Hace apenas unos años, relacionar la Inteligencia Artificial con la ciberseguridad evocaba situaciones de ciencia-ficción de un futuro lejano casi inimaginable. Hoy es un riesgo inmediato que, según algunos ciberexpertos, podría llegar a poner en peligro a la especie humana. La IA ya no es solo una herramienta defensiva, sino el arma más potente para infiltrar nuestras infraestructuras digitales. Las empresas y las instituciones europeas ya no lo consideran un reto tecnológico opcional. En los últimos cuatro meses ha avanzado de tal forma que ya pone en riesgo la ciberseguridad de una manera alarmante. La Inteligencia Artificial ha llegado para quedarse. Y exige una respuesta inmediata.
La IA como multiplicador tecnológico sin precedentes
En cuanto a la utilidad que dan los ciberdelincuentes a la IA, la consideran un multiplicador de posibilidades sin precedentes. Por poner un ejemplo, los emails de phishing ya no se puede detectar por los errores de redacción, porque la IA no redacta con faltas de ortografía. Los modelos lingüísticos avanzados generan correos impecables en el idioma del destinatario, con un contexto laboral verosímil y una urgencia calculada para engañar. Según los informes de ENISA, el 80% de las empresas e instituciones europeas han detectado un aumento de ciberataques IA desde el año 2024.
El ransomware también ha evolucionado. Las nuevas modalidades de malware analizan las redes que infectan, identifican los activos más valiosos y adaptan su comportamiento para maximizar el impacto del ciberataque, haciendo todo ello de forma autónoma. A esto se suman los deepfakes de voz y vídeo, capaces de suplantar directivos en llamadas donde se autorizan transferencias bancarias millonarias. Esta variante ha pasado de ser un experimento a ser un fraude documentado con víctimas en Alemania, Reino Unido y Francia.
El problema central es una asimetría estructural. A un ciberdelincuente le basta con que la IA acierte una sola vez para amortizar el esfuerzo. El ciberexperto contratado para proteger los sistemas informáticos de una empresa, en cambio, debe acertar siempre. Generar mil variantes distintas de un correo nocivo requiere unos pocos segundos y prácticamente sale gratis. Pero lograr detectar y frenar estos mensajes requiere una infraestructura y una supervisión humana constante. Esta desproporción está redefiniendo los costes del cibercrimen y abaratando la entrada para actores sin conocimientos técnicos profundos, lo que agrava la escasez de profesionales de seguridad que ya sufre Europa.
El criterio europeo: normativa estricta con apoyo tecnológico
Frente a este escenario, Europa ha decidido actuar desde dos frentes. Por un lado, la Ley de Inteligencia Artificial de la Unión Europea (Ley IA de la UE) impone obligaciones concretas de ciberseguridad para los sistemas IA de alto riesgo, una medida sin precedentes a nivel mundial. Por otro, la Directiva NIS2 obliga a más de 160.000 empresas y organismos a fortalecer su tecnología defensiva, con sanciones por incumplimiento que pueden alcanzar el 10% de la facturación global.
Pero la norma, por firme que sea, no basta. Una estrategia de ciberseguridad eficaz requiere incorporar una IA defensiva. Es decir, unos sistemas capaces de detectar las anomalías en tiempo real, porque logran correlacionar millones de eventos y reaccionar ante un ataque potencial en cuestión de segundos, antes de que un empleado humano siquiera haya abierto su ordenador. Empresas españolas como Telefónica y Atos ya integran estos motores en sus centros de operaciones de seguridad.
Qué deben hacer las empresas e instituciones a partir de ahora
Desde el punto de vista práctico, el camino a seguir es claro. Primero hay que asumir que la perimetral tradicional está obsoleta y adoptar arquitecturas de confianza cero donde cada acceso se verifica de forma continua. En segundo lugar, invertir en un sistema de autenticación fuerte y en protocolos fiables de autenticación para cualquier solicitud crítica, sobre todo si llega por voz o vídeo. Tercero, instruir a los equipos, porque el eslabón más vulnerable de un sistema informático siempre es el ser humano y las suplantaciones de identidad con IA explotan precisamente la confianza interpersonal.
En principio, la IA no es ni amiga ni enemiga ni aliada. Dicho esto, conviene tener bien presente que en el terreno de la Inteligencia Artificial es donde se va a librar la próxima batalla de la ciberseguridad. Europa cuenta con el marco normativo más avanzado del mundo, pero es imprescindible aunar la regulación y la innovación con una cultura de autoprotección tecnológica.
La entrada La IA como peligro crítico para la ciberseguridad se publicó primero en Red Seguridad.
