Cómo funciona
Los datos sensibles son información que puede causar daño, discriminación, fraude o exposición si se acceden o divulgan sin autorización. Su significado depende del contexto. Puede incluir datos personales delicados, información financiera, credenciales, secretos comerciales, registros de salud, documentos internos o detalles de seguridad de sistemas.
Al usar IA, un dato puede aparecer en el prompt, en archivos adjuntos, en el historial de conversación, en logs o en resultados enviados a otras herramientas. Por eso, la protección debe acompañar todo el flujo, no solo la pantalla donde la persona escribió la información.
Un enfoque práctico empieza por la minimización: envía solo lo necesario para la tarea. Luego, controla quién puede acceder al contenido, por cuánto tiempo se mantendrá y qué servicios lo procesan. Enmascarar o sustituir identificadores puede reducir la exposición, aunque no garantiza el anonimato cuando otros detalles permiten identificar a la persona.
Ejemplo práctico
Un equipo pide a un asistente que resuma tickets de soporte. Antes de enviar el texto, elimina números de documentos, direcciones, contraseñas temporales y datos que no ayudan a resumir el problema. El sistema recibe solo el fragmento necesario y usa una cuenta administrada por la organización, con reglas de acceso definidas.
El equipo también define si el historial puede guardarse, quién puede consultarlo y cómo eliminar los registros cuando dejan de ser necesarios. Si el ticket contiene una credencial, no basta pedirle al modelo que la ignore: la credencial debe eliminarse y, si se expuso, evaluarse para su cambio según el procedimiento de seguridad.
En desarrollo, no incluyas claves privadas ni tokens de acceso en prompts, ejemplos públicos, repositorios o reportes de error. Usa mecanismos propios de almacenamiento de secretos y otorga solo los permisos necesarios para cada aplicación.
Para qué sirve
Reconocer datos sensibles ayuda a elegir herramientas, definir políticas de uso y reducir el impacto de una falla. También permite separar contenidos que pueden compartirse de información que exige tratamiento restringido.
Antes de adoptar una herramienta de IA, identifica qué tipo de dato se procesará y revisa las condiciones oficiales de tratamiento, retención y acceso. La clasificación puede ser simple, como público, interno, confidencial y restringido, siempre que la organización explique los criterios y capacite a las personas para aplicarlos.
La protección no depende solo de tecnología. Contratos, controles de acceso, capacitación, revisión humana y respuesta a incidentes forman parte del proceso. Ante dudas sobre obligaciones legales, el equipo debe consultar a profesionales calificados y las normas aplicables a su contexto, en lugar de presumir que toda la información sensible recibe el mismo tratamiento jurídico.
Cuidados en sistemas con IA
Revisa entradas, salidas, conectores y registros. Una integración puede enviar datos a un servicio externo aunque la interfaz principal parezca local. Define quién puede autorizar el envío de documentos, limita permisos y mantén un canal para reportar exposiciones accidentales.
Si una información no es necesaria para completar la tarea, no la envíes. Esta regla reduce la cantidad de datos en circulación y hace más simple explicar cómo el sistema los utiliza.