La información empresarial ya no permanece concentrada en unos pocos sistemas. Circula entre aplicaciones, servicios en la nube, proveedores, empleados y herramientas de inteligencia artificial, lo que amplía las posibilidades de acceso y también los riesgos de exposición. En ese contexto, el enmascaramiento de datos se presenta como una alternativa para mantener la utilidad de la información sin revelar necesariamente su contenido original.
Román Baudrit, vicepresidente de Cloud Protection and License para América Latina en Thales, plantea que la protección de la información requiere algo más que impedir el ingreso de intrusos a los sistemas. Las organizaciones también necesitan identificar dónde almacenan sus datos sensibles, quién puede consultarlos y con qué propósito, especialmente ante el crecimiento de las aplicaciones SaaS y la inteligencia artificial generativa y agéntica.
El enmascaramiento consiste en reemplazar información confidencial por valores modificados o ficticios. Según la técnica aplicada, esos datos pueden conservar características como su formato o determinadas propiedades necesarias para desarrollar, probar y analizar aplicaciones. De esta manera, una persona, un contratista, una aplicación o un modelo de inteligencia artificial puede realizar ciertas tareas sin consultar información original que no necesita.
La lógica es reducir la exposición desde el momento en que se crean y utilizan los datos. Si una actividad no requiere conocer los nombres reales de los clientes, sus números de cuenta u otros registros privados, mantener esa información visible introduce un riesgo innecesario. El enmascaramiento busca conservar su utilidad operativa y limitar las consecuencias de una eventual exposición.
Sin embargo, aplicar medidas de protección exige identificar primero qué información necesita resguardo. Los datos confidenciales pueden encontrarse en repositorios en la nube creados años atrás, copias alojadas en lagos de datos, documentos sin estructura definida o sistemas de inteligencia artificial que no existían cuando la información fue recopilada.
Para abordar ese problema, la Gestión de la Postura de Seguridad de los Datos (DSPM, por sus siglas en inglés) permite establecer un marco para localizar y clasificar información sensible, además de evaluar las condiciones en las que se almacena y utiliza. El análisis contempla su ubicación, los usuarios y sistemas con permisos de acceso, los usos que recibe y las medidas de protección existentes.
La identificación, no obstante, es apenas el comienzo. Una vez detectados los datos y sus posibles riesgos, las organizaciones deben revisar los permisos, retirar accesos que no sean necesarios y seleccionar controles de acuerdo con cada situación. Entre las alternativas están el enmascaramiento, la tokenización y el cifrado. La finalidad es reducir las posibilidades de exposición o utilización indebida, no limitarse a mantener un inventario de la información.
El avance de la inteligencia artificial vuelve más compleja esa tarea. Los empleados pueden utilizar copilotos, modelos y agentes para trabajar con información corporativa, pero los riesgos no se restringen a los datos que introducen directamente en una instrucción. Estos sistemas también pueden consultar documentos, bases de datos y repositorios internos, dependiendo de los permisos que tengan asignados.
Cuando esos accesos son demasiado amplios, una herramienta puede recuperar información que no necesita para completar una tarea o incorporar datos confidenciales en sus respuestas. Por eso, la protección en entornos de IA requiere combinar el conocimiento sobre dónde se encuentran los datos, la administración de permisos y mecanismos que reduzcan la exposición de los registros sensibles.
Baudrit señala que, en sus conversaciones con distintas empresas, ha encontrado una inquietud recurrente: cómo incorporar estas tecnologías sin perder visibilidad ni control sobre la información. Una de las preguntas que plantea a las organizaciones es si conocen los datos a los que puede acceder la inteligencia artificial que utilizan. La respuesta permite determinar qué información necesita cada sistema y cuándo es posible evitar que consulte los registros originales.
A partir de ese análisis, las medidas pueden variar según el uso: cifrar, tokenizar o enmascarar los datos, o restringir determinados accesos cuando corresponda. El propósito es permitir que las herramientas de IA cumplan sus funciones sin consultar más información confidencial de la indispensable.
El planteamiento también cambia la manera de entender el intercambio de información dentro de las compañías. La expansión de la inteligencia artificial modifica cómo se accede, procesa y comparte información entre las organizaciones, sus empleados, proveedores y clientes. La posibilidad de aprovechar estas herramientas depende, en parte, de que sus permisos y capacidades de consulta estén delimitados.
La protección de los datos, por tanto, no implica impedir que circulen ni renunciar a utilizarlos. El enmascaramiento permite que sigan disponibles para determinadas actividades sin mostrar su contenido original, mientras que otras medidas, como la tokenización, el cifrado y la restricción de permisos, ofrecen alternativas según el nivel de exposición que cada caso implique. La clave está en compartir solo la información necesaria y mantener controles sobre su uso y trazabilidad.
