La próxima gran amenaza para la privacidad podría no estar en una base de datos robada, sino en las conclusiones que una inteligencia artificial sea capaz de extraer a partir de información aparentemente inocua. Esa es la principal advertencia de Gartner, que prevé que para 2029 la mayoría de los incidentes de privacidad no estarán provocados por la exposición directa de datos personales, sino por inferencias generadas mediante IA. El cambio obliga a replantear las estrategias de protección de datos tradicionales y sitúa en el centro del debate un concepto que empieza a ganar peso entre los responsables de ciberseguridad: la gobernanza de las inferencias.
Las claves del informe de Gartner en 30 segundos
- Gartner prevé que para 2029 la mayoría de los incidentes de privacidad estarán relacionados con inferencias realizadas por inteligencia artificial.
- Los atacantes podrán deducir información sensible sin acceder directamente a datos personales identificables.
- La consultora recomienda ampliar las políticas de privacidad para controlar qué conclusiones pueden extraer los sistemas de IA.
- Tecnologías como la privacidad diferencial, los datos sintéticos o el aprendizaje automático con protección de privacidad ganarán protagonismo.
- Gartner estima que en 2028 la inversión en integridad de los datos alcanzará niveles similares a la destinada a confidencialidad.
Hasta ahora, la mayor parte de las estrategias de privacidad se centraban en proteger la información personal identificable (PII, por sus siglas en inglés): nombres, direcciones, documentos de identidad, historiales médicos o datos financieros. Sin embargo, el auge de la inteligencia artificial está modificando ese escenario. Los modelos actuales pueden identificar patrones y reconstruir información extremadamente sensible a partir de datos anonimizados, agregados o aparentemente irrelevantes.
Según Bart Willemsen, vicepresidente y analista de Gartner, el cambio supone pasar de proteger los datos a proteger las conclusiones que pueden obtenerse de ellos. En otras palabras, el problema ya no será únicamente quién accede a la información, sino qué puede llegar a deducir un algoritmo.
Las inferencias se convierten en el nuevo objetivo
Las denominadas inferencias son conclusiones que un sistema de inteligencia artificial obtiene al analizar grandes cantidades de información.
Un modelo puede no conocer directamente si una persona padece una enfermedad, cuál es su nivel de ingresos o sus preferencias políticas. Sin embargo, combinando hábitos de compra, ubicación, horarios, actividad digital o patrones de comportamiento puede llegar a estimar esos atributos con un alto grado de probabilidad.
Para Gartner, este tipo de ataques representa una evolución de los riesgos tradicionales de privacidad porque no requieren acceder a información confidencial de forma explícita.
Los ciberdelincuentes podrían utilizar modelos generativos y algoritmos de aprendizaje automático para reconstruir perfiles personales a partir de conjuntos de datos que, por sí solos, parecerían inofensivos.
Además, estos ataques presentan otra dificultad añadida: son mucho más complejos de detectar, explicar y mitigar que una filtración convencional de datos.
La protección de datos ya no será suficiente
La consultora considera que muchas organizaciones continúan abordando la privacidad como un problema exclusivamente relacionado con la confidencialidad de la información.
Sin embargo, reducir la cantidad de datos almacenados no elimina necesariamente el riesgo.
La combinación de inteligencia artificial, aprendizaje automático y grandes volúmenes de información pública puede permitir reconstruir características personales incluso cuando los datos originales han sido anonimizados o agregados.
Por este motivo, Gartner sostiene que los responsables de seguridad deberán ampliar el alcance de sus programas de privacidad para supervisar también cómo los sistemas de IA generan, utilizan y aplican inferencias sobre las personas.
La consultora prevé que esta evolución también tendrá un impacto presupuestario. Según sus estimaciones, en 2028 la inversión destinada a proteger la integridad de los datos alcanzará niveles similares a la dedicada tradicionalmente a la confidencialidad, reflejando la creciente preocupación por perfiles inexactos, sesgados o generados sin autorización.
Cinco recomendaciones para preparar la privacidad en la era de la IA
Ante este escenario, Gartner propone una serie de medidas para responsables de ciberseguridad, privacidad y cumplimiento normativo.
Entre las principales recomendaciones destacan:
- Integrar la gobernanza de IA en los programas de privacidad, incorporando principios de privacy by design durante el desarrollo y despliegue de modelos.
- Adoptar tecnologías de mejora de la privacidad (PETs), como privacidad diferencial, datos sintéticos o aprendizaje automático diseñado para minimizar la exposición de información personal.
- Aplicar políticas estrictas de minimización de datos, limitando la recopilación de información a las necesidades reales del negocio y eliminándola cuando deje de ser necesaria.
- Reforzar la monitorización frente a amenazas impulsadas por IA, incorporando capacidades para detectar patrones indirectos de explotación e intentos de inferencia.
- Mantener supervisión humana sobre las decisiones sensibles, documentando qué inferencias están permitidas, cuáles deben evitarse y validando mediante revisión humana aquellas que puedan afectar a derechos o libertades de las personas.
Un cambio que también afectará al cumplimiento normativo
Aunque Gartner centra su análisis en la evolución tecnológica, sus conclusiones tienen implicaciones directas para marcos regulatorios como el Reglamento General de Protección de Datos (RGPD) europeo o el Reglamento de Inteligencia Artificial (AI Act).
Ambas normativas ya incorporan obligaciones relacionadas con la transparencia, la minimización de datos y la supervisión de decisiones automatizadas. Sin embargo, el creciente uso de modelos capaces de deducir información sensible a partir de datos aparentemente inocuos podría obligar a reforzar las evaluaciones de impacto y los mecanismos de gobernanza de la inteligencia artificial.
La advertencia de Gartner apunta, en definitiva, a una evolución del concepto de privacidad: proteger únicamente la información almacenada dejará de ser suficiente si los algoritmos pueden reconstruir aspectos íntimos de una persona sin necesidad de acceder directamente a ellos.
Preguntas frecuentes
¿Qué son las inferencias generadas por IA?
Son conclusiones que un modelo de inteligencia artificial obtiene al analizar datos y patrones de comportamiento, incluso cuando la información original no contiene explícitamente esos atributos.
¿Por qué Gartner considera que son un riesgo para la privacidad?
Porque permiten deducir información sensible sobre una persona sin necesidad de acceder directamente a datos personales identificables, dificultando además la detección de este tipo de incidentes.
¿Qué tecnologías recomienda Gartner para reducir estos riesgos?
La consultora destaca el uso de tecnologías de mejora de la privacidad como la privacidad diferencial, los datos sintéticos y el aprendizaje automático diseñado para proteger la información personal.
¿Qué deben hacer las organizaciones?
Gartner recomienda ampliar sus programas de privacidad para incluir la gobernanza de la inteligencia artificial, supervisar las inferencias generadas por los modelos y mantener control humano sobre las decisiones que puedan afectar a las personas.
vía: gartner
