El director general de Mercurius Cybersecurity analiza el doble reto que plantea la adopción de la IA en las organizaciones, con incidentes derivados de un uso sin supervisión y ataques cada vez más sofisticados, como el phishing personalizado y la clonación de voz, en un contexto en el que Gartner estima que el 34% de las empresas que utilizan IA generativa ya han sufrido una exposición involuntaria de datos.
La rápida adopción de herramientas de inteligencia artificial (IA) por parte de las empresas ha creado un nuevo panorama de riesgos de ciberseguridad para las organizaciones. Este fenómeno combina dos dinámicas simultáneas: el uso no supervisado de aplicaciones de IA por parte de los empleados, conocido como IA Sombra—y el uso de la misma tecnología por parte de ciberdelincuentes para diseñar ataques cada vez más sofisticados.
En este contexto, Marcos Reis, CEO de Mercurius Cybersecurity, argumenta que las organizaciones se enfrentan a una encrucijada operativa: controlar cómo se utiliza la IA dentro de la empresa y, al mismo tiempo, prepararse para las amenazas impulsadas por la IA. El problema va más allá del uso de chatbots públicos e incluye asistentes virtuales, extensiones de navegador y otras herramientas no autorizadas que pueden formar parte de los flujos de trabajo diarios sin la intervención de los departamentos de TI.
La exposición involuntaria de información se ha convertido en una de las principales preocupaciones. Según Gartner, el 34% de las organizaciones que utilizan herramientas de IA generativa ya han sufrido incidentes de seguridad o filtraciones de datos relacionados con su uso. Por su parte, un estudio del Ponemon Institute indica que más del 40% de la información comprometida en estos incidentes corresponde a propiedad intelectual y secretos comerciales, una categoría especialmente sensible debido a su posible impacto en la ventaja competitiva y la continuidad del negocio.
Al mismo tiempo, la IA se ha convertido en un poderoso recurso para los atacantes. Se está utilizando para redactar correos electrónicos de phishing que son prácticamente indistinguibles de los legítimos, clonar las voces de ejecutivos y generar mensajes altamente personalizados. También puede facilitar el fraude a través de canales de comunicación corporativos como WhatsApp y Telegram, aumentando tanto la velocidad de propagación como la complejidad de la detección.
Según Reis, este cambio debilita una barrera de seguridad tradicional basada en la capacidad de las personas para reconocer señales de advertencia obvias. “Durante años, enseñamos a la gente a desconfiar de los correos electrónicos que contenían errores de ortografía”, dijo Marcos Reis, CEO de Mercurius Cybersecurity. En su opinión, el nivel de sofisticación actual exige que las organizaciones reconsideren su enfoque: ya no es suficiente identificar qué aplicaciones utilizan los empleados o depender únicamente de la capacitación tradicional de concienciación.
En este escenario, la respuesta debe evolucionar de un modelo estático a uno centrado en la visibilidad de los datos y la respuesta continua. Esto incluye automatizar el monitoreo de datos sensibles antes de que salgan de la red corporativa y operar con capacidades de detección en tiempo real. “La diferencia radicará en quién puede detectar y responder primero”, dijo Marcos Reis, CEO de Mercurius Cybersecurity.
