¿Hay empleados que utilizan su cuenta personal de ChatGPT en el trabajo? Esto es lo que deben hacer los administradores de TI

Un ad­mi­nis­tra­dor de se­gu­ri­dad des­cu­bre me­dian­te he­rra­mien­tas de mo­ni­to­reo que se ha uti­li­za­do una cuen­ta per­so­nal de ChatGPT en un equi­po cor­po­ra­ti­vo, a pesar de que la or­ga­ni­za­ción ya cuen­ta con una sus­crip­ción em­pre­sa­rial pa­ga­da. Esto ge­ne­ra in­cer­ti­dum­bre sobre qué tipo de in­for­ma­ción pudo haber sido en­via­da, como des­crip­cio­nes de pues­tos, tic­kets de clien­tes con datos de con­tac­to o do­cu­men­tos gu­ber­na­men­ta­les sen­si­bles.

El texto ex­po­ne dos es­ce­na­rios di­fe­ren­tes ante esta si­tua­ción. En el pri­mer caso, las he­rra­mien­tas de se­gu­ri­dad solo de­tec­tan el uso de la cuen­ta per­so­nal sin re­vi­sar el con­te­ni­do de los men­sa­jes, lo que obli­ga al ad­mi­nis­tra­dor a iden­ti­fi­car al em­plea­do, so­li­ci­tar­le vo­lun­ta­ria­men­te ver la con­ver­sa­ción y de­ter­mi­nar si se fil­tra­ron datos con­fi­den­cia­les. En el se­gun­do es­ce­na­rio, al uti­li­zar una he­rra­mien­ta es­pe­cí­fi­ca ins­ta­la­da en el na­ve­ga­dor lla­ma­da Nord­La­yer AI Scout con un de­tec­tor con­fi­gu­ra­do, el sis­te­ma blo­quea au­to­má­ti­ca­men­te la so­li­ci­tud en el dis­po­si­ti­vo antes de que sea en­via­da si coin­ci­de con pa­tro­nes pre­de­fi­ni­dos de datos de clien­tes.

Para fi­na­li­zar, los ad­mi­nis­tra­do­res deben in­ves­ti­gar por qué el em­plea­do re­cu­rrió a su ac­ce­so per­so­nal —mo­ti­vos que sue­len ser co­ti­dia­nos, como la ex­pi­ra­ción de la se­sión cor­po­ra­ti­va o de­mo­ras en la au­ten­ti­ca­ción de doble fac­tor— y dar una res­pues­ta ade­cua­da según el re­sul­ta­do. Sin con­tro­les a nivel de men­sa­jes, es ne­ce­sa­rio eva­luar la gra­ve­dad de la ex­po­si­ción de datos y no­ti­fi­car a los res­pon­sa­bles de pri­va­ci­dad o in­ci­den­tes, mien­tras que con el uso de he­rra­mien­tas de blo­queo au­to­ma­ti­za­das solo se re­gis­tra el in­ten­to de vio­la­ción de po­lí­ti­ca de­te­ni­do, co­rri­gien­do pos­te­rior­men­te los pro­ble­mas de ac­ce­so y flujo de tra­ba­jo del usua­rio.