Actualitzat per al 2026
Una Solucio, Dos Riscos Nous
Moltes firmes ara bloquegen les fuites d'IA eliminant noms i identificadors abans que el text arribi a un proveidor d'IA. El hash unidireccional, la redaccio dura o l'eliminacio completa semblen segures. La IA rep text net. Els detalls sensibles es queden a casa.
La logica funciona en el vessant de la seguretat. L'estudi de Cyberhaven del Q4 del 2025 va trobar que el 34,8% del contingut enviat a ChatGPT conte dades sensibles. L'informe de Ponemon del 2024 va situar el cost mig d'una bretxa d'IA en 2,1 milions de dolars. El risc es real i el cost es alt.
Pero l'eliminacio completa intercanvia un risc per un altre: l'espoliacio de proves.
Per a firmes subjectes a demandes o auditories, destruir la capacitat de restaurar registres originals pot comptar com a espoliacio sota les normes federals i estatals.
L'Escala del Compartiment amb IA
La recerca d'eSecurity Planet i Cyberhaven va trobar que el 77% del personal comparteix dades sensibles amb eines d'IA cada setmana. Aixo s'extén als sectors legal, sanitari, financer i tecnologic.
El contingut compartit sovint inclou:
- Cartes i notes de casos de clients
- Esborranys de contractes i termes d'operacions
- Plans interns i registres comercials
- Models i projeccions financers
- Memorandums legals i notes de casos
- Historials de pacients i notes cliniques
- Arxius de RRHH i missatges del personal
Quan l'eliminacio completa es el control d'IA, cada document que hi passa pot perdre el seu valor legal. Si aquells documents apareixen en un litigi -- molt probable durant qualsevol periode multianual per a firmes en sectors regulats -- la firma ha perdut potencialment proves.
Vegeu la nostra visio general d'alineament legal per veure com anonym.legal compleix els deures de descoberta. Tambe podeu revisar la guia del sistema de tokens per veure com funciona el proces d'emmascarament a la practica.
GDPR: La Reversibilitat es Obligatoria
L'article 4(5) del GDPR defineix la pseudonimitzacio com el tractament de registres personals de manera que "ja no puguin atribuir-se a un interessat especific sense l'us d'informacio addicional, sempre que aquesta informacio addicional es guardi per separat".
El punt clau: la clau addicional que permet la revinculacio s'ha de guardar. Els registres que es poden revinicular a traves de claus emmagatzemades compten com a pseudonimitzats sota el GDPR.
Els registres que no es poden revinicular de cap manera no estan pseudonimitzats. Estan anonimitzats. La diferencia importa:
- Els registres emmascarats amb tokens mantenen alguns deures GDPR pero es poden restaurar per a us legal.
- Els registres totalment eliminats poden quedar fora de l'abast del GDPR pero no es poden restaurar en absolut.
Les Directrius 05/2022 del Comite Europeu de Proteccio de Dades (CEPD) confirmen que la reversibilitat es una part central de la definicio. Les firmes que usen l'eliminacio unidireccional no estan fent pseudonimitzacio GDPR. Estan tallant la capacitat de recuperar registres.
Mes informacio al nostre centre de conformitat i a la visio general de proteccio.
Normes Federals: La Prova d'Espoliacio
Segons les Regles Federals de Procediment Civil, les parts han de conservar els registres que poden ser rellevants per a una accio legal prevista. Aquest deure comenca quan una demanda es raonablement previsible -- no quan s'interposa.
La Regla 37(e) permet als tribunals imposar sancions quan una part no preserva els registres emmagatzemats. Les sancions poden incloure:
- Instruccions d'inferencia adversa
- Exclusio de proves
- Sancions que posen fi al cas en casos greus
Aqui hi ha com es desenvolupa aixo. Una firma usa fluxos de treball d'IA que eliminen completament el contingut sensible en el curs normal del negoci. Aquells registres son posteriorment rellevants per a un litigi. La firma els ha alterat de manera que el text original no es pot restaurar. Si aixo va succeir despres que el deure de conservar s'hagues activat, segueix l'exposicio per espoliacio.
