Prepararse frente a ciberataques que usan inteligencia artificial no consiste en pedir al área de seguridad que compre otra herramienta. Para un CEO y un consejo de administración —o junta directiva, según el país— la pregunta central es mucho más incómoda: si la empresa es atacada mañana, ¿qué parte del negocio puede seguir funcionando y qué tan rápido puede recuperarse?

El National Cyber Security Centre del Reino Unido, conocido como NCSC, advierte que el riesgo cibernético ya no es solo un problema de TI: es una prioridad de consejo porque puede interrumpir operaciones, dañar la reputación y generar consecuencias financieras y legales graves^[1]. El Foro Económico Mundial, en su Global Cybersecurity Outlook 2025, añade presión al dato: el 72% de las organizaciones encuestadas reportó un aumento del riesgo cibernético, y casi el 47% citó los avances de los atacantes impulsados por IA generativa como una preocupación principal^[6].

La respuesta de gobierno corporativo no debería partir de la promesa de impedir toda intrusión. Debe partir de una hipótesis más realista: alguien puede entrar, un proveedor puede fallar, una identidad privilegiada puede verse comprometida o una campaña de phishing generada por IA puede engañar a empleados. El objetivo es detectar antes, contener mejor, recuperar más rápido y explicar con claridad a clientes, reguladores y mercado. El NCSC plantea precisamente esa lógica: concentrarse en lo que la organización puede controlar en ciberdefensa, pero prepararse también para lo que no puede controlar^[3].

El punto de partida: resiliencia, no ilusión de invulnerabilidad

En la era de la IA, la ciberseguridad deja de ser una lista de controles técnicos y se convierte en una disciplina de resiliencia empresarial. Defensa, detección, contención, recuperación y rendición de cuentas deben diseñarse juntas. El NCSC define la resiliencia cibernética para líderes como la capacidad estratégica de prepararse, responder y recuperarse de ciberataques^[1].

Por eso, el consejo no necesita revisar cada regla del firewall. Necesita entender qué procesos son críticos, qué ingresos o compromisos regulatorios dependen de ellos, qué plazo máximo de interrupción tolera la empresa y qué distancia hay entre ese plazo y el tiempo real de recuperación. También debe saber quién decide si se apaga un sistema, si se comunica un incidente, si se activa un proveedor alternativo o si se interrumpe temporalmente una operación^[1][3].

La IA añade dos frentes. El primero es el uso ofensivo por parte de atacantes: automatización, engaños más convincentes, generación de código malicioso o aceleración de campañas. El segundo es interno: la adopción de IA dentro de la propia organización. El WEF propone a los responsables senior de riesgo evaluar las vulnerabilidades que puede crear la adopción de IA, el impacto para el negocio, los controles necesarios y el riesgo residual que queda después de aplicar esos controles^[5].

Siete decisiones que el CEO y el consejo deben cerrar en 90 días

1. Convertir el riesgo cibernético con IA en tema permanente del consejo

El riesgo cibernético no puede aparecer una vez al trimestre como una presentación técnica. Debe formar parte de la agenda ordinaria de riesgos, continuidad de negocio y estrategia. El NCSC lo vincula de forma explícita con operaciones, reputación, finanzas y exposición legal^[1]. En el plano de transparencia corporativa, un análisis publicado en el Harvard Law School Forum señala que las divulgaciones sobre supervisión de IA y ciberseguridad son cada vez más comunes y más detalladas^[4].

Lo que el consejo debe pedir no es un inventario de herramientas, sino una visión de riesgo: funciones críticas expuestas, vulnerabilidades graves sin corregir, identidades privilegiadas, tiempos de detección, tiempos de contención, tiempos de recuperación y grado de control sobre el uso de IA en la organización^[1][5]. El WEF también plantea a los máximos líderes una pregunta clave: si se ha definido correctamente la tolerancia al riesgo para las tecnologías de IA y si esa tolerancia está clara para tomar decisiones^[6].

2. Medir las operaciones críticas y la capacidad real de recuperación

Aunque los ataques evolucionen con IA, lo que la dirección debe proteger sigue siendo el funcionamiento del negocio. Cada función crítica —ventas, pagos, logística, atención al cliente, producción, cumplimiento regulatorio o sistemas internos esenciales— necesita tres datos básicos: cuánto tiempo puede estar parada, qué alternativa existe y cuánto tarda realmente en volver a operar^[1][3].

