Inteligencia Artificial y Ciberseguridad: la gobernanza como estrategia empresarial

La inteligencia artificial ha dejado de ser una promesa tecnológica para convertirse en infraestructura crítica de los negocios. Sin embargo, la misma tecnología que optimiza procesos y decisiones amplía la superficie de ataque de las organizaciones. La pregunta ya no es si la empresa adoptará IA, sino bajo qué reglas, con qué controles y con qué responsables.

Los datos son elocuentes. El informe Cost of a Data Breach 2025 de IBM y el Instituto Ponemon determinó que el costo promedio de una filtración de datos en América Latina alcanzó los USD 2,51 millones. El mismo estudio revela un dato que suele pasar inadvertido: el 97% de las organizaciones que sufrieron incidentes vinculados a IA carecía de controles de acceso adecuados sobre estos sistemas, y la mayoría no había formalizado políticas de gobernanza de IA. La brecha no es tecnológica; es de gobernanza.

Te puede interesar: Los datos como activos empresariales

La experiencia internacional confirma esta lectura. El Reglamento Europeo de Inteligencia Artificial impone obligaciones de gestión de riesgos y supervisión humana; el marco NIST AI RMF de Estados Unidos estructura la gestión de riesgos de IA; y la norma ISO/IEC 42001 certifica sistemas de gestión de inteligencia artificial. Los tres convergen en un principio: la IA segura no se improvisa, se gobierna. Para las empresas latinoamericanas que exportan servicios o procesan datos de terceros países, estos estándares dejaron de ser referencias lejanas para convertirse en exigencias contractuales y regulatorias.

Gobernar la IA y la ciberseguridad es, ante todo, prevención y estrategia empresarial: inventariar los sistemas de IA en uso, clasificar sus riesgos, definir políticas de acceso y supervisión, preparar respuestas ante incidentes y documentar el cumplimiento normativo. Quien lo hace antes de la crisis protege su patrimonio, su reputación y su continuidad operativa; quien lo hace después, paga el costo multiplicado.

La diferencia entre ambos escenarios no la marca la tecnología, sino el criterio: contar con conocimiento especializado —jurídico, técnico y de gobernanza— capaz de traducir estándares internacionales en decisiones concretas de negocio. Las organizaciones que hoy incorporan esa experiencia no están gastando en cumplimiento: están invirtiendo en ventaja competitiva.

Fuentes:

IBM / Ponemon Institute, Cost of a Data Breach Report 2025 (edición Latinoamérica, septiembre 2025).

Reglamento (UE) 2024/1689 de Inteligencia Artificial (AI Act).

NIST, Artificial Intelligence Risk Management Framework (AI RMF 1.0).

ISO/IEC 42001:2023, Sistemas de gestión de inteligencia artificial.

Por: José Luis Barzallo, Socio de División de Tecnología de AVL Abogados

Este artículo se publicó en alianza con: