Elija el control que realmente necesita.
El acceso al servicio, acceso a cuenta y protección de datos sensibles responden a preguntas diferentes. Pruebe el que su política requiere.
- 01Bloquee el servicio
- ¿Puede este dispositivo acceder al servicio de IA?
Una regla de dominio, categoría o aplicación puede negar acceso en la red o rutas cliente que controla.
No distingue cuentas personales y de trabajo en el mismo servicio, ni inspecciona el contenido de un prompt permitido.
- 02Restrinja la cuenta
- ¿Pueden los empleados usar sólo el espacio de trabajo aprobado?
Una restricción de cuenta o tenant necesita una identidad, navegador o característica de producto de seguridad soportada para ese servicio específico.
Verifique cuentas permitidas y denegadas, cambios de inicio de sesión y rutas de bypass. Un bloqueo de dominio solo no es restricción de cuenta.
- 03Inspeccione el contenido
- ¿Se puede enviar este prompt o archivo?
Una ruta DLP soportada evalúa la información contra la política configurada y aplica la respuesta disponible.
Pruebe texto escrito, texto pegado y cargas por separado. La inspección de contenido no restringe por sí sola la cuenta con sesión iniciada.
Referencia del método: julio de 2026. Distinciones de control actualizadas en septiembre de 2026. Los menús de proveedores y las acciones soportadas cambian; trata las rutas como orientación de configuración y valida tu despliegue actual.
Desplázate horizontalmente para comparar todas las columnas.
| Método | Donde hace cumplir | Ideal para | Lo que echa de menos |
|---|---|---|---|
| Microsoft Defender para Aplicaciones en la Nube + Entra | Dispositivos conectados a Defender para Endpoint | Microsoft 365 Tiendas E5 / Defender | Rutas fuera de dispositivos soportados y a bordo |
| Zscaler (ZIA Cloud App Control) | Tráfico dirigido a través de Zscaler | Despliegues existentes de ZIA | Tráfico no dirigido a través del servicio configurado |
| Netskope (protección en tiempo real) | Tráfico dirigido a través de Netskope | Despliegues existentes de Netskope SSE | Tráfico no dirigido y acciones de la app no verificadas |
| Política de DNS / cortafuegos / navegador | Red/resolver configurada o ruta de navegador gestionado | Gestión existente de DNS, cortafuegos o navegadores | DNS sobre HTTPS, puntos de acceso, dispositivos personales |
Bloquea ChatGPT con Microsoft Defender para Apps en la Nube y Entra
Si utiliza Microsoft 365 con Defender for Endpoint, este es el camino más limpio: una etiqueta Unsanctioned aplica la política en el endpoint para navegadores, la aplicación de escritorio y scripts por igual.
Confirmar los requisitos previos
Necesitas dispositivos integrados en Microsoft Defender para Endpoint, protección en la nube y protección de red activada, protección obligatoria del navegador configurada y la integración con Defender para Endpoint activada en la configuración de Defender para Aplicaciones en la Nube. Sin estas, la etiqueta No Autorizada es solo para monitorización.
Encuentra ChatGPT en el catálogo de aplicaciones en la nube
En el portal Microsoft Defender, abre aplicaciones en la nube, luego catálogo de aplicaciones en la nube y filtra por la categoría de IA generativa. Microsoft mantiene esta categoría y agrupa más de mil servicios conocidos de IA generativa, incluyendo ChatGPT y OpenAI.
Etiqueta la app como No Autorizada
Selecciona ChatGPT y aplica la etiqueta No Autorizada. Los dominios de la app se sincronizan con Defender for Endpoint como indicadores de URL personalizados, y la protección de red puede imponer el bloqueo en los dispositivos incorporados compatibles. Prueba los navegadores y aplicaciones necesarios en lugar de asumir que todos los clientes y transportes están cubiertos.
Excluye excepciones con Entra
Mantén la app sin autorización para todos y luego utiliza Microsoft Entra filtrado de contenido web de Internet Access con Acceso Condicional para permitir que grupos específicos (por ejemplo, un equipo piloto aprobado) accedan a ella.
Planificar controles de la app de escritorio
Utiliza las capacidades de control de aplicaciones o gestión de dispositivos soportadas para cada sistema operativo. Verifica el comportamiento de instalación y lanzamiento en tus dispositivos gestionados; Windows y macOS controles no son intercambiables.
Lo que esto pasa por alto
La aplicación solo alcanza a dispositivos registrados en Defender for Endpoint. La propia guía de despliegue de Microsoft señala que los usuarios aún pueden acceder a aplicaciones no autorizadas desde dispositivos no gestionados y redes personales. Teléfonos personales, portátiles domésticos y BYOD permanecen invisibles.
