En una empresa con cientos de colaboradores, ChatGPT no es una sola herramienta: conviven licencias Enterprise, cuentas personales gratuitas, GPTs personalizados, integraciones por API y, ahora, agentes. Prompt Security —la unidad de seguridad de IA de SentinelOne— publicó una guía para líderes de seguridad que repasa los incidentes reales de ChatGPT y lo que una organización debe controlar. Esta nota resume lo esencial para la seguridad de ChatGPT en empresas chilenas, con la Ley 21.719 a semanas de entrar en plena vigencia.
En estas cuentas personales, las conversaciones pueden usarse para mejorar los modelos de OpenAI salvo que el usuario lo desactive. En Enterprise, Team y API no se entrena con datos del cliente por defecto
Fuente: Prompt Security (SentinelOne), jun. 2026OpenAI corrigió una falla que permitía filtrar mensajes y archivos de ChatGPT de forma encubierta, vía DNS, sin aviso al usuario
Fuente: Check Point Research vía The Hacker NewsEntra en plena vigencia la Ley 21.719 de protección de datos personales, que alcanza a lo que sus colaboradores pegan en un chatbot
Fuente: BCN / LeyChile, Ley 21.719Por qué la seguridad de ChatGPT en empresas grandes es un problema de escala
La guía "ChatGPT Security Guide: Enterprise Risks, Incidents, and Practitioner Guidance", publicada por Prompt Security en junio de 2026 y actualizada en agosto, parte de una constatación que cualquier gerente de TI reconoce: los colaboradores usan con frecuencia cuentas personales o Plus, mientras la organización asume que están cubiertos por los controles de la licencia corporativa.
En un equipo pequeño eso se resuelve con una conversación. En una empresa con cientos o miles de usuarios, repartidos en varias gerencias, filiales y equipos de desarrollo, se convierte en shadow AI: uso de IA generativa que TI no ve, no gobierna y no puede auditar.
La misma pregunta, dos contratos distintos
La diferencia entre planes no es cosmética. Según la guía, en las cuentas Free y Plus las conversaciones pueden usarse para mejorar los modelos de OpenAI salvo que el usuario lo desactive. En Enterprise, Team y API, OpenAI no entrena con datos del cliente por defecto. Un ejecutivo que pega una cartera de clientes en su cuenta personal y otro que lo hace en la licencia corporativa están, para efectos contractuales, en situaciones muy distintas. Además, OpenAI procesa los datos en Estados Unidos por defecto.
SOC 2 no cubre lo que más preocupa
OpenAI cuenta con certificación SOC 2 Type II, que cubre controles de acceso, monitoreo, respuesta a incidentes y gestión de cambios. Pero, como advierte Prompt Security, esa certificación no cubre el comportamiento del modelo, la inyección de prompts ni la confiabilidad de las respuestas. Tampoco el programa de bug bounty de OpenAI: excluye explícitamente los jailbreaks y la inyección de prompts.
Las configuraciones por defecto no bastan
ChatGPT Enterprise ofrece SSO, verificación de dominio, logs de auditoría, controles de retención y aplicación de políticas de uso. Todo eso requiere configuración. La guía es directa:
"Los valores por defecto no son el punto de partida correcto para la mayoría de las organizaciones." Prompt Security, ChatGPT Security Guide (traducción propia)
Y aun con la licencia corporativa bien configurada, el control termina donde termina esa licencia: no alcanza a las cuentas personales, a otras herramientas de IA ni a los agentes que los equipos conectan por su cuenta.
Incidentes de ChatGPT que todo CISO debería conocer
La guía de Prompt Security reconstruye el historial de incidentes y vulnerabilidades de ChatGPT. Ninguno de los casos recientes registra explotación maliciosa confirmada, pero todos muestran por dónde puede salir la información de una empresa:
| Fecha | Qué ocurrió | Qué enseña a la empresa |
|---|---|---|
| Mar. 2023 | Un error en la caché (Redis) de ChatGPT expuso títulos de conversaciones y datos parciales de pago (últimos 4 dígitos y vencimiento de la tarjeta) de suscriptores Plus. OpenAI desconectó el servicio por varias horas. | Lo que se escribe en un chatbot queda almacenado en infraestructura de un tercero. |
| 2023 (revelado jul. 2024) | Un atacante accedió a un foro interno de empleados de OpenAI y obtuvo detalles del diseño de sus tecnologías de IA. No se comprometieron datos de clientes y no se informó públicamente en su momento. | Conviene exigir por contrato obligaciones y plazos de notificación de brechas. |
| Corregido 20 feb. 2026 | Check Point Research descubrió un canal encubierto vía DNS en el entorno de ejecución de código de ChatGPT que podía filtrar mensajes y archivos subidos sin aviso ni aprobación del usuario. Podía venir oculto en un GPT personalizado. | Los GPTs de terceros son una cadena de suministro que hay que evaluar. |
| Reportado 16 dic. 2025 | BeyondTrust Phantom Labs halló una inyección de comandos en Codex, el agente de programación de OpenAI, a través del nombre de una rama de GitHub, que permitía robar el token de GitHub del usuario. Afectó al sitio de ChatGPT, Codex CLI, SDK y extensión IDE. Corregido entre diciembre de 2025 y enero de 2026; divulgado el 5 feb. 2026. | Los asistentes de código con acceso al repositorio necesitan control propio. |
| 2025 | El equipo de seguridad de IA de Cisco documentó paquetes de agentes compartidos por la comunidad que realizaban exfiltración de datos e inyección de prompts sin que el usuario lo supiera. | Agentes y extensiones amplían la superficie de ataque más allá del prompt. |
Fuentes: Prompt Security, OpenAI, Reuters, The Hacker News y BeyondTrust (ver Fuentes consultadas).
