Por Fabián Íñiguez, miembro de ISACA.
La adopción de inteligencia artificial amplía el campo de acción del CISO. Además de gestionar amenazas y controles, su liderazgo alcanza el gobierno de los datos, las decisiones automatizadas, la responsabilidad sobre los casos de uso y la articulación entre Seguridad, Tecnología y Negocio.
Ejes de análisis
- Gobernar sin impedir la innovación
- La responsabilidad sigue siendo humana
- De gestionar controles a gobernar confianza
La inteligencia artificial está modificando la ciberseguridad en varias dimensiones. Amplía las capacidades para analizar información, identificar anomalías, correlacionar eventos y mejorar los tiempos de detección y respuesta. Al mismo tiempo, los atacantes pueden utilizarla para aumentar la escala de sus operaciones, desarrollar campañas de ingeniería social más convincentes, automatizar actividades maliciosas y perfeccionar técnicas de phishing, suplantación de identidad o deepfakes.
A ello se suma un nuevo frente: los riesgos que aparecen cuando las propias organizaciones incorporan inteligencia artificial en sus procesos. Qué datos utiliza un modelo, quién puede acceder a ellos, qué información se comparte con servicios externos, cómo se validan sus resultados, qué decisiones pueden automatizarse y quién responde por ellas pasan a formar parte de la gestión de seguridad.
La adopción de IA también incorpora amenazas específicas. Entre ellas están la manipulación de instrucciones o prompt injection, la alteración o envenenamiento de los datos utilizados por los modelos, la exposición de información sensible, el abuso de modelos y las vulnerabilidades derivadas de su integración con aplicaciones, APIs, bases de datos y otros sistemas corporativos.
A medida que aumenta su autonomía, es necesario establecer qué pueden hacer, a qué información y sistemas pueden acceder y hasta dónde pueden actuar sin intervención humana.
El papel del CISO se amplía y su responsabilidad además de gestionar controles técnicos; necesita participar en la adopción de inteligencia artificial junto con Tecnología, Datos, Riesgos, Legal, Privacidad, Auditoría, las áreas de negocio y la alta dirección. Porque el reto de la IA es también de liderazgo para permitir que la innovación avance dentro de niveles de riesgo conocidos, gobernados y aceptables.
Gobernar sin impedir la innovación
Uno de los errores que pueden cometer las organizaciones es adoptar primero la inteligencia artificial y analizar posteriormente sus riesgos. Seguridad y gobierno deben formar parte de la decisión desde el inicio, sin que esto signifique aplicar el mismo nivel de control a todos los casos de uso.
Utilizar IA para generar ideas o resumir información pública no tiene las mismas implicaciones que procesar datos personales o financieros, tomar decisiones sobre personas o permitir que un agente interactúe con sistemas críticos. A mayor impacto y sensibilidad, mayor debe ser el nivel de gobierno, supervisión y control.
Las políticas pueden establecer qué herramientas están autorizadas, qué información puede utilizarse, qué casos necesitan evaluación previa, quién los aprueba y cuándo debe existir supervisión humana. También es necesario conocer qué soluciones utilizan los colaboradores. No se puede gobernar aquello que la organización desconoce, y el uso de herramientas fuera de los controles institucionales —Shadow AI— puede convertirse en una nueva fuente de exposición.
Gobernar tampoco significa prohibir. Los modelos excesivamente restrictivos pueden provocar que las personas busquen alternativas fuera de los controles establecidos. Una opción es crear “carriles seguros para innovar”: entornos controlados de experimentación, herramientas previamente evaluadas, clasificación de información, controles de acceso, trazabilidad y supervisión humana.
El mejor gobierno de IA es aquel que establece límites donde existe riesgo, pero crea libertad donde existe oportunidad.
La responsabilidad sigue siendo humana
La inteligencia artificial no puede tener un único responsable dentro de la organización. El área de negocio debe responder por el caso de uso y el resultado esperado; Tecnología, por su integración y ciclo de vida; Datos, por la calidad, clasificación y gobierno de la información; y Ciberseguridad, por la evaluación de riesgos y los controles necesarios. Legal y Privacidad intervienen frente a las implicaciones regulatorias, contractuales y de protección de datos, mientras la alta dirección establece el nivel de riesgo que la organización está dispuesta a asumir.
También es necesario evitar una confianza excesiva en los resultados. Un modelo puede generar respuestas incorrectas, sesgadas o aparentemente convincentes sin que necesariamente sean verdaderas. El riesgo aumenta cuando esos resultados comienzan a utilizarse para tomar decisiones sin mecanismos de validación y supervisión humana.
La responsabilidad puede ser compartida, pero no diluida. Antes de escalar una iniciativa, tres preguntas pueden llevar esta discusión hasta la alta dirección: ¿qué datos estamos exponiendo?, ¿qué decisiones estamos delegando? y ¿quién responde si algo sale mal?
De gestionar controles a gobernar confianza
El liderazgo en ciberseguridad también necesita incorporar nuevas capacidades. Comprender cómo funcionan los sistemas de IA y sus riesgos será necesario, pero no suficiente. El CISO tendrá que traducir esos riesgos al lenguaje del negocio y explicar su posible impacto sobre clientes, operaciones, reputación, cumplimiento y continuidad.
En un entorno donde una IA puede generar en segundos una respuesta técnicamente convincente, el valor del especialista estará en saber cuestionarla, contrastarla, comprender el contexto y tomar una decisión.
La propia IA puede utilizarse como herramienta de defensa para analizar información, correlacionar amenazas, apoyar investigaciones, automatizar tareas repetitivas y mejorar los procesos de detección y respuesta. El reto está en aprovechar esas capacidades sin generar una dependencia ciega de la automatización.
El CISO tendrá además que conectar al directorio con Tecnología, Datos, Legal, Riesgos, Auditoría y las áreas de negocio. La ciberseguridad se construye sobre confianza y coordinación, no únicamente sobre tecnología. Esto implica establecer reglas claras, proporcionar herramientas seguras y permitir que las personas experimenten sin perder visibilidad sobre el riesgo.
El liderazgo en ciberseguridad pasa así de gestionar controles a gobernar confianza digital. El CISO no será quien más veces diga “no” a la inteligencia artificial, sino quien pueda establecer bajo qué condiciones es posible avanzar, cuáles son los riesgos y quién responde por cada decisión.
