¿Qué pasa con tus datos después de decir “Hola”?

Imagina que es domingo y son las 8 de la noche. Te estás yendo a dormir y recuerdas que todavía no has pedido la hora al dentista a la que debes ir, o que todavía no compras el seguro de viaje a pocos días de irte de vacaciones. O bien, que todavía no agendas la visita a la automotora para ir a ver el auto de tus sueños. 

Todos estos pendientes en la semana se te van a olvidar, porque estás lleno de tareas diarias que hacen que simplemente se te olvide. Y así que apenas te acuerdas, que es justo en la noche cuando todo está cerrado, les hablas a su WhatsApp. 

Si tienes la suerte de haberle hablado a uno de nuestros clientes, en cuestión de minutos vas a haber agendado pensando que hablaste con Sofía… cuando en realidad estaban nuestros agentes de inteligencia artificial haciendo todo el trabajo.

Bueno, detrás de esa maravillosa experiencia, existe una maquinaria enorme asegurándose de que el trabajo esté bien hecho. Y que también, esa información que entregaste a través del WhatsApp sea privada.

De eso nos encargamos en Vambe, y por eso, es que con menos de 2 años de operación contamos con las certificaciones de la ISO 27001:2022 y SOC 2 Tipo II.

Todos los datos que Vambe gestiona a través de sus canales son datos personales (PII) y privados, y se utilizan exclusivamente para los fines que nuestros clientes necesitan.

Por eso, dentro de Vambe, nadie tiene acceso a la información simplemente por trabajar en la empresa, sino que cada acceso se otorga bajo el principio de mínimo privilegio: solo lo necesario para cumplir con cada función. Las credenciales se gestionan de forma segura en 1Password; nada de contraseñas circulando por chats. Y cuando una persona cambia de rol o deja la empresa, sus accesos se revocan en menos de 15 minutos.

Además, cada nuevo integrante pasa por un onboarding de seguridad antes de acceder a cualquier sistema. Porque los estándares que exigen la ISO 27001 y la SOC 2 Type II no se heredan por ósmosis: se enseñan, se aplican y se supervisan.

Toda la información viaja y se almacena cifrada. Los modelos de IA que usamos son de terceros, y los datos de nuestros clientes no se usan para entrenarlos ni se cruzan entre una empresa y otra. Del lado del software, cada cambio pasa por revisión estática del código y por análisis de dependencias de los paquetes que usamos, de forma automática, antes de llegar a producción. 

A eso se suman pen tests periódicos, incluyendo pruebas específicas de vulnerabilidades de IA siguiendo el estándar OWASP LLM. Ese último punto importa más de lo que parece: un pentest tradicional no busca inyección de prompts, ni fuga de información en las respuestas del agente, ni abuso de las herramientas que ese agente puede ejecutar.

Son riesgos nuevos y hay que salir a buscarlos de forma deliberada. Y después está el control de la IA misma. Tenemos guardrails determinísticos que capturan alucinaciones antes de que lleguen al usuario, con el equipo de IA monitoreando constantemente los triggers para ir mapeando casos nuevos. 

Corremos evals de IA para encontrar casos borde antes de que los encuentre una persona real. Y cuando una respuesta no es la correcta, se reporta desde la plataforma junto con la respuesta que sí correspondía, y esa corrección se reutiliza cuando vuelve a aparecer una pregunta parecida. Las reglas de negocio y las validaciones, además, viven fuera del modelo: no le entregamos el control al prompt.

Todo esto se monitorea de forma continua con Drata, no en una revisión anual. Eso es lo que hace posible un SOC 2 Tipo II, que no evalúa cómo estabas el día de la auditoría, sino que los controles funcionaron todos los días durante meses.

Volviendo al domingo a las ocho de la noche: esa persona nunca va a leer esto, ni va a saber que existe una política de accesos, un guardrail o un pentest. Tampoco tiene por qué. 

Ese es justamente el punto: la seguridad se nota cuando no pasa nada.