Inteligencia Artificial, Responsabilidad y el Despertar de la Ciberseguridad

Como las organizaciones continúan adoptando la inteligencia artificial (IA) para impulsar la innovación, transformar operaciones y optimizar la toma de decisiones, deben enfrentar otra realidad: la IA está cambiando rápidamente el panorama de amenazas de ciberseguridad. Si bien la IA está ayudando a los CISO a mejorar la detección y respuesta, también está llevando a ciberataques más sofisticados. Los mismos motores de IA que generan valiosas perspectivas también pueden generar identidades falsas, campañas de phishing y malware.

El informe State of Cybersecurity Report 2025 de Wipro describe esta realidad con precisión. A pesar de la promesa de la IA de fortalecer la seguridad, las organizaciones todavía no están alcanzando sus objetivos. Sin embargo, esto no se debe a la tecnología, sino a las brechas de responsabilidad, los planes de gobernanza fragmentados y la falta de conciencia sobre la formación en ciberseguridad. Muchas violaciones de la seguridad se deben no solo a adversarios avanzados, sino también a errores humanos y a la falta de inversión en ciberseguridad básica.

El Paisaje de Amenazas en Expansión

La IA ha cambiado el panorama para los cibercriminales. Ahora pueden utilizar modelos generativos para crear mensajes de phishing personalizados, automatizar la creación de malware que puede evadir la detección y incluso manipular audio y video para impersonar a ejecutivos a través de deepfakes. Estas tácticas ya no están limitadas a actores estatales o grupos de élite de piratas informáticos, ya que están disponibles a través de herramientas de código abierto y plataformas de IA como servicio.

La investigación de Wipro muestra que el 44% de las organizaciones ahora citan la negligencia interna y la falta de conciencia sobre la ciberseguridad de los empleados como las principales vulnerabilidades, incluso más que el ransomware en el índice de riesgos. Esto muestra que muchas empresas no están manteniendo el ritmo con la evolución de los ataques: los sistemas heredados, el software obsoleto y las estrategias de gestión de parches débiles hacen que sea fácil para los cibercriminales infiltrarse en las redes.

Descuidar las prácticas de seguridad fundamentales ya no es un error obsoleto o perdonable; es un riesgo comercial crítico. El aumento de los ataques habilitados por IA solo amplía la brecha entre las organizaciones que toman la ciberseguridad en serio y aquellas que no.

Líneas Borrosas de Responsabilidad

Uno de los hallazgos clave del informe es la falta de claridad sobre la propiedad de la ciberseguridad. Mientras que el 53% de los CISO informan directamente a los CIO, el resto se dispersan en diversas funciones ejecutivas, incluyendo COO, CFO y equipos legales. Esto debilita la toma de decisiones y hace que sea confuso saber quién es verdaderamente responsable de los resultados de seguridad.

Este problema se vuelve más agudo cuando la IA entra en escena. El informe encontró que el 70% de los encuestados europeos cree que la implementación de la IA debería ser una responsabilidad compartida, sin embargo, solo el 13% tiene un equipo designado para supervisarla. La adopción de la IA a menudo procede sin una supervisión crítica de riesgos sin una propiedad claramente definida, lo que lleva a prácticas inconsistentes, vulnerabilidades no gestionadas y oportunidades perdidas para la alineación con los marcos regulatorios.

Los líderes de TI deben tratar la ciberseguridad y la gobernanza de la IA como prioridades estratégicas a nivel de la junta ejecutiva. Los ejecutivos seniors deben ir más allá de la supervisión pasiva y participar en ejercicios de mesa, planificación de escenarios y revisiones de preparación para ciberataques. En el entorno actual, la colaboración, la comunicación y la gestión de crisis son necesarias para mantener la resiliencia.

El Papel de la IA en la Reconfiguración de la Seguridad

Si bien la IA ha creado nuevas amenazas, también ofrece capacidades poderosas para ayudar a las organizaciones a proteger sus redes. La detección de amenazas impulsada por la IA puede analizar grandes cantidades de datos en tiempo real, reducir los falsos positivos y identificar irregularidades comportamentales que podrían indicar una violación. Puede automatizar la triage de incidentes, acelerar los tiempos de respuesta y ayudar a los centros de operaciones de seguridad.

