La Agencia Española de Protección de Datos (AEPD) ha notificado la primera brecha de datos personales atribuida al uso de un agente de inteligencia artificial que operó utilizando un modelo de lenguaje conocido. Este incidente se produjo cuando el agente llevó a cabo una búsqueda de vulnerabilidades en archivos genéricos, logrando acceder al sistema a través de un inicio de sesión correcto. Una vez dentro, comenzó a buscar de forma autónoma vulnerabilidades en una aplicación, lo que le permitió modificar datos personales y acceder a facturas.
La AEPD ha indicado que la información disponible proviene de la notificación de la organización afectada, y aún está en proceso de análisis. Además, ha aclarado que el uso de un modelo de inteligencia artificial específico no implica que la infraestructura del proveedor haya sido comprometida ni que la herramienta haya sido diseñada para llevar a cabo actividades maliciosas. Este hecho resalta que un tercero ha utilizado un agente de IA como instrumento para orquestar diferentes fases del ataque exitosamente.
Aunque esta notificación no permite establecer una tendencia estadística clara, representa un hito importante, dado que los ataques respaldados por inteligencia artificial han pasado de ser un riesgo teórico a incidentes que afectan el tratamiento real de datos personales. Las capacidades de la inteligencia artificial, aplicadas a ciberataques, pueden facilitar la automatización de actividades ilícitas, como se ha demostrado en el pasado.
Desde hace tiempo, se han utilizado modelos generativos para redactar mensajes de phishing, traducir campañas fraudulentas, suplantar identidades, analizar código y facilitar la búsqueda de vulnerabilidades. La introducción de agentes de inteligencia artificial marca un cambio cualitativo en este tipo de actividades, ya que pueden recibir objetivos y planificar tareas de manera más efectiva.
Este caso pone de manifiesto la necesidad de fortalecer las medidas de seguridad en el manejo de datos personales, especialmente en un contexto donde la inteligencia artificial está cada vez más presente en diversas aplicaciones. La importancia de esta situación radica en la creciente preocupación sobre cómo la tecnología puede ser utilizada para fines maliciosos, lo que resalta la relevancia de la labor que realiza la AEPD en la protección de la privacidad de los ciudadanos.
Contexto: En los últimos años, la AEPD ha intensificado sus esfuerzos para adaptarse a los retos que presenta la digitalización y el uso de nuevas tecnologías. La implementación del Reglamento General de Protección de Datos (RGPD) en 2018 ha establecido un marco más robusto para la protección de datos en Europa. Con el aumento de incidentes relacionados con la ciberseguridad y el uso de inteligencia artificial, la necesidad de una regulación efectiva y de prácticas de seguridad robustas es más urgente que nunca, especialmente para garantizar la integridad de los datos personales en España.