IA e infraestructuras críticas en Noruega: la sikkerhetsloven y la NSM
Petróleo, gas, redes eléctricas: en Noruega, los datos operativos pueden afectar a la seguridad nacional. Cómo encuadrar la IA con la sikkerhetsloven.
Plataformas en el mar del Norte, redes eléctricas, presas hidroeléctricas, gasoductos hacia el continente: Noruega explota infraestructuras de las que depende buena parte de Europa. Los ingenieros y operadores que las mantienen en marcha usan, como todo el mundo, herramientas de IA generativa para redactar, resumir y analizar.
En este sector, una fuga no es solo un problema de cumplimiento. Un diagrama de proceso, un plan de mantenimiento o un informe de vulnerabilidades puede interesar a actores hostiles. Así se aplican la ley noruega de seguridad y las recomendaciones de la NSM al uso de la IA.
La ley de seguridad nacional en resumen
La ley de seguridad nacional (sikkerhetsloven) de 2018 entró en vigor el 1 de enero de 2019. Su objetivo es proteger los intereses nacionales de seguridad, entre ellos las funciones nacionales fundamentales (grunnleggende nasjonale funksjoner) y los objetos e infraestructuras dignos de protección.
Se aplica a los organismos públicos y a las empresas privadas incluidas en su ámbito, en particular las que tratan información clasificada o controlan infraestructuras consideradas críticas. La autoridad nacional de seguridad, la Nasjonal sikkerhetsmyndighet (NSM), supervisa su aplicación y publica guías prácticas.
La información clasificada sigue una regla sencilla: solo puede tratarse en sistemas autorizados para ese nivel. Un servicio de IA público, evidentemente, no es uno de ellos.
El riesgo real: datos sensibles no clasificados
En la práctica, la mayoría de los documentos de una empresa energética no están clasificados. Aun así, son sensibles. Y son precisamente los que más a menudo acaban en un chatbot:
diagramas de tuberías e instrumentación, planos de instalaciones;
configuraciones de sistemas de control industrial y direcciones de red;
planes de mantenimiento, informes de incidentes y análisis de riesgos;
planes de emergencia y listas de contactos de guardia;
contratos y datos de proveedores.
Uno por uno, estos elementos parecen inofensivos. Juntos, pueden dibujar un mapa preciso de los puntos débiles de una instalación. Es el problema de la agregación, bien conocido por los especialistas en seguridad: el conjunto vale más que cada pieza.
Un ejemplo habitual. Tras una parada imprevista, un ingeniero de mantenimiento debe redactar un informe. Pega en un asistente los registros de alarmas, las referencias de los equipos y los nombres de los compañeros de guardia para obtener un texto limpio. En pocos segundos, detalles sobre el funcionamiento de una instalación crítica han salido de la empresa.
Lo que recomienda la NSM
Los principios básicos de la NSM para la seguridad de las TIC (grunnprinsipper for IKT-sikkerhet) no mencionan ninguna herramienta de IA concreta. Sin embargo, fijan el marco aplicable: saber qué información se posee, controlar los flujos de datos, gestionar los servicios externos, detectar desviaciones y poder reaccionar.
Aplicados a la IA generativa, estos principios llevan a una conclusión clara. Una organización debe saber qué servicios de IA usan sus equipos, qué se les envía y en qué país se tratan esos datos.
Estos principios valen también para la cadena de subcontratación. Gran parte de la ingeniería y el mantenimiento se encarga a proveedores, cuyo uso de la IA suele escapar al control del operador.
La cuestión de la soberanía
Para un operador de infraestructuras críticas, el lugar donde se tratan los datos importa tanto como su contenido. Un servicio alojado fuera del Espacio Económico Europeo puede estar sujeto a otras leyes de acceso a datos. Por eso muchos actores noruegos prefieren ofertas alojadas en Europa o en sus propios entornos.
Nuestro artículo sobre la IA soberana para los CISO europeos compara estas opciones. Pero ninguna opción de alojamiento resuelve el problema de las herramientas de consumo usadas en paralelo.
Los datos personales siguen en juego
Las listas de guardia, los informes de accidentes o las evaluaciones de subcontratistas también contienen datos personales. Su tratamiento se rige por el RGPD, aplicable en Noruega a través del Espacio Económico Europeo, bajo la supervisión del Datatilsynet. Nuestro primer artículo sobre el país aborda este punto desde el lado humano: la confianza en el trabajo y el exceso de información compartida con la IA.
Un enfoque en cuatro pasos
Mapear la información sensible: planos, configuraciones, informes de seguridad, datos de proveedores.
Autorizar un número limitado de herramientas de IA, con alojamiento y contratos adecuados.
Controlar en el momento del envío, en los puestos de trabajo, también para los equipos en alta mar y los subcontratistas.
Documentar los incidentes para las auditorías internas y el diálogo con las autoridades.
Nuestro manual de despliegue de DLP para IA en 90 días explica cómo poner en marcha estos pasos sin frenar las operaciones.
El papel de ZeusLock
ZeusLock funciona en los puestos de trabajo y los navegadores. Detecta en los prompts y archivos los elementos que usted define como sensibles: identificadores de equipos, direcciones IP internas, nombres de instalaciones, datos personales. Según la regla, avisa, bloquea o sustituye el dato por un valor ficticio con el mismo formato. Cada incidente queda registrado, lo que da al equipo de seguridad una visión concreta de los flujos hacia la IA.
Las reglas pueden adaptarse por instalación o por oficio: un equipo de ingeniería no tiene las mismas necesidades que un departamento de compras. Y como el control se hace en el equipo, acompaña a los portátiles de quienes alternan entre oficinas en tierra e instalaciones en alta mar.
En resumen
Para la energía y las infraestructuras críticas noruegas, la IA generativa es una herramienta útil, pero la información que maneja puede afectar a la seguridad nacional. La sikkerhetsloven y los principios de la NSM fijan el marco. Falta aplicarlo en el momento exacto en que un ingeniero pega un documento en un asistente.
¿Quiere ver cómo ZeusLock protege sus datos operativos en las herramientas de IA? Solicite una demo.
Proteja sus datos de las fugas hacia la IA
Vea cómo ZeusLock detiene los datos sensibles antes de ChatGPT, Claude, Gemini y otros, en una demo de 30 minutos.
