IA y mantenimientoArtículo pilar
Fugas de datos por la IA: el riesgo viene de sus equipos y de sus contratistas
Las fugas de datos vía IA no vienen de la IA, sino de las personas y terceros que la usan: shadow AI, contratistas y lo que exige la AI Act.
Cuando un dato sensible se escapa a través de la IA, el primer reflejo es acusar a la herramienta. Es equivocarse de culpable.
La inteligencia artificial no va a buscar sus datos: son las personas quienes se los entregan, y los terceros quienes los tratan por usted. El riesgo no es técnico, es humano y contractual.
Y esa es una buena noticia: un riesgo humano puede regularse.
Lo esencial
Las fugas de datos por la IA proceden de tres fuentes, y ninguna es la IA en sí misma: sus empleados, que pegan documentos en herramientas de consumo masivo (el shadow AI), sus contratistas y proveedores, que tratan sus datos con sus propias herramientas, y la falta de un marco justo cuando la AI Act entra en aplicación. La respuesta no es prohibir, sino cartografiar sus usos reales, medir los riesgos y las obligaciones que conllevan, y recuperar el control, si hace falta mediante una IA desplegada en local. Prohibir sin alternativa vuelve el riesgo invisible; regularlo lo vuelve gestionable.
Las tres fuentes se resuelven todas de la misma manera: saber dónde están sus datos, y quién los trata.
- Sus equipos: el shadow AI, esas herramientas utilizadas sin decisión ni control.
- Sus contratistas y proveedores: terceros que manipulan sus datos con sus propias herramientas.
- La falta de un marco: justo en el momento en que la ley le exige rendir cuentas.
¿Por qué sus equipos son el primer riesgo?
Sus equipos ya usan la IA, lo haya decidido usted o no. ChatGPT, copilotos ofimáticos, asistentes de navegador: estas herramientas se han convertido en reflejos de trabajo.
Cada vez que un empleado pega ahí un extracto de informe, una tabla de mediciones o un acta, ese dato sale de la empresa hacia un servidor de terceros.
No es un temor abstracto. Un análisis de Cyberhaven sobre 1,6 millones de empleados da tres cifras elocuentes:
- el 11 % de los datos pegados en ChatGPT son confidenciales;
- una empresa media deja escapar así información sensible cientos de veces por semana;
- menos del 1 % de los empleados origina el 80 % de esas fugas.
La consecuencia práctica es clara: el problema no se resuelve sensibilizando a todo el mundo por igual, sino identificando los usos reales.
El caso Samsung, sin la menor mala intención
En 2023, en cuestión de semanas, varios ingenieros de Samsung introdujeron en ChatGPT código fuente propietario y el acta de una reunión interna, simplemente para ganar tiempo. La empresa reaccionó prohibiendo la IA generativa a sus empleados.
El detalle que importa: ninguno de esos ingenieros tenía mala intención. Hacían su trabajo con una herramienta práctica, sin saber que lo que introducían salía definitivamente de su perímetro.
Esto es el shadow AI: la IA que entra por la puerta trasera, sin decisión ni control, llevándose precisamente los datos que se querían proteger.
¿Qué es lo que fuga de verdad, en la industria?
Los ejemplos de código y documentos de oficina hablan de un mundo. En la industria, el dato que se escapa es de otra naturaleza, y a menudo más revelador.
| Lo que se escapa | Lo que eso revela sobre su planta |
|---|---|
| Un informe de inspección | espesores, velocidades de corrosión, puntos de medición: dónde se adelgazan sus equipos y cuándo se acerca una parada |
| Un parámetro de proceso | el secreto de fabricación, tanto en química como en alimentación |
| Un historial de averías | el punto exacto donde cede su herramienta de producción |
| Una secuencia de limpieza in situ | tanto saber hacer como seguridad sanitaria |
La tabla se desplaza horizontalmente en pantallas pequeñas.
Agregada, esta información describe su planta mejor de lo que podría hacerlo un competidor.
Esta es la diferencia de fondo con una fuga de código fuente: una empresa puede reescribir un software, pero no puede deshacer el hecho de que un tercero conozca el estado real de sus equipos a presión.
