Netskope Threat Labs: los empleados del sector sanitario comparten regularmente datos confidenciales y estrictamente regulados en cuentas personales en la nube y en plataformas de IA generativa relacionadas con su trabajo

Se debe encontrar el equilibrio entre las ventajas de la IA génica y la implementación de medidas de seguridad y protección de datos para minimizar riesgos

Madrid, 12 de mayo de 2025 – Netskope, Threat Labs ha publicado su último informe sobre amenazas dedicado al sector de la salud, en el que se revela que los profesionales de este sector envían regularmente datos confidenciales a ubicaciones no autorizadas en la web o en la nube. Las aplicaciones de inteligencia artificial generativa, como ChatGPT o Google Gemini, las dos más utilizadas por los profesionales de la salud, suelen estar presentes en estas vulneraciones de las políticas de datos, dada su creciente popularidad en el lugar de trabajo.

Entre las principales conclusiones del estudio se incluyen las siguientes:

• El 81 % de todas las vulneraciones de las políticas de datos que se produjeron en el sector sanitario en los últimos doce meses afectaron a datos sanitarios regulados, es decir, datos protegidos por normativas locales, nacionales o internacionales, entre los que se incluye información médica y clínica sensible. Las contraseñas y las claves, el código fuente y la propiedad intelectual también se vieron afectados (19 % en total), y gran parte de esas vulneraciones se debieron a personas que subieron datos sensibles a cuentas personales de Microsoft OneDrive o Google Drive.
• La IA genérica se ha generalizado en el sector y, actualmente, el 88 % de las entidades sanitarias utilizan aplicaciones de genAI. Gran parte de las vulneraciones de las políticas de datos que se producen actualmente están relacionadas con el uso de la IA genérica por parte de los profesionales: el 44 % afecta a datos regulados, el 29 % al código fuente, el 25 % a la propiedad intelectual y el 2 % a contraseñas y claves. Además, existen riesgos adicionales de filtración de datos derivados de las aplicaciones que utilizan información de los usuarios para el entrenamiento o que incorporan funciones de IA genérica, presentes en el 96 % y el 98 % de las organizaciones sanitarias, respectivamente.
• Más de dos de cada tres usuarios de IA generativa en el sector sanitario utilizan y envían datos confidenciales a sus cuentas personales de genAI dentro de la empresa. Esto dificulta la supervisión de la actividad relacionada con la IA generativa por parte de los equipos de seguridad y, sin las medidas de protección de datos adecuadas, limita su capacidad para detectar y prevenir fugas de datos.

Al comentar los resultados, Gianpietro Cutolo, Investigador de Amenazas en la Nube de Netskope Threat Labs, dijo: «Las aplicaciones de GenAI ofrecen soluciones innovadoras, pero también plantean nuevos vectores de riesgo para la seguridad de los datos, especialmente en entornos de alta presión y alto impacto como es el sector sanitario, en el que los trabajadores y los profesionales médicos deben actuar con rapidez y agilidad. Las entidades sanitarias deben encontrar el equilibrio entre las ventajas de la IA génica y la implementación de medidas de seguridad y protección de datos para minimizar esos riesgos».

Para conseguirlo, pueden considerar lo siguiente:

• Se deben implementar aplicaciones de IA genérica aprobadas por la organización para concentrar el uso de la IA genérica en aquellas aprobadas, supervisadas y protegidas por la organización, y reducir el uso de cuentas personales y la «IA en la sombra». El uso de cuentas personales de IA genérica por parte de los empleados del sector sanitario ha descendido del 87 % al 71 % en el último año, a medida que las entidades se decantan cada vez más por soluciones de IA genérica aprobadas por la organización.
  • Implementar políticas estrictas de prevención de pérdida de datos (DLP) para supervisar y controlar el acceso a las aplicaciones de IA genérica y definir el tipo de datos que se pueden compartir con ellas, lo que supone una capa adicional de seguridad en caso de que los usuarios realicen acciones de riesgo. La proporción de entidades sanitarias que han implementado políticas de DLP para la IA genérica ha pasado del 31 % al 54 % en el último año.
  • Implementar un sistema de asistencia en tiempo real, una herramienta que alerte a los empleados si están realizando acciones potencialmente peligrosas. Por ejemplo, si un empleado del sector sanitario intenta subir un archivo a ChatGPT que incluye nombres de pacientes, aparecerá un mensaje preguntándole si desea continuar. Un informe independiente muestra que la gran mayoría de los trabajadores (73 %) de todos los sectores desisten cuando reciben mensajes de este tipo.

Gianpietro Cutolo concluyó: «En el sector sanitario, la rápida adopción de aplicaciones de genAI y el uso cada vez mayor de plataformas en la nube han situado a la protección de los datos sanitarios sujetos a regulación en una nueva prioridad. A medida que la genAI se integra más en los flujos de trabajo clínicos y operativos, las entidades están acelerando la implantación de controles como DLP y políticas de bloqueo de aplicaciones para reducir el riesgo. Las instituciones sanitarias están haciendo progresos, pero es fundamental seguir centrándose en soluciones seguras y homologadas por la empresa para garantizar que los datos siguen protegidos en un panorama en constante evolución».

Netskope brinda protección contra amenazas a millones de usuarios en todo el mundo. La información presentada en este informe se basa en datos de uso anónimos recopilados por la plataforma Netskope One en relación con un subconjunto de clientes del sector sanitario de Netskope que han autorizado previamente su uso.