Introducción
El verdadero punto de inflexión ocurrió a finales de 2022. Hasta ese momento, el uso formal de la inteligencia artificial y el aprendizaje automático en el ámbito corporativo solía visualizarse como un terreno exclusivo de áreas técnicas integradas por científicos de datos o ingenieros de infraestructura. Sin embargo, la apertura al público general de herramientas generativas avanzadas transformó el escenario de la noche a la mañana. De forma inmediata, estudiantes universitarios, profesionales independientes y empleados de diversas áreas comenzaron a experimentar con la tecnología de manera directa, sorteando los canales tradicionales de TI.
Hoy, esa adopción intuitiva se consolidó en una realidad cotidiana. Los modelos basados en lenguaje natural pasaron de ser una novedad web a convertirse en utilidades esenciales de infraestructura. Prácticamente cualquier área de una organización (desde recursos humanos y finanzas hasta marketing y desarrollo de software) interactúa de manera nativa con sistemas que procesan, resumen y generan información mediante IA.
Esta democratización acelerada trajo consigo mejoras medibles en la eficiencia operativa. Sin embargo, también desdibujó las fronteras del perímetro de seguridad tradicional. La conversación sobre ciberseguridad ya no puede limitarse a la protección de servidores, firewalls y dispositivos finales (endpoints). En el escenario actual, el uso libre y cotidiano de la IA exige que directores, CEOs y líderes de transformación digital evolucionen hacia un modelo de gestión del riesgo integral, donde la tecnología y la estrategia corporativa compartan la misma agenda.
La IA dejó de ser una herramienta exclusiva de especialistas
La incorporación de interfaces conversacionales simplificadas permitió que cualquier profesional, sin importar su formación técnica, integre capacidades de automatización avanzadas en sus tareas diarias. Un analista financiero puede utilizar modelos para sintetizar informes de mercado, mientras que un equipo legal puede agilizar la revisión preliminar de contratos de gran volumen. Esta transversalidad convierte a la IA en una herramienta omnipresente dentro del ecosistema empresarial.
Este fenómeno de adopción descentralizada dio lugar a la expansión de lo que se conoce en la gestión tecnológica como Shadow AI (Inteligencia Artificial en la Sombra). Este concepto describe el uso de aplicaciones, servicios web o extensiones basadas en IA por parte de los empleados sin el conocimiento explícito, la supervisión o la aprobación del departamento de tecnología y seguridad. Lejos de ser una actitud maliciosa o un intento deliberado de evadir las normas, el Shadow AI refleja una respuesta natural de los equipos ante la necesidad de resolver problemas cotidianos con mayor agilidad.
El desafío organizacional radica en que este uso invisible rompe los flujos de control tradicionales. Cuando los datos de la empresa alimentan plataformas externas que operan bajo términos de servicio de consumo público, la trazabilidad de la información se pierde. Por lo tanto, el foco de los líderes no debe ser penalizar la proactividad de las áreas de negocio, sino integrarlas en una arquitectura de gobernanza clara, capaz de visibilizar el uso de estas herramientas para canalizarlo de forma segura y productiva.
Una nueva superficie de riesgo digital
Con la democratización de estas tecnologías, la superficie de exposición de las organizaciones se ha ampliado y diversificado. Tradicionalmente, la protección de la información se basaba en la delimitación de accesos estructurados: bases de datos con permisos jerárquicos, perfiles de usuarios definidos y sistemas de prevención de pérdida de datos (DLP) configurados para detectar patrones específicos, como números de documentos o claves financieras.
La IA introduce un factor de impredictibilidad a través de las interfaces de lenguaje natural. Cuando una organización decide interconectar sus repositorios de conocimiento internos (archivos corporativos, correos electrónicos, minutas de comisiones) con asistentes de IA para facilitar la consulta de información, se crea una nueva infraestructura digital. Organismos de referencia como la fundación OWASP han advertido que los controles de acceso tradicionales pueden verse comprometidos si los sistemas de IA procesan fuentes de datos de manera automatizada sin una validación estricta de los contextos.
El riesgo estratégico no reside en la tecnología en sí misma, sino en la diferencia operativa entre utilizar IA y utilizar IA de forma segura. Si un asistente corporativo lee un documento que contiene una instrucción externa oculta (un correo no solicitado o un archivo adjunto modificado por un tercero), el modelo podría interpretar esa instrucción lingüística como una orden legítima del sistema. Este vector de entrada, en el que los datos y las instrucciones de control se mezclan en el mismo canal de texto, obliga a las organizaciones a replantearse el almacenamiento, la clasificación y la auditoría de los datos que ponen a disposición de sus sistemas automatizados.
La inteligencia artificial también cambia el panorama de las amenazas
El entorno de las amenazas digitales externas evolucionó en paralelo a la adopción corporativa de la IA. Los actores maliciosos aprovechan las capacidades de automatización y generación de contenidos para incrementar la escala y la efectividad de sus campañas, obligando a las organizaciones a elevar sus estándares de detección y respuesta.
Uno de los impactos más visibles se encuentra en la sofisticación de la ingeniería social y los ataques de phishing. Históricamente, muchos de los correos electrónicos o mensajes fraudulentos eran detectables por errores de redacción, inconsistencias gramaticales o giros idiomáticos ajenos al contexto local. Hoy, el uso de modelos lingüísticos avanzados permite a los atacantes generar comunicaciones personalizadas, fluidas y adaptadas culturalmente al entorno empresarial de la región, dificultando la identificación visual de los engaños tanto para los empleados como para los filtros de correo tradicionales.
