Cómo los administradores de TI configuran la privacidad de datos, reglas DLP y restricciones de IA generativa en Grammarly Business

La adopción corporativa de asistentes de redacción con inteligencia artificial plantea un dilema crucial para los equipos de seguridad y tecnologías de la información: mientras que los empleados incrementan sustancialmente su productividad y la claridad de su comunicación en inglés, las extensiones de navegador y aplicaciones de escritorio no supervisadas introducen el riesgo de filtrar código fuente propietario, estados financieros confidenciales, registros médicos y datos de identificación personal (PII) a servidores en la nube.

Grammarly Business (específicamente en su nivel Enterprise) mitiga este riesgo mediante un marco de gobernanza centralizado diseñado bajo principios de Zero Trust. En lugar de depender de la precaución individual de cada usuario, los administradores de TI pueden higienizar cadenas de datos salientes mediante prevención de pérdida de datos (DLP), aislar software y portales internos mediante listas de bloqueo, integrarse con etiquetas de confidencialidad corporativas y gestionar el acceso a funciones de IA generativa de forma granular por departamento.

Esta guía detalla paso a paso cómo configurar las políticas de DLP, exclusiones de dominios y aplicaciones, modos confidenciales y restricciones de IA en la consola de administración de Grammarly.

1. La arquitectura de seguridad empresarial en cuatro capas

Las implementaciones empresariales de Grammarly protegen la información corporativa a través de cuatro barreras defensivas:

2. Configuración de Prevención de Pérdida de Datos (DLP) y desinfección de contenido

La funcionalidad nativa de DLP en Grammarly actúa directamente en el cliente antes de que los datos se transmitan a la nube. Es compatible con las extensiones de navegador (Chrome, Firefox, Edge), las aplicaciones de escritorio para Windows y macOS, y el editor web. A diferencia de las herramientas tradicionales de DLP perimetral que generan alertas o bloqueos tras la detección de una infracción, Grammarly higieniza y anonimiza el texto en el punto de captura, impidiendo que la información confidencial abandone el entorno local.

Paso 2.1: Acceso a la configuración de DLP

1. Inicie sesión en la Grammarly Admin Console con credenciales de administrador.
2. En el panel de navegación lateral, seleccione Organization.
3. En la categoría Enterprise Security, haga clic en Data.
4. Localice el módulo Data Loss Prevention (DLP) para verificar el estado de activación y los patrones admitidos.

Paso 2.2: Tipos de datos sensibles protegidos

Cuando la directiva de DLP está activa, el motor identifica y enmascara automáticamente los siguientes tipos de información:

• Identificadores personales y de contacto: Direcciones de correo electrónico (Email addresses), números de teléfono (Phone numbers) y direcciones web (URLs).
• Documentos de identidad gubernamentales: Números de Seguridad Social de EE. UU. (US SSN), números de Seguro Nacional del Reino Unido (UK NINO) y números de Seguro Social de Canadá (Canada SIN).
• Credenciales financieras y de pago: Números de tarjetas de crédito (Credit card numbers) y códigos internacionales de cuenta bancaria (IBAN).

Cuando un empleado redacta contenido que contiene estos patrones, Grammarly reemplaza los valores reales por marcadores anónimos antes de procesar sugerencias gramaticales, asegurando que la información regulada nunca alcance los microservicios en la nube.

Paso 2.3: Validación mediante la herramienta "Test out DLP"

Antes de desplegar la directiva en toda la organización, los administradores pueden simular el comportamiento de desinfección:

1. En la página Data, haga clic en el botón Test out DLP.
2. Introduzca un fragmento de texto de prueba que incluya números de tarjeta de prueba, SSN ficticios o enlaces internos.
3. Compruebe cómo el sistema detecta de inmediato los patrones seleccionados y aplica el enmascaramiento.
4. Ajustes avanzados: Si su empresa requiere expresiones regulares personalizadas (como formatos de números de empleado o códigos de cuenta internos), debe coordinarse con su Customer Success Manager (CSM) asignado para actualizar el perfil backend de la suscripción.

3. Implementación del Modo Confidencial de terceros (Etiquetas de Microsoft Purview)

En departamentos legales, de recursos humanos y auditoría financiera, los empleados manipulan habitualmente documentos sometidos a acuerdos de no divulgación o normativas como HIPAA. Grammarly ofrece el Third-Party Confidential Mode para desactivarse automáticamente ante documentación sensible.

Paso 3.1: Activar el Modo Confidencial

1. En la consola de administración, diríjase a Organization → Enterprise Security → Data.
2. Localice la opción Third-Party Confidential Mode y active el interruptor en On.

