La IA pone en jaque las leyes de privacidad: el nuevo riesgo está en las inferencias

 

Las normativas de privacidad de datos, como el Reglamento General de Protección de Datos de la Unión Europea (RGPD) y leyes estadounidenses como HIPAA, fueron diseñadas para proteger información personal frente a accesos, filtraciones y usos no autorizados. Sin embargo, el avance de la inteligencia artificial está creando un nuevo desafío: la posibilidad de obtener información sensible sin necesidad de acceder directamente a los datos personales.

Según Gartner, para 2029 la mayoría de los incidentes relacionados con la privacidad podrían estar vinculados a inferencias generadas por inteligencia artificial sobre las personas, en lugar de la exposición directa de datos como nombres, direcciones o números de identificación.

La razón es la capacidad de los sistemas de IA para encontrar relaciones y patrones que pueden pasar desapercibidos para las personas.

Los ciberdelincuentes ya no necesitan necesariamente robar una contraseña o comprar una base de datos que contenga información médica o financiera. Al combinar diferentes fragmentos de información aparentemente poco sensibles, un sistema de inteligencia artificial puede llegar a conclusiones mucho más delicadas.

La anonimización de los datos tampoco garantiza una protección absoluta. Los algoritmos pueden analizar conjuntos de datos aparentemente anónimos y relacionarlos con otras fuentes para intentar identificar nuevamente a las personas o deducir características personales.

Información como registros de viajes, publicaciones en redes sociales, hábitos de consumo, actividad digital e interacciones con empresas puede adquirir un enorme valor cuando es analizada conjuntamente por sistemas de inteligencia artificial.

El problema no se limita a la privacidad. La IA también puede generar conclusiones incorrectas sobre una persona. Una inferencia equivocada puede afectar decisiones relacionadas con seguridad, empleo, servicios financieros o investigaciones.

Los sesgos y las llamadas alucinaciones de la IA pueden hacer que un sistema atribuya a una persona características o comportamientos que en realidad no tiene. Esto convierte a los datos generados por IA en un nuevo riesgo cuando son utilizados para tomar decisiones sobre individuos.

El peligro también alcanza a información que tradicionalmente no se consideraba especialmente sensible. Un directorio de empleados, las relaciones entre proveedores, publicaciones en redes sociales o determinadas interacciones con clientes pueden revelar, al ser analizados conjuntamente, quién tiene autoridad dentro de una organización, qué sistemas administra o qué personas podrían tener acceso a información crítica.

Para los atacantes, esta capacidad puede transformar datos dispersos en información útil para diseñar ataques mucho más precisos, incluyendo campañas de phishing dirigidas específicamente a determinadas personas.

La evolución de la inteligencia artificial obliga así a replantear el concepto tradicional de privacidad. Ya no se trata solamente de proteger los datos que identifican directamente a una persona, sino también de controlar qué información puede deducirse a partir de ellos.

En este nuevo escenario, proteger los datos personales requerirá algo más que eliminar nombres o direcciones de una base de datos. Será necesario evaluar qué conclusiones puede obtener una inteligencia artificial al combinar diferentes fuentes de información.

La privacidad en la era de la IA comienza a depender no solo de lo que una organización sabe sobre una persona, sino también de lo que sus sistemas pueden llegar a inferir.

Este cambio representa uno de los grandes desafíos de la ciberseguridad y la protección de datos en los próximos años. Para conocer más sobre los riesgos relacionados con la inteligencia artificial, consulta también nuestros contenidos sobre inteligencia artificial y ciberseguridad.