La ciberseguridad ha entrado en una etapa nueva con la llegada de modelos y agentes de inteligencia artificial capaces de escribir código, buscar vulnerabilidades y encadenar tareas con poca supervisión. OpenAI, Anthropic y otros actores del sector han elevado el tono de la advertencia: las mismas herramientas que ayudan a defender sistemas pueden acelerar ataques si caen en manos de grupos criminales o estados hostiles.
La preocupación se centra en infraestructuras críticas y servicios esenciales. Hospitales, redes de agua, energía, transporte y administraciones públicas ya eran objetivos habituales antes de la IA generativa. La diferencia es que ahora un atacante con menos experiencia puede automatizar partes del reconocimiento, adaptar mensajes de phishing, probar variantes de malware o analizar documentación filtrada con más velocidad.
El riesgo principal no es que la IA invente de la nada una nueva categoría de ataque, sino que reduzca el coste y el tiempo necesario para ejecutar ataques conocidos. Esa reducción de barreras puede aumentar el número de intentos, saturar a equipos de seguridad y poner bajo presión a organizaciones que ya trabajan con presupuestos limitados.
Las compañías de IA insisten en que sus sistemas también pueden servir para defender mejor. Un modelo bien integrado puede resumir alertas, priorizar incidentes, detectar patrones extraños en registros y ayudar a escribir reglas de protección. Para un equipo pequeño, esa asistencia puede ahorrar horas durante una crisis. El problema aparece cuando la misma capacidad está disponible para explorar fallos en sistemas mal parcheados.
El debate tiene una dimensión regulatoria. Si un modelo facilita un ataque, la responsabilidad no siempre será evidente. Puede intervenir el proveedor del modelo, el cliente que lo usa, el integrador que lo conecta a herramientas internas y la organización que no protegió sus sistemas. Las empresas tendrán que tratar la IA de ciberseguridad como una tecnología crítica, con controles de acceso, auditoría y límites operativos, no como un complemento experimental.
Para España y la Unión Europea, el aviso llega en un momento de refuerzo normativo. La directiva NIS2 y otras obligaciones de resiliencia digital empujan a sectores esenciales a documentar riesgos, notificar incidentes y mejorar gobierno interno. La IA añade una capa más a ese mapa: no basta con comprar una herramienta defensiva si no se define quién puede usarla, qué acciones puede ejecutar y cómo se revisan sus decisiones.
En la práctica, las empresas deberían mirar cinco áreas concretas:
- Inventario real de sistemas expuestos a internet.
- Control estricto de permisos para agentes de IA.
- Pruebas de seguridad sobre integraciones internas.
- Formación específica contra phishing generado con IA.
- Planes de respuesta que incluyan proveedores externos.
La tensión entre innovación y seguridad va a intensificarse. Los proveedores necesitan demostrar que pueden vender capacidades avanzadas sin aumentar de forma descontrolada el riesgo sistémico. Los clientes, por su parte, tendrán que abandonar la idea de que la ciberseguridad se resuelve con una compra puntual.
La IA convierte la defensa digital en una carrera de velocidad: quien tarde meses en cerrar fallos competirá contra atacantes que pueden probar variaciones en minutos. Ese cambio exige inversiones técnicas, pero también una cultura de gobierno mucho más disciplinada.
