Redacción
La adopción de la inteligencia artificial en Europa ha superado la fase de proyectos piloto para integrarse plenamente en las infraestructuras corporativas mediante agentes autónomos y aplicaciones generativas. Ante esta rápida expansión en el entorno de las tecnologías de la información, han surgido diversas normativas y marcos de trabajo. Siendo los más destacados el marco de gestión de riesgos NIST AI RMF, las normativas de gobernanza ISO/IEC 23894 y 42001, y la reciente Ley de Inteligencia Artificial de la Unión Europea. Sin embargo, la velocidad de implantación tecnológica ha superado a la creación de estructuras de gobernanza corporativa, generando una importante brecha de seguridad.
Loïc Guézo, director de estrategia de ciberseguridad para el sur de Europa en Proofpoint apunta: “La Ley de IA de la UE establece obligaciones legales para los sistemas de IA, lo cual es necesario, pero es solo una pieza del rompecabezas. Una organización puede cumplir con todos los requisitos y, aun así, sufrir una fuga de datos, un uso indebido por parte de personal interno o una campaña de phishing amplificada por IA. Para un grupo que opera en Europa, pero está expuesto a clientes internacionales o filiales, el enfoque más sólido sería utilizar el NIST como columna vertebral operativa, las normas ISO para la madurez de la gobernanza y la Ley de IA de la UE para las obligaciones legales específicas”.
El mero cumplimiento de la ley no equivale a una reducción real de las amenazas ni evita posibles fugas de información corporativa. Acatar los requisitos legales de la legislación europea es un paso imperativo, pero resulta insuficiente por sí solo para frenar usos indebidos por parte de los empleados o campañas de ingeniería social amplificadas por algoritmos.
Aunque los debates sobre estas herramientas suelen centrarse en la precisión de los modelos estadísticos o en sus posibles sesgos, los incidentes de seguridad reales derivan del factor humano, del tránsito de los datos y de la explotación maliciosa por parte de terceros. Los especialistas identifican cuatro vulnerabilidades principales en el panorama empresarial actual. En primer lugar, destaca la IA en la sombra, que ocurre cuando los gestores de sistemas carecen de visibilidad sobre qué aplicaciones no autorizadas utiliza la plantilla y qué información se introduce en ellas. Esta falta de control enlaza de manera directa con el riesgo derivado del comportamiento del personal, que se manifiesta cuando se comparten datos confidenciales con plataformas externas, ignorando los protocolos internos establecidos.
A estos factores internos se suma la creciente exposición de la información. Los nuevos sistemas generativos tienen la capacidad de amplificar a gran escala los fallos preexistentes en las políticas de control de acceso a los datos de una compañía. Finalmente, las organizaciones se enfrentan a un incremento constante de ciberataques, como el fraude del CEO o la vulneración del correo electrónico empresarial, cada vez más sofisticados gracias al uso que los atacantes hacen de estas mismas herramientas.
Para mitigar estas amenazas, los expertos proponen integrar los diferentes marcos regulatorios internacionales en una estrategia de seguridad conjunta. La estructura óptima para corporaciones con exposición global consistiría en utilizar el estándar NIST como base operativa para evaluar y supervisar riesgos, aplicar las normas ISO para establecer procesos internos de responsabilidad medibles, y acatar la Ley de Inteligencia Artificial europea para cubrir todas las obligaciones jurídicas exigidas.
Para llevar a cabo esta transición y abandonar el enfoque ineficiente de mantener programas paralelos, se recomienda que la dirección elabore una hoja de ruta unificada en estrecha colaboración con los responsables de seguridad de la información. Este plan debe comenzar por un inventario exhaustivo de todos los sistemas tecnológicos, copilotos y agentes de terceros aprobados, asignando responsabilidades claras sobre cada activo. Posteriormente, las medidas de protección deben priorizarse en función del impacto comercial, diferenciando el tratamiento de la información pública de aquella que contiene propiedad intelectual. Toda esta estrategia exige vincular los objetivos de gobernanza con controles operativos reales, como la gestión estricta de accesos o la monitorización del uso. Finalmente, el éxito de este programa debe medirse a través de la reducción efectiva de los incidentes y no mediante la simple justificación de la actividad regulatoria.
Imagen: Loïc Guézo, director de estrategia de ciberseguridad para el sur de Europa en Proofpoint