Aquest no es un cas marginal. Les firmes en sectors regulats amb exposicio legal recurrent s'enfronten a demandes previsibles constants en tipus amplis de documents. Desplegar l'eliminacio completa en tots els fluxos de treball -- sense excepcions per als registres en risc -- crea un gran risc d'espoliacio.
Reversible vs. Irreversible: La Diferencia Clau
La diferencia entre l'emmascarament reversible i el unidireccional es en el disseny.
Unidireccional: sense retorn
El hash SHA-256 d'un nom produeix un hash fix. El nom no es pot derivar d'ell. La redaccio dura elimina el text de manera que el contingut original ha desaparegut.
Reversible: la recuperacio es possible
La substitucio de tokens amb retencio de clau i el xifratge AES-256-GCM transformen els registres de maneres que es poden desfer. Un nom substituit per un token es pot restaurar a traves d'una taula de recerca. El contingut AES-256-GCM es pot desxifrar amb la clau correcta. El text original resta accessible.
Per a la proteccio d'IA, tots dos metodes funcionen de la mateixa manera. La IA processa tokens i mai no veu els registres reals.
Per al deure legal, nomes l'emmascarament reversible de tokens funciona. Els metodes unidireccionals tallen la recuperacio i creen el risc d'espoliacio esmentat mes amunt.
Llegiu com el nostre sistema de tokens gestiona aixo d'extrem a extrem. Per a context addicional, vegeu el glossari i la FAQ.
El Disseny Dual-Conforme
Un disseny que compleix tant la seguretat de la IA com els deures de divulgacio legal usa l'emmascarament de tokens AES-256-GCM reversible:
- Els registres es processen abans d'arribar a qualsevol eina d'IA.
- Els elements sensibles -- noms, identificadors, PHI, contingut privilegiat -- se substitueixen per tokens estructurats.
- El mapa de tokens es guarda en un repositori separat amb controls d'acces que coincideixen amb el tipus de dades.
- El processament d'IA s'executa sobre la copia de tokens. La IA mai no veu els registres reals.
- Els resultats es restauren usant el mapa de tokens per a l'us comercial normal.
- El mapa de tokens es col.loca sota retencio legal quan els deures de descoberta s'activen.
Amb aquest disseny, cap contingut original es perd mai. El proveidor d'IA mai no el veu en forma utilisable. El mapa de tokens manté la recuperacio possible quan la llei ho requereix. El risc d'espoliacio ha desaparegut -- cap registre es destrueix. Nomes estan emmascarats d'una manera que es pot desfer.
L'article 4(5) del GDPR es compleix: la clau addicional (mapa de tokens) es guarda a part amb les garanties tecniques i de proces adequades. El deure de conservacio de les Regles Federals es compleix: els registres originals es poden restaurar quan s'aplica una retencio legal.
Exploreu el nostre enfocament de deteccio d'entitats, la visio general de proteccio i els plans i tarifes per a detalls complets.
L'Eleccio Binaria
Les firmes s'enfronten a una bifurcacio clara:
- Eliminar les dades permanentment -- solucionar el problema de fuga d'IA pero crear risc legal.
- Usar l'emmascarament reversible de tokens -- complir alhora les necessitats de proteccio i conformitat.
El cost mig de bretxa d'IA de 2,1 milions de dolars impulsa la decisio de seguretat. Pero les sancions per espoliacio tampoc no son barates. En casos amb grans apostes economiques, els costos poden arribar al mateix ordre de magnitud. Tots dos riscos mereixen un lloc en la decisio.
Una politica d'IA solida cobreix tots dos extrems. Bloqueja els registres sensibles perque no surtin de la firma en forma utilisable. I manté aquells mateixos registres accessibles quan un tribunal o regulador els demana. L'emmascarament reversible de tokens es l'unic metode que fa tots dos alhora.
Per a mes context, vegeu la nostra declaracio del fundador i els estudis de cas.
Fonts
- Cyberhaven Q4 2025: Exposicio de Dades en Eines d'IA -- enllac
- IBM / Ponemon Institute: Informe del Cost d'una Bretxa de Dades 2024 -- enllac
- Directrius del CEPD 05/2022 sobre Pseudonimitzacio -- enllac
- Regles Federals de Procediment Civil Regla 37(e) -- enllac
- E-Discovery LLC: Redaccions per Rellevancia i Estandards Legals -- enllac