Las copias de seguridad no bastan si nadie ha probado restaurarlas. El consejo debe pedir evidencia de que los respaldos están aislados, de que se han probado en escenarios de ransomware y de que la empresa conoce el tiempo real de recuperación. La lógica del NCSC es clara: la resiliencia digital exige prepararse también para incidentes que no se pueden controlar por completo^[3].

3. Usar IA en defensa, pero medirla por resultados

Si los atacantes aprovechan IA generativa, la defensa no puede depender solo de revisión manual. La empresa puede apoyarse en automatización e IA para vigilancia, detección de anomalías, priorización de alertas, análisis de comportamiento e investigación de incidentes. Pero el consejo debe evitar una trampa frecuente: confundir la compra de una plataforma con una mejora real del riesgo.

La evaluación debe centrarse en resultados: si baja el tiempo de detección, si mejora el tiempo de contención, si se reducen falsos positivos críticos, si los registros de auditoría son suficientes, si hay responsables claros y si las excepciones se aprueban con trazabilidad. El WEF recomienda evaluar vulnerabilidades, impacto de negocio, controles y riesgo residual cuando se adopta IA^[5][6].

4. Gobernar el uso interno de IA y los datos que la alimentan

El riesgo no viene solo de los atacantes. También puede nacer de cómo la empresa usa sus propias herramientas de IA: datos confidenciales introducidos en servicios no aprobados, permisos excesivos, falta de trazabilidad, respuestas tomadas como verdades sin revisión o modelos conectados a fuentes de información sensibles sin controles suficientes.

Una hoja informativa conjunta de ciberseguridad publicada en un sitio del Departamento de Defensa de EE. UU. subraya que proteger los datos usados por sistemas de IA y aprendizaje automático es importante para asegurar la exactitud e integridad de sus resultados^[2]. En términos prácticos, el consejo debe exigir reglas sobre herramientas de IA internas y externas, aplicaciones conectadas a modelos de lenguaje, condiciones para introducir información confidencial y controles de acceso sobre datos de entrenamiento, prompts, registros, bases vectoriales, información usada en sistemas RAG y otros activos del ciclo de vida de IA^[2][5].

5. Dar al CISO autoridad real, no solo responsabilidad

Un CISO —responsable de seguridad de la información— que carga con la responsabilidad pero no puede frenar excepciones peligrosas ni exigir correcciones críticas está mal posicionado para una amenaza acelerada por IA. Si el riesgo cibernético es prioridad del consejo, el CISO no puede quedar reducido a un rol técnico: debe poder traducir riesgos de seguridad en riesgos de negocio y elevarlos a la alta dirección^[1].

El consejo debería verificar si el CISO puede bloquear cambios de alto riesgo, revisar nuevas iniciativas de IA antes de su despliegue, exigir remediación de vulnerabilidades críticas en áreas de negocio y participar en la evaluación de proveedores clave. El enfoque del WEF sobre riesgo cibernético e IA insiste en conectar vulnerabilidades, controles, impacto empresarial y riesgo residual en una conversación de nivel directivo^[5].

6. Revisar proveedores, nube y cadena de suministro hasta el contrato

La preparación frente a ataques con IA no termina en el perímetro de la empresa. Muchas organizaciones dependen de SaaS, proveedores gestionados, nubes públicas, desarrolladores externos, procesadores de datos, filiales o socios operativos. El NCSC destaca la necesidad de elevar la resiliencia también a través de la cadena de suministro^[3].

En los proveedores críticos, la revisión debe llegar al contrato: requisitos de autenticación, acceso a registros, plazos de notificación de incidentes, políticas de uso de IA, protección de datos, copias de seguridad, derechos de auditoría y obligaciones de apoyo durante la recuperación. Cuanto más tarde llegue una alerta o un registro de un proveedor, más tarde podrá decidir la empresa si contiene, desconecta o cambia a un plan alternativo^[3][5].

7. Cambiar los indicadores del consejo: menos conteo de incidentes, más resiliencia

Contar incidentes no dice, por sí solo, si la organización está más preparada. Una empresa puede tener pocos incidentes registrados porque detecta mal. El consejo necesita indicadores que muestren velocidad de detección, capacidad de contención, recuperación real y reducción de exposición en activos críticos^[1][3].

