La figura del CISO, el responsable de seguridad de la información, está dejando de ser una función técnica encerrada en el departamento de sistemas. CNBC sitúa este perfil en la primera línea de la nueva guerra de ciberseguridad con inteligencia artificial, impulsada por ataques automatizados, agentes conectados a herramientas internas y una presión creciente sobre consejos de administración. La seguridad ya no consiste solo en bloquear malware. También implica decidir qué puede hacer una IA dentro de una empresa.
Los últimos incidentes del sector ayudan a entender el cambio. Los agentes de IA pueden navegar, escribir código, ejecutar acciones, consultar repositorios o interactuar con aplicaciones. Si una instrucción maliciosa altera su comportamiento, el problema puede saltar de una conversación a una operación real. Un permiso excesivo en un agente de soporte, por ejemplo, puede exponer datos de clientes o ejecutar cambios que nadie revisó.
El CISO se está convirtiendo en el traductor entre la promesa de productividad de la IA y el riesgo operativo que esa productividad introduce. Su trabajo ya no termina en decir sí o no a una herramienta. Debe definir límites, registros, auditoría, segregación de permisos, respuesta a incidentes y métricas que la dirección pueda entender.
La adopción empresarial de IA acelera esa presión. Áreas de marketing, ventas, recursos humanos, finanzas y desarrollo de software están probando asistentes y agentes para tareas concretas. Muchas veces lo hacen con presupuestos propios y sin una arquitectura común. Esa expansión crea una superficie dispersa, donde datos internos pueden acabar en servicios externos o agentes con permisos amplios pueden actuar sin suficiente supervisión.
El reto tampoco se limita a grandes compañías. Una pyme que conecte un asistente a su CRM o a su correo corporativo ya introduce un vector de riesgo. Si el proveedor cambia condiciones, si un empleado pega información sensible o si un agente ejecuta una acción equivocada, la empresa necesita saber quién responde. La seguridad de IA será una disciplina para organizaciones de todos los tamaños.
La nueva prioridad no es frenar la IA, sino gobernar su ejecución con la misma seriedad con la que se gestionan identidades, pagos o datos personales. Eso implica inventario de herramientas, clasificación de datos, pruebas antes de producción y límites por rol. También exige formar a empleados para que sepan cuándo una respuesta generativa no debe convertirse en decisión automática.
Los proveedores de ciberseguridad ya están adaptando su oferta. Se multiplican productos para detectar prompt injection, proteger agentes, escanear modelos descargados, simular ataques y observar cómo una IA usa herramientas. Parte de esa funcionalidad terminará integrada en suites existentes, pero el mercado apunta a una etapa de especialización. La IA no encaja por completo en los controles tradicionales porque combina lenguaje natural, datos y acciones.
Para el consejo de administración, el cambio de rol del CISO tiene una consecuencia directa: la seguridad debe entrar antes en las decisiones de adopción. Si una unidad de negocio compra un agente para automatizar reclamaciones, aprobar descuentos o generar código, el análisis de riesgo debe ocurrir antes del contrato, no después del primer incidente.
La IA convierte la ciberseguridad en una conversación de estrategia empresarial. El CISO que entienda operaciones, regulación y producto tendrá más influencia que el que solo gestione herramientas. En un entorno de agentes autónomos, la pregunta decisiva será quién autoriza acciones, quién las observa y quién puede detenerlas a tiempo.