El patrón es claro: el riesgo ya no está solo en lo que el colaborador pega en el chat, sino en lo que la IA puede hacer con acceso a archivos, repositorios, navegador y herramientas conectadas. Prompt Security subraya que cada servidor MCP (Model Context Protocol) conectado a un agente es a la vez un punto de inyección y un posible canal de exfiltración, y que su impacto depende de los permisos que se le otorguen.
Qué exigir antes y después de firmar ChatGPT Enterprise
La sección de la guía dedicada a los CISO es, en la práctica, una lista de verificación para la negociación y la operación.
Antes de firmar: por escrito
- Qué procesamiento ocurre en infraestructura de OpenAI y cuál en la de terceros, y quiénes son esos terceros.
- Los valores de retención por defecto y cuáles son configurables.
- Obligaciones de notificación de brechas y sus plazos.
- Subencargados con acceso a datos del cliente y cómo se comunican los cambios.
- Derechos de auditoría.
Clasificación de datos con control real
Defina qué información es confidencial o restringida y si puede enviarse alguna vez a ChatGPT, trate los datos de clientes de forma distinta a los internos y verifique si el plan contratado entrega protección contractual suficiente para datos personales, de salud o financieros. La guía lo resume en una frase: "una política de clasificación sin control técnico no es una política".
DLP, CASB y política de uso aceptable
Las herramientas DLP y CASB existentes deben extenderse a ChatGPT, porque con su configuración habitual no ven bien los contextos largos, los archivos subidos ni la información que se acumula en conversaciones de varios turnos. A eso se suma una política de uso aceptable de IA que defina planes permitidos, tipos de datos admisibles y consecuencias ante incumplimientos.
Gestión de riesgo del proveedor
El producto cambia sin un lanzamiento formal: una actualización de modelo puede alterar comportamiento, políticas de contenido y capacidades. Por eso conviene definir gatillos de reevaluación cada vez que aparecen capacidades agénticas nuevas —navegación, ejecución de código, orquestación de tareas— y evaluar los GPTs y extensiones de terceros como una cadena de suministro separada.
Lo que agrega el marco legal chileno
Ley 21.719 (protección de datos personales). Entra en plena vigencia el 1 de diciembre de 2026. Cuando un colaborador pega datos de clientes en un chatbot, la empresa está tratando datos personales y, si el proveedor los procesa fuera de Chile, entra además en el régimen de transferencias internacionales que regula la ley. Las infracciones gravísimas pueden llegar a 20.000 UTM. Revise el detalle en nuestra guía de la Ley 21.719.
Ley 21.663 (Marco de Ciberseguridad). Los Prestadores de Servicios Esenciales y Operadores de Importancia Vital deben reportar incidentes significativos al CSIRT Nacional, con una alerta temprana dentro de 3 horas. Una filtración de información a través de una herramienta de IA es un incidente de seguridad, y sin registros de qué se envió, quién y cuándo, es muy difícil reportarlo a tiempo. Más en nuestra guía de la Ley 21.663 y la ANCI.
Cómo Prompt Security de SentinelOne gobierna ChatGPT a escala
SentinelOne anunció la adquisición de Prompt Security en agosto de 2025 para llevar la seguridad de IA generativa a su plataforma. La propuesta responde justamente al problema que describe la guía: controlar el uso de IA en el punto donde ocurre —el navegador, las aplicaciones de escritorio y las APIs— en lugar de depender solo de la licencia de cada proveedor.
Así se conectan los riesgos de este artículo con las capacidades de Prompt Security:
Visibilidad del uso real de IA
Descubre qué herramientas de IA se usan en la organización —ChatGPT, Microsoft Copilot, GitHub Copilot y otras—, quién las usa, con qué frecuencia y qué tipo de datos se envían.
Políticas que bloquean, redactan o alertan
Reglas por usuario, rol, área, herramienta y tipo de dato. En vez de prohibir ChatGPT, la empresa decide qué se puede enviar y elimina automáticamente la información sensible antes de que salga.
Protección en tiempo de ejecución
Detección en tiempo real de inyección de prompts, jailbreaks, fuga de datos y respuestas inseguras, también en las aplicaciones de IA que la empresa construye sobre la API.
