Antes de conectar una IA al CRM o a los documentos de tu empresa, conviene responder tres preguntas: qué información necesita, quién autoriza su acceso y cómo se detiene el flujo si algo falla. La seguridad digital de esa integración empieza por conocer el proceso y sus responsables.

En LikenData proponemos incluir ese relevamiento desde el diagnóstico: revisar datos, cuentas, permisos y recuperación junto con la oportunidad de automatización. El alcance inicial es identificar decisiones y pendientes para un piloto. Una auditoría especializada, si el caso la requiere, necesita un alcance propio.

Qué datos necesita consultar la IA

Supongamos que un equipo quiere consultar procedimientos internos mediante un asistente. Antes de conectar una carpeta completa, conviene identificar qué documentos sirven para esa tarea y cuáles contienen información que el asistente no necesita.

El mapa puede registrar ubicación, responsable, usuarios autorizados y frecuencia de actualización. También debe distinguir documentación vigente de archivos históricos. Una respuesta que cita un procedimiento viejo puede causar un problema operativo aunque no se haya producido una intrusión.

Este escenario es hipotético. El alcance real depende de los sistemas, permisos y necesidades de cada organización.

Qué revisar en cuentas, autenticación y permisos

Para el piloto, proponemos usar accesos identificables y el alcance necesario para la tarea. Una cuenta compartida dificulta determinar quién hizo una acción y qué acceso corresponde retirar cuando cambia el equipo.

La guía de NIST sobre autenticación multifactor explica cómo agregar factores de autenticación mejora la protección de las cuentas y distingue métodos con diferente resistencia al phishing. Eso no convierte a la MFA en un reemplazo de los demás controles.

En el relevamiento conviene registrar qué mecanismos ofrece cada servicio, cómo se recupera el acceso y quién administra las cuentas. Las decisiones deben contemplar la operación cotidiana; un control que nadie sabe mantener puede dejar dependencias difíciles de resolver.

Separar los datos recibidos de las reglas del agente

Un archivo o un correo puede contener texto que intente cambiar el comportamiento de un agente. La documentación de seguridad de OpenAI describe este riesgo de instrucciones maliciosas en información externa.

En nuestro escenario, un documento es una fuente a consultar, no una autorización para enviar archivos o ampliar permisos. La implementación debe controlar qué herramientas están disponibles, qué datos recibe cada una y qué acciones requieren revisión.

Las credenciales tampoco deberían viajar dentro de prompts o documentos compartidos. Es necesario definir dónde se configuran, quién puede usarlas y cómo se revocan, sin exponerlas durante la preparación del contenido o del piloto.

Cómo detener la integración y recuperar la operación

Antes de habilitar el uso, proponemos acordar cómo detener el flujo, retirar un acceso y revisar las acciones realizadas. Si la tarea puede modificar información, hace falta pensar también cómo detectar y corregir una operación incorrecta.

Un ensayo acotado puede revelar dependencias que el diseño no mostraba: una cuenta sin responsable, una copia de respaldo que nadie probó o una integración cuyo permiso es más amplio de lo necesario. El objetivo del ensayo es descubrir esas condiciones y asignar acciones concretas, no declarar que el sistema quedó libre de riesgos.

El Cybersecurity Framework de NIST es una referencia general para organizar la gestión del riesgo. Consultarlo no implica que una empresa esté certificada ni que este relevamiento cumpla por sí solo todos sus resultados esperados.

Qué debería quedar documentado

  • Tarea del piloto y fuentes autorizadas.
  • Responsables de los datos, cuentas y decisiones.
  • Permisos de lectura y acciones permitidas.
  • Controles que deben verificarse antes de ampliar el uso.
  • Procedimiento para detener, revisar y recuperar la operación.

Prepará el diagnóstico de tu integración con LikenData

Elegí el proceso que querés mejorar y anotá los sistemas involucrados, los tipos de información y quién los administra. Para esta primera conversación alcanza con describirlos: no incluyas contraseñas, claves de API, documentos internos ni datos personales en el formulario.

Empezá el diagnóstico de tu proceso con LikenData. Usá una descripción general, sin información confidencial, para preparar un resumen orientativo. Podés descargarlo o revisarlo antes de enviarlo por correo a nuestro equipo. El resumen ayuda a ordenar la consulta y no sustituye una evaluación de seguridad.