En un sitio clasificado Seveso, una planta farmacéutica o una unidad química, este dato afecta a la vez al secreto industrial, a la seguridad y al cumplimiento normativo. El mecanismo de fuga es el mismo que en Samsung; lo que está en juego, en cambio, es más grave, porque afecta a equipos cuyo fallo tiene consecuencias físicas.
¿Son sus contratistas la otra puerta de salida?
La fuga no pasa solo por sus empleados. Pasa por todos los que tratan sus datos por usted, con herramientas que usted no ha elegido.
Tome el caso de una campaña de inspección encargada a un contratista. Este toma sus espesores, redacta su informe, y se apoya en un asistente de IA en línea para dar forma a sus hallazgos. Sus mediciones acaban de salir de su planta, sin que usted lo supiera ni lo autorizara.
Multiplique esto por el número de terceros que se suceden en un parque de equipos, y la superficie de exposición pasa a ser la de toda su cadena técnica:
- un contratista de inspección que da forma a sus hallazgos con un asistente de IA;
- un proveedor de GMAO que incorpora una función de IA;
- un organismo de control que externaliza la captura de datos;
- un proveedor que aloja su historial.
El punto clave: la responsabilidad no se subcontrata. Usted sigue siendo responsable de lo que sucede con sus datos, incluso cuando es un tercero quien los manipula.
La pregunta que hay que hacer antes de encargar una tarea cambia entonces: ya no basta con «¿está bien hecho?», sino «¿qué sucede con mis datos mientras se hace?». Tres preguntas bastan para encuadrar a un tercero:
- ¿Dónde se tratan y almacenan mis datos, y con qué herramientas?
- ¿Sirven para entrenar un modelo, o se eliminan después de su uso?
- ¿Qué dice el contrato por escrito, y qué ocurre en caso de subcontratación en cascada?
Sin una respuesta por escrito a estas tres preguntas, la exposición sigue siendo suya.
¿Qué le exige ahora la ley?
El marco normativo se ha estrechado, y apunta exactamente a esta cadena.
| Texto | Lo que implica para usted |
|---|---|
| AI Act (reglamento europeo sobre la IA) | clasifica los usos por nivel de riesgo; impone documentación, supervisión humana y control de los datos para los más sensibles. Entra en aplicación por etapas |
| RGPD | se aplica en cuanto hay un dato personal en juego (el nombre de un operador en un informe); distingue al responsable del tratamiento de sus subcontratistas |
| ISO/IEC 42001 | marco de gobernanza de la IA: cómo decidir, documentar y supervisar su uso, igual que para la calidad o la seguridad |
La tabla se desplaza horizontalmente en pantallas pequeñas.
La regla de lectura sigue siendo la misma que en cualquier otro caso: estos textos se citan por su objeto, nunca por un número de artículo o un umbral que no se haya verificado.
Lo que hay que retener es simple: usted está ahora obligado a saber qué hacen sus equipos y sus contratistas con la IA, y a poder demostrarlo.
El día de una auditoría o de un incidente, la falta de cartografía y de trazas no se puede remediar: se constata. Es mejor preparar ese expediente en frío que reconstruirlo con urgencia.
¿Hay que prohibir la IA? No, y esta es la razón
La reacción de Samsung, prohibir, es comprensible, pero por sí sola no resuelve nada.
Donde la IA está bloqueada en los equipos informáticos de la empresa, el personal no deja de trabajar: copia un extracto de informe desde su teléfono personal, convencido de que gana tiempo.
La prohibición no elimina el riesgo: lo vuelve invisible e incontrolable. Privar a su personal de una herramienta útil sin ofrecerle una controlada es garantizar que encontrará una por su cuenta.
¿Cómo recuperar el control, en la práctica?
El enfoque correcto no es negar el uso ni prohibirlo, sino retomarlo en sus propias manos. Se resume en tres momentos.
Cartografiar los usos reales
Saber qué está pasando en realidad: qué herramientas, quién las usa, para qué tareas, con qué datos, shadow AI incluido. Esta fotografía honesta es la única base sólida. No se puede regular un uso que no se conoce.
Medir los riesgos y las obligaciones
Para cada uso, evaluar qué está en juego: qué dato queda expuesto, qué fiabilidad cabe esperar, de qué proveedor se depende, qué obligaciones se aplican. Pedir que se reformule un correo no tiene el mismo alcance que pegar un expediente técnico.
