Cuando los atacantes usan inteligencia artificial para automatizar y escalar sus ofensivas, la gobernanza de datos deja de ser un asunto de cumplimiento y se convierte en infraestructura defensiva. Así lo plantea Microsoft en su análisis más reciente sobre el panorama de amenazas: sin saber qué datos existen, dónde están y quién puede acceder a ellos, cualquier control de seguridad queda ciego.
La premisa es operativa antes que filosófica. Los modelos de lenguaje y las herramientas de automatización ofensiva permiten a los atacantes enumerar superficies de ataque, generar credenciales falsas y moverse lateralmente a una velocidad que supera la capacidad de respuesta humana. En ese escenario, la identidad —quién es quién en el ecosistema digital de una organización— y el gobierno del dato —qué activos existen y bajo qué reglas se accede a ellos— se convierten en los dos vectores que determinan si una intrusión escala o se contiene.
Por qué la gobernanza de datos es el problema de seguridad que nadie nombra
Un ataque potenciado por IA no inventa vulnerabilidades nuevas: las explota más rápido. Si una organización no tiene un catálogo de datos actualizado —es decir, no sabe qué información sensible existe ni quién tiene permisos sobre ella—, un atacante que compromete una cuenta privilegiada puede exfiltrar activos críticos antes de que se active cualquier alerta. La gobernanza de datos, en términos de DAMA-DMBOK, es exactamente lo que evita ese punto ciego: clasificación de activos, definición de ownership, control de acceso basado en el nivel de sensibilidad del dato y data lineage que permita rastrear qué se movió y hacia dónde.
El data steward —el rol responsable de definir reglas de uso y calidad sobre dominios específicos de datos— cobra aquí una función que trasciende el compliance. En un entorno donde la IA ofensiva puede identificar en segundos qué tablas de una base de datos contienen registros de alto valor, tener un steward que mantenga actualizada la clasificación de sensibilidad es una decisión de gestión de riesgo, no una formalidad de auditoría.
Identidad: el vector que amplifica o neutraliza el daño
El control de identidad es el complemento necesario. Sin una arquitectura robusta de gestión de identidades y accesos —incluyendo privilegios mínimos, revisiones periódicas de permisos y detección de anomalías de comportamiento—, la mejor clasificación de datos no impide que una cuenta comprometida acceda a activos que no debería tocar. La IA ofensiva es especialmente efectiva en el abuso de identidades: puede generar campañas de phishing hiperpersonalizadas, explotar tokens de sesión y escalar privilegios de formas que los sistemas de detección convencionales no anticipan.
El vínculo entre identidad y gobierno del dato no es metafórico. En términos del marco DCAM del EDM Council, la capability de seguridad y privacidad del dato requiere que los controles de acceso estén alineados con la clasificación del activo: un dato catalogado como “restringido” debería activar automáticamente políticas de acceso más estrictas en el directorio de identidades. Cuando esa alineación no existe, la brecha entre lo que dice el catálogo y lo que permite el sistema de permisos es exactamente el espacio que un atacante con IA puede explotar.
Cuándo aplica / cuándo NO este enfoque
Este marco de defensa es relevante para organizaciones que ya tienen una superficie de datos significativa —múltiples fuentes, entornos híbridos, usuarios con distintos niveles de privilegio— y que enfrentan adversarios con capacidad de automatizar reconocimiento y movimiento lateral. No es la solución prioritaria para una pequeña empresa con un único sistema central y accesos controlados manualmente: en ese caso, los controles de identidad básicos y el backup seguro siguen siendo la inversión más eficiente. La gobernanza de datos como vector defensivo escala en importancia directamente con la complejidad del ecosistema de datos y el valor de los activos expuestos.
El estado del arte en América Latina: regulación que empuja en la misma dirección
En la región, varios marcos regulatorios están generando presión convergente. La Lei Geral de Proteção de Dados (LGPD) de Brasil exige que las organizaciones implementen medidas técnicas y administrativas para proteger datos personales, lo que incluye controles de acceso y clasificación. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) ha actualizado sus lineamientos de seguridad exigiendo que los responsables de tratamiento documenten las medidas adoptadas para proteger los datos que tratan. En México, la LFPDPPP —y su reglamento— requieren que los encargados del tratamiento mantengan un inventario de los datos que procesan. Ninguna de estas normas menciona explícitamente “catálogo de datos” o “data steward”, pero todas presuponen capacidades de gobierno del dato para poder cumplirse. Las organizaciones que construyen esas capacidades para defenderse de ataques de IA también están, en paralelo, avanzando en su madurez regulatoria.
Para un Chief Data Officer o Data Governance Manager en la región, la conversación sobre ciberataques potenciados por IA es una oportunidad concreta: inventariar qué activos de datos de alto valor existen y si su clasificación está actualizada en el catálogo corporativo; revisar si los permisos de acceso en el directorio de identidades son consistentes con esa clasificación; y validar si los data stewards de cada dominio tienen visibilidad sobre quién accede a los datos bajo su ownership. Esas tres acciones son el punto de partida mínimo recomendado por frameworks como CDMC del EDM Council para organizaciones que operan en entornos de amenaza elevada.
Para profundizar en los principios de clasificación y control de acceso a datos, el DAMA-DMBOK 2 (capítulos de Data Security y Data Governance) y el marco CDMC del EDM Council ofrecen las guías de referencia más completas disponibles para equipos de gobierno de datos en entornos corporativos.
