¿Qué es el cifrado de datos y por qué importa al usar IA?

¿Cómo funciona el cifrado?

El NIST, el instituto de estándares de Estados Unidos, define el cifrado como el proceso de transformar texto legible en texto cifrado usando un algoritmo criptográfico y una clave. El algoritmo suele ser público y conocido; lo secreto es la clave. Quien la tiene puede descifrar la información; quien no, ve una secuencia sin sentido.

Hay dos familias. En el cifrado simétrico, la misma clave cifra y descifra, lo que lo hace rápido para grandes volúmenes. En el asimétrico hay un par de claves: una pública, que cualquiera puede usar para cifrar, y una privada, que solo su dueño usa para descifrar. Las conexiones seguras de internet combinan ambas.

¿En tránsito, en reposo o en uso?

Para el tránsito, la guía SP 800-52 del NIST exige que los servidores y clientes TLS del gobierno estadounidense soporten TLS 1.2 y que, desde el 1 de enero de 2024, soporten también TLS 1.3, una referencia útil para evaluar a cualquier proveedor. Para el reposo, Microsoft informa que los datos que guarda su servicio de modelos en Foundry están cifrados por defecto con AES-256, con la opción de usar claves administradas por el cliente.

El tercer momento es el más delicado: para que un sistema procese un texto, normalmente tiene que leerlo descifrado. Por eso, al usar inteligencia artificial, el cifrado se combina con la seudonimización y la retención cero.

¿Qué dice la normativa ecuatoriana?

• LOPDP, artículo 37: entre las medidas de seguridad que el responsable o el encargado pueden aplicar, menciona expresamente el cifrado de datos personales, junto con la anonimización y la seudonimización (texto de la ley).
• Norma de transferencias de la Superintendencia (2026): su artículo 8, sobre transferencias nacionales, menciona entre las medidas para proteger los datos transferidos el uso de mecanismos seguros como el cifrado (Resolución SPDP-SPD-2026-0004-R).
• Reforma a la norma sobre inteligencia artificial (firmada el 9 de septiembre de 2026; rige desde su publicación en el Registro Oficial): define el acceso a datos personales incluyendo los datos tratados de forma cifrada. Cifrar no saca a un proveedor del alcance de la norma (Resolución SPDP-SPD-2026-0037-R).

Un ejemplo en una empresa ecuatoriana

Una empresa de servicios en Quito guarda su ERP y las copias de seguridad en la nube. Activa el cifrado en reposo con claves que administra su propio equipo, no el proveedor; exige TLS en todas las conexiones, incluida la del sistema que consulta un modelo de lenguaje; y limita por rol quién puede usar esas claves. Si un tercero obtiene una copia del respaldo, sin la clave no puede leerla.

Errores comunes y límites

• Guardar la clave junto a los datos. Es como dejar la llave pegada a la cerradura.
• Mandar el archivo cifrado y la contraseña en el mismo correo.
• Perder la clave. Sin ella, los datos cifrados no se recuperan.
• Confundir firma con cifrado. El SRI explica que la firma electrónica garantiza el origen y la integridad del comprobante; no oculta su contenido.
• Creer que cifrar es cumplir. El cifrado reduce el riesgo, pero la base legal, el contrato con el encargado y el análisis de las transferencias internacionales siguen siendo necesarios.

Relación con otros términos

El cifrado es una pieza de un conjunto. Cómo se combina con la seudonimización, la retención cero y los permisos por rol lo explicamos en la guía de seguridad de datos al usar inteligencia artificial.