Por qué las empresas siguen siendo cautelosas con la IA — Y cómo implementarla de manera segura

La IA ha revolucionado el mundo. Mientras que algunas organizaciones fueron adoptadoras tempranas, muchas empresas han tomado un enfoque más cauteloso — preocupadas por la privacidad, el cumplimiento y los problemas operativos que persisten hasta hoy.

He trabajado en cientos de implementaciones que involucran herramientas de seguridad alimentadas por IA y he visto un patrón familiar desplegarse. Los defensores traen entusiasmo temprano. Los pilotos muestran promesa. Luego vienen debates internos, revisiones legales y eventualmente una pausa mientras las organizaciones se hunden en la parálisis del análisis. A pesar del inmenso potencial de la IA para transformar las operaciones de seguridad, muchas empresas siguen siendo reacias a abrazarla por completo.

En la ciberseguridad, la cautela es a menudo el instinto correcto. Pero retrasar las implementaciones de IA no detendrá las amenazas alimentadas por IA que ahora están creciendo en escala y frecuencia. El verdadero desafío es cómo adoptar IA de manera segura, deliberada y sin comprometer la confianza.

Aquí está lo que he aprendido de la primera línea — y lo que recomiendo para los líderes de seguridad que están listos para avanzar con confianza.

1. El problema de confianza de los datos

El primer y mayor obstáculo es la gestión de datos. Muchas empresas están aterrorizadas con la idea de que los datos sensibles podrían filtrarse, ser mal utilizados o — lo peor de todo — ser utilizados para entrenar un modelo que beneficie a un competidor. Las violaciones de datos de alto perfil y las vagas garantías de los vendedores solo refuerzan estos temores.

No es paranoia. Cuando se trata de información personal del cliente, propiedad intelectual o datos regulados, entregarlos a un tercero puede parecer una pérdida de control. Y hasta que los vendedores hagan un mejor trabajo aclarando sus políticas sobre segregación de datos, retención, participación de fourth-party y capacitación de modelos, la adopción permanecerá cautelosa.

Este es donde la gobernanza se vuelve crucial. Los CISO deben evaluar a los vendedores utilizando marcos emergentes como el NIST AI Risk Management Framework o ISO/IEC 42001, que ofrecen orientación práctica sobre confianza, transparencia y rendición de cuentas en los sistemas de IA.

2. No se puede mejorar lo que no se mide

Otro obstáculo común es la falta de métricas de referencia. Muchas empresas no pueden cuantificar el rendimiento actual, lo que hace que probar el ROI de las herramientas de IA sea casi imposible. ¿Cómo puede afirmar un aumento de eficiencia del 40% si nadie rastreó el tiempo que tomó la tarea antes de la automatización?

Ya sea que se trate de tiempo medio de detección (MTTD), tasas de falsos positivos o horas de analista de SOC ahorradas, las organizaciones necesitan comenzar midiendo los flujos de trabajo del estado actual. Sin estos datos, el caso de la IA permanece anecdótico — y los patrocinadores ejecutivos no aprobarán iniciativas a gran escala sin números reales y defendibles.

Comience a rastrear KPI clave ahora, incluyendo:

• Tiempo medio de detección / respuesta (MTTD / MTTR)
• Reducción de falsos positivos, falsos negativos y volumen de tickets
• Tiempo de analista ahorrado por incidente
• Mejoras en la cobertura (por ejemplo, vulnerabilidades escaneadas y corregidas)
• Incidentes resueltos sin escalación

Estas líneas de base se convertirán en la columna vertebral de su estrategia de justificación de IA.

3. Cuando las herramientas funcionan demasiado bien

Irónicamente, una de las razones por las que la adopción de IA se estanca es que algunas herramientas funcionan demasiado bien — exponiendo más riesgo del que la organización está preparada para manejar.

Las plataformas de inteligencia de amenazas avanzadas, las herramientas de monitoreo de la dark web y las soluciones de visibilidad alimentadas por LLM a menudo revelan credenciales robadas, dominios similares o vulnerabilidades no detectadas anteriormente. En lugar de crear claridad, esta visibilidad abrumadora puede generar un nuevo problema: ¿Por dónde empezar?

He visto a equipos desactivar análisis avanzados porque el volumen de hallazgos creó incomodidad política o presupuestaria. Una mejor visibilidad exige una mejor priorización — y una voluntad de enfrentar problemas de frente.

4. Bloqueados en contratos de legacy

Incluso cuando hay herramientas mejores disponibles, muchas empresas están bloqueadas en acuerdos de varios años con vendedores de legacy. Algunos de estos contratos llevan penales financieras tan altas que cambiar a mitad de término es un no inicio.

La seguridad del correo electrónico es un caso clásico. Las soluciones modernas ahora ofrecen detección de amenazas impulsada por IA, modelado de comportamiento y resiliencia integrada para entornos híbridos. Pero si su proveedor actual no ha mantenido el ritmo y está atascado en un trato de cinco años, está esencialmente congelado en su lugar hasta que el contrato termine.

No se trata solo de tecnología. Se trata de timing, adquisiciones y planificación estratégica.

5. El auge de la IA sombra

La adopción de IA no solo está sucediendo desde arriba hacia abajo — está sucediendo en todas partes, a menudo sin el conocimiento de la seguridad. Nuestra investigación muestra que más del 85% de los empleados ya están utilizando herramientas de IA como ChatGPT, Copilot y Bard. (¡para no mencionar DeepSeek y TikTok!)

