Cómo pueden responder los equipos de TI al uso de ChatGPT personal en el trabajo

Los empleados pueden usar cuentas personales de ChatGPT en el trabajo aunque su organización ofrezca un espacio Enterprise aprobado. Esto puede exponer datos de la empresa, pero el uso de una cuenta personal no demuestra por sí solo que una solicitud se utilizara para entrenar un modelo, se hiciera pública o llegara a otro usuario.

En un artículo para BleepingComputer, Vakaris Noreika, vicepresidente de Investigación y Desarrollo de Producto de NordLayer, describe dos escenarios hipotéticos para que los equipos de TI investiguen este uso. Sin controles sobre las solicitudes, un evento puede indicar que se usó una cuenta personal, pero no conservar el texto de la solicitud ni hallazgos sobre datos sensibles. La investigación podría depender entonces de revisar con el empleado la conversación pertinente.

El segundo escenario utiliza NordLayer AI Scout en un navegador gestionado. Un detector configurado comprueba las solicitudes en el dispositivo y puede bloquear un envío que coincida con una regla, como un formato de número de cuenta de cliente. La herramienta puede clasificar las conversaciones de ChatGPT como Personal o Corporate y asociar la actividad a una persona mediante su correo de trabajo. La sincronización de directorios con Entra ID, Okta o HiBob puede añadir datos del departamento, el equipo y el cargo.

Noreika señala que los equipos deben determinar qué datos se compartieron, conservar las pruebas pertinentes e involucrar a la persona responsable de incidentes, privacidad o datos que corresponda. La respuesta depende de la información compartida. El artículo también subraya que una suscripción Enterprise no convierte en permitidos todos los tipos de tareas o datos.