Asimismo, la automatización de los procesos de exploración de vulnerabilidades permite a los atacantes analizar sistemas expuestos a gran velocidad. El Foro Económico Mundial (World Economic Forum), en sus informes sobre riesgos globales, destaca de forma consistente cómo el acceso masivo a tecnologías de IA reduce las barreras técnicas necesarias para ejecutar incidentes de ciberseguridad complejos. Ante este escenario, la capacidad de respuesta de una organización ya no puede depender exclusivamente de revisiones periódicas o manuales; requiere un monitoreo continuo de la infraestructura y una actualización constante de las defensas.
La respuesta no es restringir la IA, sino gobernarla
Frente a esta nueva realidad, las políticas basadas en la prohibición total de las herramientas de IA resultan ineficaces y suelen incentivar un mayor uso en la sombra, aumentando los riesgos que se intentan evitar. La estrategia óptima para los tomadores de decisiones consiste en estructurar un modelo de gobernanza robusto que habilite la innovación bajo parámetros de riesgo controlados.
Para lograrlo, las organizaciones pueden apoyarse en marcos de referencia institucionales e internacionales desarrollados por organismos de estandarización:
- NIST AI Risk Management Framework (AI RMF 1.0): Este marco del Instituto Nacional de Estándares y Tecnología de los Estados Unidos propone un enfoque basado en cuatro funciones clave: Gobernar, Mapear, Medir y Gestionar. El documento subraya la importancia de definir la tolerancia al riesgo de la empresa a nivel directivo antes de iniciar el despliegue de soluciones tecnológicas.
- ISO/IEC 42001: Se trata del primer estándar internacional certificable diseñado específicamente para establecer, implementar y mejorar un Sistema de Gestión de Inteligencia Artificial (SGIA) dentro de las organizaciones. Ofrece una guía estructurada para balancear el cumplimiento normativo con la eficiencia operativa.
- Pautas de CISA y NCSC: Las agencias de ciberseguridad de Estados Unidos y el Reino Unido enfatizan el principio de «Seguridad por Diseño» (Secure by Design). Esto implica que cualquier implementación de IA debe tratar las entradas de datos externos como no confiables de forma predeterminada, implementando capas de validación técnica antes de que la información sea procesada por los núcleos de los modelos.
La aplicación práctica de estos marcos requiere que las empresas diseñen políticas claras que definan qué tipos de datos pueden ser introducidos en herramientas públicas, cuáles requieren entornos privados y cómo se deben auditar los resultados. La clasificación de la información corporativa se convierte, así, en una pieza fundamental para mitigar la fuga accidental de propiedad intelectual o datos sensibles.
La cultura organizacional como nuevo componente de la seguridad
El aseguramiento del ecosistema digital de una empresa no es un desafío que pueda resolverse exclusivamente mediante la adquisición de software de seguridad. En la era de la IA democrática, la ciberseguridad es una disciplina transversal que involucra a las personas, los procesos y el liderazgo institucional.
Un factor cultural crítico identificado en las investigaciones sobre la adopción tecnológica es el «sesgo de automatización» (automation bias). Este fenómeno describe la tendencia humana a confiar de manera implícita en los resultados generados por sistemas automatizados, asumiendo que son técnicamente correctos y seguros sin realizar una verificación previa. En el ámbito corporativo, esto puede llevar a que los equipos validen análisis de datos erróneos o compartan fragmentos de código sugeridos por asistentes que contienen fallas estructurales.
La formación continua y la sensibilización del personal deben evolucionar. Ya no es suficiente entrenar a los colaboradores para que reconozcan un enlace sospechoso; es necesario capacitarlos en el uso crítico y seguro de la IA. Esto incluye comprender el funcionamiento básico de los modelos stocásticos, aprender a redactar instrucciones funcionales sin exponer secretos comerciales y adoptar el hábito de verificar los datos producidos por la tecnología antes de su integración en los procesos de toma de decisiones.
Los CEOs, CIOs y directores de transformación digital tienen la responsabilidad de liderar este cambio cultural. Fomentar un entorno donde la innovación se acompañe de una gestión del riesgo proactiva y transparente permitirá a las organizaciones del ecosistema tecnológico capitalizar el potencial de la inteligencia artificial, resguardando al mismo tiempo la integridad y la confianza en sus operaciones a largo plazo.
Fuentes consultadas
- ■National Institute of Standards and Technology (NIST) (2023). NIST Artificial Intelligence Risk Management Framework (AI RMF 1.0). https://www.nist.gov/itl/ai-risk-management-framework
- ■European Network and Information Security Agency (ENISA) (2024). AI Threat Landscape Report. https://www.enisa.europa.eu/publications/enisa-ai-threat-landscape
- ■OWASP Foundation (2025). OWASP Top 10 for Large Language Model Applications v2.0. https://owasp.org/www-project-top-10-for-large-language-model-applications/
- ■Cybersecurity and Infrastructure Security Agency (CISA) & NCSC (2023). Guidelines for Secure AI System Development. https://www.cisa.gov/resources-tools/resources/guidelines-secure-ai-system-development
- ■International Organization for Standardization / International Electrotechnical Commission (ISO/IEC) (2023). ISO/IEC 42001:2003 Information technology — Artificial intelligence — Management system. https://www.iso.org/standard/81230.html
- ■World Economic Forum (WEF) (2024). The Global Risks Report 2024. https://www.weforum.org/publications/global-risks-report-2024/
Conecta