Edition 14

El instinto de tratar un chatbot como un confidente privado es exactamente la trampa. Elimina la intimidad y la realidad es prosaica: ChatGPT es un servicio en la nube operado por una empresa que registra tus entradas, las retiene y las entrega cuando un tribunal, o su propia política, lo indica. Se parece más al correo electrónico que a un diario, y el correo electrónico es descubrible en procedimientos legales desde hace décadas. El error no es usar IA; es olvidar lo que es.

Para tu organización, esto no es una nota a pie de página sobre privacidad personal, es un problema de gestión de registros que ya te pertenece. Cada una de esas 1.200 aplicaciones de IA no oficiales que mencioné hace un par de semanas es ahora un repositorio de registros empresariales descubribles, potencialmente sujeto a una orden de conservación legal, y posiblemente al margen de tus normas de retención y clasificación. Si un regulador o un litigante te pidiera producir o conservar todo lo que tu personal ha escrito en herramientas de IA, ¿podrías hacerlo? Trata las conversaciones con IA por lo que son jurídicamente: registros corporativos en la nube de un tercero, y goviernalos en consecuencia.

La historia que todos han contado esta semana es «la gran IA se regula», lo cual es cierto y poco interesante. El detalle más relevante es la categoría. Llamar a ChatGPT motor de búsqueda es el sonido de la regulación estirando un manual de hace una década sobre algo para lo que no fue escrito, y no será la última vez, porque la alternativa, un régimen específico para cada nuevo tipo de IA, avanza mucho más lento que la tecnología. Espera más de este ajuste incómodo, y espera que los márgenes se litiguen.

El fondo no tiene que ver con su seguridad, que ya es mejor que la de casi cualquier organización. Tiene que ver con el efecto del producto sobre las personas que lo usan. Un modelo generativo debe ahora evaluar y mitigar formalmente cómo difunde contenidos ilegales, perjudica a menores, distorsiona elecciones y erosiona la salud mental, con auditores independientes e investigadores a punto de obtener acceso para verificar ese trabajo. Es un tipo de exigencia nuevo: no «¿es seguro tu sistema?», sino «¿qué le está haciendo tu sistema al público?». Es la primera vez que un regulador hace que una IA generativa rinda cuentas por su efecto sobre la sociedad en lugar de por su disponibilidad, y cómo responda ChatGPT antes de enero es la historia real, aunque la propia obligación nunca alcance a la mayoría de las organizaciones.

Este es un vector genuinamente nuevo para tu modelo de amenazas, y merece su propio espacio. Durante dos años, la superficie de ataque de la IA fue el prompt, lo que va delante del modelo. La memoria desplaza el objetivo detrás de él, hacia el estado persistente, y eso transforma el riesgo de un truco momentáneo en un implante duradero. Es la misma lección que el ataque de persistencia de passkey que traté el mes pasado: el movimiento peligroso no es el que termina cuando termina la sesión, sino el que se queda en silencio.

Así que si estás desplegando agentes con memoria, y después de las cifras de la semana pasada probablemente lo estás, hayas decidido hacerlo o no, las preguntas cambian. ¿Qué puede escribir en la memoria del agente, y alguna de esas fuentes es una entrada no confiable como un correo electrónico o una página web? ¿Puedes inspeccionar, sanear y revertir lo que ha almacenado? OWASP ya ha codificado esto como un riesgo agencial del top ten con defensas nombradas, así que no es especulativo. Y sí, las herramientas que detectan memoria envenenada son en sí mismas IA, que es el bucle en el que vivimos ahora: usar IA para defenderse de la IA, indefinidamente. No es una paradoja que resolver; es simplemente el trabajo ahora.

Fíjate en lo que realmente falló, porque es toda la tesis de este boletín condensada en una sola sanción. Sin MFA. Sin VPN. Sin segmentación de acceso. Sin monitorización. No fue un zero-day ni un actor estatal; solo los controles básicos que nunca se implantaron, y 727.000 personas lo pagaron. Cualquier framework del mundo habría señalado estos fallos. La brecha nunca fue saber qué hacer. Fue hacerlo.

Ahora la parte que debería molestar a cualquiera que se preocupe por dónde se concentra realmente el riesgo. El hospital privado recibió una multa de medio millón de euros y una condena pública. Un hospital público francés, que maneja datos igual de sensibles, no enfrenta ninguna multa de este tipo por ley, y el Estado francés ni siquiera ha transpuesto NIS2 para sus propios organismos. Así, las entidades bajo menor presión de cumplimiento son a menudo las que gestionan los datos ciudadanos más sensibles, obtenidos por obligación, no por elección. Esa inversión es el puente hacia el último punto, y no es únicamente un problema francés.

Seré breve porque el argumento está en el artículo, pero aquí está el núcleo, y aplica donde sea que votes. La ciberseguridad no tiene una verdadera división ideológica. Nadie hace campaña a favor de un cifrado más débil o de parches más lentos. Así que cuando se convierte en un marcador de campaña, lo único que un candidato puede añadir es un cambio de marca: una nueva agencia, un alcance redefinido, un presupuesto re-anunciado, y cada cambio de marca cuesta entre doce y dieciocho meses de re-familiarización frente a plazos que no se mueven. La IA es distinta; tiene divisiones genuinas que vale la pena debatir. La ciberdefensa no.

Lo que necesita el sector público no es una doctrina por elección, sino ejecución a través de ellas: financiación plurianual que sobreviva a la batalla presupuestaria anual, hitos reportados públicamente al parlamento en lugar de enterrados en comisión, e idealmente un compromiso transversal con unos pocos plazos fechados que nadie reabre. He visto en Valonia lo que ocurre sin ese patrocinio: buenas auditorías convirtiéndose en PDFs archivados. El argumento completo, con las cifras, está enlazado. Si trabajas cerca del gobierno, es la lectura que más querría que tuvieras en tus manos esta semana.