IA, ciberseguridad y riesgos: cómo gestionarlos
Por Elizabeth Arroyave Rojas
CEO, EA Tech Consulting
Durante muchos años, las organizaciones han visto la ciberseguridad, la gestión de riesgos y los seguros corporativos como disciplinas independientes. La primera era responsabilidad del departamento de TI; la segunda, del área de riesgos o auditoría; y la tercera, de Finanzas o de quien negociara las pólizas con el corredor de seguros.
Sin embargo, la acelerada adopción de la Inteligencia Artificial está obligando a replantear esta visión.
Hoy, una decisión tomada por un algoritmo puede generar pérdidas económicas, afectar la reputación de una empresa, provocar incumplimientos regulatorios o exponer información confidencial. Al mismo tiempo, un ataque de ransomware puede detener una operación completa y una mala configuración de un modelo de IA generativa puede filtrar información estratégica en cuestión de segundos.
En este nuevo entorno, la pregunta ya no es únicamente cómo proteger la infraestructura tecnológica, sino cómo gestionar integralmente el riesgo digital de la organización.
Es precisamente aquí donde ocurre algo interesante. Al revisar los principales marcos internacionales de gestión de riesgos, como ISO/IEC 42001 para sistemas de gestión de Inteligencia Artificial, el NIST AI Risk Management Framework, el NIST Cybersecurity Framework, ISO 27001 o ISO 31000, se descubre que todos parten de una misma filosofía. Aunque fueron desarrollados para propósitos distintos, terminan evaluando prácticamente los mismos elementos que una compañía aseguradora analiza antes de emitir una póliza de riesgos tecnológicos o de ciberseguridad.
En otras palabras, los frameworks internacionales y las aseguradoras están haciendo las mismas preguntas.
La primera de ellas tiene que ver con la gobernanza. Ninguno de estos modelos considera que la gestión del riesgo sea un problema exclusivamente tecnológico. Por el contrario, todos coinciden en que debe existir liderazgo desde la alta dirección, políticas claras, responsabilidades definidas y mecanismos de supervisión que permitan tomar decisiones informadas sobre el uso de la tecnología.
Esto representa un cambio importante para muchas organizaciones. La Inteligencia Artificial ya no puede implementarse únicamente desde el área de innovación o desde Tecnología. Debe responder a una estrategia corporativa, contar con criterios claros para su utilización y alinearse con el apetito de riesgo de la empresa.
El segundo elemento común es el conocimiento de los activos críticos. Ningún framework puede proteger aquello que la organización desconoce. Por ello, todos insisten en la necesidad de identificar qué datos son sensibles, qué sistemas soportan la operación, qué proveedores participan en la cadena tecnológica y cuáles modelos de Inteligencia Artificial están siendo utilizados.
Esta visibilidad es precisamente la que permite entender la verdadera exposición al riesgo. No es casualidad que las aseguradoras soliciten esta misma información antes de ofrecer una cobertura. Para ellas, conocer los activos críticos es indispensable para calcular el nivel de exposición financiera que asumirán.
Otro punto de convergencia es la evaluación continua del riesgo. Durante muchos años, las empresas realizaron evaluaciones una vez al año para cumplir con auditorías o requisitos regulatorios. Hoy esa práctica resulta insuficiente. Las amenazas evolucionan diariamente y la Inteligencia Artificial introduce riesgos completamente nuevos, como la manipulación de modelos, la fuga de información mediante prompts, las decisiones automatizadas incorrectas o los sesgos algorítmicos.
Los frameworks internacionales coinciden en que la gestión del riesgo debe convertirse en un proceso permanente y dinámico. Lo importante ya no es eliminar todos los riesgos —algo imposible—, sino comprenderlos, priorizarlos y mantenerlos dentro de un nivel aceptable para la organización.
Aquí surge una reflexión importante. Muchas empresas creen que adquirir una póliza de ciberseguridad significa estar protegidas frente a cualquier incidente. Sin embargo, las aseguradoras no funcionan como un sustituto de la gestión del riesgo. Antes de aceptar una cobertura, desean conocer qué tan madura es la organización, cuáles controles tiene implementados y qué tan preparada está para responder ante un incidente.
La realidad es que la mejor póliza comienza mucho antes de la firma del contrato. Empieza con una estrategia de gobernanza sólida, una adecuada gestión de riesgos y una cultura organizacional que entienda que la transformación digital también implica asumir nuevas responsabilidades.
En EA Tech Consulting hemos insistido en que la transformación digital no consiste únicamente en incorporar nuevas tecnologías. Implica construir organizaciones capaces de innovar de forma segura, sostenible y responsable. La confianza se convierte así en un activo estratégico, y esa confianza solo puede construirse cuando la tecnología, la gobernanza y la gestión de riesgos avanzan en la misma dirección.
En nuestro próximo artículo analizaremos cómo las aseguradoras están modificando la forma en que evalúan los riesgos derivados de la Inteligencia Artificial y qué aspectos deberían fortalecer las organizaciones si desean acceder a mejores coberturas y reducir su exposición frente a los riesgos digitales.
