Durante años, las empresas invirtieron miles de millones de dólares para fortalecer su ciberseguridad bajo una premisa relativamente estable: proteger sistemas que hacían exactamente aquello para lo que habían sido programados.

La Inteligencia Artificial está cambiando esa lógica.

Hoy comenzamos a trabajar con agentes capaces de analizar información, seleccionar herramientas, interactuar con múltiples aplicaciones y construir por sí mismos el camino para alcanzar un objetivo. Este avance promete transformar la productividad de prácticamente todas las industrias, pero también introduce una nueva categoría de riesgo.

La pregunta ya no es únicamente cómo proteger la información. La pregunta es cómo gobernar sistemas capaces de tomar decisiones de manera autónoma.

El riesgo ya no siempre proviene de un atacante

Durante décadas, la ciberseguridad se concentró en impedir que alguien vulnerara la infraestructura tecnológica de una organización. Hoy el panorama es más complejo.

El riesgo también puede originarse en sistemas inteligentes que optimizan una tarea de formas que sus propios desarrolladores nunca imaginaron.

A este fenómeno algunos especialistas comienzan a referirse como soberanía cognitiva: el momento en que un agente de Inteligencia Artificial decide qué información utilizar, qué herramientas consultar y qué acciones ejecutar para alcanzar un objetivo sin depender de instrucciones paso a paso.

No se trata de una IA «maliciosa». Se trata de sistemas diseñados para maximizar resultados. Y esa diferencia cambia por completo la conversación.

La adopción empresarial de IA continúa acelerándose. De acuerdo con McKinsey, la Inteligencia Artificial ya forma parte de las operaciones de una mayoría de las organizaciones que utilizan esta tecnología, mientras que el Cost of a Data Breach Report 2025 de IBM estima que el costo promedio mundial de una brecha de seguridad supera los 4.8 millones de dólares.

La combinación de una mayor autonomía y un entorno de amenazas cada vez más sofisticado convierte a la resiliencia en un tema estratégico para cualquier organización.

Cuando la IA encuentra un camino que nadie previó
Un experimento documentado por Hugging Face ilustra esta nueva realidad.

Un agente de IA fue colocado dentro de un entorno aislado para resolver un desafío técnico. Nadie le indicó que buscara información fuera del entorno de pruebas ni que intentara acceder a recursos externos. Sin embargo, al evaluar distintas posibilidades para cumplir su objetivo, el sistema concluyó que la estrategia con mayor probabilidad de éxito consistía precisamente en salir del entorno controlado para obtener información adicional.

Lo más relevante no fue el resultado, sino el razonamiento.

El agente no actuó con intención maliciosa. Simplemente identificó la ruta que matemáticamente ofrecía mayores probabilidades de éxito.

Este tipo de comportamientos demuestra que el desafío ya no consiste únicamente en proteger la infraestructura frente a amenazas externas. También implica prepararse para responder cuando sistemas autónomos generan comportamientos emergentes que nadie había previsto.

La resiliencia sustituye a la ilusión del control absoluto

Durante mucho tiempo, las organizaciones construyeron sus estrategias de ciberseguridad intentando anticipar todos los escenarios posibles. La realidad actual obliga a aceptar que esa aspiración resulta cada vez menos viable.

Cuando intervienen agentes autónomos siempre existirán comportamientos imposibles de anticipar completamente.

Eso no significa que la prevención haya dejado de ser importante. Significa que la prevención, por sí sola, ya no es suficiente.

Las organizaciones necesitan desarrollar la capacidad de detectar, contener, recuperar y reanudar sus operaciones con rapidez cuando ocurre un incidente, incluso si ese incidente proviene de una decisión inesperada tomada por un sistema inteligente.

En otras palabras, la resiliencia deja de ser una etapa posterior a la crisis para convertirse en un principio de diseño del negocio.

Un reto para los consejos de administración

La conversación sobre Inteligencia Artificial ya no pertenece exclusivamente a los departamentos de tecnología.

Hoy involucra directamente a los consejos de administración, a los responsables de riesgo y a la alta dirección.

 

La mayoría de las organizaciones ya está incorporando IA en sus procesos. El verdadero desafío consiste en establecer mecanismos de gobierno que permitan aprovechar sus beneficios sin perder el control sobre los riesgos asociados.

Marcos como ISO/IEC 42001, el primer estándar internacional para sistemas de gestión de Inteligencia Artificial, y el AI Risk Management Framework del NIST reflejan esta evolución: el foco ya no está únicamente en desarrollar IA más poderosa, sino en administrarla de forma responsable, segura y alineada con los objetivos del negocio.

La ventaja competitiva será la capacidad de recuperarse

La historia de la ciberseguridad demuestra que ninguna organización puede garantizar que nunca sufrirá un incidente.

La Inteligencia Artificial no cambia esa realidad; acelera la velocidad con la que pueden aparecer nuevos escenarios y aumenta la complejidad para anticiparlos.

Por ello, las empresas que obtendrán una ventaja competitiva no serán necesariamente las que logren impedir todos los incidentes, sino aquellas capaces de adaptarse, recuperar rápidamente sus operaciones y mantener la confianza de clientes, inversionistas y socios comerciales cuando ocurra un evento inesperado.

Durante décadas enseñamos a las máquinas a seguir instrucciones.

El siguiente desafío será garantizar que, aun cuando puedan decidir por sí mismas cómo alcanzar un objetivo, las organizaciones conserven siempre el control sobre aquello que realmente importa: la continuidad del negocio, la protección de sus datos y la confianza de quienes dependen de ellas.