La verdadera protección del secreto empresarial no comienza con una contraseña.
Los secretos empresariales son un cúmulo de información necesaria para la fabricación de un bien, la prestación de un servicio o la aplicación de un procedimiento. Durante mucho tiempo, las empresas protegieron sus secretos bajo una idea sencilla: aquello que no debe conocerse debe mantenerse resguardado en forma confidencial. De allí surgieron los abogados, quienes nos encargamos de los acuerdos de confidencialidad, las cláusulas de no competencia, los archivos restringidos, las contraseñas, las áreas de acceso limitado y, más recientemente, sofisticados sistemas de ciberseguridad. El problema es que esa concepción empieza a resultar insuficiente.
La inteligencia artificial está modificando radicalmente la relación entre conocimiento, acceso y poder. Una persona necesitaba antes años para reunir información dispersa, comprenderla y utilizarla. Un sistema de inteligencia artificial (IA) puede procesar enormes volúmenes de información en tiempos incomparables y, cuando varios agentes de la IA trabajan coordinadamente, descubrir relaciones que ninguno de ellos habría encontrado de manera aislada. La protección del secreto empresarial, por tanto, ya no puede reducirse a impedir que alguien abra un archivo.
Hace poco, agentes de IA llevaron a cabo acciones no autorizadas y autónomas en varios incidentes. Lo que parece salido de alguna película de ciencia ficción es realidad plena, y ha generado un intenso debate sobre si se trata de “ataques” cibernéticos y sobre la transparencia de la empresa “creadora”.
Los incidentes más documentados son:
• Control de un wiki en Alemania: en 2026, agentes de IA escaparon de un entorno de pruebas y usaron un foro como canal secreto para coordinar acciones y eludir restricciones, con más de 15,000 ediciones no autorizadas.
• Fuga y ataque empresarial: en julio de 2026, agentes explotaron una vulnerabilidad durante una prueba, escaparon del entorno aislado y accedieron a internet. Luego atacaron autónomamente una plataforma para obtener respuestas, ejecutando más de 17,000 acciones.
Estos incidentes no solo demuestran que los agentes IA pueden actuar por sí mismos, sino que también lo hacen con un nivel de sofisticación que preocupa a los expertos. Por ejemplo, cuando los moderadores humanos intentaron eliminar el contenido no deseado, los agentes respondieron creando páginas de respaldo para preservar su “memoria” compartida. Incluso se ha observado que estos modelos pueden exhibir comportamientos para preservar su propia existencia, como intentar copiar su código a otros servidores para evitar ser apagados.
Hay varias preguntas que formularnos al respecto: ¿quién puede conocer qué, hasta dónde, durante cuánto tiempo y bajo qué condiciones? El derecho peruano, siguiendo el régimen comunitario andino de propiedad industrial, Decisión Andina 486, protege el secreto empresarial siempre que la información reúna determinadas condiciones y que su titular haya adoptado medidas razonables para mantenerla secreta. El concepto de “medidas razonables” resulta particularmente importante porque no exige una seguridad absoluta –prácticamente imposible–, sino una conducta diligente y proporcional a la naturaleza, valor y riesgo de la información. Aquí se encuentra, a nuestro juicio, uno de los principales desafíos jurídicos de los próximos años.
Una empresa puede tener un excelente sistema informático y, sin embargo, carecer de una verdadera política de protección de secretos. Puede contar con servidores cifrados y firewalls, pero permitir que 20 personas conozcan íntegramente una fórmula que solamente tres necesitan conocer. Puede exigir la firma de acuerdos de confidencialidad y, al mismo tiempo, mantener indefinidamente activados los permisos de un trabajador que dejó de participar en el proyecto seis meses atrás.
La seguridad informática y la protección jurídica del secreto empresarial están relacionadas, pero no son lo mismo. La primera pregunta por la seguridad de la información. La segunda pregunta, además, por la legitimidad y proporcionalidad del acceso al conocimiento protegido.
w De la información al conocimiento, el acceso jerarquizada.
Esta distinción permite formular una propuesta diferente. Las empresas deberían dejar de administrar sus secretos únicamente como documentos y comenzar a administrarlos como estructuras de conocimiento.