Bloque ChatGPT con Zscaler
Zscaler Internet Access incluye una categoría de Aplicaciones de IA y ML con acciones por aplicación, para bloquear directamente, advertir, aislar o permitir con controles de subida.
Añadir una regla de Control de la App en la Nube
En el Portal de Administración de ZIA, ve a Política, luego a Control de la Aplicación URL y en la Nube, y añade una regla de Control de Aplicaciones en la Nube usando la categoría de Aplicaciones de IA y ML. Zscaler mantiene esta categoría e incluye ChatGPT y la plataforma OpenAI .
Alcance de la norma
Selecciona ChatGPT (y cualquier otra OpenAI app que quieras cubrir), luego asigna la norma a usuarios, grupos, departamentos o ubicaciones. La mayoría de los equipos comienzan con un alcance amplio y forman un grupo piloto aprobado.
Elige la acción
Elige Bloquear para denegar el acceso directamente, Precaución para mostrar una página de advertencia que los usuarios puedan consultar, o Aislar para ejecutar la sesión en Zscaler Aislamiento del navegador. Para un servicio permitido, confirma las funciones de subida o restricción de inquilinos soportadas por tu configuración desplegada de Zscaler y prueba la acción prevista.
O bloquear toda la categoría de URL
Alternativamente, bloquea la categoría de URL de Aplicaciones de IA y ML en el Filtrado de URL. Esto es más amplio y atrapa más herramientas, pero también rompe cualquier herramienta legítima de IA de la que ya dependan tus equipos.
Lo que esto pasa por alto
Zscaler solo controla el tráfico que se dirige a través de él. Los dispositivos sin Client Connector, los teléfonos conectados a móviles y los equipos personales saltan completamente esta política. Las páginas de advertencia también pierden efecto cuando los usuarios aprenden a navegar por ellas.
Bloqueo ChatGPT con Netskope
Netskope cubre IA generativa mediante una categoría web mantenida y controles por aplicación en Protección en Tiempo Real, incluyendo plantillas de coaching y conciencia de instancias a nivel de tenant.
Crear una política de protección en tiempo real
En la consola de administración de Netskope, ve a Políticas, luego a Protección en Tiempo Real y crea una nueva política. Netskope también ofrece un tipo de política dedicada de Guardrails de IA para controles generativos de IA.
Establecer el destino
Elige la categoría de IA generativa para cubrir toda la clase de herramientas, o selecciona específicamente la aplicación en la nube ChatGPT . Netskope mantiene la categoría y rastrea cientos de aplicaciones de IA generativa en su Índice de Confianza en la Nube.
Elige Bloquear o Alerta de usuario
Configura la acción en Bloquear, o usa Alerta de usuario con una plantilla de coaching que avise a los usuarios y te permita dirigirles a la alternativa aprobada. Si usas restricciones conscientes de instancias, verifica que la cuenta de trabajo prevista esté permitida y que la cuenta personal sea denegada en la ruta soportada. No infieras esto a partir de un bloqueo de dominio.
Solicita y solicita la póliza
Ajusta la política a usuarios, grupos o unidades organizativas, colócala correctamente en el orden de la política y publícala. Prueba con un grupo piloto antes de aplicarla a nivel organizacional.
Lo que esto pasa por alto
Misma limitación de dirección: solo se controla el tráfico a través del cliente o gateway de Netskope. La cobertura por categorías también va por detrás de las nuevas herramientas de IA, por lo que la aplicación más reciente que tus empleados han encontrado esta semana puede que aún no esté categorizada.
Bloquear ChatGPT con DNS, cortafuegos o política de navegador
No se requiere plataforma SSE. El bloqueo por dominio y categoría en el borde de red es el método más rápido de desplegar y el más fácil de eludir.
Bloquear los dominios web ChatGPT
En tu filtro DNS o cortafuegos, bloquea chatgpt.com y chat.openai.com, además de los dominios de activos desde los que carga la app: oaistatic.com y oaiusercontent.com. Elimina los subdominios como comodín. Confirma los dominios y el impacto esperado frente a tu aplicación y política actuales.
Decidid api.openai.com por separado
Bloquear api.openai.com afecta al tráfico directo de la API que recorre la ruta controlada. Un proveedor SaaS puede llamar a la API desde su propio backend, fuera de esa ruta. Inventarea las solicitudes reales y el impacto esperado antes de aplicar la regla.
Usa la categoría de IA de tu firewall si la tiene
La mayoría de los proveedores actuales de NGFW y filtrado DNS incluyen una categoría de IA generativa o servicios de IA. El bloqueo por categorías detecta automáticamente herramientas hermanas, a costa de falsos positivos ocasionales en servicios legítimos.
