La política que nadie lee
Las políticas de privacidad de los chatbots de IA más populares son tan largas y complejas que se tarda unos 20 minutos de media en leerlas. Con ese panorama, no sorprende que la gente comparta información personal con ChatGPT y otros servicios sin entender muy bien qué ocurre con los datos que introduce.
Cuando alguien envía a un chatbot un texto, una pregunta, un documento o una serie de cifras, espera obtener una respuesta rápida. Sin embargo, el servicio no solo tiene que procesar la petición: también debe decidir cómo almacenar, utilizar y proteger la información recibida. Las respuestas están en la política de privacidad, un documento que la mayoría de los usuarios consulta de vez en cuando y termina de leer todavía menos.
Un estudio de los especialistas en ciberseguridad de Bridewell analizó las políticas de privacidad de 20 grandes modelos de lenguaje, o LLM. Los LLM son sistemas de inteligencia artificial capaces de comprender y generar texto. Los documentos estudiados tenían una media de 4.603 palabras y leerlos llevaba unos 20 minutos. Algunas políticas requieren aún más tiempo.
El problema no es solo su extensión. Para evaluar la facilidad de lectura de los documentos, los investigadores utilizaron el índice Flesch Reading Ease. Rudolf Flesch desarrolló este indicador en 1948: cuanto más alta es la puntuación, más sencillo es el texto. Un valor superior a 60 suele considerarse bueno; por debajo de 60, el texto presenta una dificultad apreciable. La puntuación media de las políticas analizadas fue de 40,2. Dicho de otro modo, los documentos están cargados de formulaciones jurídicas y términos especializados difíciles de entender sin preparación.
El asunto cobra cada vez más importancia: alrededor del 75 % de las personas reconoce que utiliza chatbots de IA al menos una vez al mes. Envían a estos servicios preguntas de trabajo, información personal, fragmentos de conversaciones y documentos, pero no siempre saben dónde acabarán esos datos ni para qué se utilizarán.
Bridewell averiguó que 13 de los 20 modelos de lenguaje analizados usan las preguntas y respuestas de los usuarios para entrenar sus modelos. Algunos servicios permiten oponerse a ese uso, pero la opción no siempre está disponible y, con frecuencia, queda escondida en los ajustes o se explica de manera poco clara.
Chris Linnell, subdirector de protección de datos de Bridewell, considera que los usuarios deben entender cómo se procesa su información. Según él, las empresas deberían definir de antemano qué datos pueden compartir los empleados con los chatbots y cuáles no, y, siempre que sea posible, utilizar cuentas corporativas con las restricciones necesarias. De lo contrario, un trabajador podría enviar a la IA datos confidenciales o especialmente sensibles que después se usarían para entrenar el modelo.
El riesgo no afecta solo a los usuarios particulares. En el trabajo, los empleados pueden compartir con los chatbots secretos comerciales, datos personales de clientes, correspondencia interna o documentos aún no publicados. Aunque el servicio prometa no utilizar cierta información, las condiciones dependen del plan concreto, los ajustes y la política de la empresa.
Los investigadores también observaron una pauta: cuanto más complejo es el modelo de lenguaje, más tiempo suele hacer falta para leer su política de privacidad. Entre los ejemplos citados están Muse Spark, de Meta, y Kimi K, de Moonshot AI. La tecnología avanza a gran velocidad, pero las explicaciones sobre sus normas de tratamiento de datos siguen pareciendo instrucciones redactadas expresamente para que nadie consiga acabarlas.
PEREC.RU
El artículo aborda los problemas de transparencia y seguridad al utilizar grandes modelos de lenguaje, o LLM. Se refiere a chatbots como ChatGPT y otros sistemas de inteligencia artificial a los que los usuarios envían textos, preguntas, cifras, documentos e información personal. El usuario espera que el servicio responda rápido, pero la política de privacidad determina cómo pueden almacenarse, utilizarse y protegerse esos datos.
Un estudio de los especialistas en ciberseguridad de Bridewell examinó las políticas de privacidad de 20 grandes modelos de lenguaje. Cada documento tiene una media de 4.603 palabras y requiere unos 20 minutos de lectura. Algunas políticas llevan todavía más tiempo. Pero la dificultad no se debe solo a su extensión: su puntuación media en el índice Flesch Reading Ease fue de 40,2. Rudolf Flesch desarrolló el índice en 1948; una puntuación superior a 60 suele considerarse buena, mientras que un valor inferior indica que el texto es difícil de entender. Así, muchas políticas están repletas de fórmulas jurídicas y terminología especializada.
El problema importa especialmente porque los chatbots de IA están muy extendidos: alrededor del 75 % de las personas los usa al menos una vez al mes. Aun así, los usuarios pueden no saber adónde van sus consultas ni cómo se usan los datos que introducen.
Bridewell constató que 13 de los 20 modelos analizados utilizan las preguntas y respuestas de los usuarios para entrenar sus sistemas. Algunos servicios permiten desactivar ese uso, pero la opción no siempre está disponible y puede pasar inadvertida.
Chris Linnell, subdirector de protección de datos de Bridewell, subraya la necesidad de contar con reglas claras. Las empresas deberían decidir de antemano qué información pueden compartir los empleados con la IA y cuál está prohibida, y usar cuentas corporativas con medidas de protección adicionales siempre que sea posible. Sin esas reglas, pueden llegar a los chatbots documentos confidenciales, secretos comerciales, datos personales de clientes y correspondencia interna. Según las condiciones del servicio concreto, ese material podría utilizarse después para entrenar el modelo.
El riesgo afecta tanto a la vida privada como al trabajo. Cuanto más complejo es el modelo de lenguaje, más tiempo suele llevar estudiar su política de privacidad. El artículo cita Muse Spark, de Meta, y Kimi K, de Moonshot AI, como ejemplos de modelos complejos. La conclusión práctica es que, antes de compartir información sensible, conviene comprobar la política del servicio, los ajustes de entrenamiento y el tipo de cuenta; las empresas, por su parte, deberían establecer límites internos para sus empleados.
