La creciente integración de la inteligencia artificial en el entorno empresarial europeo ha puesto de manifiesto que cumplir con la normativa vigente no garantiza, por sí solo, una protección efectiva frente a los riesgos asociados a esta tecnología. Así lo advierte Proofpoint, que reclama un enfoque más amplio y operativo de la gobernanza de la IA para afrontar amenazas relacionadas con los datos, los usuarios y los procesos corporativos.
La adopción de soluciones basadas en IA ha experimentado una aceleración sin precedentes en los últimos años. Desde asistentes inteligentes y copilotos hasta agentes autónomos y aplicaciones generativas integradas en servicios SaaS, estas tecnologías ya forman parte del día a día de muchas organizaciones. Sin embargo, el desarrollo de estructuras de control y supervisión no ha avanzado al mismo ritmo, generando una brecha que preocupa a los responsables de seguridad.
Los especialistas consideran que muchas empresas europeas están centrando sus esfuerzos en cumplir con los requisitos de la Ley de IA de la Unión Europea (AI Act), el primer marco regulatorio integral sobre inteligencia artificial aprobado a nivel mundial. Aunque reconocen la importancia de esta legislación para establecer obligaciones legales claras, señalan que la gestión efectiva del riesgo requiere una aproximación más amplia.
Para Proofpoint, la gobernanza de la IA debe apoyarse en la combinación de varios estándares y marcos de referencia, cada uno enfocado en una dimensión distinta del problema. En este sentido, destacan el papel del NIST AI Risk Management Framework (AI RMF), orientado a la identificación y gestión de riesgos; los estándares ISO/IEC relacionados con gobernanza y sistemas de gestión, que permiten implantar procesos internos medibles y auditables; y la propia AI Act, encargada de definir las obligaciones regulatorias.
La combinación de estos enfoques permitiría a las organizaciones construir un modelo de gobernanza más sólido y adaptado a entornos internacionales, especialmente en compañías con presencia en varios mercados o con clientes fuera de Europa.
Los riesgos más allá de la tecnología
Aunque gran parte del debate sobre inteligencia artificial suele centrarse en aspectos como la precisión de los modelos, la explicabilidad de sus decisiones o la posible aparición de sesgos, la experiencia práctica muestra que muchos de los incidentes tienen su origen en factores operativos y humanos.
Los expertos de Proofpoint identifican cuatro áreas críticas de riesgo. La primera está relacionada con el comportamiento de los empleados. Incluso cuando existen políticas internas definidas, los usuarios pueden compartir información sensible con herramientas externas de IA, aprobar solicitudes fraudulentas o incumplir procedimientos corporativos establecidos.
La segunda amenaza corresponde a la exposición de datos. La capacidad de la IA para analizar y procesar grandes volúmenes de información puede amplificar vulnerabilidades preexistentes en la gestión de accesos y en los sistemas de protección de datos. Como consecuencia, fallos que antes tenían un impacto limitado pueden convertirse en problemas de gran escala.
Otra preocupación creciente son los ataques impulsados por inteligencia artificial. Campañas de phishing cada vez más sofisticadas, fraudes por suplantación de identidad, ataques de compromiso del correo electrónico corporativo (BEC) o estafas dirigidas a altos directivos aprovechan las capacidades de la IA para mejorar la credibilidad y efectividad de los engaños.
A ello se suma el fenómeno conocido como “shadow AI”, que aparece cuando los empleados utilizan herramientas no autorizadas por la organización. La falta de visibilidad sobre estas aplicaciones impide conocer qué datos se comparten, cómo se procesan y si se cumplen las políticas de seguridad corporativas.
De la regulación a la gestión operativa
Ante este escenario, los especialistas de la compañía sostienen que el principal reto para los líderes empresariales consiste en transformar las exigencias regulatorias en programas de seguridad operativa capaces de generar resultados medibles y alineados con los objetivos de negocio.
Para lograrlo, recomiendan desarrollar estrategias conjuntas entre los responsables de seguridad y las áreas de negocio, apoyadas en varios pilares fundamentales. Entre ellos destacan la creación de un marco unificado que integre requisitos normativos y buenas prácticas internacionales; la realización de inventarios completos de las herramientas de IA utilizadas dentro de la organización; y la evaluación de riesgos en función del impacto real sobre los activos críticos de la empresa.
Asimismo, consideran esencial vincular los objetivos de gobernanza con controles operativos concretos, como la clasificación de datos, la gestión de identidades y accesos, las soluciones de prevención de pérdida de información y la monitorización continua del uso de herramientas de IA.
Por último, subrayan la importancia de medir la efectividad de estas iniciativas a través de indicadores de reducción de riesgo y no únicamente mediante métricas de cumplimiento normativo. La disminución de incidentes relacionados con la exposición de datos, la reducción de accesos excesivos o el control de la información compartida con plataformas de IA son algunos de los indicadores que proponen para evaluar el éxito de las estrategias de gobernanza.