Paso 3.2: Vincular etiquetas de confidencialidad de Microsoft Word (Purview / MIP)

Cuando los usuarios ejecutan Grammarly for Windows, el cliente inspecciona los metadatos de clasificación del archivo de Microsoft Word en uso:

1. En la sección de Modo Confidencial, localice la tabla Labels.
2. Haga clic en Add.
3. Introduzca el nombre descriptivo de la etiqueta (por ejemplo, Altamente Confidencial o Restringido Interno).
4. Introduzca el identificador único global correspondiente: Label ID (GUID), generado en el centro de cumplimiento de Microsoft Purview / Microsoft 365.
5. Guarde los cambios.

En cuanto un empleado abra un documento de Word clasificado con dicho GUID, Grammarly suspenderá de inmediato el análisis y la sugerencia de texto para ese archivo.

Paso 3.3: Integración con el Modo Confidencial de Gmail

En entornos basados en Google Workspace, cuando un usuario activa la función nativa de "Modo confidencial" de Gmail al redactar un correo en Chrome, Edge o Firefox, la extensión de Grammarly detecta dicho estado y desactiva la lectura del borrador de manera automática.

4. Establecimiento de listas de bloqueo para dominios y aplicaciones de escritorio

Para evitar que las herramientas de redacción analicen código fuente en repositorios privados, paneles de control en la nube, sistemas HRIS o portales de historias clínicas electrónicas (EHR), los administradores deben establecer listas de exclusión.

Paso 4.1: Exclusión de dominios web

1. Vaya a Organization → Enterprise Security → Domains and apps.
2. Haga clic en Add to block list y seleccione Domain.
3. Escriba el nombre de dominio sin protocolos ni prefijos (por ejemplo, portal-interno.empresa.com o workday.com; no incluya https:// ni www).
4. Marque la casilla Include subdomains para que el bloqueo se aplique a todos los subdominios secundarios de forma recursiva (como *.empresa.com).
5. Defina el alcance de la restricción:
   • Entire organization: Bloqueo general para todos los usuarios.
   • Specific groups: Aplicación exclusiva para grupos de usuarios específicos (como Desarrollo o Legal).
6. Haga clic en Add para registrar el dominio.

Paso 4.2: Bloqueo de aplicaciones de escritorio

Grammarly for Windows y Grammarly for Mac interactúan con la interfaz del sistema operativo para asistir en aplicaciones locales. Para consolas de comandos, clientes de bases de datos, entornos de desarrollo o sistemas ERP, debe bloquearse el proceso ejecutable:

1. En la página Domains and apps, pulse Add to block list y elija Application.
2. Escriba el nombre exacto del ejecutable:
   • En Windows: Escriba el nombre con extensión .exe (por ejemplo, powershell.exe, cmd.exe, dbeaver.exe, devenv.exe).
   • En macOS: Introduzca el nombre binario de la aplicación (por ejemplo, Terminal, Xcode, iTerm2).
   • Entornos heterogéneos: Añada las entradas correspondientes para Windows y Mac por separado.
3. Seleccione si la regla aplica a toda la organización o a grupos de usuarios concretos y confirme con Add.

Consideración arquitectónica: Modelo de lista de bloqueo frente a lista de permitidos

La consola de administración de Grammarly funciona bajo un modelo exclusivo de lista de bloqueo (Blocklist). No existe una función nativa de "lista blanca" que apague el servicio en todo el sistema operativo dejando activas únicamente ciertas aplicaciones aprobadas. En consecuencia, el equipo de ciberseguridad debe mapear sus aplicaciones críticas y mantener actualizada la lista de exclusiones.

En entornos de alta seguridad, se aconseja complementar esta directiva con soluciones de gestión de puntos de conexión (MDM como Microsoft Intune o Jamf) o directivas de grupo (GPO). Asimismo, en Organization → Enterprise Security → Client apps, los administradores pueden definir qué clientes oficiales figuran como Managed (gestionados) o Blocked (bloqueados).

5. Control de acceso departamental a las funciones de IA generativa

La inteligencia artificial generativa proporciona un gran ahorro de tiempo en mercadotecnia y atención al cliente, pero suscita dudas de propiedad intelectual y cumplimiento legal en áreas de desarrollo tecnológico, finanzas o asesoría jurídica. Grammarly Business permite segmentar estos permisos por unidad operativa.

Paso 5.1: Acceso a la gestión de funciones

1. Inicie sesión en la consola y seleccione Organization.
2. Abra la pestaña Feature access.

Paso 5.2: Control del Asistente de IA (AI Assistant)

• Desactivación global: Cambie el interruptor de AI assistant a Off. Los empleados conservarán la corrección gramatical y ortográfica convencional, pero desaparecerá la capacidad de generar texto mediante instrucciones (prompts).
• Activación por grupos departamentales: Establezca el interruptor en On y limite el alcance exclusivamente a grupos autorizados (como Marketing o Customer-Success). Al omitir a los departamentos legales o de ingeniería, se neutraliza el riesgo de envío de código o cláusulas confidenciales a los modelos de lenguaje.

