46 red seguridad tercer trimestre 2026 IA monográfico Inyección de instrucciones (prompt injection) y manipulación de lógica de negocio: los atacantes diseñan entradas de texto maliciosas dirigidas a los asistentes de IA o agentes automatizados de la empresa para forzar eludir sus filtros de seguridad (jailbreaking). Este vector permite manipular la lógica de las aplicaciones, saltarse la segregación de funciones corporativa o extraer información confidencial directamente a través de las respuestas del propio modelo. La gobernanza El tercer vector es, sin embargo, el riesgo más crítico para la confidencialidad y no suele provenir de un ataque externo sofisticado. Usualmente nace dentro de la propia organización mediante la Shadow AI (el uso no autorizado de IA por parte de los empleados). Si un desarrollador o consultor copia miles de líneas de código fuente (vinculadas a entornos críticos como datos del ENS, información crítica para el negocio o datos personale) y las introduce en un modelo de IA público para acelerar su trabajo, la brecha de información se materializa al instante. El activo sale del perímetro de control y, si dicho modelo utiliza los datos recibidos para su entrenamiento, esa información confidencial podría ser expuesta inadvertidamente ante terceros entre los cuales podrían estar sus competidores. Todo ello sin haber generado una sola alerta en los cortafuegos o herramientas de seguridad. Conclusiones La transformación impulsada por la IA marca un punto de no retorno para la auditoría de sistemas, la ciberseguridad y la continuidad de negocio. Como auditores y responsables de riesgos, las decisiones estratégicas deben asentarse en los siguientes pilares: Superar el modelo de restricción por el de gobernanza activa: intentar prohibir el uso de modelos de IA en la empresa solo alimenta la Shadow AI. La respuesta no es el bloqueo, sino definir políticas claras de uso aceptable, entornos aislados (sandboxes) supervisados y criterios meticulosos de clasificación de la información. Evolucionar de la auditoría puntual a la supervisión continua: las revisiones anuales de controles resultan insuficientes ante amenazas polimórficas y modelos dinámicos. La función auditora debe incorporar herramientas analíticas automatizadas e integrar principios de evaluación continua. Adoptar marcos integrados: la seguridad de la información ya no se puede desvincular de la gobernanza de los datos de entrenamiento y los algoritmos. Integrar el gobierno de IA dentro de la estructura existente del SGSI garantiza que el uso de dichos sistemas sea ético y robusto desde su concepción (Secure & Governed by Design). La ciberseguridad en la era de la IA ha dejado de ser una lista de verificación fija para convertirse en un ejercicio de agilidad tecnológica. Exige actuar con la misma rapidez con la que mutan las amenazas mientras se mantiene un criterio de riesgo avanzado para priorizar lo que de verdad importa. Mientras los vectores de amenaza mutan a un ritmo sin precedentes y la adopción operativa se acelera en todas las áreas del negocio, la función de auditoría se enfrenta a su propia prueba de madurez. El papel del auditor no es frenar la adopción tecnológica ni actuar como un cuello de botella normativo, sino garantizar que la organización navegue esta aceleración con pleno control de su perfil de riesgo y una resiliencia operativa a la altura de las circunstancias. Esto exige evolucionar definitivamente del rol histórico de “policía del no” al de facilitador de la velocidad segura. Auditar en este nuevo contexto implica comprender que la verdadera resiliencia no se alcanza bloqueando los modelos de IA; sino integrando la supervisión continua, la trazabilidad de las decisiones automatizadas y la gobernanza de datos desde las etapas iniciales de diseño. Si el negocio necesita avanzar a gran velocidad para mantenerse competitivo, la responsabilidad estratégica de la auditoría es verificar que las salvaguardas normativas respondan con la misma agilidad y precisión. Solo mediante esta convergencia entre innovación, gestión del riesgo y gobierno corporativo será posible transformar una disrupción potencialmente caótica en una ventaja competitiva sólida, sostenible y plenamente defendible ante cualquier marco regulatorio. La ciberseguridad ha dejado de ser una lista de verificación fija para convertirse en un ejercicio de agilidad tecnológica
RkJQdWJsaXNoZXIy MTI4MzQz