Bases para tu política de uso de IA generativa

Los ítems principales en una política empresarial sobre el uso de IA generativa para el desarrollo de software incluyen la identificación de los casos de uso de IA generativa en tu empresa, el establecimiento de las herramientas de IA generativa que los desarrolladores están autorizados a usar y la solución de pruebas de seguridad para mantener seguro el código generado con IA, la descripción de los datos que no deben usarse en las herramientas de IA, el requisito de que los proveedores notifiquen y describan su uso de IA generativa, y la descripción de las estrategias de comunicación y aprendizaje de la política de IA. Como mencionamos en nuestro artículo sobre las buenas prácticas para el desarrollo seguro con IA, las compañías pueden basar sus políticas de IA generativa en sus políticas ya existentes.

El código generado por IA puede contener vulnerabilidades de seguridad, algunas de las cuales pueden deberse a que la herramienta desconoce la lógica de negocio de la compañía. Es importante establecer en tu política de IA que los desarrolladores siempre deben revisar el resultado de la herramienta. Los escáneres de vulnerabilidades son sus aliados en este proceso para identificar las amenazas más simples. La política debe informar, después de una consulta cuidadosa, qué herramientas de pruebas de seguridad de aplicaciones están permitidas. Por consiguiente, debe reconocer las tasas significativas de falsos positivos y falsos negativos de los reportes de las herramientas.

Para encontrar vulnerabilidades más críticas para la empresa, se aconseja un enfoque que implique la revisión manual del código fuente por parte de analistas de seguridad (hackers éticos). La política puede entonces establecer que estas pruebas manuales se realicen junto con las automatizadas. En otro artículo describimos lo que deberías buscar en una solución de gestión de vulnerabilidades. Presentamos a continuación una checklist simplificada de diez elementos para darte una idea:

Otra información clave que debe estar presente en tu política es si a los desarrolladores se les permite utilizar herramientas de inteligencia artificial para obtener sugerencias de corrección del código. Y, de ser así, qué herramientas están permitidas. Eso sí, hay que aclarar que incluso estos resultados tienen que ser revisados de nuevo en busca de vulnerabilidades. ¿Qué sentido tiene entonces? Bueno, la IA generativa ayuda a acelerar el proceso.

Si todavía estás buscando la solución adecuada, te invitamos a iniciar una prueba gratuita de nuestra herramienta y disfrutar de muchas de las características enumeradas anteriormente, incluyendo nuestra función Autofix potenciada por IA generativa. Ofrecemos todas las características enumeradas en la lista a través de nuestro plan estrella (pago).

Tu compañía debería haber identificado qué tipo de información maneja y dónde se encuentran los datos sensibles. Si tu compañía adopta la IA generativa, lo mejor es definir antes de su uso qué información no debe introducirse en los prompts de las herramientas de IA. Esto se hace después de conocer a fondo las medidas de protección de datos de las herramientas.

Tu compañía tendría que identificar el modo en que se puede poner en peligro la confidencialidad de la información en casos de uso como los de arriba, puesto que la información introducida en algunas herramientas de IA generativa puede utilizarse para seguir entrenando la herramienta e incluso ser objeto de filtraciones de datos. Algunos incidentes muy sonados con ChatGPT son la exposición al público por parte de Samsung de sus propios secretos tres veces, el acceso de atacantes al historial de chat de otros usuarios tras explotar una falla en una librería de código abierto, y el robo de más de 100.000 cuentas de usuario.

Tu compañía debe tomar medidas preventivas contra los ataques a la cadena de suministro. Hemos mencionado algunos de los aspectos más importantes en los que hay que fijarse siguiendo el enfoque de seguridad de la cadena de suministro de software. Uno de ellos es verificar las políticas y procedimientos de los proveedores para ver si se ajustan a las buenas prácticas y estándares.

La política de IA generativa de tu empresa debería establecer que los proveedores deben detallar el uso que hacen de la IA generativa de terceros de la forma más exhaustiva posible. Algunos datos clave son el tipo de datos que introducen y cómo se aseguran de que no se utilicen en el entrenamiento de la herramienta. En cuanto a los estándares, la política puede exigir que el proveedor conozca y cumpla la norma ISO/IEC 38507:2022. Además, tu empresa también puede ser un proveedor y, en ese caso, su política debe exigir la divulgación detallada de su propio uso de IA generativa a los proyectos que utilicen el software de tu empresa en su desarrollo.

Para disponer de un recurso útil en las estrategias de comunicación y formación sobre políticas de tu compañía, consulta nuestro resumen con cinco buenas prácticas para desarrollar de forma segura con IA generativa. Y si tu compañía permite el uso de nuestra extensión para el IDE (entorno de desarrollo integrado), nuestra documentación es un recurso útil, no solo para aprender cómo usarla sino, además, cómo maneja los datos de manera segura.