La adopción acelerada de herramientas de inteligencia artificial (IA) está transformando los modelos de negocio, la atención sanitaria y la gestión de la seguridad. Sin embargo, la expansión de estas tecnologías también está ampliando la superficie de exposición de las organizaciones y generando nuevos riesgos de ciberseguridad en sectores críticos como el sanitario.
Según nuestro informe de ciberinteligencia correspondiente a 2025, se registraron 7.979 ciberataques a escala global, un 42 por ciento más que el año anterior, de los cuales 535 tuvieron como objetivo el sector salud. Es decir, los ataques dirigidos a la industria sanitaria representaron cerca del 7 por ciento del total. Este volumen sitúa a la salud entre los ámbitos más atacados, junto con los servicios, la industria y el sector financiero.
Además, según el informe Cost of a Data Breach 2024 de IBM, el sector sanitario registró entonces el coste medio por brecha de datos más elevado a escala mundial, superior a los 10 millones de dólares, casi 8,5 millones de euros. En Europa, ENISA sitúa al sector sanitario entre los principales objetivos de ataques de ransomware, una tendencia que sigue creciendo año tras año.
La digitalización: un avance en el sector salud, pero una mayor exposición
La digitalización del sector sanitario ha mejorado la eficiencia clínica y la atención al paciente, pero también ha multiplicado los puntos de entrada para los ciberdelincuentes. Hospitales y organizaciones sanitarias dependen de múltiples aplicaciones críticas, cuya seguridad es clave para garantizar la continuidad asistencial. Sistemas como el historial clínico electrónico concentran grandes volúmenes de información altamente sensible, lo que los convierte en un objetivo prioritario para ataques de robo de datos o ransomware. Plataformas de imagen médica como los sistemas PACS, esenciales para el diagnóstico, pueden ser objeto de interrupciones o manipulaciones, afectando directamente a la actividad clínica.
A esta exposición se suma la presencia creciente de dispositivos médicos conectados en los entornos hospitalarios, así como de plataformas de telemedicina cuyo uso se ha consolidado en los últimos años. Ambos entornos amplían la superficie de ataque y plantean desafíos de privacidad, autenticación y protección de las comunicaciones.
Los informes de ciberinteligencia que elaboramos en Secure&IT reflejan incidentes reales en este ámbito, como ataques a fabricantes de dispositivos médicos o filtraciones de datos clínicos sensibles, evidenciando que el riesgo no es teórico, sino una realidad creciente.
La inteligencia artificial redefine la ciberseguridad en el sector salud
La inteligencia artificial ocupa un papel creciente en la detección y respuesta ante incidentes, ya que permite analizar grandes volúmenes de datos, identificar comportamientos anómalos y anticipar ataques. Al mismo tiempo, los ciberdelincuentes la utilizan para automatizar campañas, perfeccionar técnicas de phishing e identificar y explotar vulnerabilidades con mayor rapidez, reduciendo las barreras de entrada al cibercrimen.
A esta dualidad se suma un factor crítico. Y es que la adopción de la IA en entornos corporativos no siempre va acompañada de controles adecuados. Nuestros análisis muestran que casi una cuarta parte de las organizaciones utiliza la IA generativa sin controles formales, lo que incrementa el riesgo de fugas de información o uso indebido de datos.
En el sector salud, este contexto adquiere una dimensión especialmente sensible. El impacto de un ciberataque va más allá de lo tecnológico o económico. La paralización de sistemas, la manipulación de datos o la indisponibilidad de servicios pueden afectar directamente a la continuidad asistencial y a la seguridad del paciente. Y es que la IA está cambiando las reglas del juego. Permite mejorar la defensa, pero también reduce las barreras de entrada para los atacantes. El verdadero riesgo está en implantarla sin un enfoque de seguridad desde el diseño. En entornos sanitarios esto es especialmente crítico, porque un incidente no solo afecta a los sistemas, sino también a las personas.
Nuevas exigencias europeas para un sector crítico
La Directiva NIS2 refuerza las obligaciones de gestión del riesgo, seguridad de la cadena de suministro, continuidad operativa y notificación de incidentes para las entidades de sectores críticos, entre ellas las organizaciones sanitarias. En España, su transposición al ordenamiento nacional continúa pendiente de aprobación definitiva. De hecho, la Comisión Europea remitió en julio de 2026 a España al Tribunal de Justicia de la Unión Europea por no haber notificado una transposición completa. A la espera de que se apruebe el marco nacional que concrete su aplicación, las organizaciones sanitarias deben avanzar en adaptar sus procesos y medidas de seguridad a las exigencias previstas por la directiva.
A este marco se suma el Reglamento Europeo de Inteligencia Artificial, cuya aplicación general comenzó el 2 de agosto de 2026. La norma establece obligaciones específicas para determinados sistemas de IA de alto riesgo, incluidos los vinculados a productos sanitarios, y exige reforzar la gestión de riesgos, la calidad de los datos, la trazabilidad, la supervisión humana y la monitorización. El Espacio Europeo de Datos de Salud también establece un nuevo marco para el acceso, intercambio y utilización de datos sanitarios electrónicos. Su implantación será progresiva, pero obligará a garantizar que la interoperabilidad y la reutilización de la información avancen acompañadas de medidas sólidas de seguridad, privacidad y control de acceso.
Innovar sin comprometer la seguridad
El avance de la IA y la digitalización del sector sanitario plantean un reto clave: equilibrar innovación y resiliencia. La coexistencia de sistemas modernos con infraestructuras heredadas, junto con la creciente interconexión de dispositivos, aplicaciones y plataformas, dificulta la protección integral de estos entornos.
La inteligencia artificial representa una oportunidad para mejorar la eficiencia y la calidad asistencial, pero también redefine el panorama de amenazas y exige un cambio de enfoque en materia de ciberseguridad. Para las organizaciones resulta esencial establecer mecanismos continuos de supervisión, evaluación y monitorización de sus sistemas de IA. En un entorno donde los datos son críticos y la disponibilidad de los sistemas puede marcar la diferencia entre la normalidad y la crisis, salvaguardar la información es también proteger a los pacientes.
La entrada La IA y las exigencias europeas obligan al sector salud a reforzar su ciberseguridad se publicó primero en Red Seguridad.
