El cost invisible de la IA: dades exposades i risc real

En un despatx professional petit, una eina de suport per resumir expedients va començar com una ajuda discreta per guanyar temps. Al cap d’unes setmanes, el problema ja no era la comoditat, sinó el rastre que deixaven consultes, annexos i fragments de documentació especialment sensible. No hi va haver cap incident espectacular. Només una pregunta incòmoda: si aquella informació havia circulat per un entorn inadequat, quin cost real podia tenir per al negoci? La pregunta és pertinent. Segons el Cost of a Data Breach Report 2026 d’IBM, les bretxes relacionades amb IA ja representen el 21% dels incidents analitzats, i el cost mitjà global d’una bretxa va arribar als 4,99 milions de dòlars.

El risc no és només l’eina: és l’accés a la informació

S’ha instal·lat la idea que tot depèn de triar un model “fiable”. Les dades apunten més aviat a una altra banda: a qui pot accedir a què, en quin context i amb quins límits reals. En les organitzacions que van patir incidents vinculats a IA, el 92% no tenia controls d’accés adequats, segons recull una síntesi del report d’IBM publicada per Cybersecurity Insiders. Per a una gestoria, un despatx legal o un centre sanitari, això no és una qüestió teòrica. És la diferència entre usar una eina útil i obrir una via de filtració difícil de detectar.

Els models també poden acabar revelant dades

Un dels punts que més es tendeix a infravalorar és que el risc no sempre prové d’un robatori convencional de fitxers. L’informe d’IBM situa la inversió de model entre els incidents d’IA més cars, amb un cost mitjà de 6,07 milions de dòlars, segons resumeix Baker Donelson. Traduït a llenguatge de negoci: un sistema pot acabar exposant, de manera directa o indirecta, informació que no hauria d’aflorar mai en una resposta o en un resultat generat.

A això s’hi afegeixen altres incidències també costoses, com la manipulació d’instruccions, els errors de configuració en entorns al núvol o les debilitats en aplicacions connectades a la IA. El patró és significatiu: sovint el problema no és “la IA” en abstracte, sinó tot allò que l’envolta i que es dóna per descomptat fins que falla.

Prohibir eines no elimina l’exposició

La reacció instinctiva en molts negocis petits és prohibir-ne l'ús. Però el risc no desapareix perquè una empresa decideixi prohibir una eina; sovint només es desplaça fora del radar. El report d’IBM, citat per Alston & Bird, assenyala que el 68% de les organitzacions afectades no tenien polítiques per governar l’ús de la IA o el shadow AI, és a dir, l’ús no autoritzat o no supervisat d’aquestes eines. Quan passa això, la direcció perd visibilitat just en l’àrea on més la necessita.

Per això aquesta decisió és més difícil del que sembla. No n'hi ha prou amb valorar la productivitat o el cost de les llicències. També hi entren la confidencialitat, la responsabilitat professional, la protecció de dades i la continuïtat del negoci. En sectors com la sanitat, el món jurídic o les gestories, una errada no només obre un problema tècnic: pot comprometre confiança, expedients, historials, contractes o informació fiscal.

A més, les solucions genèriques solen fallar quan el negoci treballa amb dades delicades i equips reduïts. El Reglament General de Protecció de Dades, la norma europea que regula l’ús de dades personals, no es pot separar de la realitat operativa. Tampoc es pot separar del criteri econòmic: una incidència pot interrompre l’activitat, obligar a revisar comunicacions i convertir una eina aparentment útil en un focus de cost inesperat. Arribats a aquest punt, ja no es parla d’una simple eina mal emprada, sinó d’un problema de negoci.

Si esteu valorant com incorporar IA sense exposar informació sensible, a Lab Solucions podem analitzar el vostre cas de manera personalitzada i assessorar-vos amb criteri.