Repensar la resiliencia de la IA: Por qué es hora de abandonar el modelo de ‘Configúralo y olvídalo’

Una encuesta reciente de Gallup indica una tendencia de creciente adopción de IA, ya que más de la mitad de los adultos empleados afirman usar la tecnología al menos unas cuantas veces al año. Estos datos son solo una pista del rápido ritmo de adopción de IA que se está produciendo en entornos empresariales. Aunque varios líderes empresariales han comenzado a cuestionar el ROI de la IA, esto no ha detenido a las organizaciones de apoyarse en la tecnología para simplificar tareas manuales y maximizar la productividad.

Mientras continúa esta adopción, las organizaciones pueden sentirse tentadas a pasar por alto errores perjudiciales en los flujos de trabajo automatizados. Ven la IA como una solución llave en mano, que solo requiere que los equipos de TI configuren la tecnología, la dejen funcionar y “se olviden” de ella. Algunos equipos de seguridad intentan contrarrestar esta mentalidad creando manuales de automatización destinados a promover un uso seguro y protegido de la IA. Sin embargo, incluso los mejores equipos de TI y seguridad dejan poco espacio para ajustes en estos manuales. Por ello, las empresas no pueden evolucionar de forma segura junto con la IA, ya que la propia tecnología también está cambiando.

A medida que las empresas otorgan a la IA mayor autoridad en flujos de trabajo críticos para el negocio, la agilidad operativa debe convertirse en el nuevo mandato de las organizaciones actuales. Para que esto se convierta en una práctica universal, los líderes de seguridad empresarial deben abandonar la mentalidad de “configúralo y olvídalo” y diseñar la resiliencia.

Comprendiendo la paradoja de la automatización

La automatización impulsada por IA está proporcionando enormes ganancias de productividad en múltiples funciones empresariales. Tomemos la ciberseguridad como ejemplo. Las herramientas de IA permiten a los analistas realizar pasos adicionales que nunca tuvieron tiempo de hacer en centros de operaciones de seguridad sobrecargados y abrumados. Esto incluye tareas como la priorización de alertas, la revisión de eventos, la detección de amenazas, la validación cruzada y la obtención de una segunda opinión. A diferencia de algunos líderes de nivel C, los CISOs siguen siendo generalmente optimistas sobre el valor que la IA aportará en el futuro. Según datos del “Informe CISO: De riesgo a resiliencia en la era de la IA”, el 83 % de los CISOs cree que la automatización es la inversión con mayor probabilidad de superar las expectativas.

Ante estos beneficios, persiste una paradoja. El mismo informe destaca el escepticismo que los CISOs albergan respecto a la IA, temiendo las consecuencias de errores autónomos. El 83 % de los CISOs clasifica los impactos de las alucinaciones, como alertas perdidas o falsos positivos, como su mayor preocupación sobre la IA agente. Existe evidencia suficiente que respalda estas preocupaciones sobre alucinaciones. Una importante aerolínea comercial fue considerada legalmente responsable y se le ordenó pagar daños después de que su chatbot de atención al cliente alucinara una política de reembolso por fallecimiento. Una empresa de inteligencia de amenazas enfrenta problemas legales porque supuestamente publicó un informe que vinculaba a una startup con hackers de una potencia extranjera. Cuando la IA se equivoca, el daño puede extenderse más allá de los sistemas internos, afectando tanto al capital como a la reputación.

El problema de los manuales obsoletos

Los manuales de seguridad centrados en IA son una base para una adopción exitosa y segura de la IA. Sin embargo, surgen problemas cuando esos manuales nunca cambian. Las amenazas, la infraestructura de TI y los entornos empresariales están en constante evolución. La IA permite a los actores de amenaza escalar ataques, mientras que los entornos de TI cada vez más amplios y complejos dificultan la detección. Al mismo tiempo, a medida que las empresas otorgan a la IA mayor responsabilidad, las consecuencias de los errores se vuelven más significativas.

Si todos estos factores continúan evolucionando, la lógica de automatización debe evolucionar con ellos. Los manuales de automatización congelados impiden que esto ocurra. Dejan a los equipos de seguridad enfrentando problemas actuales con lógica desactualizada. En ocasiones, este escenario puede resultar peor que no contar con ningún manual.

Para que los manuales se conviertan en organismos vivos adecuados para la implementación actual de IA y, de ese modo, fomenten la resiliencia interna, deben ser:

• Probados continuamente contra inteligencia de amenazas fresca
• Actualizados después de incidentes reales
• Retirados una vez que ya no sean efectivos o aporten valor

Esta mentalidad está alineada con la guía de la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) y otras agencias globales de ciberseguridad, que promueven la monitorización continua de los sistemas de IA y la intervención humana constante.

Implementando la fórmula de resiliencia

La era de la IA exige que las empresas abandonen la mentalidad de la IA como solución puntual, o simplemente aplicar automatización a casos de uso existentes. En su lugar, las organizaciones deben construir una cultura de resiliencia que permita tanto al personal de TI como a los sistemas potenciar lo que la IA hace bien y responder de manera eficiente cuando la tecnología se equivoca.

Una fórmula práctica de tres partes puede ayudar a incorporar esta resiliencia en las acciones automatizadas.

• Confianza: Para cada flujo de trabajo automatizado, los equipos deben preguntarse: ¿Qué tan seguros estamos del disparador que inició la respuesta automatizada?
• Reversibilidad: ¿Es la acción reversible? De ser así, ¿qué tan rápido y de forma segura podemos hacerlo?
• Radio de explosión: ¿Qué alcance tienen las consecuencias si un error se propaga, y cuán crítico para el negocio es el activo afectado?

Las herramientas adecuadas de observabilidad y monitorización son esenciales para responder a estas preguntas. Los equipos deben aprovechar una plataforma unificada de observabilidad y gestión de datos para comprender completamente dónde en un entorno de TI puede ocurrir una respuesta automatizada, qué otros activos afecta y cuáles son las consecuencias empresariales asociadas. Realizar este ejercicio de forma regular permitirá a los equipos de seguridad mantener manuales de IA actualizados. Además, posibilitará prácticas adecuadas de “humano en el bucle”, ya que los equipos de TI sabrán dónde y cómo intervenir para evitar que acciones automatizadas inadecuadas generen efectos generalizados y costosos.

Ya no más “configúralo y olvídalo”

Es importante que el CISO moderno y los líderes de TI comprendan que la responsabilidad última recae en ellos cuando se trata del comportamiento de la IA. Cuanto más la IA intervenga en trabajos críticos de la empresa, mayor será la carga para los directores de ciberseguridad. Una buena regla práctica para recordar es: “La automatización cambia quién pulsa el botón. No cambia quién es responsable de que el botón se pulse”.

Los riesgos y la carga sobre el CISO actual son demasiado altos como para mantener manuales de “configúralo y olvídalo”. En su lugar, la resiliencia debe ser tanto una práctica como una cultura que impregne a la empresa y le permita recuperarse después de que la IA cometa un error. Cuando los equipos incorporan monitorización continua, reversibilidad, contención y propiedad humana en el manual de automatización, las empresas pueden evitar que una decisión automatizada se convierta en un problema a nivel empresarial.