Sin una supervisión adecuada, los empleados pueden ingresar datos sensibles en herramientas públicas, confiar en salidas alucinadas o violar inadvertidamente las políticas de la empresa. Es una pesadilla de cumplimiento y protección de datos, y pretender que no está sucediendo no soluciona el problema.

Los líderes de seguridad necesitan tomar una postura proactiva estableciendo:

• Políticas de uso aceptable
• Bloqueando aplicaciones de IA no aprobadas donde sea necesario y redirigiendo a los usuarios a herramientas autorizadas
• Implementando plataformas de IA seguras y aprobadas para uso interno
• Capacitando a los empleados sobre el uso responsable de IA

Nota de campo: Las políticas de uso de IA no van a cambiar el uso. No puedes hacer cumplir lo que no sabes, así que el primer paso es cuantificar el uso, luego activar el interruptor de cumplimiento.

6. La externalización conlleva sus propios riesgos

Pocas empresas tienen la infraestructura para construir y alojar grandes modelos en casa. Eso significa que la externalización a menudo es el único camino viable — pero conlleva riesgos de terceros y de la cadena de suministro que los CISO conocen demasiado bien.

Incidentes como SolarWinds, Kaseya y la reciente violación de Snowflake resaltan cómo confiar en socios externos sin visibilidad puede llevar a exposiciones importantes. Cuando externaliza la infraestructura de IA, hereda la postura de seguridad del proveedor — buena o mala.

No es suficiente confiar en una marca. Exija claridad sobre:

• Ciclo de vida del modelo y frecuencia de actualización
• Protocolos de respuesta a incidentes
• Controles de seguridad del proveedor y antecedentes de cumplimiento
• Aislamiento de datos y controles de inquilinos

7. La superficie de ataque de IA se está expandiendo

A medida que las organizaciones adoptan IA, también deben prepararse para vectores de amenazas específicos de IA. Los atacantes ya están experimentando con:

• Envenenamiento de modelos (alterando sutilmente los datos de entrenamiento)
• Inyección de instrucciones (manipulando el comportamiento de LLM)
• Entradas adversas (eludiendo la detección)
• Explotación de alucinaciones (engañando a los usuarios para que confíen en salidas falsas)

Estos no son teóricos. Son reales y están creciendo. A medida que los defensores adoptan IA, también deben adaptar sus estrategias de red teaming, monitoreo y respuesta para tener en cuenta esta nueva y única superficie de ataque.

8. Las personas y los procesos pueden ser el verdadero cuello de botella

Uno de los desafíos más pasados por alto es la preparación organizativa. Las herramientas de IA a menudo requieren cambios en los flujos de trabajo, conjuntos de habilidades y mentalidades.

Los analistas necesitan entender cuándo confiar en IA, cuándo desafiarla y cómo escalar de manera efectiva. Los líderes necesitan integrar IA en los procesos de toma de decisiones sin automatizar ciegamente el riesgo.

La capacitación, los libros de jugadas y la gestión del cambio deben evolucionar junto con la tecnología. La adopción de IA no es solo una iniciativa tecnológica. Es una iniciativa de transformación humana.

¿Qué podemos hacer?

A pesar de los desafíos, creo firmemente que los beneficios de la IA en la seguridad superan con creces los riesgos — si se hace correctamente. Aquí está cómo aconsejo a las organizaciones que avancen:

• Comience pequeño y pruebe rigurosamente
• Elige un caso de uso con un impacto medible. Ejecute pilotos controlados. Valide el rendimiento. Construya confianza con datos, no con hipérbole.
• Lleve a los legales, riesgos y seguridad temprano
• No espere hasta la fase del contrato. Lleve a los legales y al cumplimiento para verificar los términos de manejo de datos, riesgos regulatorios y implicaciones de la cadena de suministro desde el principio.

Mida todo

Rastree KPI antes y después de la implementación. Cree paneles que hablen en términos de seguridad y negocio. Las métricas hacen o deshacen la financiación de IA.

Elige socios con pruebas reales de proyectos exitosos

Mire más allá de las demostraciones. Exija referencias. Pregunte sobre el soporte post-venta, la complejidad de la implementación y los resultados en entornos como el suyo.

¿Qué sigue? Casos de uso emergentes que vale la pena ver

Todavía estamos al comienzo del viaje de IA en la seguridad. Los CISO con visión de futuro ya están explorando:

• Copilotos de IA para la administración de firewalls, GRC y automatización de cumplimiento
• Aprovechando flujos de amenazas mejorados por IA que aceleran la respuesta y la precisión de las amenazas de día cero
• Simulación de ataques y rojo de equipo generativo
• Infraestructura de varios proveedores de auto-sanación
• Controles de identidad basados en riesgos impulsados por IA de comportamiento

Estos casos de uso están pasando de los laboratorios de innovación a la producción. Las organizaciones que construyan músculo ahora estarán mucho mejor preparadas para capitalizar.

Pensamiento final: Retrasar no es defensa

La IA está aquí y también están los adversarios impulsados por IA. Cuanto más tiempo espere, más terreno perderá. Pero esto no significa que deba apresurarse ciegamente.

Con una planificación cuidadosa, una gobernanza transparente y los socios adecuados, su organización puede adoptar IA de manera segura — aumentando la capacidad sin sacrificar el control.

El futuro de la seguridad es aumentado. La única pregunta es si liderará o se quedará atrás.