Seguridad desde el diseño: nuevo estándar para la Inteligencia Artificial
Edgar Flores, Cyber Threat Intelligence Manager en T-Systems México:
Vivimos un momento en el que la conversación sobre Inteligencia Artificial suele centrarse en una sola pregunta: ¿Qué más podemos hacer con esta tecnología? Sin embargo, creo que estamos dejando de lado un tema aún más importante: ¿Cómo garantizamos que todo lo que construimos con IA sea confiable desde el primer día?
La velocidad con la que las organizaciones están incorporando capacidades de IA es impresionante. Los beneficios son evidentes: mayor productividad, automatización de procesos, mejores decisiones y nuevas oportunidades de negocio. Pero la innovación pierde valor cuando no puede sostenerse sobre una base de confianza.
Hoy, la ciberseguridad ya no puede ser un requisito que se agrega al final de un proyecto. Debe convertirse en el punto de partida.
De acuerdo con el estudio Digital Trust Insights 2026 de PwC, el 69% de las organizaciones en México identifica el malware potenciado por Inteligencia Artificial como su principal preocupación. Al mismo tiempo, las empresas están utilizando la propia IA para fortalecer su postura de seguridad: 63% ya la emplea en actividades de búsqueda proactiva de amenazas y 44% en evaluaciones de vulnerabilidades.
La paradoja es evidente. Mientras confiamos cada vez más en la IA para proteger nuestros entornos, todavía no hacemos lo suficiente para proteger a la propia IA.
Más preocupante aún es que únicamente el 37% de las organizaciones mexicanas afirma haber implementado prácticas de IA responsable dentro de su estrategia de ciberseguridad. Esto significa que una parte importante del mercado continúa avanzando en la adopción tecnológica sin desarrollar, al mismo ritmo, los mecanismos de gobierno, control y protección que esa adopción exige.
Con frecuencia pensamos que proteger un sistema de IA consiste únicamente en asegurar el modelo. En realidad, la seguridad depende de mucho más. Depende de la calidad e integridad de los datos con los que aprende, del software que lo soporta, de la infraestructura donde opera y, sobre todo, de las personas que tienen acceso a él. Basta una credencial comprometida, una configuración incorrecta o un conjunto de datos manipulado para convertir una herramienta diseñada para generar eficiencia en una fuente de riesgo para toda la organización.
La Inteligencia Artificial introduce además nuevos vectores de ataque que hace apenas unos años no figuraban en las estrategias tradicionales de ciberseguridad. El data poisoning, por ejemplo, permite alterar los datos de entrenamiento para inducir respuestas incorrectas o decisiones sesgadas. Los ataques de prompt injection buscan manipular asistentes inteligentes para revelar información sensible o ignorar controles de seguridad. A ello se suman riesgos ya conocidos, como accesos no autorizados, credenciales débiles o la creciente superficie de ataque que generan las múltiples API, plataformas en la nube y servicios de terceros que alimentan los ecosistemas de IA.
Estos desafíos no se resuelven instalando una herramienta adicional cuando el proyecto ya está en producción. La seguridad siempre resulta más sencilla, menos costosa y más efectiva cuando forma parte del diseño inicial. Corregir vulnerabilidades después del despliegue suele implicar rediseñar componentes completos, incrementar costos y retrasar la entrega de valor al negocio.
No es casualidad que el National Institute of Standards and Technology (NIST) recomiende integrar la gestión del riesgo y la seguridad como parte inherente del ciclo de desarrollo de sistemas de IA, y no como un proceso independiente. Incorporar controles desde la concepción del proyecto permite identificar debilidades antes de que se conviertan en incidentes.
Esto implica pensar en seguridad desde las primeras decisiones: quién tendrá acceso a los datos, cómo se protegerá la información sensible, qué mecanismos de autenticación serán necesarios, cómo se cifrarán los datos, qué monitoreo continuo existirá y cómo responderá la organización ante un incidente específico relacionado con IA.
También exige reconocer que la tecnología, por sí sola, nunca será suficiente. La protección de los datos requiere validar sus fuentes, eliminar información corrupta o duplicada y resguardar adecuadamente los datos sensibles. Las aplicaciones deben someterse periódicamente a pruebas de vulnerabilidades y ejercicios de penetración. Los colaboradores necesitan capacitación constante para identificar intentos de fraude o ataques de ingeniería social, que siguen siendo una de las principales puertas de entrada para los ciberdelincuentes. Y, por supuesto, toda organización debería contar con un plan específico de respuesta a incidentes que contemple escenarios asociados a sistemas de Inteligencia Artificial.
Con demasiada frecuencia escuchamos que la seguridad puede ralentizar la innovación. Mi experiencia me dice exactamente lo contrario. La seguridad bien diseñada acelera la innovación porque genera confianza. Permite que las organizaciones desplieguen nuevas soluciones con mayor certeza, reduzcan riesgos regulatorios, protejan la información crítica y eviten costosas correcciones en etapas posteriores.
La carrera por desarrollar soluciones de IA continuará acelerándose, y eso es positivo. El verdadero reto consiste en no confundir velocidad con madurez tecnológica. Innovar responsablemente significa construir sistemas que sean inteligentes, útiles y, al mismo tiempo, resilientes frente a un entorno de amenazas cada vez más sofisticado.
La Inteligencia Artificial será uno de los pilares de la competitividad empresarial durante los próximos años. Pero su verdadero potencial dependerá de la confianza que inspire. Y esa confianza no se instala mediante una actualización de software ni se compra con una nueva herramienta de protección. Se diseña desde el primer día. Porque, en materia de IA, la ciberseguridad no debe ser el último paso del proyecto. Debe ser el primero.
WhatsApp eSemanal 55 7360 5651
