Thales: por qué mascarar datos sensibles ante la IA

Por qué el mascaramiento de datos dejó de ser un tema de Halloween

Solo el 7% de las organizaciones cifra más del 80% de sus datos sensibles en la nube, y el porcentaje promedio de cifrado cayó del 51% en 2025 al 47% en 2026, según el 2026 Thales Data Threat Report, un estudio sobre 3.120 profesionales de seguridad y TI en 20 países que recoge Virtualization Review. Es decir: mientras las empresas corren a adoptar IA, la protección básica del dato va en la dirección contraria.

Sobre esa brecha escribe Abilio Branco, director regional de Seguridad de Datos y Aplicaciones de Thales para Brasil, en un artículo publicado por Exame. Su tesis, disfrazada de metáfora de Halloween, es incómoda para cualquier founder: el dato más valioso de tu empresa está mejor protegido cuando no se muestra tal como es.

Qué es el mascaramiento de datos y por qué importa ahora

El data masking o mascaramiento de datos sustituye la información sensible por un valor modificado o ficticio. La clave es que conserva el formato y las características que los equipos necesitan para desarrollar, testear o analizar, sin exponer el dato real cuando nadie lo necesita.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Branco lo plantea con una pregunta simple: si un empleado, un proveedor, una aplicación o un modelo de IA no necesita ver el nombre real del cliente, el CPF o el número de cuenta para hacer su trabajo, ¿por qué mostrárselo?

El contexto agrava el problema. La nube, las aplicaciones SaaS y ahora los agentes de IA multiplicaron los ambientes por donde circulan los datos sensibles y, sobre todo, quién o qué puede acceder a ellos. Ya no alcanza con mantener a los atacantes afuera del perímetro.

El riesgo real no es el prompt, son los permisos

Aquí está el punto que más debería interesar a un equipo fundador. El desafío de la IA corporativa no se limita a lo que las personas escriben en un prompt. Un sistema de IA también consulta documentos, bases de datos y repositorios según las permisos que recibió, y si esos accesos son demasiado amplios, puede exponer información que ni el usuario ni el propio sistema necesitaban para completar la tarea.

Los números del sector respaldan esa preocupación. El reporte de Thales citado por Virtualization Review ubica los permisos excesivos de agentes o procesos como riesgo entre el 42% de los encuestados, y la exposición de datos sensibles en el 46%. Más arriba aparecen los cambios acelerados del ecosistema de IA (70%) y la confianza en sistemas de terceros (58%).

Y el costo de equivocarse es concreto: según el IBM Cost of a Data Breach Report 2026, el costo promedio global de una brecha alcanzó un récord de US$4,99 millones, un 12% más que el año anterior, y las brechas con ataques asistidos por IA promediaron US$6 millones, según recoge TechTarget.

DSPM: primero saber qué datos tienes, después protegerlos

Nadie protege un dato que no sabe que existe. Branco identifica ese como uno de los mayores desafíos actuales: un dato sensible puede estar en un repositorio en la nube creado años atrás, duplicado en un data lake, olvidado dentro de un documento o accesible a una aplicación de IA que ni existía cuando esa información se recolectó.

Ahí entra el DSPM (Data Security Posture Management), que ayuda a descubrir y clasificar datos sensibles y a entender su contexto: dónde están, quién tiene acceso, cómo se usan y qué riesgos merecen atención real.

La diferencia con otras categorías de seguridad es de enfoque. Como explica TechTarget, mientras el CSPM protege la infraestructura cloud, el DSPM protege el dato en sí: las políticas viajan con la información, sin importar dónde se almacene o si es una copia. Eso importa porque el problema típico no es la base de producción, sino la copia que un desarrollador hizo para testear.

Thales movió ficha en esa dirección: el 1 de octubre de 2026 anunció CipherTrust DSPM, una plataforma que, según el comunicado recogido por Yahoo Finance, conecta los riesgos priorizados con capacidades de protección como cifrado, tokenización y mascaramiento dentro de la misma plataforma, en lugar de limitarse a restringir permisos. "Las organizaciones no necesitan otra herramienta que les dé una lista más larga de problemas", dijo Todd Moore, vicepresidente de Productos de Seguridad de Datos de Thales.

¿Qué significa esto para tu startup?

Si tu empresa usa un copiloto, un modelo o un agente de IA sobre datos de clientes, ya tienes un problema de gobernanza de datos, aunque no lo hayas notado. La buena noticia es que las medidas básicas no requieren un equipo de seguridad dedicado.

Haz el inventario antes de comprar herramientas. Antes de evaluar cualquier solución, responde la pregunta que Branco dice hacerles a sus clientes: ¿sabes qué datos puede acceder la IA de tu empresa? Revisa qué repositorios, documentos y bases de datos están conectados a tus herramientas de IA y con qué permisos.
Aplica mínimo privilegio a los agentes. Corta los accesos que no tienen sentido y limita cada integración a lo estrictamente necesario para la tarea. El reporte de Thales muestra que los permisos excesivos son un riesgo señalado por cuatro de cada diez organizaciones.
Usa mascaramiento en los entornos que no lo necesitan. Los ambientes de desarrollo, testing y análisis son el candidato natural: mantienes la utilidad del dato para el equipo y reduces el impacto si esa información termina donde no debería.
Combina técnicas según el dato y su uso. Branco recomienda no elegir una sola: mascaramiento, tokenización y cifrado se aplican según el tipo de información y cómo se utiliza. La visibilidad es solo el primer paso; después hay que actuar sobre permisos y controles.

La pregunta que deberías hacerte esta semana

El mascaramiento no busca dejar de compartir información, sino compartir solo lo necesario con los controles correctos. Para un founder con recursos limitados, esa es una ventaja: reduce superficie de exposición sin frenar el producto ni la velocidad de iteración.

El dato que cierra el argumento está en el propio reporte de Thales: la mala calidad o gobernanza inicial de los datos es el principal inhibidor de la adopción de IA, citado por el 65% de los encuestados, por delante de los riesgos de seguridad por datos expuestos (61%). Proteger el dato no es frenar la IA. Es la condición para escalarla sin sustos.