Decidir, y ofrecer una alternativa controlada
De este análisis sale un plan priorizado: lo que se autoriza, lo que se regula, lo que se sustituye. Para los usos que afectan a datos sensibles, la respuesta más sólida es una IA desplegada en local, donde el dato se procesa en el sitio y no sale de él. El vector de fuga desaparece por construcción, y no por prohibición. Esta lógica se desarrolla en por qué una IA industrial responsable es local y sin nube.
En un contexto industrial, esta alternativa local no es un lujo de especialista. Los datos de mantenimiento e inspección son precisamente los que no deben circular.
En concreto, «en local» significa que el modelo funciona en sus propios servidores o en una máquina del sitio: un informe analizado nunca se envía a un servicio externo, y ningún dato sirve para entrenar una herramienta de terceros. Tratarlos así equivale a eliminar el vector de fuga en lugar de perseguirla una vez que ya ha ocurrido.
El despliegue concreto de una herramienta así se detalla en una IA local sin nube en un sitio industrial.
Este tríptico, cartografiar, medir, decidir, no exige experiencia en IA. Exige método, y el valor de mirar de frente lo que ya está pasando.
Un responsable que sabe dónde la IA toca sus datos, que ha medido lo que eso expone y que ha decidido qué autoriza ya no tiene puntos ciegos: sostiene un expediente defendible, tanto ante una dirección como ante un auditor.
El costo de este encuadre no tiene ni punto de comparación con el de una fuga que, esa sí, no tiene remedio.
El verdadero tema no es la IA, es el control
Retome las tres fuentes de fuga: sus empleados, sus contratistas, la falta de un marco. Ninguna es la herramienta en sí misma. Todas se reducen al mismo punto: saber dónde están sus datos y quién los trata.
Esto es exactamente lo que cubre una IA responsable pensada desde su diseño, y lo que el despliegue local hace posible en la práctica.
La IA no hace que sus datos se fuguen. Simplemente revela si usted había conservado su control.
¿Cómo puede la IA provocar una fuga de datos en la industria?
Con mayor frecuencia, a través de sus propios equipos, que pegan un informe, un plano o datos de proceso en una herramienta de IA de consumo masivo, desde donde el dato sale de la empresa. No es la IA la que fuga, es el uso no controlado.
¿Basta con prohibir las herramientas de IA para proteger mis datos?
No, y a menudo eso agrava el problema. La prohibición empuja los usos hacia la sombra, fuera de todo control. Regular un uso visible protege mejor que prohibir un uso que continuará a escondidas.
¿Qué dice la normativa sobre la IA y los datos industriales?
El RGPD se aplica en cuanto hay datos personales, y el reglamento europeo sobre la IA regula ciertos usos. Pero la mayor parte del riesgo industrial recae sobre datos técnicos y de proceso, protegidos por el secreto comercial, no por el RGPD.
¿Cómo usar la IA sin exponer los datos?
Manteniendo el dato en casa: una herramienta que funciona en local, en el sitio, sin envío hacia un servicio externo. Es el único enfoque que responde de verdad al riesgo de fuga.
Escrito por Adama CamaraConsultor IA · Industria · ver el perfil
Publicado el 29 de julio de 2026
Software y datos
La IA industrial: qué es de verdad y qué cambia en la planta
La IA industrial sin jerga: qué recubre de verdad, sus casos de uso por función y por sector, sus límites y por dónde empezar en tu planta.
IA y mantenimiento
Por qué una IA industrial responsable es una IA local, a medida y sin nube
Una IA responsable en la industria no es un sello sino una arquitectura: proteger datos sensibles exige herramientas a medida, en local, sin nube.
IA y mantenimiento
Los riesgos reales de la IA en la industria, y por qué lo local los reduce
Los riesgos reales de la IA en la industria: fuga de datos, errores invisibles, dependencia, seguridad. La mayoría se deben al control del dato.
IA y mantenimiento
IA local fuera de la nube: desplegar un LLM o LMM en el sitio
Por qué desplegar la IA en local en lugar de en la nube: qué hace un LLM o LMM en un sitio industrial, las tareas que automatiza y las restricciones reales.