La adopción de la IA en las telecomunicaciones
El sector australiano de las telecomunicaciones está a la vanguardia de la adopción de la IA, impulsado por la escala y la complejidad de las operaciones de red, el volumen de las interacciones con los clientes y la intensa presión competitiva entre los operadores. Telstra, Optus, TPG Telecom (Vodafone, iiNet, TPG) y un número creciente de MVNO y proveedores de infraestructura están implementando IA en prácticamente todas las funciones del negocio.
Las aplicaciones de la IA en las telecomunicaciones abarcan la optimización y gestión de la red, utilizando IA para asignar dinámicamente los recursos, optimizar el enrutamiento y gestionar el espectro en las redes móviles, fijas y por satélite; el mantenimiento predictivo de la red, donde la IA analiza la telemetría de los equipos para predecir fallos antes de que provoquen interrupciones del servicio; la predicción de la fuga de clientes y la retención, utilizando aprendizaje automático para identificar a los clientes en riesgo y personalizar las ofertas de retención; la automatización del servicio al cliente, con chatbots, asistentes virtuales y enrutamiento inteligente de llamadas impulsados por IA que gestionan millones de interacciones con clientes al año; la detección de fraude, identificando el fraude por intercambio de SIM, el fraude de suscripción y el fraude de reparto de ingresos internacionales en tiempo real; la seguridad de red y la detección de amenazas, utilizando IA para identificar ataques DDoS, intrusiones en la red y patrones de tráfico anómalos; y el segmentado y la orquestación de redes 5G, donde la IA gestiona la asignación dinámica de segmentos de red para distintos niveles de servicio y casos de uso.
El argumento comercial a favor de la IA en las telecomunicaciones es convincente. Solo Telstra gestiona más de 20 millones de contactos con clientes al año, la automatización por IA de una fracción de estas interacciones genera ahorros de costes masivos. Optus, tras su devastadora violación de datos de 2022 que expuso la información personal de 9,8 millones de clientes, ha invertido considerablemente en capacidades de seguridad y supervisión impulsadas por IA. TPG Telecom está utilizando IA para optimizar su red convergente fija-móvil tras la fusión de Vodafone y TPG.
Sin embargo, las empresas de telecomunicaciones ocupan una posición única en el panorama regulatorio australiano. Como operadores de infraestructura crítica en virtud del SOCI Act, transportistas de comunicaciones que pueden estar sujetos a obligaciones de interceptación legal, custodios de metadatos y datos de comunicaciones extraordinariamente sensibles, y entidades sujetas a las Telecommunications Sector Security Reforms (TSSR), los operadores de telecomunicaciones enfrentan obligaciones de gobernanza de la IA que van mucho más allá de los requisitos empresariales estándar. La violación de Optus de 2022, y la posterior respuesta regulatoria y legislativa, incluido el aumento significativo de las sanciones en materia de privacidad, puso de relieve que la seguridad de los datos de telecomunicaciones es un asunto de importancia nacional.
Principales riesgos de seguridad de la IA en las telecomunicaciones
Las empresas de telecomunicaciones enfrentan riesgos de seguridad de la IA impulsados por la excepcional sensibilidad de sus datos, su estatus de infraestructura crítica y la escala de sus operaciones.
Metadatos de comunicación y riesgos de privacidad relacionados con la IA: los metadatos de telecomunicaciones, quién llamó a quién, cuándo, durante cuánto tiempo, desde qué ubicación, qué sitios web se visitaron, qué aplicaciones se utilizaron, se encuentran entre los datos más sensibles de la economía australiana. En virtud de las disposiciones de conservación obligatoria de datos del Telecommunications (Interception and Access) Act 1979, los operadores de telecomunicaciones deben conservar los metadatos especificados durante dos años. Los sistemas de IA que procesan, analizan o aprenden de estos metadatos crean riesgos de privacidad significativos. Los registros detallados de llamadas revelan redes sociales y asociaciones. Los datos de localización rastrean los movimientos físicos. Los metadatos de navegación exponen intereses, creencias y vulnerabilidades. El análisis de estos datos a gran escala por parte de la IA puede producir perfiles detallados de la vida de las personas que van mucho más allá de cualquier punto de dato individual. El Privacy Act y las disposiciones de privacidad específicas de las telecomunicaciones imponen obligaciones estrictas sobre cómo pueden utilizarse estos datos, y un procesamiento por IA que vaya más allá de los fines autorizados se arriesga a una aplicación regulatoria.