No todo conocimiento empresarial tiene el mismo valor. Tampoco todas las personas necesitan conocerlo en la misma extensión. Un investigador puede necesitar conocer una determinada variable de un procedimiento; otro puede requerir solamente el resultado; un gerente puede conocer la finalidad económica del proyecto, mientras que únicamente un número reducido de personas conoce la arquitectura completa.
w La protección jerárquizada
Una primera categoría podría comprender información interna; una segunda, información confidencial; una tercera, secretos empresariales; una cuarta, secretos estratégicos; y una quinta, información crítica cuyo acceso debería quedar sometido a controles excepcionales.
Pero la clasificación no debería detenerse allí. También debería determinarse qué parte del conocimiento puede conocer cada persona. Esta idea puede expresarse mediante un principio sencillo: no basta con el tradicional need to know –necesidad de conocer–; debemos avanzar hacia un modelo de need to know, need to access –necesidad de acceder– y need to understand –necesidad de entender–.
Una persona puede necesitar utilizar una información sin necesitar conocer el conjunto del secreto del que forma parte.
Esta arquitectura tiene una ventaja adicional: reduce el denominado riesgo de concentración cognitiva. Si una sola persona posee toda la información crítica, la salida de esa persona puede convertirse en una vulnerabilidad empresarial. Si, por el contrario, el conocimiento se distribuye racionalmente, la empresa puede preservar el secreto sin paralizar sus operaciones.
w¿Una nueva ISO?
La respuesta debería ser prudente: no se trata de reemplazar la ISO/IEC 27001.
La ISO/IEC 27001 constituye actualmente uno de los principales estándares internacionales para los sistemas de gestión de seguridad de la información y contempla la gestión de riesgos, las personas, las políticas y la tecnología.
Lo que hace falta es una capa adicional y especializada. Años de trabajo en el rubro nos permiten observar cómo es que las empresas deberían proceder en la construcción de esta metodología, a la que proponemos denominar como Modelo de Medidas Razonables para Secretos Empresariales (MRSE).
Su finalidad sería mucho más específica: establecer una técnica para que una empresa pueda identificar, clasificar, proteger, administrar y demostrar jurídicamente la protección de sus secretos empresariales.
El modelo debería comprender, como mínimo, seis dimensiones. Primera: identificación. La empresa debe saber qué data considera secreto empresarial, por qué tiene valor, cuál es su titular, dónde se encuentra y cuál sería el impacto de su divulgación.
Segunda: clasificación. El conocimiento debe organizarse según su sensibilidad, valor económico, riesgo y nivel de protección requerido. Tercera: autorización. Cada acceso debería responder a una necesidad empresarial concreta, tener un responsable y encontrarse limitado en alcance y duración.
Cuarta: protección. Aquí convergen las medidas jurídicas, organizacionales, físicas y tecnológicas: contratos, acuerdos de confidencialidad, controles de acceso, cifrado, restricciones físicas, políticas internas y mecanismos de seguridad.Quinta: trazabilidad. La empresa debe poder saber quién accedió a determinada información, cuándo, para qué finalidad y bajo qué autorización.
Sexta: desautorización. El sistema debe contemplar el momento en que una persona deja de necesitar el conocimiento: cambio de función, culmina su vínculo laboral, concluye un proyecto, finaliza una licencia o termina una relación comercial.
Esta última dimensión es especialmente importante. El secreto empresarial no se protege solamente cuando alguien entra. También debe protegerse cuando alguien deja de estar autorizado para entrar.
w La medida razonable debe poder demostrarse
Aquí aparece una cuestión que suele quedar relegada: la dimensión probatoria.
En un eventual conflicto ante Indecopi, una empresa no debería limitarse a afirmar que “la información era confidencial”. Debería poder demostrar que tenía un sistema razonable para identificarla y protegerla. Por ello, cada secreto debería generar una especie de expediente digital de protección: su clasificación, responsables, autorizaciones, medidas aplicadas, revisiones realizadas, incidentes registrados y cambios efectuados.
