Seguridad de datos en IA: detección y enmascarado

Qué detectamos

Datos personales y de contacto, identificadores fiscales como el NIF y el CIF, cuentas bancarias e IBAN, números de la Seguridad Social, claves de API y secretos técnicos, y las categorías propias que definas: referencias de expediente, códigos de cliente, nombres de proyectos confidenciales. La lista se ajusta contigo durante el piloto, porque lo sensible en una clínica no es lo mismo que en un despacho.

Qué hacemos con ello

Enmascarar sustituye el dato por una etiqueta estable, de modo que el modelo entiende la estructura de la frase sin ver el dato real: el contrato de CLIENTE_1 y el pago al IBAN_1. Enrutar manda la petición completa a un modelo alojado en la UE (hoy, Mistral) cuando el contenido no debe salir del perímetro. Bloquear corta la petición y explica al usuario por qué, ofreciéndole la alternativa permitida.

Primero mirar, luego cortar

Activar bloqueos el primer día es la forma más rápida de que la gente vuelva a las cuentas personales. Por eso el piloto empieza en modo auditoría: el sistema clasifica y registra sin interferir, y las políticas se activan cuando ya sabemos qué pasa de verdad en tu empresa y con qué frecuencia.

Los límites, dichos claramente

Ninguna detección es perfecta. Un dato sensible escrito de forma ambigua puede pasar, y una regla demasiado estricta puede frenar trabajo legítimo. Por eso todo queda registrado y revisable: el objetivo es reducir el riesgo de forma medible y poder demostrarlo, no prometer una barrera infalible.

Próximamente: la misma protección en tus otras herramientas de IA

Muchos equipos ya usan asistentes de IA dentro de otras aplicaciones, como Claude o Cursor. Pronto Acotia llevará a esas herramientas compatibles la misma protección de datos y las mismas reglas de tu empresa, para que el perímetro no dependa de la app que use cada persona.

Qué categorías validamos de verdad

No basta con buscar cifras con aspecto de IBAN. Comprobamos el dígito de control de los NIF, NIE y CIF, el algoritmo mod-97 en los IBAN y en el número de la Seguridad Social, y el algoritmo de Luhn en las tarjetas. También detectamos claves y secretos técnicos, correos, teléfonos y direcciones IP, además de los términos propios que definas, como texto exacto o como expresión regular.

Qué hace cada acción por defecto

Si no cambias nada, los secretos y las tarjetas se bloquean, las direcciones IP se dejan pasar y el resto de categorías se enmascara. La empresa arranca en modo auditoría, así que al principio solo se registra lo que habría ocurrido.

Una carpeta aparte para lo más sensible

Puedes marcar una carpeta del equipo como sensible. Lo que se adjunta desde ahí hace sensible la petición y se le aplica siempre su propia acción (enmascarar, enviar a un modelo de la UE o bloquear), también en modo auditoría.

Fuentes oficiales

Reglamento General de Protección de Datos (RGPD), Reglamento (UE) 2016/679: texto oficial en EUR-Lex.

La seudonimización se define en el artículo 4, apartado 5, del RGPD.