IA de seguridad de red y riesgos adversariales: los sistemas de IA utilizados para la seguridad de red, detección de intrusiones, mitigación de DDoS, detección de anomalías, son en sí mismos objetivos de alto valor para los adversarios. Si un atacante puede manipular el sistema de detección de amenazas impulsado por IA (mediante entradas adversariales, envenenamiento de datos o evasión de modelos), puede operar en la red sin ser detectado. Esto resulta especialmente preocupante dado que las redes de telecomunicaciones transportan las comunicaciones de agencias gubernamentales, operadores de infraestructura crítica y organizaciones de defensa. Los ataques adversariales contra la IA de seguridad de las telecomunicaciones podrían facilitar ataques más amplios contra la seguridad nacional.
Riesgos de cumplimiento de la TSSR relacionados con la IA: las Telecommunications Sector Security Reforms exigen que los operadores y los proveedores de servicios de transporte hagan todo lo posible por proteger las redes y las instalaciones frente a interferencias no autorizadas y accesos no autorizados, y que notifiquen al gobierno los cambios planificados que puedan tener un efecto adverso material sobre la seguridad. Las implementaciones de IA que alteren la gestión de la red, la supervisión o el control de acceso pueden desencadenar obligaciones de notificación de la TSSR. Los sistemas de IA desarrollados por proveedores de alto riesgo (según las determinaciones gubernamentales) o que incorporan componentes de estos crean riesgos adicionales de cumplimiento de la TSSR.
Shadow AI en plantillas distribuidas: las empresas de telecomunicaciones operan plantillas grandes y geográficamente distribuidas, personal de tiendas minoristas, técnicos de campo, personal de centros de operaciones de red, agentes de centros de llamadas y empleados corporativos. Cada grupo tiene un acceso a los datos diferente y patrones de adopción de la IA diferentes. Los agentes de centros de llamadas pueden utilizar IA para resumir las interacciones con los clientes (exponiendo datos de clientes). Los técnicos de campo pueden utilizar IA para diagnosticar equipos de red (exponiendo datos de configuración de red). El personal minorista puede utilizar IA para procesar información de clientes con fines de venta y activación. La naturaleza distribuida de las operaciones de telecomunicaciones hace que el control centralizado del Shadow AI sea excepcionalmente difícil.
Datos de clientes a gran escala: los operadores de telecomunicaciones australianos poseen colectivamente información personal de prácticamente toda la población adulta. Las bases de datos de clientes contienen documentos de verificación de identidad (pasaporte, permiso de conducir, números de Medicare), datos de contacto y direcciones, información financiera (facturación, comprobaciones de crédito), datos de uso (llamadas, datos, navegación), datos de localización e información de reclamaciones y vulnerabilidad (incluidas las marcas de violencia familiar). Los sistemas de IA que procesan estos datos en cualquier punto del ciclo de vida del cliente, adquisición, prestación del servicio, facturación, retención o reclamaciones, deben cumplir los requisitos del Privacy Act, incluidas las protecciones reforzadas desencadenadas por los aumentos de sanciones de 2022.
Riesgos de la IA para la 5G y el segmentado de red: el segmentado de red 5G impulsado por IA introduce nuevos desafíos de seguridad. Los sistemas de IA que gestionan la asignación de segmentos de red, la orquestación de recursos y la aplicación de los niveles de servicio deben garantizar el aislamiento entre los segmentos de red (evitando fugas de datos entre segmentos), decisiones de control de admisión impulsadas por IA seguras, protección frente a la manipulación de la IA que podría degradar el servicio para los usuarios críticos, y el cumplimiento de los requisitos de la TSSR para los cambios en la arquitectura de la red.
Marco regulatorio de las telecomunicaciones para la IA
El marco regulatorio de las telecomunicaciones en Australia crea obligaciones específicas para la gobernanza de la IA que van más allá de los requisitos generales de privacidad y seguridad.
Telecommunications Act 1997: el Telecommunications Act establece el marco regulatorio general del sector. La Part 13 (datos de telecomunicaciones, privacidad y protección) impone obligaciones específicas a los operadores y los proveedores de servicios de transporte en relación con la información de los clientes. Los sistemas de IA deben cumplir las restricciones sobre el uso y la divulgación de los datos de telecomunicaciones, las obligaciones de proteger la confidencialidad de las comunicaciones y los requisitos de proporcionar información a los servicios de emergencia y a las fuerzas del orden en circunstancias autorizadas. La IA que procesa datos de telecomunicaciones para fines que van más allá de los autorizados en virtud de la ley crea un riesgo de cumplimiento.
