IA empresarial: el 78% sufre incidentes de seguridad, pero sigue adoptando sin control

¿Qué ha ocurrido?

Un nuevo informe de DigiCert, basado en una encuesta a 1.000 profesionales de seguridad y TI a nivel global, revela una paradoja alarmante: mientras el 78% de las organizaciones ha sufrido incidentes o vulnerabilidades de seguridad relacionadas con inteligencia artificial, el ritmo de adopción no se detiene. El 75% ha desplegado cuatro o más herramientas de IA en los últimos seis meses, y un 35% ha incorporado más de diez sistemas en ese mismo período. Estos datos provienen del estudio "The State of AI Security" de DigiCert, publicado en marzo de 2025 y reportado por TechRadar.

El estudio muestra que la gobernanza avanza lentamente: el 90% de las empresas discute el tema a nivel ejecutivo o de junta directiva, pero solo el 50% ha implementado presupuestos dedicados a seguridad en IA y programas formales de gobernanza. Además, el 64% apenas ha comenzado a inventariar sus sistemas de IA, lo que indica que muchas aún están descubriendo qué herramientas existen en su organización. Este retraso en la gobernanza contrasta con la velocidad de adopción, que es comparable al ritmo de implementación de la nube pública a principios de la década de 2010, cuando muchas empresas también descuidaron la seguridad.

¿Por qué es importante?

La falta de visibilidad y control centralizado es crítica. Casi la mitad de las empresas carece de visibilidad centralizada sobre sus sistemas de IA, y solo el 53% puede rastrear completamente los resultados hasta los modelos y datos fuente. Esto significa que cuando se produce un error o un sesgo, es casi imposible identificar su origen. En sectores como ciencia, tecnología, banca, telecomunicaciones y retail, la incidencia de problemas de seguridad es aún mayor, según el informe. Por ejemplo, el sector bancario reportó un 82% de incidentes, mientras que en retail fue del 76%.

La seguridad en IA no es un problema menor: el 75% de las empresas ha sufrido incidentes, lo que sugiere que la adopción masiva sin controles adecuados está generando una superficie de ataque enorme. Comparado con la ola de ciberataques a infraestructuras críticas en 2021 (como el ataque a Colonial Pipeline), la IA introduce riesgos nuevos, como la manipulación de modelos o la fuga de datos de entrenamiento. Además, la explicabilidad de la IA se mantiene en torno al 50% en todas las regiones (EE. UU., Reino Unido, Australia), lo que indica que la transparencia sigue siendo un desafío global. Sin explicabilidad, las empresas no pueden auditar ni justificar las decisiones de sus sistemas, lo que las expone a sanciones regulatorias bajo leyes como el GDPR o la próxima Ley de IA de la UE.

¿Qué consecuencias tendrá?

La tendencia a tratar la IA como un 'juguete experimental' en lugar de un sistema crítico de negocio está llevando a vulnerabilidades que pueden afectar la reputación, la privacidad de datos y el cumplimiento normativo. A medida que los agentes de IA adquieren identidades propias (algo que muchas empresas ya están probando, según DigiCert) y actúan de forma autónoma, el riesgo de acciones no autorizadas o maliciosas aumenta. Por ejemplo, si un agente de IA con identidad propia accede a datos sensibles sin supervisión, podría violar políticas internas o regulaciones como HIPAA en el sector salud.

Las empresas que no implementen gobernanza y seguridad dedicadas quedarán expuestas a multas regulatorias, pérdida de confianza del cliente y ventajas competitivas perdidas. Un caso histórico similar es el de la adopción temprana de la computación en la nube: empresas que no configuraron correctamente los buckets de S3 de Amazon sufrieron filtraciones masivas de datos (como la de Capital One en 2019, que expuso 100 millones de registros). Ahora, la IA multiplica estos riesgos por su opacidad y autonomía. Además, la falta de presupuestos dedicados (solo el 50% los tiene) indica que muchas organizaciones subestiman el costo de asegurar la IA, que según Gartner podría representar hasta el 10% del gasto total en TI para 2027.

¿Qué deben saber los lectores?

Para los líderes empresariales, la lección es clara: la IA debe tratarse como cualquier otro sistema de TI, con políticas de seguridad, inventarios, trazabilidad y presupuestos dedicados. La gobernanza no es opcional, es una necesidad estratégica. Para los profesionales de TI, es urgente presionar por visibilidad centralizada y herramientas de monitoreo. Para los reguladores, estos datos refuerzan la necesidad de marcos normativos claros, como la Ley de IA de la UE, que exige evaluación de riesgos para sistemas de alto riesgo. Sin embargo, el informe muestra que el 50% de las empresas aún no tiene programas formales de gobernanza, lo que sugiere que la regulación por sí sola no bastará; se necesita un cambio cultural.

En resumen, la adopción de IA está ocurriendo a una velocidad que supera la capacidad de las organizaciones para asegurarla. El riesgo no es solo técnico, sino de negocio. Como señala Brian Trzupek, SVP de DigiCert: 'La cuestión ya no es si las organizaciones deberían adoptar IA, sino si pueden explicar, gobernar y confiar en la IA que ya han desplegado'. Los datos de DigiCert son un llamado de atención: sin inversión en seguridad y gobernanza, la IA podría convertirse en el mayor vector de ataque de la próxima década.