Antonio Serrano Acitores es abogado, coordinador de Digitalización, Innovación y Comunicación en la FCJP de la URJC y Socio de Logixs, además de uno de los más destacado expertos en el ámbito de la ciberseguridad, tema sobre el que profundizamos en esta entrevista concedida a Delta13News.
¿Cómo definiría el papel actual de la tecnología en los sistemas de seguridad y defensa nacional e internacional?
La tecnología se ha convertido en el centro nervioso de la seguridad y la defensa: desde la detección temprana de amenazas (satélites, radares AESA, sensores IoT) hasta la respuesta (ciber-equipos de intervención, sistemas de comando y control “multi-dominio”). Los datos –y la IA que los procesa– permiten a los decisores pasar de la reacción a la anticipación, reducir tiempos de ciclo y coordinar fuerzas diplomáticas, militares y policiales en tiempo real.
¿Qué cambios estratégicos ha traído la digitalización y la automatización al concepto clásico de seguridad y defensa?
En primer lugar la desagregación geográfica: hoy el perímetro es virtual; un exploit sobre 5G puede afectar un mando avanzado a miles de kilómetros. También la velocidad, puesto que la automatización acorta de horas a milisegundos la ventana entre detección y contramedida. Igualmente, la interdependencia público-privada, dado que las infraestructuras críticas y las cadenas de suministro TIC son mayoritariamente civiles, lo que impone compartir inteligencia entre ministerios, CERT y proveedores. En cuarto y último lugar, lo que se conoce como “Zero Trust”: la confianza ya no se presume; se verifica criptográficamente y de forma continua.
¿Cuáles son los principales desafíos que enfrentan hoy los gobiernos en términos tecnológicos?
Por este orden, escasez de talento en ciberseguridad e IA; obsolescencia acelerada de hardware y software frente a ciclos de adquisición púbica todavía lentos; autonomía estratégica: reducir dependencias en semiconductores, nube y criptografía post-cuántica; y gobernanza de la IA, esto es, aplicar marcos como el Reglamento Europeo de IA con un enfoque basado en riesgos y supervisión humana significativa.
¿Qué tipo de ciberamenazas considera más críticas hoy en día para un Estado?
Ransomware-as-a-Service dirigido a infraestructuras críticas, injerencia mediante deepfakes y campañas de desinformación, ataques a la cadena de suministro (ej. software de gestión), explotación de vulnerabilidades zero-day en tecnologías OT/IoT y operaciones de ciberespionaje avanzadas (APT) patrocinadas por Estados.
¿Estamos preparados para responder a un ciberataque de escala masiva contra infraestructuras críticas?
Hemos avanzado –centros de operaciones nacionales, ejercicios Blue Team con el sector privado, directivas NIS 2 o CER–, pero la preparación es asimétrica: los grandes operadores de energía o telecomunicaciones ensayan “apagones digitales”, mientras muchas pymes esenciales (agua, logística) carecen de planes de continuidad y backup aislados (air-gapped). La resiliencia es, aún, desigual.
¿Qué sectores considera más vulnerables en términos de ciberseguridad?
Energía y redes industriales (por la convergencia IT/OT), salud (historiales clínicos muy cotizados y hardware legacy), transporte inteligente, y, cada vez más, satélites comerciales que prestan servicio dual civil-militar.
¿Cuál es el equilibrio adecuado entre ciberseguridad nacional y privacidad ciudadana?
Aplicar el principio “tanto como sea necesario, tan poco como sea posible”. Luego están medidas proporcionadas y basadas en riesgo; supervisión judicial y auditorías independientes; y transparencia y derecho a recurso para el ciudadano. El Reglamento de IA de la UE consagra salvaguardas similares para sistemas de alto riesgo.
¿Cómo se está aplicando actualmente la inteligencia artificial en los sistemas de seguridad y defensa?
Análisis de imágenes ISR, detección de patrones de anomalía en redes, optimización logística predictiva, mantenimiento “cero fallos”, wargaming con gemelos digitales y clasificación automática de señales (COMINT/ELINT). En ciberdefensa, la IA refuerza la detección de comportamiento anómalo y la priorización de alertas.
¿Hasta qué punto es seguro dejar la toma de decisiones críticas en manos de algoritmos?
Operacionalmente, un algoritmo puede disparar antes de que un ser humano parpadee, pero ética y jurídicamente la responsabilidad es humana. La regla práctica es “human-on-the-loop”: automatizar la recopilación y la propuesta, reservar la autorización final a un decisor cualificado, y exigir explicabilidad y fail-safe.
¿La IA está mejorando la eficiencia operativa de los ejércitos o está generando nuevas vulnerabilidades?
Ambas cosas: aumenta la relación efecto-coste (más información por plataforma y menos tripulaciones), pero abre superficies de ataque (envenenamiento de datos, model-stealing, dependencia de proveedores). La ciberseguridad debe incorporarse desde el diseño (secure-by-design) y no como parche.
¿Cree que veremos en el corto plazo la integración de sistemas autónomos ofensivos con plena capacidad letal?
La tecnología ya lo permite, pero el freno es político: debates en la ONU (CCW) y vetos de exportación. Veremos empleo semi-autónomo con autorización humana obligatoria en misiones de alto valor; la plena autonomía letal probablemente quedará limitada a teatros altamente disputados y bajo reglas de enfrentamiento estrictas.
¿Qué dilemas éticos plantea el uso de IA y tecnologías autónomas en contextos policiales y militares?
Responsabilidad y atribución de daños, sesgo algorítmico que puede amplificar discriminación, posible violación del principio de proporcionalidad, escalada inadvertida si varias IA interactúan, y erosión de la dignidad humana al delegar juicios de vida o muerte en máquinas.
Usted es abogado ¿Existen marcos jurídicos internacionales eficaces que regulen estas nuevas armas inteligentes?
No de forma integral. El DIH (Convenios de Ginebra) y el principio de distinción siguen aplicando; el Grupo de Expertos de CCW discute definiciones comunes de sistemas letales autónomos; la UE avanza con el Reglamento de IA para usos civiles y algunas cláusulas de seguridad. Falta un tratado vinculante y mecanismos de verificación comparables a los de las armas químicas.
¿Qué tecnologías emergentes cree que transformarán la seguridad y la defensa en los próximos 10 años?
Computación cuántica (cripto-ruptura y simulación), enjambres de drones y vehículos no tripulados colaborativos, neurotecnología (interfaces cerebro-computadora para mando y control), radares y comunicaciones 6G, IA generativa para guerra cognitiva, y bio-manufactura para logística sanitaria de campaña.
¿Qué rol deben jugar las startups y el sector privado en el desarrollo de soluciones de seguridad y defensa?
Innovar con agilidad (prototipos en meses, no años), aportar cultura de DevSecOps, y colaborar vía sandboxes regulados. Los gobiernos deben facilitar “ventanillas únicas” de contratación, cláusulas de propiedad intelectual claras y fondos de capital riesgo soberano para tecnologías dual-use.
Por último, ¿Qué mensaje le daría a los futuros profesionales que quieran trabajar en la intersección entre tecnología, IA y seguridad?
Piensen de forma multidisciplinar: combinen ingeniería con ética, derecho y geopolítica. Cultiven la curiosidad permanente: el algoritmo que hoy es frontera, mañana será open-source. Y antepongan siempre el propósito –proteger vidas y libertades– al deslumbramiento tecnológico.