Telecommunications (Interception and Access) Act 1979 (TIA Act): el TIA Act regula la interceptación legal y el acceso a las comunicaciones almacenadas y los metadatos. Los sistemas de IA no deben interferir con las capacidades de interceptación legal, esto significa que el cifrado, el procesamiento de datos o la gestión de la red por parte de la IA no deben impedir ni frustrar la interceptación autorizada. Los sistemas de IA que procesan los metadatos conservados deben cumplir las obligaciones de conservación de datos (Section 187AA) y las restricciones de acceso (Section 178). Cualquier procesamiento por IA que constituya efectivamente un acceso al contenido de las comunicaciones o una divulgación de este sin autorización viola el TIA Act.
Telecommunications Sector Security Reforms (TSSR): la TSSR, implementada mediante enmiendas al Telecommunications Act, exige que los operadores notifiquen al gobierno los cambios planificados en las redes, las instalaciones o los servicios que puedan tener un efecto adverso material sobre la capacidad de seguridad. Las implementaciones de IA que modifiquen de forma material la postura de seguridad de la red, los procesos de gestión o el tratamiento de datos pueden desencadenar obligaciones de notificación. Los operadores también deben hacer todo lo posible por proteger las redes frente a las amenazas de seguridad, los sistemas de IA deben respaldar, no socavar, esta obligación. El gobierno conserva la facultad de emitir directrices que restrinjan o prohíban acciones que planteen riesgos de seguridad, lo que podría extenderse a las implementaciones de IA.
Obligaciones del SOCI Act: como infraestructura crítica, las redes y los sistemas de telecomunicaciones están sujetos a los requisitos del SOCI Act, incluido el Critical Infrastructure Risk Management Program (CIRMP), los sistemas de IA deben incluirse en la identificación y mitigación de riesgos, obligaciones reforzadas de ciberseguridad, la seguridad de la IA debe cumplir los requisitos reforzados para la infraestructura crítica, facultades gubernamentales de asistencia e intervención, el gobierno puede ordenar acciones relativas a los sistemas de IA que planteen riesgos para la infraestructura crítica, y la notificación obligatoria de incidentes cibernéticos, los incidentes de seguridad relacionados con la IA deben notificarse dentro de los plazos prescritos.
Privacy Act y privacidad específica de las telecomunicaciones: más allá de las obligaciones generales del Privacy Act, los proveedores de telecomunicaciones están sujetos a requisitos de privacidad específicos del sector. El Telecommunications Consumer Protections Code (TCP Code) impone prácticas de privacidad específicas para las operaciones minoristas de telecomunicaciones. Los recientes aumentos de las sanciones del Privacy Act (hasta 50 millones de dólares o el 30% de la facturación ajustada) se aplican a los operadores de telecomunicaciones, la violación de Optus demostró que estas sanciones no son teóricas. Los sistemas de IA que procesan datos de clientes deben cumplir tanto los APP generales como las obligaciones de privacidad específicas de las telecomunicaciones.
Extensión del Consumer Data Right (CDR): el CDR se está extendiendo al sector de las telecomunicaciones. Cuando esté operativo, el CDR dará a los consumidores el derecho de indicar a su operador de telecomunicaciones que comparta sus datos con destinatarios de datos acreditados. Los sistemas de IA en las telecomunicaciones deben estar preparados para respaldar las obligaciones de intercambio de datos del CDR, garantizar que los datos del CDR se traten de conformidad con las salvaguardias de privacidad y mantener los estándares de datos exigidos por el marco del CDR.
Construir un marco de gobernanza de la IA para las telecomunicaciones
Las organizaciones de telecomunicaciones necesitan marcos de gobernanza de la IA que aborden la combinación única de obligaciones de infraestructura crítica, regulación específica de las telecomunicaciones y sensibilidad masiva de los datos.
Comité de gobernanza de la IA de telecomunicaciones: establezca una gobernanza que refleje la amplitud del riesgo de la IA en las telecomunicaciones. Incluya al Chief Information Security Officer y la dirección de ciberseguridad, el Chief Technology Officer y las operaciones de red, el Chief Customer Officer y las operaciones minoristas, los asuntos regulatorios y las relaciones gubernamentales, la privacidad y la protección de datos, el asesor jurídico, y la seguridad e inteligencia de red. Este comité debe tener autoridad para aprobar los sistemas de IA destinados a implementaciones que afecten a la red, evaluar las implicaciones de la TSSR de los cambios de IA, exigir evaluaciones de impacto sobre la privacidad y escalar al consejo los riesgos de IA para la infraestructura crítica.
