Secretos, claves y datos: lo que nunca deberías pegar en un chat
Cuida tus claves, los datos de tus clientes y tus contratos sin dejar de recibir ayuda de los chats de IA. Qué nunca debería entrar, por qué importa, qué hacer en su lugar y qué pasos dar si ya pasó.
Estás trabado con un error, así que copias el archivo de configuración entero en un chat de IA y preguntas qué está mal. O pegas una hoja de cálculo de clientes para sacar un resumen rápido. Se siente privado: solo tú y una caja de texto. No siempre lo es, y algunas de las cosas que se pegan son muy difíciles de recuperar.
Esto vale para todos: la gerente que resume un contrato, la persona que construye una app con una herramienta de IA, el ingeniero con experiencia que anda apurado.
Lo que nunca debería entrar
- Claves de API y contraseñas. Una clave de API es un código largo que permite que un software use un servicio a tu nombre, como la tarjeta de acceso a un edificio. Quien la tenga puede usar el servicio, y la cuenta la pagas tú. Las contraseñas, los datos de conexión a bases de datos y los tokens de acceso también van en esta lista.
- Datos personales de clientes. Nombres, correos, teléfonos, direcciones, números de identificación, datos de salud o financieros. Tus clientes te los dieron a ti, no a cada herramienta que usas.
- Contratos y documentos confidenciales. Precios, condiciones, disputas legales, cualquier cosa cubierta por un acuerdo de confidencialidad.
- Código con secretos adentro. Muchas veces está bien compartir código con una herramienta aprobada. Código con una clave o una contraseña escrita adentro, no; y los archivos de configuración son los culpables de siempre.
Por qué importa
Cada una de estas es una vía distinta por la que la información sale de tus manos.
- Registros. Los servicios de chat guardan las conversaciones, al menos por un tiempo. Lo guardado puede ser revisado por personal del servicio, pedido en un proceso legal o expuesto en una filtración.
- Entrenamiento. Según el servicio y tu plan, las conversaciones pueden usarse para mejorar modelos futuros. Revisa la configuración; los planes personales y los empresariales suelen ser distintos.
- Compartir. Muchos chats se pueden compartir con un enlace, exportar o sincronizar con otros dispositivos. Una conversación que compartiste para mostrarle a un colega una respuesta ingeniosa lleva todo lo que tiene adentro.
- Filtraciones. Tu cuenta puede ser vulnerada como cualquier otra. Todo tu historial de chats se va con ella.
Con los datos personales, además, está la ley. Muchos países exigen que sepas a dónde van los datos de tus clientes y que tengas un motivo para enviarlos ahí.
Qué hacer en su lugar
- Guarda las claves en variables de entorno. Son ajustes guardados en la computadora o el servidor donde corre la app, fuera del código. El código se refiere a la clave por su nombre, así que puedes compartir el código sin compartir la clave.
- Usa un gestor de secretos para cualquier cosa seria. Es una caja fuerte para claves, con un registro de quién la abrió y cuándo. La mayoría de los servicios de hosting y de nube incluyen uno.
- Reemplaza los secretos antes de pegar. Cambia la clave real por algo como TU_CLAVE_AQUI. La IA no necesita el valor real para ayudarte.
- Usa muestras anonimizadas. ¿Necesitas ayuda con una hoja de cálculo? Manda cinco filas con nombres y correos inventados. Lo que la IA necesita es la estructura, no las personas.
- Usa las herramientas que tu empresa aprobó. Las versiones empresariales de las herramientas de IA suelen venir con mejores condiciones de privacidad. Si tu empresa tiene una política, síguela. Si no la tiene, es una buena conversación para empezar.
Si ya pasó
No entres en pánico, y no te limites a borrar el chat. Borrarlo no deshace lo que quizá ya quedó guardado. Actúa sobre el secreto mismo.
- Rota la clave. Rotar significa crear una clave nueva y desactivar la vieja, para que la copia del chat deje de funcionar. Hazlo el mismo día.
- Actualiza la app para que use la clave nueva, y comprueba que siga funcionando.
- Revisa el uso de la cuenta afectada por si hay algo que no reconoces.
- Cambia cualquier contraseña que hayas pegado, y en todos los lugares donde la reutilizaste.
- Si eran datos personales, avísale a la persona indicada en tu empresa. Puede haber pasos legales que dar, y es más fácil darlos temprano.
- Después borra la conversación y revisa la configuración del chat sobre historial y entrenamiento.
Este tipo de error es común. Lo que importa es corregirlo rápido y hacer que sea más difícil repetirlo.
Lista: antes de pegar
- Nada de claves, contraseñas ni tokens: reemplázalos por marcadores.
- Nada de datos reales de clientes: usa muestras inventadas.
- Nada de contratos ni documentos confidenciales, salvo que la herramienta esté aprobada para eso.
- Las claves viven en variables de entorno o en un gestor de secretos, no en el código.
- Conoces la configuración de historial y entrenamiento de tu herramienta de chat.
- Sabes cómo rotar cada clave que usas, y a quién avisarle si se filtran datos.
Escrito a partir del trabajo de nuestros ingenieros en sistemas en producción. ¿Quieres una segunda opinión sobre tu proyecto? Habla con un ingeniero.
Ver el trabajo →