La mayoría de las cifras que se citan para afirmar que «la IA es un problema de fuga de datos» se remontan a un puñado de estudios, repetidos tantas veces que la metodología original tiende a perderse por el camino. El más citado es el análisis de Cyberhaven Labs sobre la telemetría de 1,6 millones de trabajadores, recogida en empresas que usaban el producto de Cyberhaven entre finales de 2022 y aproximadamente mediados de 2023, con actualizaciones posteriores. Merece la pena leer las cifras reales en lugar de la versión de titular, porque son más concretas — y más interesantes — que «todo el mundo está filtrando datos a ChatGPT».
Las cifras, tal como se publicaron
- El 4,7 % de los empleados ha pegado al menos una vez datos confidenciales de la empresa en ChatGPT.
- De todo lo que los empleados pegan en ChatGPT, el 11 % se clasifica como sensible o confidencial — el código fuente y los datos de clientes están entre las principales categorías.
- El comportamiento está concentrado: el 0,9 % de los empleados genera el 80 % de estos pegados.
Leídas juntas, estas tres cifras cuentan una historia más precisa que «el 4,7 % da miedo» o «el 4,7 % no es nada». Un porcentaje de un solo dígito sobre el total de empleados sigue siendo un número grande en términos absolutos cuando lo multiplicas por cuántas personas usan ChatGPT o Claude en el trabajo cada semana — pero no es que todo el mundo lo haga con regularidad. Es un grupo más pequeño, que lo hace de forma repetida, y ese grupo es responsable de forma desproporcionada de cuántos datos sensibles pasan por estas herramientas en conjunto.
Quiénes son probablemente ese 0,9 %
El dato de concentración es el que merece una pausa. No apunta tanto a una minoría descuidada como a una minoría de uso intensivo — las personas que han integrado las herramientas de IA en su día a día lo bastante como para pegar en ellas constantemente: depurar, redactar, resumir, pedir una segunda opinión sobre un archivo de configuración. Esa descripción encaja con muchos desarrolladores en activo, no con alguien que hace algo inusual. Si pegas en una herramienta de IA varias veces al día, la tasa base indica que tienes más probabilidades de estar en ese 0,9 % que el empleado medio — vale la pena saberlo, no como una acusación, sino como una forma más precisa de pensar a quién describe realmente.
Una cifra con la que conviene ser escéptico
Junto a las cifras de Cyberhaven circula otra más llamativa: la afirmación de que «el 77 % de los empleados filtra datos» a herramientas de IA, normalmente atribuida a un informe de LayerX Security a través de un artículo de eSecurity Planet. Ese titular no cuadra con las cifras subyacentes tal como se publicaron — alrededor del 18 % de los empleados de empresa pega datos en herramientas de IA generativa, y más de la mitad de esos pegados incluye información corporativa. Pasar de «el 18 % pega y más de la mitad incluye información corporativa» a «el 77 % filtra datos» es un salto que el artículo publicado no explica con claridad, y tampoco indica el tamaño de la muestra ni la metodología completa.
Preferimos citar la cifra que podemos respaldar antes que la que más asusta. Las cifras de Cyberhaven vienen con una metodología descrita y una afirmación concreta y verificable; la cifra del 77 %, hasta donde hemos podido comprobar, no resiste el mismo escrutinio. Si la ves citada en otro sitio, merece la pena preguntar de dónde sale realmente antes de repetirla.
Qué significa esto en el día a día
La lectura honesta de este estudio es más acotada que «nadie tiene que preocuparse por esto» o «todo el mundo está a un pegado de una brecha». Se parece más a esto: es un comportamiento real, medido, bajo pero no nulo, concentrado entre quienes más usan las herramientas de IA — lo que, si estás leyendo un artículo como este, probablemente te incluye. Es un motivo para crear un hábito en torno al momento de pegar, no para entrar en pánico por cada conversación con una IA que hayas tenido.
Lo que el estudio no resuelve, y reconocemos que sigue siendo una pregunta abierta, es si los desarrolladores elegirían una herramienta personal y local para esto frente a lo que su empresa ya ofrece mediante soluciones corporativas de prevención de pérdida de datos — es una hipótesis real detrás de PasteCloak, y la estamos validando en lugar de darla por hecha. El estudio nos dice que el comportamiento es real y que está documentado en más de un estudio independiente. Todavía no nos dice cómo quiere resolverlo la gente.