Clasificación de los sistemas de IA para las telecomunicaciones: implemente una clasificación que refleje los perfiles de riesgo específicos de las telecomunicaciones. La Zona 1 (Crítica para la red) incluye los sistemas de IA que gestionan, supervisan o protegen directamente la infraestructura de red, estos requieren una evaluación de la TSSR, la inclusión en el CIRMP del SOCI, una revisión de seguridad independiente y una aceptación del riesgo a nivel del consejo. La Zona 2 (Crítica para los datos) incluye los sistemas de IA que procesan metadatos de clientes, datos de comunicaciones o datos conservados, estos requieren una Privacy Impact Assessment, una verificación del cumplimiento del TIA Act y controles de acceso estrictos. La Zona 3 (Operaciones con clientes) incluye los sistemas de IA en las operaciones de cara al cliente (chatbots, facturación, predicción de fuga), estos requieren el cumplimiento del Privacy Act, la alineación con el TCP Code y una evaluación de la protección de los datos de los clientes. La Zona 4 (Operaciones corporativas) incluye los sistemas de IA para las funciones corporativas generales sin exposición a la red ni a datos sensibles de los clientes, estos requieren una revisión de seguridad empresarial estándar.
Arquitectura de seguridad de la IA de red: los sistemas de IA en el dominio de la red requieren una arquitectura de seguridad alineada con los estándares de las telecomunicaciones. Implemente una segmentación de red que garantice que los sistemas de IA en la TI corporativa no puedan acceder directamente a los sistemas de gestión de la red. Implemente capacidades de IA de supervisión y analítica dentro de los centros de operaciones de red bajo los controles de seguridad existentes. Utilice flujos de datos cifrados y autenticados procedentes de los elementos de red hacia los sistemas de IA, nunca exponga las interfaces brutas de gestión de la red. Mantenga una capacidad de anulación manual para todas las decisiones de gestión de la red asistidas por IA. Implemente una supervisión de la integridad de los modelos de IA para detectar el envenenamiento de datos o la manipulación adversarial de la IA de red.
Proceso de cumplimiento de la TSSR para la IA: establezca un proceso formal para evaluar si las implementaciones de IA desencadenan obligaciones de notificación de la TSSR. Examine todos los cambios de IA que afecten a la gestión de la red, la seguridad o el tratamiento de datos frente a los umbrales de materialidad de la TSSR. Colabore de forma proactiva con el Department of Home Affairs en las implementaciones de IA significativas. Documente las evaluaciones de la TSSR en el registro de gobernanza de la IA. Incluya el cumplimiento de la TSSR en la evaluación de los proveedores de IA, en particular para los proveedores con propiedad o equipos de desarrollo extranjeros.
Gobernanza de la IA de los datos de los clientes: implemente una gobernanza específica para el procesamiento por IA de los datos de los clientes que refleje la sensibilidad de las telecomunicaciones. Exija Privacy Impact Assessments para todos los sistemas de IA que procesen información personal de los clientes. Implemente controles de limitación de la finalidad que garanticen que la IA procese los datos de los clientes únicamente para los fines autorizados en virtud del Privacy Act y el Telecommunications Act. Implemente la minimización de datos, los sistemas de IA solo deberían recibir el mínimo de datos de clientes necesario para su función. Mantenga registros de auditoría completos del acceso de la IA a los datos de los clientes para la inspección regulatoria. Implemente protecciones reforzadas para las categorías sensibles, marcas de violencia familiar, indicadores de vulnerabilidad, datos de las fuerzas del orden, garantizando que los sistemas de IA las traten con el cuidado adecuado.
Gobernanza de la IA de proveedores y de la cadena de suministro: las empresas de telecomunicaciones deben evaluar la IA integrada en los productos y servicios de los proveedores. Incluya requisitos de gobernanza de la IA en los estándares de adquisición y los contratos con proveedores. Evalúe los sistemas de IA de los proveedores frente a los requisitos de la TSSR, en particular para los productos que afectan a la red. Evalúe las prácticas de tratamiento de datos de los servicios gestionados impulsados por IA y de las operaciones externalizadas. Supervise las actualizaciones y los cambios de IA de los proveedores en cuanto a sus implicaciones de seguridad y cumplimiento. Mantenga una visibilidad de la IA en la cadena de suministro de las telecomunicaciones, en particular para los equipos de red críticos.