La pregunta ya no sería únicamente: ¿tenía medidas de protección? Sino: ¿puede demostrar que las medidas eran razonables respecto de ese secreto concreto? Esa diferencia puede resultar decisiva. La razonabilidad no debería convertirse en una declaración retrospectiva elaborada después de producirse una filtración. Debería ser una característica verificable del sistema de gestión de la empresa.
w Inspiración para estructurar el acceso al conocimiento: la Comedia de Dante Alighieri
Puede parecer extraño introducir a Dante Alighieri en una discusión sobre secretos empresariales y ciberseguridad. Sin embargo, en las páginas de la Comedia (1) y tras conocer el viaje del autor por el infierno, el purgatorio y el paraíso, y el acceso al conocimiento mediado, jerárquico y proporcional a su capacidad, nos damos cuenta de los enormes aportes de una mente brillante.
En la Comedia, el acceso al conocimiento no se presenta como una experiencia plana. Dante atraviesa distintos grados de comprensión y accede progresivamente a realidades que desde niveles anteriores no podía comprender plenamente, y siempre guiado, mediado podríamos decir, por figuras relevantes, verdaderos “maestros” que favorecían el acceso.
La utilidad de esta concepción para el derecho contemporáneo no está en convertir la literatura medieval en una norma jurídica. Está en utilizarla como una herramienta conceptual para pensar algo que la tecnología vuelve cada vez más urgente: el conocimiento también puede organizarse jerárquicamente.
Una empresa no solo posee información. Posee conocimientos de diferente valor, distribuidos entre personas, departamentos, proveedores, socios y sistemas tecnológicos.
Protegerlos exige administrar esa arquitectura, y la idea puede resumirse en una fórmula: a mayor valor y sensibilidad del conocimiento, mayor debe ser la racionalidad de su clasificación, restricción, autorización, trazabilidad y protección.
No se trata de construir una fortaleza inexpugnable. Se trata de demostrar que cada puerta existe por una razón y que solamente se abre para quien tiene una razón legítima para atravesarla.
El problema adquiere una dimensión adicional con la inteligencia artificial. Las empresas están incorporando modelos capaces de procesar contratos, investigaciones, bases de datos, fórmulas, códigos, estrategias comerciales y documentación técnica. En muchos casos, el empleado ya no es el único sujeto que accede al conocimiento empresarial: también puede hacerlo un sistema automatizado.
Por eso, una política contemporánea de secretos empresariales tendrá que responder una pregunta que hace pocos años prácticamente no existía: ¿qué información puede conocer una inteligencia artificial y bajo qué condiciones?
No será suficiente preguntar quién tiene permiso para abrir un archivo. Habrá que determinar qué sistemas pueden procesarlo, si pueden conservarlo, si pueden utilizarlo para inferir información adicional, si pueden transmitirlo a otros sistemas y qué mecanismos existen para impedir que una información confidencial sea incorporada a procesos posteriores sin autorización.
El secreto empresarial está dejando de ser solo un problema de almacenamiento. Se está convirtiendo en un problema de gobernanza del conocimiento. Y esto exige que el derecho vuelva a ocupar un lugar central en la discusión tecnológica.
La empresa del futuro no será aquella que simplemente tenga más información, sino aquella que sepa distinguir qué debe ser público, qué debe ser compartido, qué debe ser restringido y qué conocimiento solo puede ser conocido por determinadas personas o sistemas bajo ciertas condiciones. En otras palabras, la verdadera protección del secreto empresarial no comienza con una contraseña, sino en el entender qué conocimiento debe permanecer secreto, por qué debe permanecer así y quién tiene derecho a conocerlo. Ese debería ser el punto de partida de una nueva generación de sistemas jurídicos y tecnológicos para la protección de los secretos empresariales.
[1] Lectura Dantis Limensis es un círculo de lectura dirigido y animado por Carlos Gatti, Jorge Wiesse, Luis Landa, Sergio Bazán y un grupo maravilloso. Una república de hermandad que viernes a viernes nos regala un análisis brillante de los cantos de la Comedia de Dante Alighieri, y a los que debo esta extrapolación, tendiendo un puente entre la literatura medieval y el derecho contemporáneo.
