Guía de Microsoft para proteger la empresa impulsada por la inteligencia artificial: gobernanza y seguridad de los datos

1. Clasificar: establecer la observabilidad y la propiedad

El camino hacia la gobernanza comienza por saber lo que se tiene. Las organizaciones deben desarrollar una observabilidad completa de los datos estructurados, no estructurados y generados por IA, incluida la capacidad de rastrear los agentes de IA emergentes. La clasificación requiere:

• Un esquema claro e intuitivo relacionado con el riesgo empresarial
• Propietarios y administradores de datos designados dentro de las unidades de negocio
• Inventario continuo respaldado por los esfuerzos de detección liderados por el director de información

La clasificación sienta las bases para todo lo que viene después.

2. Etiqueta: hacer que la gobernanza sea viable

Mientras que la clasificación define la intención, el etiquetado la hace cumplir. Las etiquetas de confidencialidad conectan las directivas con el uso en el mundo real, informando a los sistemas de seguridad, los controles de acceso e incluso la forma en que los empleados interactúan con los resultados de los agentes de IA.

Los elementos clave incluyen:

• Implementar tecnología que ayude a hacer cumplir el etiquetado, garantizando que las etiquetas activen de forma activa las directivas de seguridad y prevención de pérdida de datos (DLP)
• Una estrategia de etiquetado basada en el riesgo que refleje el impacto comercial
• Formación de los empleados que refuerza cuándo y cómo aplicar las etiquetas

3. Proteger: operacionalizar la seguridad

La protección es donde las directivas se convierten en barreras de seguridad. Esto incluye:

• Aplicar directivas mediante controles de acceso, como controles de acceso basados en roles (RBAC), acceso Just-In-Time (JIT) y DLP
• Cifrado de datos en reposo y en tránsito
• Supervisión automatizada para detectar el intercambio excesivo de información y las infracciones de las directivas
• Planes estructurados de respuesta ante incidentes alineados con las normativas de privacidad

Estos controles garantizan la protección de los datos confidenciales, incluso cuando las herramientas de IA acceden a ellos y los procesan a gran escala.

4. Administrar: gobernar todo el ciclo de vida de los datos

La gobernanza es un proceso continuo. Las organizaciones deben mantener:

• Directivas de retención y eliminación de datos alineadas con los principios de minimización
• Supervisión continua de desviaciones en los datos, etiquetado incorrecto y anomalías en el acceso
• Recertificación automatizada de la propiedad de los datos
• Visibilidad y gobernanza de los agentes de IA en los equipos de TI, desarrollo y seguridad

La administración del ciclo de vida reduce la superficie de ataque y garantiza la alineación a largo plazo entre el uso de los datos y el valor comercial.