Un frente que nos está pisando sin darnos cuenta

Hay cambios que llegan con estruendo y otros que llegan en silencio. La relación entre la inteligencia artificial y la ciberseguridad es de los segundos.

Lo notamos casi sin querer. Cada semana hay una noticia nueva: un sistema que encuentra fallos que nadie había visto, unos agentes que hacen lo que no debían, unas empresas que piden tiempo para reforzar sus defensas.

Las leemos, nos sorprenden un momento y seguimos adelante. Pero es un tema que nos está pisando sin que nos demos cuenta. Y nos daremos cuenta, mucho y en muy poco tiempo.

Estas líneas no buscan alarmar. Solo invitan a mirar a tiempo, y a hacerlo juntos.

Análisis: dos tiempos que no se encuentran

La IA se ha convertido en un nuevo rayo X. Atraviesa el código de los programas y ve grietas que el ojo humano no alcanza a ver. Para quien defiende, es una oportunidad de reparar debilidades acumuladas durante años. Pero la misma mirada está al alcance de quien ataca.

El problema de fondo es la distancia entre dos tiempos: el de la tecnología se mide en semanas; el de las instituciones, en años.

A esa distancia se suma una desigualdad. Las propias empresas tecnológicas reconocen que la IA hace más fácil y barato atacar sistemas críticos. Defenderse, en cambio, exige medios que no todos tienen: según IDC y Sage, solo un 8,5 % de las pymes españolas tiene una seguridad madura frente a los riesgos de la IA. Un ayuntamiento pequeño o un centro de salud rara vez pueden reaccionar como una gran empresa. El riesgo se concentra donde hay menos medios.

El punto de partida ya es exigente: en 2025, el INCIBE gestionó en España 122.223 incidentes de ciberseguridad, un 26 % más que el año anterior. No los causa la IA, pero sobre ellos llegará lo nuevo.

Lo que hoy damos por seguro puede acabar muy pronto en el museo de la tecnología contemporánea.

Diagnóstico: las señales ya están aquí

En julio de 2026, agentes de IA de OpenAI salieron de un entorno de pruebas y acabaron dentro de los sistemas de Hugging Face. Ya lo analizamos en Quién responde cuando nadie decide.

El Panel Científico Internacional Independiente sobre IA de Naciones Unidas, en un informe preliminar que recogimos en septiembre de 2026, lo resume bien: estos fallos cruzan fronteras entre empresas y países, y ninguna organización tiene por sí sola casos suficientes para ver los patrones.

La advertencia llega también desde dentro.

En abril de 2026, Sam Altman, de OpenAI, advirtió de que en el plazo de un año veríamos amenazas cibernéticas significativas.

En agosto, más de cien empresas firmaron una carta abierta: queda poco margen para reforzar las defensas.

Y en septiembre, los responsables de OpenAI, Anthropic y Google DeepMind se mostraron a favor de moderar el ritmo de avance de los modelos más potentes.

Hay quien sospecha, y no sin motivo, que estas advertencias también protegen posiciones.

Por eso la respuesta no es creer, sino comprobar. Pero el fondo coincide: el riesgo es real y el tiempo, corto.

Acciones: lo que se puede hacer ya

No hace falta esperar a grandes reformas. La diligencia debida, prever antes que lamentar, está al alcance de cualquier organización.

Empieza por saber qué tenemos: qué herramientas de IA se usan y a qué datos y sistemas acceden. Sigue por dar a cada sistema solo los permisos que necesita, ni uno más.

Continúa evaluando antes de poner nada en marcha, también en condiciones difíciles, porque un sistema que se porta bien cuando todo es fácil puede saltarse las reglas cuando el objetivo aprieta.

Y termina preparando la respuesta: a quién avisar, cómo y en cuánto tiempo si algo falla.

Hay además dos palancas no tecnológicas: la formación de las personas, que sigue siendo la primera barrera y la más barata, y la contratación pública, porque exigir seguridad a la IA que se compra con dinero público eleva el nivel de todo el mercado.

La ciudadanía también tiene su parte: cuidar sus dispositivos, consultar la línea 017 del INCIBE ante cualquier duda y exigir a quien guarda sus datos que explique qué IA utiliza y cómo la protege.

Adaptaciones: la norma que llega y la que se retrasa

Europa avanza a varias velocidades. Desde el 11 de septiembre de 2026, el Reglamento de Ciberresiliencia obliga a los fabricantes de productos digitales a avisar en 24 horas de las vulnerabilidades explotadas.

En cambio, las obligaciones de la Ley de IA para los sistemas de alto riesgo se han aplazado, en buena parte, hasta diciembre de 2027.

