La IA Generativa y el Factor Humano: Claves en la Vulnerabilidad de las Organizaciones ante la Pérdida de Datos

El Día Internacional de la Protección de Datos, que se conmemora hoy, este 28 de enero, tiene como objetivo recordar la importancia crucial de la privacidad y la seguridad de la información en un entorno tecnológico en constante evolución. A pesar de los avances que impulsan cambios significativos en el sector y la implementación de nuevas normativas, el factor humano sigue siendo uno de los elementos más determinantes en la vulnerabilidad de las organizaciones frente a la pérdida de datos.

Un informe de Proofpoint revela que, en 2024, el 85% de las organizaciones a nivel global experimentaron pérdidas de datos, y el 90% sufrió consecuencias negativas, tales como pérdida de ingresos y daños a la reputación. Resulta sorprendente que solo el 1% de los usuarios fuera responsable del 88% de las alertas de pérdida de datos, lo que resalta el impacto significativo que tiene la negligencia de los empleados en este tipo de incidentes.

En el contexto de España, el uso creciente de IA generativa en el panorama de amenazas ha llevado a muchas organizaciones a aumentar su inversión en medidas de protección de datos. Según el informe, 44% de los CISOs españoles planean implementar tecnología de prevención de pérdida de datos (DLP) en 2024, y más de la mitad (52%) está destinando recursos a la formación en seguridad para empleados. Esto es especialmente relevante dado el auge de herramientas como ChatGPT, Grammarly y Google Gemini, que, aunque son altamente potentes y útiles, están llevando a más usuarios a introducir información sensible en dichas plataformas.

Los investigadores de amenazas de Proofpoint advierten: “La inteligencia artificial, y en particular la IA generativa, ha traído consigo nuevos retos en el ámbito de la seguridad de datos. Aunque la IA tiene un potencial inmenso, también presenta riesgos considerables de pérdida de datos. Introducir información confidencial o datos personales en estos modelos es como poner en manos de los atacantes una herramienta peligrosa. Por ello, las organizaciones están cada vez más preocupadas.”

El análisis Voice of the CISO 2024, elaborado por Proofpoint, subraya que el 62% de los CISOs españoles consideran las herramientas de IA generativa un riesgo significativo para sus organizaciones, lo que pone de manifiesto la necesidad de adoptar estrategias robustas de protección de datos.

Lo cierto es que los datos no se pierden por sí mismos; son las personas quienes los pierden. La mayoría de las fugas de información se deben a usuarios que, por negligencia, compromiso o malintención, provocan estos incidentes. En España, el 98% de las organizaciones encuestadas por Proofpoint admiten haber tenido al menos un caso de pérdida de datos confidenciales en el último año, y un 72% de los CISOs españoles coinciden en que los empleados fueron responsables de estos incidentes debido a acciones riesgosas como el envío erróneo de correos electrónicos, hacer clic en enlaces de phishing, instalar software no autorizado o enviar datos sensibles a cuentas personales.

Los investigadores de Proofpoint recomiendan un enfoque centrado en el factor humano para abordar la seguridad de los datos de manera eficaz. Este enfoque debe integrar una comprensión profunda de la clasificación de datos, la intención del usuario y el contexto de la amenaza, aplicándose coherentemente a todos los canales de comunicación, como el correo electrónico, la nube, los endpoints, la web y las herramientas de inteligencia artificial generativa. Además, subrayan la importancia de guiar a los empleados mediante intervenciones oportunas y rutas de aprendizaje personalizadas, basadas en el perfil de riesgo de cada individuo. El objetivo es fomentar un cambio de comportamiento que permita a todos los miembros de la organización entender los riesgos y asumir un papel activo en la protección de datos y la salvaguardia de la empresa.

De esta manera, las organizaciones podrán mitigar los riesgos asociados a la pérdida de datos, promoviendo una cultura de seguridad digital que proteja tanto la información sensible como la reputación empresarial en el actual entorno digital.