Paso 5.3: Gestión de Docs with agents y reescritura avanzada

• Docs with agents: Habilite o bloquee el lienzo de redacción asistida por agentes en Feature access. Si se mantiene activo, puede gestionar qué agentes individuales permitir mediante Organization → Agent access.
• Reescritura de párrafos y traducción: Gestione de forma independiente si los usuarios pueden reformular bloques enteros de texto o realizar traducciones automáticas en tiempo real.

6. Garantías de privacidad, cifrado y arquitectura de retención cero

Al responder a auditorías corporativas y normativas de privacidad, los responsables de seguridad deben validar la infraestructura técnica de Grammarly.

6.1: Prohibición de entrenamiento con datos de clientes

Grammarly garantiza contractualmente que el contenido corporativo de sus clientes empresariales nunca se utiliza para entrenar sus modelos de aprendizaje automático ni modelos de lenguaje de terceros. En las cuentas Enterprise, los mecanismos de retroalimentación para mejora de producto se encuentran desactivados por defecto a nivel de inquilino.

6.2: Microsoft Azure OpenAI y retención cero de datos (Zero-Day Retention)

Grammarly utiliza Microsoft Azure OpenAI Service como proveedor de infraestructura para sus capacidades de IA generativa. Este acuerdo garantiza:

• Cero retención de datos: Las solicitudes y respuestas no se almacenan ni quedan registradas en los servidores de Microsoft.
• Aislamiento de inquilinos: El tráfico empresarial se procesa en entornos aislados en la nube.
• Desidentificación previa: Toda petición enviada al modelo pasa por un pipeline de anonimización y eliminación de PII previo a la transmisión.

6.3: Cifrado con clave propia del cliente (BYOK)

Para organizaciones con requerimientos estrictos de custodia criptográfica de datos en reposo, el plan Enterprise admite BYOK (Bring Your Own Key) mediante AWS Key Management Service (KMS):

• La empresa genera y administra su clave en su propia cuenta de AWS y proporciona el Amazon Resource Name (ARN) a Grammarly.
• Los datos almacenados (como documentos guardados en el editor) se cifran mediante AES-256 utilizando dicha clave.
• Si la empresa revoca el acceso a la clave en AWS KMS, los datos en poder de Grammarly quedan destruidos criptográficamente (Crypto-shredding) de manera inmediata.
• Cada solicitud de cifrado o descifrado queda registrada en AWS CloudTrail para fines de auditoría forense.

6.4: Identidad, acceso y certificaciones de cumplimiento

• SAML 2.0 y SCIM: Integración con proveedores de identidad (Okta, Microsoft Entra ID, PingIdentity, Google Workspace) con desaprovisionamiento automatizado al producirse bajas de personal.
• Control de sesiones: Configuración de tiempos de expiración por inactividad para evitar accesos no autorizados en terminales compartidos.
• Certificaciones internacionales: Acreditaciones independientes SOC 2 (Tipo II), ISO/IEC 27001, 27017, 27018, 27701 y firma de acuerdos BAA (Business Associate Agreement) para cumplimiento con la ley HIPAA.

7. Lista de verificación para la implementación por fases

Para garantizar un despliegue seguro y conforme a las políticas corporativas, se recomienda seguir esta secuencia:

[ ] Fase 1: Identidad y sincronización de grupos
    - Configurar SAML 2.0 SSO y aprovisionamiento SCIM.
    - Sincronizar grupos de seguridad del directorio corporativo (Legal, Finanzas, I+D, Marketing).

[ ] Fase 2: Control perimetral de dominios y aplicaciones
    - Añadir repositorios internos, portales de nóminas y dominios corporativos a la lista de bloqueo.
    - Registrar ejecutables de consolas de comandos y software de desarrollo en la lista de aplicaciones.

[ ] Fase 3: Higienización DLP y etiquetas de confidencialidad
    - Comprobar que DLP esté activo en Enterprise Security → Data.
    - Realizar pruebas de enmascaramiento con la herramienta "Test out DLP".
    - Activar Third-Party Confidential Mode e importar los GUID de Microsoft Purview.

[ ] Fase 4: Gobierno de IA generativa
    - En Feature access, restringir el AI Assistant únicamente a departamentos autorizados.
    - Desactivar Docs with agents y reescritura de párrafos para equipos con datos regulados.

[ ] Fase 5: Validación criptográfica y regulatoria
    - Configurar BYOK mediante AWS KMS si se exige control absoluto de claves.
    - Gestionar la firma del BAA con Grammarly en caso de tratar información de salud protegida (PHI).

Mediante la combinación de enmascaramiento previo por DLP, reconocimiento de etiquetas de confidencialidad de Purview, listas de bloqueo de procesos y control granular de IA generativa, los administradores de TI proporcionan a sus empleados las ventajas de la redacción asistida por IA sin comprometer la seguridad ni el cumplimiento normativo de la organización.

Referencias

• The Grammarly User Trust Center | Security, Privacy, & Compliance
• Security at Grammarly
• Grammarly for Enterprise
• Grammarly for Business | AI Writing Assistance for Teams of all Sizes
• Grammarly Support