El hecho de que un sinfín de empresas estén implantando e invirtiendo en IA generativa (GenAI) no significa que realmente comprendan en qué consiste esta tecnología —o, lo que es más importante, cómo podría poner en peligro los ingresos y la reputación de la marca—. Dado que la implantación de la inteligencia artificial se está acelerando con la promesa de una mayor eficiencia y una reducción de costes, los consejos de administración y los altos directivos necesitan el asesoramiento de expertos sobre los posibles riesgos para la empresa.
Aparece una nueva figura entre los profesionales de las tecnologías de la información: el director de seguridad de la información (CISO) de « » , en calidad de asesor en riesgos de la inteligencia artificial.
Las cifras ponen de manifiesto la necesidad de este tipo de orientación. Un estudio reciente de la Wharton School, titulado « » ( ), reveló que el 82 % de los líderes empresariales utilizan la inteligencia artificial semanalmente y que casi la mitad recurre a ella a diario. Es más, según revela el estudio, tres de cada cuatro directivos ya están obteniendo resultados positivos de sus inversiones en inteligencia artificial, y la mayoría prevé aumentar el gasto en un futuro próximo. Sin embargo, es posible que no comprendan hasta qué punto se está ampliando el panorama de amenazas.
Casi el 80 % del ransomware « » ( ) funciona ahora con inteligencia artificial, según un nuevo análisis realizado por el MIT Sloan y Safe Security () (), lo que sugiere un aumento significativo en la velocidad, el volumen y la escala de los ataques. Además, existe la amenaza interna: más de la mitad de los empleados utilizan «IA en la sombra», es decir, herramientas de IA no autorizadas que ponen en riesgo a las empresas, según una exhaustiva encuesta realizada en 2024 a 6,000 trabajadores de EE. UU., el Reino Unido y Alemania por el conglomerado alemán de software Software AG. (Es muy probable que esas cifras sean aún más elevadas en la actualidad.) Además, el año pasado, el 13 % de las empresas notificaron incidentes relacionados con modelos o aplicaciones de inteligencia artificial, según informa IBM.
El CISO puede ser quien informe de forma más regular y exhaustiva a los responsables de la toma de decisiones sobre estos riesgos para la empresa, que aumentan de forma exponencial, y sobre qué nuevas medidas de control o gastos podrían ser necesarios para minimizarlos.
Un nuevo enfoque del papel del CISO en relación con los riesgos de la IA
Considere a los asesores de riesgos de IA como personas cuyas responsabilidades, además de elaborar y ejecutar estrategias de ciberseguridad, incluyen orientar a los directivos sobre el uso seguro, protegido, conforme a la normativa y ético de la IA para impulsar los objetivos empresariales y reforzar la confianza de los clientes.
«. Aunque la IA es ahora uno de los tres temas principales del orden del día en casi todas las reuniones de consejo a las que asisto, la mayoría de los consejos de administración siguen sin comprenderla.»David Gee, asesor de riesgos del consejo de administración, antiguo director de seguridad de la información (CISO) de HSBC y autor
En cierto modo, ese puesto ya existe. Dado que los problemas de ciberseguridad, como el ransomware, las filtraciones de datos y los ataques a la cadena de suministro , suponen un coste de decenas de miles de millones de dólares para las empresas estadounidenses, la seguridad se ha convertido en una grave preocupación empresarial. En la actualidad, son muchos los directores de seguridad de la información (CISO) que se reúnen con los miembros del consejo de administración varias veces al año.
Sin embargo, eso no significa que los CISO estén explicando adecuadamente lo que los miembros del consejo de administración y los altos directivos realmente necesitan saber sobre la IA, ni que los líderes empresariales estén comprendiendo lo que se les está comunicando.
«Aunque la inteligencia artificial es ahora uno de los tres temas principales del orden del día en casi todas las reuniones de consejo a las que asisto, la mayoría de los consejos de administración siguen sin comprenderla», afirmó David Gee, asesor de riesgos para consejos de administración con sede en Sídney, antiguo CISO de HSBC y autor del nuevo libro <em>«Un día en la vida de un CISO».</em> «Están contratando a consejeros con formación en contabilidad y derecho, no a personas con experiencia en ciberseguridad, datos o inteligencia artificial».
Es posible que muchos responsables de seguridad de la información (CISO) también estén afirmando a los miembros del consejo de administración y a los directivos que las herramientas y los controles convencionales de ciberseguridad son suficientes para hacer frente a los riesgos relacionados con la inteligencia artificial, cuando, en realidad, resultan insuficientes, según ha señalado Jim Routh, director de confianza de Saviynt y antiguo responsable de seguridad de la información (CISO), que asesora a los consejos de administración en materia de ciberseguridad.
«En la actualidad, aproximadamente el 40 % de los CISO afirman: “Los controles con los que contamos hoy en día son suficientes para hacer frente a este cambio tecnológico”», señaló Routh. «Creo que eso es irresponsable».
