La inteligencia artificial está transformando muchas actividades empresariales, pero también está modificando profundamente el escenario de la ciberseguridad.
Las autoridades europeas advierten de que los modelos más avanzados de inteligencia artificial pueden reducir drásticamente el tiempo disponible para detectar y corregir vulnerabilidades, aumentando el riesgo de ataques simultáneos y de incidentes con consecuencias para todo el sistema financiero.
La cuestión no es solamente que aparezcan nuevas amenazas. El verdadero cambio se encuentra en la rapidez con la que una vulnerabilidad puede ser identificada, convertida en un método de ataque y utilizada contra numerosas organizaciones.
¿Qué son los modelos de inteligencia artificial de frontera?
Las autoridades europeas utilizan esta denominación para referirse a modelos avanzados de inteligencia artificial capaces de influir de manera relevante en las operaciones de ciberseguridad, tanto ofensivas como defensivas.
Según el análisis de la ESRB, estos modelos pueden contribuir a realizar tareas como:
- localizar vulnerabilidades en programas y sistemas informáticos;
- combinar diferentes fallos de seguridad para construir un ataque;
- desarrollar métodos funcionales para explotar una vulnerabilidad;
- automatizar determinadas fases de una operación cibernética;
- analizar una gran cantidad de sistemas en periodos de tiempo muy reducidos.
El informe europeo señala que algunos de estos modelos están alcanzando capacidades comparables a las de especialistas humanos de alto nivel en determinadas tareas de ciberseguridad. También advierte de que pueden localizar vulnerabilidades desconocidas en sistemas operativos, programas ampliamente utilizados e infraestructuras tecnológicas críticas.
No significa que todos los modelos de inteligencia artificial puedan ejecutar por sí solos un ataque completo ni que estas capacidades estén disponibles de forma generalizada. De hecho, los propios proveedores han restringido el acceso a los modelos con mayores capacidades cibernéticas.
Sin embargo, las autoridades consideran que su posible utilización por parte de actores maliciosos justifica adoptar medidas preventivas.
La ESRB habla de un posible colapso de los tiempos de reacción defensiva. Una vulnerabilidad podría ser descubierta y explotada en un periodo mucho más corto, dificultando que las empresas puedan corregirla antes de que se produzca un ataque.
Para la gestión de riesgos, esta es probablemente una de las conclusiones más importantes: los procedimientos de seguridad diseñados para una evolución relativamente gradual de las amenazas pueden resultar insuficientes cuando el descubrimiento y la explotación de vulnerabilidades se producen a una velocidad automatizada.
¿Por qué puede convertirse en un riesgo sistémico?
Bancos, aseguradoras, empresas de servicios de inversión y otras entidades utilizan proveedores tecnológicos comunes, servicios en la nube, programas comerciales, componentes de código abierto y redes de telecomunicaciones compartidas.
Por eso, una misma vulnerabilidad puede afectar simultáneamente a numerosas organizaciones.
Un ataque contra un proveedor tecnológico crítico también podría interrumpir los servicios de distintas entidades al mismo tiempo. Las consecuencias podrían extenderse desde una organización concreta hasta una parte relevante del sistema financiero.
La ESRB elevó en junio de 2026 su valoración del riesgo cibernético sistémico de elevado a severo.
Esto no significa que se haya producido necesariamente un incidente sistémico provocado por inteligencia artificial. Se trata de una evaluación preventiva sobre cómo podrían evolucionar las amenazas en el corto y medio plazo.
¿Qué implica para la gerencia de riesgos?
Aunque la advertencia se concentra principalmente en el sistema financiero, sus conclusiones son relevantes para cualquier organización que dependa de sistemas digitales, proveedores tecnológicos o servicios en la nube.
Desde la perspectiva de la gerencia de riesgos, no debería tratarse exclusivamente como un asunto del departamento informático.
La evolución de estas amenazas puede afectar a:
- la continuidad del negocio;
- la protección de datos;
- la reputación corporativa;
- el cumplimiento normativo;
- la cadena de suministro;
- la responsabilidad de administradores y directivos;
- la dependencia de proveedores críticos;
- las coberturas aseguradoras;
- los planes de contingencia y recuperación.
Por tanto, la evaluación del riesgo debería involucrar a la dirección, las áreas de tecnología, seguridad, cumplimiento, continuidad de negocio, compras y seguros.
¿Conocemos todos nuestros activos tecnológicos?
¿Dependemos demasiado de un proveedor?
¿Nuestros planes de crisis contemplan ataques simultáneos o muy rápidos?
Estas son las principales preguntas que una organización puede plantearse.
¿Las pólizas de seguro responden adecuadamente?
La revisión debe incluir las pólizas de ciberriesgos, daños, responsabilidad civil, pérdida de beneficios y fraude.
Es importante comprobar los límites, franquicias, periodos de carencia, exclusiones, requisitos mínimos de seguridad y posibles restricciones relacionadas con proveedores tecnológicos o incidentes de gran escala.
La existencia de un seguro no sustituye a las medidas de prevención, pero sí puede formar parte del tratamiento global del riesgo.
