Seguretat de dades en IA: detecció i emmascarat

Què detectem

Dades personals i de contacte, identificadors fiscals com el NIF i el CIF, comptes bancaris i IBAN, números de la Seguretat Social, claus d'API i secrets tècnics, i les categories pròpies que defineixis: referències d'expedient, codis de client, noms de projectes confidencials. La llista s'ajusta amb tu durant el pilot, perquè el que és sensible en una clínica no és el mateix que en un despatx.

Què en fem

Emmascarar substitueix la dada per una etiqueta estable, de manera que el model entén l'estructura de la frase sense veure la dada real: el contracte de CLIENT_1 i el pagament a l'IBAN_1. Enrutar porta la petició sencera a un model allotjat a la UE (avui, Mistral) quan el contingut no ha de sortir del perímetre. Bloquejar talla la petició i explica a l'usuari per què, oferint-li l'alternativa permesa.

Primer mirar, després tallar

Activar bloquejos el primer dia és la manera més ràpida que la gent torni als comptes personals. Per això el pilot comença en mode auditoria: el sistema classifica i registra sense interferir, i les polítiques s'activen quan ja sabem què passa de debò a la teva empresa i amb quina freqüència.

Els límits, dits clarament

Cap detecció no és perfecta. Una dada sensible escrita de manera ambigua pot passar, i una regla massa estricta pot frenar feina legítima. Per això tot queda registrat i revisable: l'objectiu és reduir el risc de manera mesurable i poder demostrar-ho, no prometre una barrera infal·lible.

Properament: la mateixa protecció a les teves altres eines d'IA

Molts equips ja fan servir assistents d'IA dins d'altres aplicacions, com Claude o Cursor. Aviat Acotia portarà a aquestes eines compatibles la mateixa protecció de dades i les mateixes regles de la teva empresa, perquè el perímetre no depengui de l'app que faci servir cada persona.

Quines categories validem de debò

No n'hi ha prou amb buscar xifres amb aspecte d'IBAN. Comprovem el dígit de control dels NIF, NIE i CIF, l'algorisme mod-97 als IBAN i al número de la Seguretat Social, i l'algorisme de Luhn a les targetes. També detectem claus i secrets tècnics, correus, telèfons i adreces IP, a més dels termes propis que defineixis, com a text exacte o com a expressió regular.

Què fa cada acció per defecte

Si no canvies res, els secrets i les targetes es bloquegen, les adreces IP es deixen passar i la resta de categories s'emmascara. L'empresa arrenca en mode auditoria, així que al principi només es registra el que hauria passat.

Una carpeta apart per al més sensible

Pots marcar una carpeta de l'equip com a sensible. El que s'hi adjunta fa sensible la petició i se li aplica sempre la seva pròpia acció (emmascarar, enviar a un model de la UE o bloquejar), també en mode auditoria.

Fonts oficials

Reglament general de protecció de dades (RGPD), Reglament (UE) 2016/679: text oficial a EUR-Lex.

La pseudonimització es defineix a l'article 4, apartat 5, del RGPD.