La discusión ya no debería centrarse únicamente en qué herramientas de IA implementar, sino en cómo desarrollar capacidades organizacionales para gobernar una tecnología que evoluciona muy rápidamente.

La próxima gran crisis de ciberseguridad podría no ser provocada por un hacker humano, sino por una inteligencia artificial operando a una velocidad imposible de igualar.

Por primera vez en la historia de la ciberseguridad, atacantes y CISOs (oficiales de seguridad de la información, por sus siglas en inglés) están utilizando la misma tecnología para competir por una ventaja decisiva. La inteligencia artificial ya no es únicamente una herramienta para mejorar la productividad o acelerar la innovación. Se ha convertido en un nuevo factor de poder en el ámbito digital, capaz de amplificar las capacidades tanto de quienes buscan proteger a las organizaciones como de quienes intentan comprometerlas.

Lee también: El verdadero indicador de una cultura inclusiva

Como CISO, observo un cambio que no tiene precedentes. Durante años nos preocupamos por proteger sistemas. Hoy debemos prepararnos para defender decisiones, identidades y niveles de confianza que pueden ser manipulados por máquinas y procesos automatizados.

Durante décadas, la ciberseguridad fue una carrera constante entre hackers que descubrían nuevas vulnerabilidades y organizaciones que desarrollaban mecanismos para contenerlas. Sin embargo, la dinámica está cambiando. La inteligencia artificial ha reducido las barreras de entrada para el cibercrimen y ha incrementado significativamente la velocidad, la sofisticación y, sobre todo, la escala de los ataques.

Los ciberdelincuentes han sido rápidos en adoptar estas capacidades. Los tradicionales correos de phishing plagados de errores ortográficos están desapareciendo. En su lugar aparecen mensajes altamente personalizados, generados por modelos capaces de analizar información pública, comprender contextos organizacionales e incluso replicar estilos de comunicación específicos. Lo que antes requería horas de preparación ahora puede producirse en segundos.

Los deepfakes representan otro ejemplo preocupante. Hace algunos años parecían una curiosidad tecnológica; hoy son una amenaza real para las organizaciones. Existen casos documentados donde delincuentes han utilizado voces sintéticas para hacerse pasar por ejecutivos y autorizar transferencias millonarias. El Perú tampoco ha sido ajeno a esta realidad, con casos de suplantación que han utilizado la imagen y la identidad de gerentes generales de los principales bancos y de otros líderes empresariales para dar credibilidad a fraudes cada vez más sofisticados. Cuando una llamada, una videoconferencia o un mensaje de voz dejan de ser pruebas confiables de identidad, uno de los pilares fundamentales de cualquier organización, la confianza, comienza a erosionarse.

El riesgo ya no es teórico. En 2024, una multinacional británica perdió más de US$ 25 millones cuando ciberdelincuentes utilizaron tecnología deepfake para hacerse pasar por altos ejecutivos durante una videoconferencia en Hong Kong. Lo que parecía una escena de ciencia ficción se convirtió en una demostración contundente de cómo la inteligencia artificial puede ser utilizada para comprometer el activo más valioso de cualquier organización: la confianza.

El avance es tan significativo que incluso los propios desarrolladores de inteligencia artificial han comenzado a reconocer los riesgos. En 2026, Anthropic decidió restringir el acceso a Claude Mythos, uno de los modelos con mayores capacidades ofensivas en ciberseguridad desarrollados hasta la fecha. Según la compañía, sus capacidades para identificar vulnerabilidades, automatizar procesos de explotación y acelerar ciertas actividades ofensivas representaban un riesgo potencial de uso malicioso a gran escala. Más allá del debate técnico, este hecho marca un punto de inflexión: por primera vez, una organización decidió limitar la disponibilidad de un modelo de IA debido a sus posibles implicancias para la seguridad global.

Sin embargo, la verdadera reflexión para los CISOs es inquietante. Claude Mythos no representa el problema; representa una señal del futuro. Si un modelo fue considerado demasiado peligroso para ser liberado masivamente, es probable que capacidades similares ya estén siendo desarrolladas en entornos menos regulados. La historia de la tecnología demuestra que aquello que puede construirse, eventualmente será construido. Asumir que estas capacidades permanecerán restringidas sería un error. Lo prudente es prepararse para un escenario en el que herramientas de este nivel formen parte del arsenal habitual de los atacantes.