Gee percibe el mismo problema.
«La mayoría de las organizaciones siguen funcionando según estrategias elaboradas antes incluso de que existiera la IA generativa», afirmó. «Las superficies de amenaza se han duplicado —desde los sistemas tradicionales hasta los nuevos puntos de entrada de la inteligencia artificial, como las interfaces de programación de aplicaciones (API), los flujos de trabajo de generación aumentada por recuperación (RAG) y los modelos de control de acceso— y la mayoría de los CISO aún no las han identificado». Las API, los flujos de trabajo RAG y los controles de acceso a los modelos actúan como el tejido conectivo que vincula los modelos de IA con los datos, las aplicaciones y los usuarios, y se consideran cada vez más como vectores de ataque prometedores.
Los riesgos de la IA y cómo hacer frente a las amenazas adecuadas
Routh afirmó que el panorama de amenazas relacionadas con la inteligencia artificial se está ampliando en tres frentes, cada uno de los cuales debe abordarse utilizando todo el abanico de capacidades de un CISO. Entre ellos se encuentran:
- Modelos de base —— en los que los empleados corren el riesgo de revelar datos confidenciales a través de las consultas cotidianas.
- Aplicaciones SaaS —— en las que se integran modelos de lenguaje con una supervisión mínima.
- Desarrollo de software —, donde personas con distintos niveles de experiencia utilizan la inteligencia artificial para generar código que podría presentar vulnerabilidades.
La práctica de utilizar modelos de inteligencia artificial para crear aplicaciones completas a partir de instrucciones redactadas en inglés sencillo —un enfoque conocido como «vibe coding»— es lo que más preocupa a Routh, debido a la importancia fundamental que tienen las aplicaciones para las operaciones de una organización y para sus socios de la cadena de suministro.
Y no se limita a las aplicaciones de programación. La creciente amenaza que suponen los proyectos clandestinos de inteligencia artificial en general preocupa a expertos como Wyatt Mayham, consultor jefe de inteligencia artificial de Northwest AI Consulting. Los empleados de todas las unidades de negocio están poniendo en marcha proyectos piloto de IA no autorizados o adquiriendo herramientas de terceros sin una evaluación de seguridad, lo que genera puntos ciegos que los CISO no pueden permitirse ignorar, afirmó.
«Cada semana descubrimos nuevas aplicaciones de inteligencia artificial que se están ejecutando en entorno de producción y que el departamento de TI nunca ha autorizado», afirmó Mayham. «El problema no radica únicamente en las propias herramientas de inteligencia artificial. «Son los directivos los que ni siquiera saben que esas herramientas existen hasta que algo falla».
Esa falta de visibilidad es algo más que una deficiencia técnica, afirmó. Esto supone una deficiencia en la gobernanza, lo que deja a las empresas expuestas a multas reglamentarias, a la paralización de sus operaciones y a titulares que perjudican su imagen de marca. Por eso, según los expertos, los CISO deben pasar de ser defensores en segundo plano a convertirse en asesores en materia de riesgos en la mesa de toma de decisiones.
Hablar el idioma adecuado
Muchos CISO siguen aprendiendo a hablar de los riesgos de la IA en términos empresariales.
«El problema no radica únicamente en las propias herramientas de IA. Son los directivos los que ni siquiera saben que esas herramientas existen hasta que algo falla.»Wyatt Mayham, consultor jefe de IA, Northwest AI Consulting
Timothy Youngblood, antiguo director de seguridad de la información (CISO) de McDonald’s y T-Mobile y actualmente CISO residente en Astrix Security, ha señalado que a demasiados responsables de seguridad les cuesta pasar de hablar de tecnología a demostrar cómo una seguridad sólida respalda el crecimiento empresarial.
«Muchos directores de seguridad de la información (CISO) son tan expertos en tecnología que, a veces, olvidan que la razón por la que ocupan ese puesto es que la empresa está tratando de aumentar sus ingresos», afirmó. «La tarea consiste en contribuir a que esos ingresos sigan fluyendo y hablar del riesgo en un lenguaje que todos los presentes puedan entender».
Ese lenguaje comienza en el consejo de administración. Los directivos no necesitan explicaciones detalladas sobre el «model poisoning», la inyección de comandos « » ni la aplicación de parches. Desean comprender cómo las medidas de seguridad protegen los ingresos, a los clientes y la reputación.
Ese enfoque más amplio cobra aún mayor importancia a medida que las cuestiones relacionadas con la gobernanza pasan a primer plano.
Los consejos de administración solicitan cada vez más a los CISO que distingan entre la seguridad de la IA « » (es decir, la defensa de los sistemas frente a los ataques) y la seguridad de la IA (garantizar que la IA se comporte según lo previsto), según ha afirmado Kara Sprague, directora ejecutiva de HackerOne, una empresa dedicada a los programas de recompensas por errores y a la divulgación de vulnerabilidades . Advirtió de que centrarse en una u otra categoría podría impedir que las empresas tuvieran una visión global de la situación. «Los CISO deben asumir el control de todo el debate», afirmó.
