Cuando ISO 27001:2022 añadió el control A.8.11 («enmascaramiento de datos») y amplió el lenguaje relativo a la clasificación de datos, la mayoría de los implementadores lo registraron como una actualización menor. El cambio más importante fue más silencioso y más trascendente: la norma comenzó a tratar los datos de entrenamiento como un activo de información de primer orden.
Esto importa porque la mayoría de las organizaciones con sistemas de IA tienen datos de entrenamiento que nunca fueron tratados como activos de información. Se trataron como artefactos técnicos, propiedad del equipo de ciencia de datos, gobernados de manera informal y clasificados de forma inconsistente, si es que se clasificaban en absoluto.
La creencia habitual
La suposición por defecto es que ISO 27001 cubre datos de producción, datos de clientes y datos de empleados. Los datos de entrenamiento, si se contemplan en absoluto, quedan en una zona gris: no son datos operativos, no son exactamente propiedad intelectual y no dan la impresión de ser el tipo de activo que pertenece al registro de la 27001.
Esa suposición falla en el momento en que los modelos de la organización adquieren relevancia comercial significativa. Los datos de entrenamiento se convierten en el ingrediente que determina el comportamiento del modelo, y por tanto en el ingrediente cuya calidad, procedencia y seguridad determinan la calidad del producto y la responsabilidad sobre el mismo.
Qué espera realmente la 27001:2022
Varios controles del Anexo A de 2022 se aplican directamente a los datos de entrenamiento, aunque la norma no los mencione explícitamente por nombre. Los controles aplicables incluyen:
- A.5.12 (clasificación de la información): los conjuntos de datos de entrenamiento requieren clasificación igual que cualquier otro activo de información, con implicaciones para el acceso, el tratamiento y la retención.
- A.5.13 (etiquetado de la información): las etiquetas de clasificación deben propagarse a través de las canalizaciones de entrenamiento, no detenerse en la base de datos operativa.
- A.8.10 (eliminación de información): cuando los interesados ejercen el derecho de supresión, el recorrido desde los almacenes operativos hasta los conjuntos de entrenamiento rara vez está documentado, y la norma espera de manera creciente que lo esté.
- A.8.11 (enmascaramiento de datos): aborda específicamente técnicas como el enmascaramiento, la seudonimización y la privacidad diferencial, que son directamente relevantes para la gobernanza de los datos de entrenamiento.
- A.5.34 (privacidad y protección de la PII): se extiende a la PII que acaba en los datos de entrenamiento, no solo a la PII en bases de datos operativas.
- A.8.12 (prevención de fugas de datos): incluye explícitamente los datos de entrenamiento como una categoría en la que debe evaluarse el riesgo de fuga.
Considerados en conjunto, estos controles generan una expectativa en la 27001 de que los datos de entrenamiento estén clasificados, etiquetados, sujetos a supresión, sujetos a enmascaramiento donde corresponda y monitorizados para detectar fugas. En la práctica, la mayoría de las organizaciones no pueden aportar evidencias de ninguno de estos puntos en relación con sus datos de entrenamiento.
El inventario de activos de información en la mayoría de los documentos del SGSI termina en la base de datos de producción. Los datos de entrenamiento almacenados en object storage que alimentan los modelos suelen estar completamente fuera del mapa.
Dónde reside el problema real
Tres brechas concretas aparecen de forma recurrente en las auditorías.
1. La procedencia no está documentada
La mayoría de los conjuntos de datos de entrenamiento se ensamblan a partir de una combinación de datos internos, conjuntos de datos licenciados, datos públicos extraídos mediante scraping y datos sintéticos. La procedencia de cada fragmento rara vez se registra de una manera que el SGSI pueda auditar. Cuando llega una reclamación por derechos de autor, una solicitud de un interesado o una consulta regulatoria, la organización no puede responder qué provino de dónde.
2. La clasificación no se propaga
Un registro de cliente en la base de datos de producción puede estar clasificado como «Confidencial» con controles asociados. El mismo registro, extraído a un conjunto de datos de entrenamiento en formato Parquet en object storage, suele perder su clasificación por completo. Los controles se detienen en el límite de la canalización de datos.
3. La supresión no alcanza a los conjuntos de entrenamiento
Cuando un interesado ejerce el derecho de supresión en virtud del GDPR o regímenes equivalentes, la mayoría de las organizaciones eliminan los datos de las bases de datos operativas, pero no los eliminan de los conjuntos de datos de entrenamiento. El modelo entrenado con esos datos sigue existiendo. Si esto constituye incumplimiento es una cuestión jurídica abierta, y cada vez más los reguladores están adoptando la posición de que sí lo es.
La pregunta que plantean la mayoría de las implementaciones de SGSI es «¿Qué activos de información poseemos?». La pregunta que deben hacerse las organizaciones que operan con IA es «¿Qué activos de información poseemos, y cuántos de ellos existen únicamente en conjuntos de datos de entrenamiento que no han sido clasificados, etiquetados ni mapeados en flujos de trabajo de supresión?»
La respuesta suele ser sorprendente. Los conjuntos de datos de entrenamiento pueden contener datos estructurados de clientes, documentos internos no estructurados, contenido web extraído mediante scraping y datos licenciados de terceros, todo mezclado en un único activo cuyo perfil de clasificación es efectivamente el del subconjunto de mayor riesgo, pero cuyo tratamiento es el más laxo de la organización.
El cambio estructural
La gobernanza de datos ha pasado la última década evolucionando desde la clasificación estática hacia la clasificación de ciclo de vida: los mismos datos tienen perfiles de riesgo diferentes en reposo, en tránsito, en producción, en analítica y, ahora, en entrenamiento. La 27001:2022 codifica esta visión del ciclo de vida con el nuevo sistema de atributos y el conjunto de controles consolidado.
Los sistemas de IA llevan el ciclo de vida un paso más allá. Los datos de entrenamiento no son simplemente otra etapa; son una etapa en la que los datos pierden su contexto original y adquieren nuevos riesgos: memorización por el modelo, inferencia de pertenencia, enredos de derechos de autor, ataques de reconstrucción de privacidad. Cada uno de estos representa un modo de fallo que el enfoque de activo de información maneja directamente (si el activo ha sido registrado) o pasa por alto completamente.
Qué significa esto para su organización
Añada los conjuntos de datos de entrenamiento a su inventario de activos de información. Esto suele ser un ejercicio de mapeo puntual que revela entre 10 y 100 conjuntos de datos significativos que no estaban formalmente registrados. El mapeo proporciona la base para aplicar los controles de la 27001:2022 de forma coherente.
Extienda las reglas de clasificación a las canalizaciones de entrenamiento. Cuando los datos se mueven de producción a entrenamiento, la clasificación debe propagarse automáticamente, no reiniciarse. Esto suele requerir cambios en los metadatos de las canalizaciones de datos y los procesos ETL.
Construya la trazabilidad de supresión antes de que los reguladores lo exijan. Mapee el recorrido desde la solicitud de eliminación operativa hasta el impacto en el conjunto de datos de entrenamiento. En la mayoría de las organizaciones, ese mapa no existe. Construirlo ahora es más económico que hacerlo bajo plazos regulatorios.
Un SGSI que no sabe qué hay en sus datos de entrenamiento no está equivocado. Está incompleto. Y la incompletitud es exactamente donde reside el próximo hallazgo de auditoría.
¿Listo para cerrar la brecha de datos de entrenamiento en su SGSI?
📩 [email protected] · 🌐 zertia.ai