IA sin control: ¿estamos innovando sobre terreno frágil?

Por Francisco Figueroa, CEO y cofundador de Apiux

Sin datos no hay inteligencia artificial. Y sin seguridad, gobierno y control sobre esos datos, tampoco debería haberla. Este Mes de la Ciberseguridad pone a las empresas chilenas frente a un desafío que no se resuelve solo con prevenir ataques. Lo que está en juego es cómo gestionan la información que sostiene su operación y sus proyectos de IA.

Con 70.56 puntos, Chile lidera la adopción de inteligencia artificial en Latinoamérica, según el índice ILIA de CEPAL y CENIA. Esa ventaja trae una responsabilidad: hoy un copiloto, agente o modelo de IA puede conectarse con bases de datos, documentos, información de clientes y procesos críticos. Mientras más se integran estas herramientas al negocio, más preguntas aparecen. ¿Quién accede a la información? ¿Para qué se usa? ¿Cómo se rastrea y cómo se protege?

La regulación empuja en la misma dirección. La Ley Marco de Ciberseguridad (Ley N.º 21.663) establece obligaciones de prevención, gestión y reporte de incidentes para las entidades que abarca, y suma exigencias específicas para los Operadores de Importancia Vital en gestión de riesgos, continuidad operacional y sistemas de seguridad de la información. Su enfoque de seguridad y privacidad desde el diseño nos invita a dejar atrás la idea de que primero se innova y después se protege.

A eso se suma la Ley N.º 21.719, que moderniza la protección de datos personales y sube el estándar de responsabilidad en el tratamiento de la información, en los derechos de los titulares y en las medidas de seguridad. Su calendario de implementación ha tenido discusiones y ajustes, pero a pesar de que se estima será en diciembre de 2027, no podemos quedarnos esperando la fecha definitiva. La preparación organizacional y tecnológica debería empezar ahora.

En la práctica, ambas agendas llevan a las empresas a tomar las mismas decisiones. Saber qué datos tienen y para qué los usan. Definir quién puede acceder a qué. Revisar a sus proveedores y por dónde circula la información. Contar con trazabilidad, estar preparadas para responder ante un incidente y entender cómo sus sistemas de IA usan datos personales o sensibles. Cumplir la ley es parte del objetivo, pero no el único. También se trata de reducir riesgos operacionales y reputacionales, y de tener una base confiable sobre la cual habilitar nuevos casos de uso.

Por eso datos, inteligencia artificial y ciberseguridad no pueden pensarse por separado. Son capacidades que hay que diseñar en conjunto. Una empresa puede tener un modelo muy avanzado, pero si no sabe qué información lo alimenta, quién puede acceder a ella o cómo reaccionar ante una brecha, está construyendo innovación sobre una vulnerabilidad.