Soy Francisco Venegas Aros y en mis años liderando estrategias de ciberseguridad, he trabajado sobre una máxima: reforzar la concienciación y la capacitación, ya que la organización es tan fuerte como su eslabón más débil; pero esta noticia pareciera invertir el esquema.
Estoy seguro que, bajo esa premisa, podrías pensar que ese eslabón más débil, y sin desmerecer obviamente, pudiera ser el o la recepcionista o el pasante o practicante de turno. Pero, ¿qué pasa cuando el “usuario negligente” es la persona a cargo de la seguridad de la potencia más grandes del mundo?
El director interino de la Agencia de Ciberseguridad e Infraestructura de EE.UU. (CISA), Madhu Gottumukkala, subió durante el verano de 2025 documentos sensibles de contratación, marcados como “solo para uso oficial” (FOUO), a la versión pública de ChatGPT, lo que activó múltiples alertas automáticas de seguridad del Departamento de Seguridad Nacional (DHS). Aunque los archivos no eran clasificados, contenían información que no debía divulgarse públicamente. Las defensas de CISA detectaron el hecho en repetidas ocasiones y se inició una revisión interna para evaluar posibles riesgos a la seguridad nacional. Gottumukkala había recibido un permiso excepcional para usar ChatGPT, en su versión gratuita, herramienta que en ese momento estaba bloqueada para el resto del personal del DHS, y discutió posteriormente el incidente con altos funcionarios del departamento.
El caso generó fuertes críticas internas, ya que el uso de ChatGPT implica que los datos ingresados puedan ser compartidos con OpenAI, lo que plantea riesgos de exposición a actores adversarios como Rusia o China. Mientras CISA afirmó que el acceso fue “limitado y temporal” y bajo controles del DHS, sin embargo, el episodio reavivó el debate sobre el uso de IA pública frente a herramientas internas como DHSChat, que mantienen la información dentro de redes federales. La gestión de Gottumukkala ya estaba bajo escrutinio por otros conflictos internos, incluyendo suspensiones de personal y tensiones con altos directivos, lo que ha intensificado las dudas sobre su liderazgo y el manejo de información sensible en una agencia clave para la ciberseguridad estadounidense.
La Paradoja de la Comodidad vs. Seguridad
Olvidemos por un momento los cargos y las siglas. Lo que ocurrió aquí podría considerarse un fenómeno psicológico que afecta al personal de la empresas, desde startups hasta grandes corporaciones. El cerebro humano, en su búsqueda constante de eficiencia (o lo que en neuromarketing llamamos “alivio cognitivo”), tiende a ignorar las barreras de seguridad si estas obstaculizan la productividad inmediata.
El jefe de CISA no quería “filtrar” datos a OpenIA; quería hacer su trabajo más rápido. Y ese es exactamente el peligro. Al volcar información confidencial en un modelo de IA público, esos datos dejan de ser tuyos. Pasan a formar parte del vasto océano de entrenamiento de OpenAI, potencialmente recuperables por otros usuarios mediante ingeniería de prompts adecuada. Si el líder de la ciberseguridad estadounidense cae en esta trampa de conveniencia, ¿qué te hace pensar que tu Gerente de Finanzas no está pegando la nómina de sueldos en ChatGPT para que le “resuma los costos”?
El Fenómeno del “Shadow AI” en tu Oficina
Este incidente también toca otra arista, destapa la realidad del “Shadow AI” (IA en la sombra). Tus empleados ya están usando Inteligencia Artificial. Si no les das una herramienta segura y corporativa, usarán la versión gratuita y pública en sus teléfonos o navegadores personales.
No se trata de demonizar la herramienta, sino de gobernarla. He visto personalmente, cómo el bloqueo total es inútil; la gente encuentra la forma de rodearlo. La solución no es la prohibición, es la habilitación segura.
¿Cómo Evitar que tu Empresa Sea el Próximo Titular?
Si estuviera auditando tu organización hoy, no buscaría solo malware; buscaría hábitos. Aquí es donde la estrategia debe cambiar:
1. Ofrece una Alternativa Segura (Sandbox): Si tus ejecutivos necesitan IA, págales una instancia Enterprise (como ChatGPT Enterprise o Copilot) donde los datos no se usen para entrenar al modelo. Si no les das un camino seguro, crearán uno inseguro.
2. DLP para IA (Prevención de Fuga deatos): Las herramientas modernas de seguridad deben monitorear qué se pega en las cajas de texto de los navegadores. Existen soluciones que bloquean el envío de RUTs, tarjetas de crédito o palabras clave como “Confidencial” hacia dominios de IA generativa.
3. Cultura de “Lo que pasa en la IA, se queda en la IA… Pública”: Entrena a tu equipo con ejemplos reales como este. La vergüenza ajena es un poderoso maestro. Si el jefe de CISA perdió la confianza de su equipo por esto, el daño reputacional para un CEO local sería igual de devastador.
El Liderazgo se Demuestra con el Ejemplo
Este escándalo es un recordatorio brutal de que las políticas de seguridad no son solo un mail para los colaboradores; deben ser el ADN de la alta dirección. La ciberseguridad ya no es solo un problema técnico, es también, un problema de comportamiento humano.
No dejes que la búsqueda de eficiencia comprometa tu patrimonio. Si necesitas implementar una política de Gobernanza de IA que equilibre la innovación con la protección de datos, hablemos.
Francisco Venegas A. CEO & Founder | CyberBaum SPA Experto en Ciberseguridad y Gobernanza TI
