarse con la misma facilidad que los prompts. Auditar y monitorear cómo se comparte hacia abajo.
5. Desarrollar estrategias de cumplimiento adaptativas. Las políticas escritas hoy pueden volverse ineficaces en seis meses.

Para los directivos, el mensaje es claro. La presión regulatoria está avanzando más rápido de lo que muchos esperan, y esperar a que se estabilicen los estándares no es un plan viable. Los marcos de gobernanza deben establecerse ahora, no solo para reducir el riesgo, sino también para demostrar a los reguladores, clientes y consejos de administración que la adopción de la inteligencia artificial es deliberada y responsable.