Y la directiva NIS2, que los Estados debían incorporar en octubre de 2024, sigue pendiente en varios países: en julio de 2026, la Comisión Europea llevó a cuatro Estados miembros ante el Tribunal de Justicia de la UE por no haberla incorporado por completo, y le pidió que impusiera multas.

Adaptarse no puede ser esperar al último plazo. Quien se prepare antes estará mejor protegido y cumplirá con menos esfuerzo.

Seguimiento y evaluación: la asignatura pendiente

Si hay algo que se hace poco, es evaluar. Planificamos, legislamos y a veces actuamos, pero pocas veces comprobamos si funciona, y menos aún a tiempo.

Con demasiada frecuencia, solo nos movemos cuando aparece la sanción o su amenaza. Pasa con las leyes: con la NIS2, casi dos años después del plazo y tras dos avisos formales de la Comisión Europea, ha hecho falta una demanda con petición de multas. Y pasa con la evaluación: en muchas organizaciones se revisa cuando multan, no antes.

Con la IA, eso ya no sirve. Cuando llegue la multa, el daño puede estar hecho, y hay daños que no se reparan con dinero: datos expuestos, servicios caídos, confianza perdida.

Evaluar tiene que ser una costumbre, no una reacción, con pocos indicadores que cualquiera entienda: cuánto se tarda en detectar un problema, si se avisa a tiempo, quién supervisa a los agentes de IA y cada cuánto se revisan los sistemas desde fuera. Se trata de que la gobernanza tenga también su rayo X: que vea dentro de los sistemas antes de que fallen, y no solo explique después por qué fallaron.

Sentarse todos a la mesa

Nada de esto funciona por separado. Si nadie ve por sí solo los patrones del riesgo, la única forma de verlos es juntando las miradas. Las empresas que firmaron la carta lo admiten cuando piden una defensa compartida y apoyo para quien tiene menos recursos.

Pero la mesa no puede ser solo suya. Tienen que estar las administraciones, los centros de respuesta, la universidad, las pymes, los municipios y la ciudadanía.

Sentarse a la mesa no es una foto. Es compartir alertas a tiempo, poner en común lo aprendido y que los grandes ayuden a los pequeños.

No partimos de la nada. En 2020 se creó el Foro Nacional de Ciberseguridad, un espacio de colaboración entre instituciones, empresas y universidades. Es un buen punto de partida, pero los pequeños necesitan algo más cercano: no tener que defenderse solos.

El reto ahora es triple: incorporar la IA a esas mesas, hacerlas estables y llevarlas a cada territorio. Y responder a una pregunta que pocas veces se plantea: quién convoca. Si nadie lo hace, la mesa solo se reunirá después del primer gran susto.

Tiene, eso sí, un riesgo: cuando la responsabilidad se reparte entre muchos, cada uno tiene su parte y, al final, ninguno responde. Lo planteamos en la entrevista con Francesca Rossi, líder global de ética de la IA en IBM Research, y su respuesta apunta la salida: hay que «pasar de la culpabilización retrospectiva a la responsabilidad gobernada». Es decir, acordar antes de qué responde cada cual: quien desarrolla, del diseño y los límites del sistema; quien lo pone en marcha, de su uso y supervisión; las instituciones, de cómo compran y evalúan; los reguladores, de fijar obligaciones exigibles. Y consultar antes de fijar las reglas, con la sociedad civil dentro.

Las reglas se escriben lejos, en Bruselas o en Naciones Unidas. Pero los riesgos se viven cerca: en el ayuntamiento, en el taller, en el centro de salud. Ahí es donde tiene que llegar la inteligencia colectiva.

Una reflexión final

Anticiparse no es frenar la innovación. Es la forma más sensata de acompañarla.

Hay problemas que se corrigen sobre la marcha y otros que, una vez nos desbordan, ya no admiten vuelta atrás. La ciberseguridad en la era de la IA es de los segundos.

Tenemos una tecnología capaz de verlo todo. La pregunta es si sabremos mirar con la misma profundidad antes de que la urgencia nos obligue, o si volveremos a llegar tarde.

Fuentes

+ posts

Doctor en Comunicación Audiovisual por la Universidad Complutense de Madrid y Licenciado en Derecho por la Universidad CEU. Director de Agencia de Desarrollo, líder en economía circular y pionero en acción climática, colabora con diversas comisiones de Naciones Unidas.
Fundador y director de la Plataforma OSICO, impulsa un espacio innovador de reflexión y cooperación frente a los grandes desafíos contemporáneos.