Pero los atacantes no son los únicos que están aprovechando la inteligencia artificial.

Los CISOs y equipos de ciberseguridad también están incorporando modelos avanzados para fortalecer sus capacidades defensivas. Los Centros de Operaciones de Seguridad (SOC) modernos utilizan IA para analizar millones de eventos en tiempo real, identificar comportamientos anómalos y priorizar amenazas según su nivel de riesgo. Actividades que antes demandaban horas de análisis manual hoy pueden realizarse en minutos.

La detección de amenazas también está evolucionando. Los mecanismos tradicionales basados exclusivamente en firmas conocidas o reglas predefinidas están siendo complementados por sistemas capaces de identificar patrones inusuales, correlacionar señales débiles y anticipar posibles incidentes antes de que generen un impacto significativo. En un entorno donde cada minuto cuenta, esta capacidad puede marcar la diferencia entre contener una amenaza o enfrentar una crisis.

Sin embargo, pensar que la inteligencia artificial resolverá por sí sola los desafíos de ciberseguridad sería un error estratégico.

La tecnología amplifica capacidades, pero no reemplaza el criterio humano, la gestión del riesgo ni el liderazgo. De hecho, uno de los mayores riesgos actuales no proviene necesariamente de los atacantes externos, sino del uso descontrolado de herramientas de IA dentro de las propias organizaciones. El fenómeno conocido como Shadow AI, empleados utilizando soluciones de inteligencia artificial sin supervisión ni controles adecuados, está creando nuevas superficies de exposición para información sensible, propiedad intelectual y datos corporativos.

Por ello, el verdadero desafío ya no es tecnológico. Es organizacional.

Como CISO, considero que la discusión ya no debería centrarse únicamente en qué herramientas de IA implementar. El verdadero desafío para los directorios es desarrollar capacidades organizacionales para gobernar una tecnología que evoluciona más rápido que cualquier marco tradicional de control.

Muchas empresas están incorporando inteligencia artificial sin definir claramente cómo gestionarla, medir sus riesgos o integrarla dentro de sus procesos de negocio. El acceso a esta tecnología dejará de ser un factor diferenciador; la verdadera diferencia estará en la capacidad de utilizarla de forma efectiva, responsable y alineada con los objetivos estratégicos de la organización.

Los directorios y equipos ejecutivos deben comprender que la ciberseguridad dejó de ser un asunto exclusivo del área de tecnología. Cuando un deepfake afecta la reputación corporativa, cuando una campaña de ingeniería social manipula decisiones financieras o cuando una interrupción digital paraliza la operación de una planta industrial, el impacto trasciende cualquier departamento. Se convierte en un riesgo de negocio.

Las organizaciones más resilientes serán aquellas que combinen tecnología avanzada con liderazgo, cultura organizacional y capacidad de adaptación. La inteligencia artificial puede detectar amenazas con mayor rapidez, pero siguen siendo las personas quienes deben definir prioridades, tomar decisiones y asumir la responsabilidad de las consecuencias.

Estamos presenciando el inicio de una nueva carrera armamentista digital. La diferencia es que esta vez las armas no son únicamente códigos maliciosos o herramientas defensivas. Son algoritmos capaces de aprender, adaptarse y evolucionar constantemente.

La inteligencia artificial no elegirá un bando. Estará disponible para todos. La diferencia será la velocidad con la que cada organización aprenda a utilizarla, gobernarla y adaptarse a ella.

En esta nueva carrera digital, la ventaja ya no pertenecerá al más grande ni al más fuerte, sino al que aprenda más rápido.

Y para los CISOs, la realidad es clara: no hay tiempo que perder. Mientras muchas organizaciones aún discuten cómo adoptar la inteligencia artificial, los atacantes ya la están utilizando. La batalla ya comenzó. Y como ocurre en toda carrera tecnológica, quienes reaccionen tarde no tendrán una segunda oportunidad para ponerse al día.

Sobre el autor:

Luis Budge es CISO y CDO Corporativo de Grupo Unacem.

Las opiniones expresadas son solo responsabilidad de sus autores y son completamente independientes de la postura y la línea editorial de Forbes Perú.