¿Cuenta corporativa o personal?

Un mismo servicio de IA puede ser seguro con una cuenta y arriesgado con otra. Quien entra con el tenant de su empresa está cubierto por su contrato: condiciones de conservación, controles de administración y registros de auditoría. La misma persona con una cuenta personal está cubierta por sus propias condiciones de consumidor. Una política que solo mira el dominio no puede distinguir entre ambas.

Una dirección, dos riesgos muy distintos

Desde el punto de vista de la red, las dos sesiones se parecen. Van a la misma dirección y usan la misma aplicación. Un filtro web ve un solo destino.

Para la organización, no podrían ser más diferentes. En la cuenta corporativa, usted eligió las condiciones. Sabe cuánto tiempo se conservan los datos, si entrenan un modelo y quién puede leer los registros. Si alguien se marcha, la cuenta se cierra y el historial se queda con usted.

En la cuenta personal, usted no eligió nada. Los datos quedan bajo unas condiciones que esa persona aceptó con prisa. Cuando deja la empresa, el historial de conversaciones se va con ella. No hay registro, ni control de conservación, ni forma de pedir que se devuelva nada.

Por qué las reglas por dominio fallan en los dos sentidos

Ante esto, la mayoría de los equipos recurre a la herramienta que ya tiene, y esa herramienta ofrece dos malas opciones.

Si bloquea el dominio, rompe la herramienta aprobada. Quienes dependen de ella dejan de trabajar o buscan otro camino. Seguridad se convierte en el departamento que quitó lo que era útil.

Si permite el dominio, la cuenta personal entra por la misma puerta. Ha pagado un servicio corporativo y ha dejado abierta la entrada lateral.

Un compromiso habitual es una norma escrita: use solo la cuenta de la empresa. Merece la pena tenerla, pero depende de que cada persona se fije en qué cuenta tiene abierta, en un navegador donde pueden estar las dos. Cualquiera que haya enviado un mensaje de trabajo desde el perfil equivocado sabe cómo acaba eso.

Cómo es una política que distingue la cuenta

La solución es que la política sepa qué cuenta se está usando y trate cada una de forma distinta. En la práctica, las reglas son breves.

• Cuenta corporativa aprobada: permítala, revise el contenido y guarde un registro.
• Cuenta personal en el mismo servicio: avise a la persona, pida un motivo de negocio o bloquee.
• Contenido sensible en cualquiera de las dos: decide el motor de detección, no el dominio.

La tercera regla importa más de lo que parece. Una cuenta corporativa no hace aceptable cualquier prompt. Una lista de clientes o un contrato pueden quedar fuera de lo que su política permite, vayan adonde vayan. La cuenta marca el punto de partida y el contenido decide el resultado.

Qué ve la persona

Una buena política se nota en el momento. Alguien pega una lista de clientes en un chatbot y no se ha dado cuenta de que está en una cuenta personal. En lugar de un fallo silencioso, ve un mensaje breve: esto parecen datos de clientes, esta es una cuenta personal, use la de la empresa.

Ese mensaje hace tres cosas útiles. Detiene los datos. Enseña la regla justo donde importa. Y da a la persona una forma inmediata de terminar la tarea, que era lo que había ido a hacer.

Compárelo con una página de bloqueo que no da ningún motivo. Una deja a la gente informada y trabajando. La otra la deja buscando un atajo.

Preguntas sobre su propia configuración

Unas pocas preguntas muestran dónde está usted.

• ¿Puede ver qué cuentas de IA usa la gente, no solo qué servicios?
• ¿Su política trata de forma distinta una cuenta corporativa y una personal en el mismo servicio?
• Si se detiene a alguien, ¿sabe en qué cuenta estaba y qué debe hacer a continuación?
• Cuando una persona se va, ¿qué ocurre con el historial de IA creado para su trabajo?

Donde las respuestas no estén claras, empiece en modo de monitorización. Averigüe cuánto uso pasa por cuentas personales y en qué equipos. A menudo es un grupo pequeño con una necesidad real que la herramienta aprobada no cubre, y esa conversación conviene tenerla antes de cambiar ninguna regla.

El sentido de la distinción

Aprobar un asistente corporativo y restringir el personal no es un detalle técnico. Es lo que hace posible una política clara. Puede decir que sí a la herramienta que la gente quiere, conservar las protecciones de su contrato y detener los datos que no deben salir, todo ello sin romper el servicio para quienes dependen de él.

Lea cómo AI Data Security separa las cuentas corporativas y personales.