Añadir una lista de bloqueo para navegadores gestionados
Para navegadores gestionados, push la política URLBlocklist para Chrome y Edge a través de la Directiva de Grupo o MDM con los dominios ChatGPT . Esto se mantiene incluso cuando el dispositivo está fuera de la red corporativa, pero solo dentro del navegador gestionado.
Lo que esto pasa por alto
Las reglas de DNS y cortafuegos solo se aplican a redes y resolvers que controles. DNS-over-HTTPS, puntos de acceso móviles, Wi-Fi doméstico y dispositivos personales los evitan, y OpenAI envía nuevos dominios con el tiempo. Las listas de bloqueo del navegador solo se cumplen dentro del navegador gestionado.
Por qué bloquear ChatGPT fracasa como estrategia
Cada método anterior funciona en el segmento de dispositivos y redes que puede ver. El problema es lo que sucede en el resto. La investigación y consideraciones prácticas a continuación explican por qué el bloqueo necesita controles de apoyo.
de usuarios de IA pusieron en funcionamiento sus propias herramientas de IA. Bloquear un camino autorizado no elimina la demanda.
Microsoft y LinkedIn, Índice de Tendencias Laborales 2024
de personas que usan IA en el trabajo se mostraron reacias a admitir que la usan para sus tareas más importantes. Bloquear puede fomentar un uso menos visible.
Microsoft y LinkedIn, Índice de Tendencias Laborales 2024
Bloquear ChatGPT por sí solo deja alternativas como Claude, Gemini, DeepSeek y Perplexity. Evalúa las herramientas y rutas de datos que realmente utilizan los empleados.
Consideración de cobertura
Una política que los líderes evitan es más difícil de mantener. Aplicar de forma coherente las normas de manejo de herramientas aprobadas y datos, incluso a altos ejecutivos.
Consideraciones de política
Las normas sobre el papel no se hacen cumplir solas. Combinar políticas de uso aceptable con controles técnicos apropiados, formación y procedimientos de respuesta a incidentes.
Consideraciones de seguridad
El uso fuera de las rutas monitorizadas puede dejar a los equipos sin la evidencia necesaria para detectar e investigar incidentes. Revisa las lagunas de visibilidad junto con las políticas de bloqueo.
Consideraciones de seguimiento
El bloqueo es un juego de golpear a un topo contra un catálogo que no para de crecer. El catálogo de Aonarastrea más de 10.000 herramientas de IA. Cuando una herramienta está bloqueada, los empleados pueden pasar a un dispositivo personal o a una alternativa. Las organizaciones que reducen riesgos son las que pueden ver el uso y controlar los datos, no las que tienen la lista de bloqueo más larga.
Explora la evidencia más amplia y sus fuentes en nuestro Estadísticas de Shadow AI 2026 Página.
Gobernar ChatGPT: descubrir, establecer políticas, proteger datos, entrenar
Mantenga una lista corta de bloqueo para herramientas que realmente no puede aceptar. Para todo lo demás, gobierne el uso en lugar de combatirlo.
Descubre qué se está utilizando
Elabora un inventario del uso observado de IA de los empleados. Aona compara la actividad de extensiones de navegador desplegadas y aplicaciones nativas de endpoint con un catálogo de más de 10.000 herramientas de IA. Complementa esto con una revisión de las características y rutas SaaS integradas fuera de la cobertura desplegada.
Descubrimiento de Shadow AI →Establecer política por herramienta y por rol
Sancionar un asistente por defecto, permitir herramientas de bajo riesgo y restringir las realmente arriesgadas. La ingeniería, el legal y el marketing no necesitan las mismas normas. Una lista corta de permitir con condiciones supera a una larga lista de bloqueo que envejece mucho.
DLP de IA generativa →Bloquea o redacta solo los datos sensibles
En lugar de bloquear la herramienta, detener los datos que no deben desaparecer: credenciales, registros de clientes, código fuente, finanzas. En las rutas de cliente instalado soportadas, Aona aplica políticas configuradas de prompt y archivo. Para una acción de redacción DOCX XLSX o PDF soportado, inspecciona el archivo devuelto y su disposición antes de aprobarlo.
DLP para ChatGPT →Oriente en el momento
Cuando alguien pega algo arriesgado, dile por qué es arriesgado justo en el flujo del trabajo y indícale el camino aprobado. El coaching en el momento cambia el comportamiento de una forma que una página de bloqueo nunca hace.
Seguridad de la IA para la fuerza laboral →