Área	Indicadores que debería ver el consejo
Continuidad del negocio	Tiempo máximo tolerable de interrupción por función crítica, tiempo real de recuperación y existencia de alternativas operativas[1][3]
Detección, contención y recuperación	Tiempo de detección, tiempo de contención, tiempo de recuperación y tiempo hasta una decisión ejecutiva[1][3]
Identidad y accesos	Número de cuentas privilegiadas, cuentas inactivas, excepciones aprobadas y controles sobre cuentas críticas[1][5]
Vulnerabilidades y activos	Vulnerabilidades críticas sin corregir, remediaciones vencidas y visibilidad sobre activos expuestos a internet[1][5]
Copias de seguridad	Existencia de respaldos aislados, tasa de éxito de pruebas de restauración y tiempo real empleado en recuperar sistemas[1][3]
Gobernanza de IA	Inventario de herramientas de IA, excepciones para uso de datos confidenciales y revisión de seguridad antes de desplegar IA[2][5]
Terceros	Requisitos de seguridad de proveedores críticos, plazos de notificación, entrega de registros y dependencias para recuperación[3][5]

Cronograma práctico: qué hacer en los primeros 90 días

Días 0 a 30: hacer visible el riesgo empresarial

1. Convocar una revisión especial de riesgo cibernético e IA en el consejo^[1][5].
2. Identificar las funciones críticas y documentar para cada una el tiempo máximo tolerable de interrupción y el tiempo real de recuperación^[1][3].
3. Pedir al CISO una evaluación que cubra tanto ataques que usan IA generativa como riesgos derivados del uso interno de IA^[5][6].
4. Suspender la introducción de datos confidenciales en herramientas de IA no aprobadas y crear un proceso de excepciones con responsable y trazabilidad^[2][5].

Días 31 a 60: reforzar controles y recuperación

5. Priorizar controles de autenticación y acceso para directivos, administradores y cuentas privilegiadas^[1][5].
6. Ejecutar una prueba de recuperación desde copias aisladas ante un escenario de ransomware. El informe 2025 del WEF mantiene el ransomware como una preocupación principal^[6].
7. Inventariar proveedores críticos y revisar cláusulas sobre registros, notificación de incidentes, uso de IA, protección de datos y apoyo a la recuperación^[3][5].

Días 61 a 90: ensayar decisiones y fijar el tablero de control

8. Realizar un ejercicio de crisis con CEO, responsable financiero, legal, comunicación, CISO y líderes de negocio^[1][3].
9. Incorporar al tablero del consejo métricas de detección, contención, recuperación, vulnerabilidades críticas abiertas y auditoría del uso de IA^[1][5].
10. Revisar la línea de reporte del CISO, su autoridad para detener riesgos, su papel en revisiones de IA y el presupuesto necesario para sostener el plan^[1][5].

Preguntas que el consejo debería repetir en cada reunión

• ¿Está definida la tolerancia al riesgo para el uso de IA en la empresa y la entiende la dirección?^[6]
• Si una función crítica se detiene, ¿quién inicia la respuesta a clientes, legal, reguladores y comunicación, y en cuántas horas?^[1][3]
• En los sistemas de IA o aprendizaje automático, ¿quién puede modificar los datos y cómo se verifica su integridad?^[2]
• ¿Puede el CISO escalar directamente al consejo excepciones peligrosas o riesgos sin remediar?^[1][5]
• Si un proveedor clave sufre una intrusión, ¿en cuánto tiempo lo sabremos y qué alternativa operativa tenemos?^[3][5]

La conclusión es sencilla, aunque difícil de ejecutar. La respuesta ejecutiva a los ciberataques con IA no consiste en garantizar que nunca habrá una intrusión. Consiste en descubrir antes, limitar el daño, mantener las operaciones esenciales, recuperar con evidencia y comunicar con responsabilidad. El papel del CEO y del consejo no es elegir cada herramienta técnica, sino fijar la tolerancia al riesgo, dar autoridad y recursos al CISO, exigir controles sobre IA y comprobar repetidamente que la empresa puede recuperarse de verdad^[1][3][5].