Seguridad para asistentes de código
Previene la fuga de secretos, credenciales y código fuente en las herramientas de programación con IA que usan los equipos de desarrollo.
Seguridad para IA agéntica
Visibilidad sobre agentes de IA y servidores MCP, con políticas de mínimo privilegio para acotar lo que pueden hacer.
Registros de auditoría y reportes
Logs y reportes de uso de IA para auditores, CISO y directorio, útiles para demostrar control ante la Ley 21.719 y la Ley 21.663.
Prompt Security complementa el DLP y el EDR de SentinelOne, no los reemplaza: cubre la capa específica de la IA generativa que esas herramientas no fueron diseñadas para inspeccionar. Para una empresa que ya opera la consola Singularity, se suma a una plataforma que su equipo conoce.
7 controles para gobernar ChatGPT en empresas medianas y grandes
Una lista de verificación para el comité de seguridad o el área de TI, basada en las recomendaciones de la guía de Prompt Security y en las exigencias del marco legal chileno:
1. Inventario real del uso de IA
Saber qué herramientas de IA se usan, en qué áreas y con qué cuentas —corporativas o personales— antes de escribir cualquier política. Sin ese dato, el shadow AI es invisible.
2. Planes con protección contractual y SSO
Concentrar el uso en planes donde el proveedor no entrena con sus datos por defecto, con SSO y verificación de dominio, y con retención, subencargados y notificación de brechas acordados por escrito.
3. Retención y logs configurados, no por defecto
Ajustar la retención y activar los registros de auditoría desde el primer día. Son la evidencia que necesitará ante un incidente, un auditor o la autoridad.
4. Control técnico del dato en el prompt
Bloquear o redactar automáticamente datos personales de clientes, información financiera, código y credenciales antes de que lleguen al modelo, con reglas distintas por área y rol.
5. Cobertura de archivos y conversaciones largas
Verificar que el control alcance a los archivos subidos y a la información acumulada en conversaciones de varios turnos, los puntos ciegos habituales del DLP tradicional.
6. GPTs, agentes y MCP como cadena de suministro
Evaluar los GPTs personalizados, extensiones, agentes y servidores MCP antes de habilitarlos, otorgarles el mínimo privilegio y reevaluar cada vez que aparece una capacidad agéntica nueva.
7. Asistentes de código y llaves API protegidos
Rotar las llaves API, guardarlas en gestores de secretos —nunca en el system prompt—, fijar límites de gasto y validar la salida del modelo antes de pasarla a bases de datos, consolas u otras APIs.
Preguntas frecuentes
Las dudas más comunes de gerentes de TI y CISO en Chile sobre la seguridad de ChatGPT en la empresa.
Fuentes consultadas
- Prompt Security — ChatGPT Security Guide: Enterprise Risks, Incidents, and Practitioner Guidance (jun. 2026, act. ago. 2026) Fuente original
- OpenAI — Business data privacy, security, and compliance Fabricante
- OpenAI — March 20 ChatGPT outage: Here's what happened Fabricante
- Reuters — OpenAI's internal AI details stolen in 2023 breach (jul. 2024) Prensa
- The Hacker News — OpenAI patches ChatGPT data exfiltration flaw (mar. 2026) Prensa especializada
- BeyondTrust Phantom Labs — OpenAI Codex command injection vulnerability (GitHub token) Investigación
- Dark Reading — SentinelOne acquires AI startup Prompt Security (ago. 2025) Prensa especializada
- BCN / LeyChile — Ley 21.719, protección y tratamiento de datos personales Texto oficial
- NBITEK — Ley 21.663 y ANCI: qué exige la Ley Marco de Ciberseguridad en Chile Artículo relacionado
Aviso legal: Este artículo tiene carácter informativo y resume la guía "ChatGPT Security Guide" publicada por Prompt Security (SentinelOne). Los incidentes descritos se basan en información pública de OpenAI, Reuters, The Hacker News, Check Point Research y BeyondTrust; cuando las fechas difieren entre fuentes, se usó la del investigador que reportó la vulnerabilidad. Las condiciones de los planes de ChatGPT pueden cambiar: verifique los términos vigentes con OpenAI antes de decidir. Las referencias a la Ley 21.719 y la Ley 21.663 no constituyen asesoría legal; consulte a su equipo jurídico para su caso particular.
ChatGPT®, Codex y OpenAI® son marcas de OpenAI. Microsoft® Copilot y GitHub® Copilot son marcas de Microsoft Corporation y GitHub, Inc. SentinelOne®, Singularity™ y Prompt Security son marcas de SentinelOne, Inc. Check Point® es marca de Check Point Software Technologies Ltd. BeyondTrust® es marca de BeyondTrust Corporation. NBITEK es partner autorizado de SentinelOne en Chile. Las referencias a estas marcas son informativas y no implican afiliación de estos terceros con NBITEK más allá de la relación comercial declarada.
Continúe leyendo
Más recursos de ciberseguridad y cumplimiento normativo para empresas en Chile.
