El cumplimiento de la Ley de IA no asegura la protección empresarial frente a ciberataques

Las organizaciones están confundiendo el cumplimiento de las normativas con la reducción efectiva de riesgos, lo que puede resultar en una falsa sensación de seguridad. En el contexto actual, el ecosistema empresarial europeo está experimentando una rápida adopción de la inteligencia artificial, que incluye desde copilotos hasta agentes autónomos y soluciones de software como servicio (SaaS) integradas en las infraestructuras corporativas. Sin embargo, esta rápida implementación está superando la capacidad de las estructuras internas de gobernanza, creando una brecha operativa que concentra los mayores riesgos para las empresas.

Proofpoint ha alertado sobre el error común de considerar la Ley de Inteligencia Artificial de la Unión Europea (EU AI Act) como el único pilar para la gestión de riesgos. La compañía advierte que el simple cumplimiento de las normativas no asegura una mitigación efectiva de las amenazas que enfrentan las organizaciones. Aunque el marco regulatorio europeo establece obligaciones legales para los sistemas de inteligencia artificial, la seguridad integral de una empresa requiere ir más allá de estas exigencias administrativas para prevenir brechas de datos o incidentes generados por errores internos.

Para abordar esta situación, los expertos proponen una estrategia integral que combine tres marcos complementarios: el marco NIST AI RMF, que proporciona una estructura técnica para evaluar riesgos operacionales; los estándares ISO/IEC 23894 y 42001, que ayudan a consolidar procesos internos medibles de gobernanza; y la EU AI Act, que garantiza el alineamiento legal. Esta combinación se presenta como una base operativa robusta, especialmente para empresas con filiales o exposiciones internacionales.

A pesar de que el debate sobre la inteligencia artificial tiende a centrarse en temas como el sesgo, la explicabilidad y la precisión de los modelos, la realidad indica que la mayoría de los incidentes son el resultado de la interacción humana, una gestión inadecuada de los flujos de información y la explotación por parte de atacantes externos. Así, el riesgo tecnológico se revela como un desafío estrechamente relacionado con el comportamiento de los empleados y con fallos previos en el control de accesos, que la inteligencia artificial puede amplificar.

Además, la proliferación de herramientas no reguladas y de inteligencia artificial en la sombra, junto con el perfeccionamiento de métodos de ataque como el phishing y el compromiso de correos electrónicos corporativos, agravan la situación. Para transformar las obligaciones normativas en un programa de seguridad operacional que sea tanto medible como alineado con las prioridades empresariales, los responsables de seguridad deben desarrollar planes que integren los requisitos regulatorios en una única estructura.

Este enfoque implica realizar un inventario de los activos de inteligencia artificial y sus respectivos responsables, priorizar los flujos de información en función del impacto del contenido y vincular cada objetivo de gobernanza con controles de acceso y medidas para evitar la pérdida de datos. La efectividad de este programa debe medirse en términos de reducción real de riesgos, en lugar de limitarse a la acumulación de tareas de cumplimiento normativo.

Etiquetas: Inteligencia Artificial, IA