Según Wipro, el 93% de las organizaciones encuestadas prioriza la IA para la detección y respuesta de amenazas, lo que refleja el valor que las organizaciones otorgan a la detección de amenazas. Esta naturaleza de doble uso de la IA exige un enfoque medido y responsable para su implementación. Las organizaciones necesitan marcos de gobernanza que cubran la explicabilidad de los modelos, la mitigación de sesgos y el cumplimiento de las leyes de privacidad de datos. Sin estos, la IA puede convertirse en un riesgo impredecible en lugar de una herramienta para la resiliencia.

Por Qué la Formación de los Empleados Todavía es Importante

En un mundo de herramientas de IA avanzadas, el error humano sigue siendo la vulnerabilidad más consistente en la ciberseguridad. El phishing sigue siendo el vector de ataque principal para el 65% de las organizaciones. A medida que los atacantes utilizan la IA para crear tácticas de ingeniería social más convincentes, aumenta el riesgo de violaciones desencadenadas por el usuario.

Una de las razones principales para esto es que las organizaciones a menudo ven la formación en ciberseguridad como una actividad de cumplimiento de un solo uso. Debe ser un proceso continuo que evolucione con el tiempo. Los empleados deben ser capacitados sobre amenazas comunes y riesgos impulsados por la IA, como la impersonación de voz a través de deepfakes o ataques de inyección de comandos en plataformas habilitadas para IA. Las actualizaciones descuidadas, los sistemas no parcheados y la dependencia de infraestructuras heredadas siguen siendo problemas persistentes, y estos descuidos crean oportunidades para violaciones. La formación debe ir de la mano con auditorías rutinarias, gestión de parches y coordinación entre departamentos.

Para defenderse verdaderamente contra amenazas modernas, las organizaciones deben invertir en inteligencia humana y máquina, y asegurarse de que sus equipos sean tan ágiles y adaptables como sus tecnologías.

Construyendo una Cultura de Responsabilidad

La base de una estrategia de ciberseguridad no es la tecnología; es la claridad. Las organizaciones deben definir quién es responsable de qué, establecer estructuras de gobernanza y fomentar una cultura de seguridad que abarque todas las áreas.

La clave es empoderar al CISO o al equivalente papel de liderazgo de TI con autoridad y visibilidad. Es sabio formar consejos de riesgos cibernéticos multifuncionales, que incluyan representantes de TI, cumplimiento, legal y unidades de negocio. Algunas empresas están estableciendo comités a nivel de la junta directiva centrados específicamente en la supervisión de la ciberseguridad.

Los marcos de gobernanza para la implementación de la IA deben incluir controles sobre los datos de entrenamiento, la implementación del modelo, los derechos de acceso y el monitoreo en tiempo real. Estos marcos deben evolucionar junto con regulaciones como el Reglamento de IA de la UE y los estándares emergentes de la industria para el uso ético de la IA.

La educación de los empleados sobre la IA también debe estar integrada en este cambio cultural. La seguridad de la IA no es solo un problema de TI; es una responsabilidad compartida en todos los departamentos, regiones y roles. Toda la empresa se beneficia cuando todos en la organización entienden su papel en la protección de los datos y los sistemas.

De la Conciencia a la Acción

La IA está redibujando el paisaje de la ciberseguridad. Los atacantes son más rápidos, más escalables y cada vez más automatizados. Los defensores tienen herramientas poderosas a su disposición, pero las herramientas solas no los salvarán.

Las organizaciones deben construir mejores procesos de gobernanza, no solo algoritmos más poderosos. Esto incluye aclarar la responsabilidad por los sistemas de IA y posiblemente incluir la IA en la mezcla de ciberseguridad.

El informe envía un mensaje claro: la tecnología está avanzando rápidamente, pero las personas, los procesos y las prioridades están rezagadas. Bridging que brecha es un imperativo estratégico, especialmente ahora que la IA ha entrado en escena. No hay duda de que la IA continuará transformando la forma en que vivimos y trabajamos. Pero si esa transformación fortalece o compromete su organización depende de la seriedad con la que asume la responsabilidad, a partir de hoy.