La incorporación acelerada de herramientas de inteligencia artificial (IA) en las empresas abrió un nuevo mapa de riesgos para la ciberseguridad corporativa. El fenómeno combina dos dinámicas simultáneas: el uso no supervisado de aplicaciones de IA por parte de los colaboradores —conocido como *Shadow AI*— y el aprovechamiento de la misma tecnología por parte de ciberdelincuentes para diseñar ataques más sofisticados.
En ese contexto, Marcos Reis, CEO de Mercurius Cybersecurity, plantea que las organizaciones enfrentan una encrucijada operativa: controlar cómo se utiliza la IA dentro de la compañía y, en paralelo, prepararse para amenazas impulsadas por esa tecnología. El problema excede el uso de chatbots públicos y se extiende a asistentes virtuales, extensiones de navegador u otras herramientas no autorizadas que pueden incorporarse al trabajo cotidiano sin intervención de las áreas de TI.
La exposición involuntaria de información aparece como uno de los principales puntos de atención. De acuerdo con Gartner, el 34% de las organizaciones que utilizan herramientas de IA generativa ya experimentó incidentes de seguridad o filtraciones de datos asociadas a ese uso. A su vez, investigaciones del Ponemon Institute indican que más del 40% de la información comprometida en este tipo de incidentes corresponde a propiedad intelectual y secretos comerciales, una categoría especialmente sensible por su impacto potencial en la ventaja competitiva y la continuidad del negocio.
En paralelo, la IA se convirtió en un recurso para los atacantes. Se utiliza para redactar correos de phishing prácticamente indistinguibles de los legítimos, clonar voces de ejecutivos y crear mensajes altamente personalizados. También puede facilitar fraudes a través de canales corporativos como WhatsApp o Telegram, lo que suma velocidad de propagación y complejidad para la detección.
Ese cambio, sostiene Reis, debilita una barrera tradicional basada en la identificación humana de señales evidentes. “Durante años enseñamos a las personas a desconfiar de los correos con errores de ortografía”, dijo Marcos Reis, CEO de Mercurius Cybersecurity. En su análisis, la sofisticación actual obliga a revisar el enfoque: ya no alcanza con identificar qué aplicaciones usan los equipos o con apoyarse solo en capacitaciones tradicionales.
La respuesta, en este marco, apunta a pasar de un esquema estático a otro centrado en visibilidad de datos y respuesta continua. Esto incluye automatizar el control de datos sensibles antes de que salgan de la red corporativa y operar con capacidades de detección en tiempo real. “La diferencia estará en quién sea capaz de detectar y responder primero”, dijo Marcos Reis, CEO de Mercurius Cybersecurity.
