¿Filtra datos ChatGPT?

En noviembre de 2022, OpenAI lanzó ChatGPT, una herramienta de inteligencia artificial generativa (GenAI), que desde entonces ha arrasado en todo el mundo. Sólo dos meses después de su lanzamiento, contaba con más de 100 millones de usuarios, lo que la convertía en "la aplicación de consumo de más rápido crecimiento de la historia". Y ChatGPT no está solo.

Aunque cualquier tecnología nueva presenta riesgos, eso no significa que todos los riesgos sean nuevos. De hecho, las empresas podrían descubrir que ya cuentan con muchas de las personas, procesos y tecnología necesarios para mitigar los riesgos de las herramientas GenAI, pero que necesitan afinarlos para incluir esta nueva categoría tecnológica.

Dicho esto, las empresas no deben dar por sentado que ya están protegidas contra estos riesgos; por el contrario, deben ser intencionadas en su mitigación de riesgos.

¿Cómo pueden las herramientas GenAI como ChatGPT plantear riesgos para la información sensible?

La mayoría de las herramientas GenAI están diseñadas para tomar una "indicación" del usuario, que puede ser un texto introducido/pegado, un archivo de texto, una imagen, audio en directo o grabado, un vídeo o alguna combinación de ellos y, a continuación, realizar alguna acción basada en la indicación utilizada. ChatGPT, por ejemplo, puede resumir el contenido de un aviso ("resuma estas notas de la reunión...") y depurar código fuente ("identifique qué falla en este código..."). 

El riesgo es que estas indicaciones puedan ser revisadas por los desarrolladores de la herramienta GenAI y puedan ser utilizadas para entrenar una futura versión de la herramienta. En el caso de las herramientas públicas, las indicaciones pasan a formar parte del propio modelo lingüístico, alimentándolo con contenidos y datos que de otro modo no tendría. Si estas notas sólo incluyen información que ya es pública, puede haber poco riesgo; sin embargo, en el ejemplo anterior, si las notas de la reunión incluían información sensible o el código fuente era propietario, estos datos confidenciales han salido ahora del control del equipo de seguridad y pueden poner en peligro las obligaciones de cumplimiento y las protecciones de la propiedad intelectual.

En la situación más extrema, la entrada de alguien puede convertirse en la salida de otro.

Y eso no es sólo teórico.

En enero de 2023, Amazon emitió un comunicado interno restringiendo el uso de ChatGPT tras descubrir que los resultados de ChatGPT "imitaban datos internos de Amazon". Y aunque los datos iniciales utilizados para entrenar a ChatGPT dejaron de recopilarse en 2021, ChatGPT no ha terminado de entrenarse. De hecho, en el futuro, cuando un ingeniero pida ayuda para optimizar su código fuente podría parecerse a los datos propietarios de la división de semiconductores de Samsung. 

Con un informe que indica que dos tercios de los trabajos podrían ser automatizados al menos parcialmente por herramientas de GenAI, ¿qué otra información sensible podría acabar siendo utilizada como datos de entrenamiento?

Todo está en la balanza

Un enfoque intencionado y equilibrado entre las personas, los procesos y la tecnología es la única forma de mitigar realmente el riesgo de fuga de datos a través de una herramienta GenAI.

Reúna a las partes interesadas

Empiece por reunir a las principales partes interesadas: Recursos Humanos, Legal, TI y Seguridad para definir las políticas y procedimientos para el uso de la herramienta GenAI en alineación con las directrices ejecutivas.

• ¿Quién puede utilizarlo y cuándo?
• ¿Qué puede utilizarse como entrada?
• ¿Cómo se puede utilizar el resultado?

Algunas empresas, como Amazon, optan por permitir el uso de la herramienta GenAI siempre que sus empleados sean cuidadosos; otras, como Samsung, han decidido prohibir su uso por completo.

Comunicar y educar

• Proporcione orientación explícita en su política de uso aceptable
• Exigir una formación proactiva sobre los riesgos asociados al uso de la herramienta GenAI
• Informe a los empleados de dónde pueden acudir para obtener ayuda sobre el uso correcto y cómo denunciar un uso inadecuado.

Detener, contener y corregir

• Supervise la actividad de los empleados hacia herramientas GenAI no fiables
• Bloquear la actividad de pegado en herramientas GenAI no aprobadas
• Generar alertas para la carga de archivos en las herramientas GenAI
• Responda con formación en tiempo real para aquellos empleados que cometan un error

Muchos de los riesgos de las herramientas GenAI no son nuevos, y con un enfoque intencionado y holístico las organizaciones mitigan el riesgo de las herramientas GenAI sin perder el impulso de la posibilidad.

¿Está listo para saber cómo puede protegerse su empresa sin quedarse atrás?

Si es así, puede que esté preparado para concertar una consulta gratuita con nuestros asesores de protección de datos. Obtendrá las herramientas y la orientación necesarias para crear un programa de amenazas internas transparente, sostenible y medible... sin ataduras.