«Nuestra investigación revela que alrededor del 84 % de los CISO se consideran los responsables a la hora de abordar los riesgos de la IA relacionados con la seguridad y la protección», afirmó Sprague. «Por lo tanto, se espera que el CISO asuma ese cargo, independientemente de si desea hacerlo o de si tiene la capacidad para ello».
El reto de los altos directivos: afrontar la cruda realidad sobre los riesgos de la IA
Cumplir con esa expectativa podría implicar un ajuste de los presupuestos. Los sistemas de defensa heredados no pueden adaptarse sin más a la inteligencia artificial. En cambio, expertos como Routh afirmaron que los recursos deben destinarse a la gobernanza de los datos, la supervisión de los modelos y las medidas de protección en tiempo real.
«No sea tan pesimista…». Como asesor de riesgos en materia de IA, usted desea ser la persona que aporte soluciones que permitan a la organización decir «sí» con total seguridad.»Kara Sprague, directora ejecutiva de HackerOne
Tal y como subrayaron tanto Routh como Youngblood, uno de los retos es que, para ello, se requieren habilidades interpersonales —como la capacidad de narrar historias, de presentar y de analizar— en la misma medida que los conocimientos técnicos. Según afirmaron, los asesores en materia de riesgos deben saber cómo persuadir de tal forma que se destaquen tanto las oportunidades como los riesgos.
Gee, cuyo libro describe la evolución del papel de los responsables de seguridad en la era de la inteligencia artificial, estructura este proceso en torno a tres imperativos: asumir la responsabilidad, formarse para ello e involucrar a las partes interesadas.
«La inteligencia artificial no es una moda pasajera; es un tsunami», afirmó. «O se prepara uno para aprovecharla o acaba siendo arrollado por ella».
5 pasos para convertirse en asesor de riesgos en materia de IA
Entonces, ¿cómo pueden los CISO hacer todo eso? A continuación le ofrecemos algunos consejos de expertos para convertirse en asesor de riesgos de IA:
- Sepa de qué dispone:. Los CISO deben realizar un inventario de cómo y dónde se utiliza la IA en toda la empresa, incluidos los proyectos no autorizados de «IA en la sombra». «Realmente no se puede gobernar lo que no se sabe que existe», afirmó Mayham. Esto implica identificar los sistemas de inteligencia artificial, realizar un seguimiento de los flujos de datos y detectar los puntos ciegos antes de que se conviertan en riesgos, afirmó.
- Definir el uso responsable:. Una vez que se haya logrado la transparencia, los CISO deben liderar la búsqueda de un consenso sobre lo que significa el «uso responsable» de la IA. Aunque variará en función del sector y de los requisitos normativos, el uso responsable debería servir de guía para todas las demás iniciativas, afirmó Routh.
- Incorporar la gobernanza en la empresa —A continuación, Routh y Youngblood señalaron que los CISO deberían ser capaces de explicar cómo están integrando la gobernanza —políticas de IA, supervisión, rendición de cuentas y cumplimiento normativo— en las operaciones cotidianas, con el fin de que tanto la ciberseguridad como la seguridad se conviertan en responsabilidades fundamentales de la empresa, en lugar de aspectos secundarios.
- Priorice sus esfuerzos:. También es importante evitar intentar abarcar demasiado. Sprague afirmó que los CISO deberían ser capaces de analizar el panorama de amenazas, identificar en qué ámbitos la inteligencia artificial supone el mayor riesgo para las prioridades empresariales y explicar cómo tienen previsto subsanar las deficiencias concretas en la cobertura de riesgos. «Es una cuestión de optimización», afirmó, «porque todos sabemos que los presupuestos destinados a la ciberseguridad no crecen al mismo ritmo que la superficie de ataque».
- Formar, formar, formar —Por último, los CISO deben mantener a los consejos de administración y a los empleados informados y en sintonía con respecto al panorama de amenazas en constante evolución, las medidas de mitigación de la empresa y cómo estas se ajustan a las prioridades empresariales, afirmaron Youngblood y Sprague. Esas conversaciones deben ser precisas y proporcionar a los miembros del consejo de administración y a los directivos una visión clara y completa de lo que está sucediendo y de los motivos. «Si los CISO no lideran la iniciativa en materia de formación y, en cambio, se limitan a decirles constantemente que todo va bien, les están haciendo un flaco favor», añadió Routh.
Por encima de todo, en todas las reuniones de la junta directiva o a nivel ejecutivo se debería hacer hincapié en cómo el plan del CISO fomenta la innovación, en lugar de limitar las actividades o decir «no», afirmó Sprague.
«No sea usted esa persona pesimista que siempre está diciendo: “No, eso no podemos hacerlo”», advirtió. «Como asesor de riesgos en materia de inteligencia artificial, lo que usted desea es ser la persona que aporte soluciones que permitan a la organización decir “sí” con total seguridad».