Prevención del Shadow AI en las telecomunicaciones
El Shadow AI en las telecomunicaciones es especialmente peligroso debido a la sensibilidad de los datos de telecomunicaciones y al contexto de infraestructura crítica. Las plantillas grandes y distribuidas que abarcan la venta minorista, las operaciones de campo, las operaciones de red y las funciones corporativas crean múltiples vectores para una adopción no gobernada de la IA.
Escenarios comunes de Shadow AI en las telecomunicaciones: agentes de centros de llamadas que pegan información de cuentas de clientes, detalles de reclamaciones y datos de verificación de identidad en herramientas de IA para redactar respuestas y resúmenes. Personal de centros de operaciones de red que utiliza IA para interpretar datos de alarmas, métricas de rendimiento de la red y diagnósticos de fallos. Técnicos de campo que suben información de configuración de red, detalles de emplazamientos y números de serie de equipos a herramientas de IA de diagnóstico. Personal de tiendas minoristas que utiliza IA para procesar documentos de identidad e información de cuentas de clientes durante las interacciones de venta. Equipos de marketing que introducen datos de segmentación de clientes, indicadores de fuga y patrones de uso en una IA para el desarrollo de campañas. Analistas de ciberseguridad que introducen inteligencia sobre amenazas, registros de red y datos de incidentes en una IA para su análisis.
El desafío del centro de llamadas: los centros de llamadas de telecomunicaciones representan uno de los entornos de mayor riesgo para el Shadow AI. Los agentes gestionan cientos de interacciones al día, cada una de las cuales implica el acceso a datos sensibles de los clientes. El atractivo de productividad de las herramientas de IA para el resumen de llamadas, la redacción de respuestas y la recuperación de información es enorme. Muchas operaciones de centros de llamadas están externalizadas, lo que añade una capa de complejidad a la gobernanza de la IA, ya que los proveedores externalizados pueden tener políticas y controles de IA diferentes. Tras la violación de Optus, las consecuencias regulatorias de una exposición de datos de clientes derivada del uso indebido de la IA por parte de los centros de llamadas son severas.
Controles técnicos para las telecomunicaciones: implemente reglas de DLP configuradas para patrones de datos específicos de las telecomunicaciones, números de móvil, identificadores IMSI/IMEI, números de cuenta, identificadores de elementos de red, rangos de direcciones IP. Implemente un bloqueo a nivel de red de los servicios de IA no aprobados en todos los entornos operativos, incluidos los centros de llamadas y los centros de operaciones de red. Utilice la gestión de endpoints con controles de aplicaciones de IA en todos los dispositivos corporativos y de contratistas. Supervise el tráfico de API de IA procedente de los sistemas de gestión de la red y las plataformas de clientes. Implemente el aislamiento del navegador en los entornos que procesan datos sensibles de los clientes. Implemente controles CASB para el uso de los servicios de IA en la nube en toda la empresa.
Proporcionar alternativas aprobadas para los flujos de trabajo de telecomunicaciones: implemente herramientas de IA aprobadas diseñadas para los casos de uso de las telecomunicaciones. Proporcione una IA de centro de llamadas con protección de los datos de los clientes, resumen, redacción de respuestas y recuperación de conocimiento que mantienen los datos dentro de entornos controlados. Ofrezca una IA de operaciones de red integrada con los sistemas de gestión de la red y los controles de seguridad existentes. Suministre una IA de analítica de clientes aprobada con un tratamiento de datos conforme al Privacy Act y limitación de la finalidad. Cree herramientas de IA de diagnóstico aprobadas para los técnicos de campo que no transmitan datos de configuración de red a servicios externos. Implemente una IA de analítica de seguridad aprobada dentro del centro de operaciones de seguridad con controles de clasificación y tratamiento adecuados.
Controles de formación y culturales: la formación en IA específica de las telecomunicaciones debería enfatizar la excepcional sensibilidad de los datos de telecomunicaciones. Vincule la gobernanza de la IA a la violación de Optus, cada empleado comprende las consecuencias de una exposición de datos de clientes. Forme a los agentes de centros de llamadas (incluido el personal externalizado) sobre las herramientas de IA aprobadas y las prácticas prohibidas, con sesiones de actualización periódicas. Eduque al personal de operaciones de red sobre las implicaciones para la seguridad nacional de la exposición de datos de red a través de la IA. Incluya la gobernanza de la IA en las sesiones informativas de seguridad de los técnicos de campo. Realice auditorías periódicas del Shadow AI, incluidas comprobaciones puntuales del historial del navegador y del uso de aplicaciones en los dispositivos corporativos.
