Vivimos un momento de alerta máxima en el ciberespacio, y la inteligencia artificial (IA) está en el centro de esa alerta por partida doble. Por un lado, los atacantes ya la utilizan: campañas de phishing indistinguibles de comunicaciones legítimas, deepfakes de voz que suplantan a directivos, reconocimiento automatizado de infraestructuras a una escala que ningún equipo humano podría igualar… Por otro lado, la industria de la ciberseguridad promete que la misma tecnología nos defenderá: detección inteligente, respuesta autónoma, analistas virtuales, etcétera.
Entre ambas promesas hay una pregunta incómoda que casi nadie formula: ¿sobre qué datos se basa toda esa inteligencia?
El atajo que nadie debería tomar
La tentación del momento es evidente: incorporar un modelo de lenguaje a cualquier producto de seguridad y anunciar «detección impulsada por IA». El problema es que un modelo aplicado a datos incompletos no reconoce sus lagunas: las rellena. Un resumen bien redactado de una sesión que el sistema solo observó a medias no es información; es una ficción con formato de informe. Y un equipo de seguridad que confía en ese informe deja de hacerse las preguntas que debería.
Esto importa, sobre todo, en los accesos privilegiados: cuentas de administración, proveedores externos y sesiones en sistemas críticos. Ahí se concentra el riesgo de la mayoría de los incidentes graves. Ahí, el registro de actividad no es un subproducto: es la evidencia. Si una IA resume, puntúa o recomienda a partir de una telemetría parcial, el problema no es solo técnico. Es probatorio.
Ver, comprender, explicar
Nuestra convicción es que la IA en ciberseguridad debe construirse como una secuencia, no como un lanzamiento. Cada etapa aporta valor por sí misma y hace posible la siguiente.
- Primero, ver. Antes de que ningún modelo razone, hace falta una capa de visibilidad completa y estructurada: quién se conectó a qué, cuándo y qué ocurrió durante la sesión. También la higiene del parque: cuentas durmientes, privilegios excesivos, accesos huérfanos que nadie recuerda haber concedido. Es un trabajo poco vistoso: ingeniería de datos, normalización y reglas de detección. Pero es la base de todo lo demás. La IA no puede explicar lo que la plataforma no ve.
- Segundo, comprender. La actividad bruta no dice nada sobre el riesgo sin un punto de comparación. El análisis de comportamiento construye ese contexto: define qué es «normal» para cada usuario, cada cuenta privilegiada y cada sistema; compara a cada persona con sus pares de rol; y distingue una desviación puntual de una deriva persistente.
- Tercero, explicar. Solo sobre esa base tiene sentido aplicar la IA generativa: resúmenes legibles de sesiones en lugar de horas de grabación, alertas que llegan con una narrativa de investigación ya esbozada, la posibilidad de interrogar el estado del parque en lenguaje natural. Y con una condición innegociable: cada respuesta debe remitir a sus registros de origen. La IA acelera la revisión; nunca sustituye la cadena de evidencia.
La IA está transformando la ciberseguridad. La cuestión no es si adoptarla, sino en qué orden
Principios antes que funcionalidades
Esta secuencia nace de convicciones que van más allá de un proveedor concreto. Creemos que sirven para cualquier organización que valore el papel de la IA en su estrategia de seguridad.
- Privacidad y soberanía por diseño. En Europa, y muy especialmente en las entidades esenciales −energía, sanidad, transporte, Administración Pública…−, la capacidad de operar sin dependencia obligatoria de una nube externa no es un capricho: es una exigencia de soberanía. Una IA que necesita enviar la telemetría de los accesos más sensibles de una organización a un tercero para funcionar plantea, en sí misma, un problema de seguridad.
- Aumentar, no reemplazar. El objetivo es ampliar la visibilidad y el criterio de los analistas, no dejar las decisiones en manos de agentes que actúan sin supervisión humana. En el acceso privilegiado, la decisión final corresponde a una persona y queda registrada como tal.
- Respeto a la atención. Los equipos de seguridad están saturados de alertas. Detectar de forma continua no significa interrumpir de forma continua: la inteligencia también consiste en callar cuando no hay nada relevante que decir. Reducir el ruido es una función de seguridad, no un detalle de ergonomía.
- Reducir el riesgo, no añadirlo. El criterio último para cualquier capacidad de IA es simple: ¿da al cliente más conocimiento y control sobre su nivel de riesgo, o introduce un actor opaco más en su infraestructura?
Qué nos está diciendo la normativa
Este enfoque no es solo una preferencia de diseño: converge con la dirección regulatoria europea. La Directiva NIS2 exige a las entidades esenciales e importantes una gestión de riesgos demostrable, con trazabilidad y responsabilidad de la dirección; y el Reglamento de IA introduce obligaciones de transparencia y supervisión humana para los sistemas de alto riesgo.
En ambos casos, el mensaje de fondo es el mismo: la automatización no diluye la responsabilidad. Una organización que no pueda explicar por qué su sistema de seguridad tomó −o dejó de tomar− una decisión tendrá un problema, por muy avanzado que sea el modelo subyacente.
Por eso, la trazabilidad no es una restricción que frena a la IA, sino la condición que la hace utilizable en entornos regulados. En un contexto de auditoría, la evidencia es el producto.
Una carrera de fondo
La IA está transformando la ciberseguridad. La cuestión no es si adoptarla, sino en qué orden. Nuestra respuesta es que cada capa de inteligencia debe ganarse su lugar sobre una base de visibilidad y comprensión que se sostenga por sí misma. Ver antes de comprender; comprender antes de explicar. Es un camino menos espectacular que un gran anuncio, pero es el único que produce una IA en la que un responsable de seguridad −y un auditor− puedan confiar.
La entrada De la visibilidad a la inteligencia: cómo construir una IA fiable en ciberseguridad se publicó primero en Red Seguridad.
