Un tercio (35%) de las organizaciones europeas no pueden afirmar si han sido víctimas de un ciberataque impulsado por IA, según la última encuesta AI Pulse Poll de ISACA, la principal asociación mundial de profesionales de la confianza digital. Los resultados señalan una brecha cada vez mayor entre el ritmo de las amenazas impulsadas por IA y la capacidad de las organizaciones para identificar y gestionar los riesgos a los que se enfrentan.
La encuesta reveló que más de dos tercios (71%) de los profesionales afirman que los ataques de phishing e ingeniería social impulsados por IA son ahora más difíciles de detectar. El 58% indica que la IA ha dificultado considerablemente la autenticación de la información digital, y el 38% señala que, como consecuencia, su confianza en los métodos tradicionales de detección de amenazas ha disminuido.
Los profesionales también señalan la desinformación como su principal riesgo en materia de IA, mencionado por el 87 % de los encuestados, junto con las violaciones de la privacidad (75 %) y la ingeniería social (60 %). Los equipos no pueden gestionar lo que no ven, y las herramientas que utilizaban anteriormente se están quedando obsoletas rápidamente frente a los ataques impulsados por IA.
Sin embargo, el impacto de la IA en la ciberseguridad no es del todo unilateral, y está demostrando ser una valiosa herramienta de defensa. El 43 % afirma que ha mejorado la capacidad de su organización para detectar y responder a las ciberamenazas, y el 34 % ya la está implementando específicamente para reforzar la ciberseguridad.
Pero para aprovechar ese potencial defensivo es necesario contar con la experiencia y la gobernanza adecuadas para implementarlo eficazmente, y para demasiadas organizaciones, ambas cosas siguen siendo escasas.
La IA se está adoptando en el lugar de trabajo sin la supervisión adecuada.
Resulta preocupante, según el estudio, que estas amenazas se desarrollen paralelamente a la adopción generalizada de la IA en los entornos laborales europeos. El respaldo formal es ahora la norma: el 82 % de las organizaciones permiten expresamente el uso de la IA y el 74 % permiten específicamente la IA generativa.
La IA se está integrando en las operaciones principales: las aplicaciones más populares son la creación de contenido escrito (69%), el aumento de la productividad (63%), la automatización de tareas repetitivas (54%) y el análisis de grandes conjuntos de datos (52%). Los beneficios reportados son tangibles, ya que el 77% menciona el ahorro de tiempo y el 40% afirma que la IA ha aumentado la capacidad sin necesidad de contratar más personal.
Sin embargo, la rápida adopción de la IA no ha ido acompañada de la gobernanza necesaria para supervisar dónde y cómo se utiliza. Solo el 42 % de las organizaciones cuenta con una política de IA formal e integral, y el 33 % no exige a sus empleados que informen cuando la IA ha contribuido a sus productos de trabajo, lo que deja importantes lagunas en toda la empresa.
Por lo tanto, avisan los autores del informe, no sorprende que el 87% de los profesionales expresen su preocupación por el uso no autorizado de la IA por parte de los empleados, y que el 26% afirme que su mayor desafío con la IA en el trabajo es la falta de confianza en que proteja adecuadamente la propiedad intelectual y la información confidencial.
Chris Dimitriadis, director de estrategia global de ISACA, afirma que «la IA ha transformado radicalmente el panorama de amenazas. Los atacantes ahora pueden hackear a la velocidad de la intención, y muchas organizaciones ni siquiera saben si ya han sido víctimas de un ataque. El hecho de que tantas empresas operen sin la gobernanza necesaria para saber dónde se utiliza la IA, y mucho menos cómo, agrava significativamente esta vulnerabilidad».
La IA sin control no solo genera riesgos operativos, sino que otorga una ventaja a quienes buscan causar daño. Cerrar esta brecha comienza con el desarrollo profesional y el fomento de la experiencia necesaria para construir e implementar una gobernanza de la IA que resista la presión. Lograrlo es ahora un imperativo de seguridad.
Desarrollar la experiencia necesaria para hacer frente a la amenaza
La responsabilidad de subsanar esta brecha de gobernanza recae en los profesionales, y muchos no se sienten capacitados para ello. Más de la mitad (54%) afirma necesitar mejorar sus competencias en los próximos seis meses para conservar su empleo o progresar en su carrera, y el 79% dice que en el plazo de un año.
El 41% señala la creciente brecha de competencias como uno de los mayores riesgos que plantea la IA. Sin embargo, una quinta parte (21%) de las organizaciones aún no ofrece ninguna formación formal en IA.
El entorno regulatorio exige una mayor urgencia. La Ley de IA de la UE es el marco de gobernanza más citado en la encuesta, mencionado por el 45 % de las organizaciones, por delante del NIST (26 %). Sin embargo, más de una cuarta parte (26 %) de las organizaciones aún no sigue ningún marco, lo que evidencia una brecha entre el conocimiento de la normativa y la acción.
Dimitriadis añade que «los fundamentos de una buena gestión de riesgos no han cambiado. Lo que sí ha cambiado es la complejidad y la velocidad de las responsabilidades que ahora se exigen a los profesionales. El riesgo de la IA requiere profesionales capaces de evaluar la exposición, integrar la supervisión a lo largo de todo el ciclo de vida y asesorar sobre las mejores prácticas regulatorias. Las organizaciones que inviertan ahora en esta capacidad no solo estarán mejor protegidas, sino que también estarán mejor posicionadas para aprovechar al máximo los beneficios de la IA», concluye.
Las cifras conocidas ahora se basan en el trabajo de campo realizado por ISACA entre el 6 y el 22 de febrero de 2026 entre 681 profesionales de la confianza digital en Europa, incluidos aquellos que desempeñan funciones relacionadas con la auditoría de TI, la gobernanza, la ciberseguridad, la privacidad y las tecnologías emergentes.
