La Inteligencia Artificial no solo está haciendo más eficientes a las empresas. También está haciendo más peligrosos a los ciberataques. Y eso es algo que ya se siente, aunque muchos todavía no lo quieran ver.
¿Una llamada desde el exterior donde nadie habla? ¿Un correo avisando que sus datos fueron comprometidos? No son episodios aislados ni simples errores del sistema. Son señales de un cambio profundo en el ecosistema digital, donde la IA dejó de ser solo una herramienta productiva para convertirse también en un multiplicador del riesgo.
La curva que no deja de subir
Los datos lo confirman. El rastreador mundial de incidentes de Inteligencia Artificial del MIT muestra un crecimiento sostenido de los eventos asociados a privacidad y seguridad desde 2015 hasta hoy. En ese periodo, los registros pasaron de 24 a 318. No es una subida puntual: es una tendencia estructural.
Más preocupante aún es la composición de esos incidentes. En 2015, los casos atribuidos a actores maliciosos representaban cerca del 8%. Para 2025, esa proporción asciende al 58%. En menos de una década, el uso malicioso de IA pasó de ser marginal a dominante.
La tecnología no cambió sola. Cambió el contexto.
Geopolítica, presión y datos como botín
Según el Foro Económico Mundial, el aumento de estos incidentes no puede entenderse sin mirar el entorno global. Desde 2023, la tensión geopolítica y económica ha escalado, generando una presión creciente por acceder a más datos, más rápido y en mayor volumen.
Los datos son la materia prima de la IA. Cuando se vuelven estratégicos, también se vuelven objetivos. Esto crea incentivos claros para obtenerlos por medios maliciosos o al margen de las regulaciones de protección de datos, especialmente cuando las organizaciones no cuentan con mecanismos de defensa robustos.
Es una especie de olla a presión digital: más valor concentrado, más actores interesados y más ataques intentando forzar la tapa.
IA accesible, ataques escalables
A este escenario se suma otro factor clave: la disponibilidad masiva de la IA. El software de código abierto y los modelos avanzados accesibles al público redujeron drásticamente las barreras de entrada.
Hoy, tanto actores legítimos como maliciosos pueden usar estas herramientas con pocos recursos. En el terreno ofensivo, esto se traduce en malware más sofisticado, difícil de detectar, y en la creación de perfiles personalizados extremadamente realistas.
La ingeniería social se vuelve quirúrgica. El atacante ya no lanza mensajes genéricos, sino diseñados a la medida de cada víctima. La IA hace el trabajo pesado, analiza comportamientos y ajusta el engaño.
Deepfakes: cuando la realidad se vuelve dudosa
Dentro de este nuevo panorama, los deepfakes se consolidaron como una de las modalidades de ataque más sofisticadas del año. Videos y audios falsos, pero altamente realistas, generados mediante IA generativa.
Muchas veces el insumo inicial es mínimo: una llamada fantasma para capturar la voz o imágenes extraídas de redes sociales. Con eso alcanza para construir piezas convincentes que se integran en estrategias de ingeniería social.
Fortinet reporta que, en lo que va de 2025, aproximadamente el 47% de las empresas ha enfrentado intentos de fraude mediante deepfakes. Este fenómeno se suma al aumento del 42% en los incidentes de ingeniería social reportados al Foro Económico Mundial durante 2024.
La vulnerabilidad sigue siendo la misma de siempre: el factor humano. Por más barreras técnicas que existan, el acceso final suele pasar por una persona.
Preparación: la línea entre control y desastre
Ninguna organización está completamente a salvo. La diferencia real no está en evitar el incidente, sino en cómo se responde cuando ocurre.
Un evento bien gestionado puede ser contenido. Uno mal gestionado puede escalar rápidamente a un desastre operativo, reputacional y económico. Por eso resulta clave promover una cultura de seguridad de la información acompañada de capacitación continua.
A esto se suma la necesidad de diseñar e implementar políticas, protocolos y manuales claros, tanto de seguridad de la información como de gobernanza de IA. Aunque relacionados, no son lo mismo. Confundirlos o sustituir uno por otro deja flancos expuestos en un contexto cada vez más complejo.
El peso del cumplimiento legal
Los desafíos no son solo técnicos. También son jurídicos. En Colombia no existe una ley única de ciberseguridad, pero sí un entramado normativo aplicable: regulación sectorial, responsabilidad contractual y extracontractual, normas de protección de datos personales y disposiciones penales sobre ciberdelitos.
La complejidad aumenta cuando hay matrices o filiales en el extranjero, clientes internacionales o tratamiento de información sensible. Dependiendo del sector y la jurisdicción, pueden existir obligaciones estrictas de notificación a autoridades, reguladores y personas afectadas, con plazos definidos.
Por eso, cualquier modelo de gobernanza de IA y de gestión de incidentes debe incluir análisis de materialidad, identificación de la normatividad aplicable y mecanismos claros de cumplimiento y demostración ante las autoridades.
Mirar antes de que sea tarde
El tiempo no va a reducir los riesgos. La tecnología seguirá avanzando, los activos intangibles serán cada vez más valiosos y, en consecuencia, la superficie de ataque seguirá creciendo.
Esperar a que ocurra un incidente, como el que recientemente afectó a IFX Networks e impactó a al menos 34 entidades estatales y varias empresas privadas, incluida la autoridad nacional de protección de datos, no es una estrategia. Es una omisión.
La pregunta que queda abierta no es si la IA seguirá transformando la ciberseguridad. Eso ya es un hecho. La verdadera pregunta es quién va a anticiparse… y quién va a reaccionar cuando ya sea demasiado tarde.
