Seguridad de los datos con IA: los controles mínimos que deberías tener

Qué pide la normativa (en palabras sencillas)

• RGPD, Art. 32: medidas técnicas y organizativas adecuadas al riesgo, que incluyen cifrado o seudonimización, confidencialidad, capacidad de recuperación y pruebas periódicas.
• NIS2, Art. 21: medidas de gestión de riesgos como gestión de incidentes, continuidad, seguridad de la cadena de suministro, criptografía y control de acceso (si tu organización está dentro de su ámbito).
• AI Act, Art. 15: los sistemas de alto riesgo deben ser precisos, robustos y ciberseguros, incluyendo resistencia a intentos de manipulación de los datos de entrenamiento o de las entradas.

Los siete controles mínimos

1. Saber qué tienes. Un inventario de datos y de sistemas de IA, con su clasificación. Lo que no está inventariado no se protege.
2. Controlar los accesos. Permisos por rol y mínimo privilegio, autenticación en dos pasos y revisiones periódicas. Mira la guía de control de acceso (RBAC).
3. Cifrar. En tránsito siempre y en reposo lo confidencial, con las claves bien custodiadas. Detalle en cifrado y gestión de claves.
4. Registrar lo que ocurre. Logs de accesos y de uso de las herramientas de IA, con un plazo de conservación definido y protegidos contra alteraciones.
5. Tener copias y probar la recuperación. Una copia que nunca se ha restaurado es una suposición, no una garantía.
6. Exigir seguridad a los proveedores. Contratos, certificaciones, dónde se tratan los datos y si el proveedor usa tus datos para entrenar. Ver due diligence de proveedores de IA.
7. Preparar la respuesta a incidentes. Quién decide, a quién se avisa y en qué plazos. Ver qué hacer ante un incidente de IA.

Riesgos que son propios de la IA

• Fuga por uso de herramientas no autorizadas: empleados que pegan datos confidenciales en servicios públicos. Es la «IA en la sombra».
• Inyección de instrucciones (prompt injection): un texto escondido en un documento o una web que hace que el asistente ignore sus reglas o revele información.
• Contaminación de datos (data poisoning): alguien introduce datos manipulados en lo que alimenta o reentrena el modelo.
• Exceso de permisos en agentes: una IA que puede actuar (enviar correos, modificar registros) con más acceso del necesario.

La respuesta no es nueva: menos permisos, datos de entrada revisados, supervisión humana en las acciones importantes y registros para investigar.

Por dónde empezar esta semana

1. Activa la autenticación en dos pasos en todas las cuentas que tocan datos.
2. Haz una lista corta de las herramientas de IA que se usan realmente y qué datos reciben.
3. Comprueba cuándo fue la última vez que restauraste una copia de seguridad.
4. Define quién avisa a quién si algo sale mal.

Preguntas frecuentes

¿Esto es lo mismo que cumplir ISO 27001?

No. Son los cimientos con los que se suele empezar. ISO 27001 es un sistema de gestión completo y certificable; estos controles son un punto de partida razonable, no una certificación.

¿Aplica NIS2 a mi empresa?

Depende del sector y del tamaño. Lo explicamos en NIS2 en España: qué empresas están obligadas.

¿Cada cuánto hay que revisar los controles?

Al menos una vez al año y siempre que cambie algo relevante: un proveedor nuevo, una herramienta de IA nueva o un incidente.

Contenido informativo, no asesoramiento jurídico. La regulación de la IA cambia con rapidez: comprueba siempre el texto oficial vigente antes de decidir. Información revisada a 15 de octubre de 2026.

Esto te da la lista de control. Si quieres la plantilla ya hecha: Clasificación y retención de datos.