8 de cada 10 empresas carecen de protocolos de ciberseguridad para sus proyectos de IA

La rápida adopción de la inteligencia artificial en las empresas está abriendo una nueva superficie de ataque para los ciberdelincuentes. Sin embargo, la protección de estos entornos continúa siendo una asignatura pendiente para muchas organizaciones. Según datos de Logixs, 8 de cada 10 compañías no disponen de protocolos de ciberseguridad específicos para sus proyectos de inteligencia artificial.

La situación resulta especialmente preocupante en un contexto en el que las amenazas impulsadas por IA son cada vez más sofisticadas. Desde la compañía advierten de que muchas organizaciones siguen asumiendo que las medidas de seguridad tradicionales son suficientes para proteger modelos de lenguaje, asistentes inteligentes o agentes autónomos, cuando estos sistemas presentan riesgos y vulnerabilidades diferentes a los de las aplicaciones convencionales.

“En los últimos tiempos hemos visto cómo la concienciación en términos de ciberseguridad aumentaba en las empresas, impulsada también por normativas como el AI Act, DORA o NIS2. Sin embargo, aún hay muchas compañías que, al tratar de acelerar los proyectos para ver resultados pronto, introducen la seguridad a mitad del camino, cuando debería estar desde el diseño”, afirma Luis Bravo, responsable de seguridad de la información en Logixs.

 

La IA en la sombra es una de las principales amenazas

Uno de los riesgos más extendidos es el uso de herramientas de inteligencia artificial públicas por parte de los empleados sin supervisión corporativa. Esta práctica puede derivar en la exposición involuntaria de información sensible, como contratos, datos de clientes o código propietario.

Según un estudio de Cegid citado por la compañía, 8 de cada 10 empleados españoles que utilizan IA en su trabajo reconocen haber recurrido a herramientas no facilitadas por sus empresas sin comunicarlo. Además, datos de VML The Cocktail y Salesforce indican que seis de cada diez trabajadores emplean estas tecnologías sin directrices ni supervisión corporativa.

Más allá del denominado shadow AI, Logixs identifica otros riesgos recurrentes en los proyectos empresariales. Entre ellos figuran la falta de trazabilidad para explicar las respuestas generadas por los sistemas de IA, el despliegue de agentes con permisos excesivos conectados a sistemas críticos o la exposición de claves de acceso a servicios de inteligencia artificial.

A ello se suma la dificultad que todavía tienen muchas organizaciones para controlar dónde se almacenan y procesan los datos utilizados por estos sistemas. Según un estudio de Red Hat mencionado por la compañía, únicamente el 30% de las empresas españolas conoce con exactitud la ubicación y tratamiento de la información empleada por sus herramientas de IA.

 

El código generado por IA también introduce riesgos

Otro de los focos de preocupación está relacionado con el uso creciente de la inteligencia artificial para acelerar el desarrollo de software. Aunque estas herramientas permiten generar código con mayor rapidez, también pueden introducir errores de seguridad difíciles de detectar.

De hecho, Logixs asegura que en dos de cada diez auditorías realizadas sobre aplicaciones desarrolladas con apoyo de IA aparece al menos una vulnerabilidad o una credencial expuesta. Una cifra que, según la compañía, evidencia la necesidad de reforzar las revisiones de seguridad incluso cuando el código generado parece funcionar correctamente.

Los datos coinciden con las conclusiones del informe GenAI Code Security 2025 de Veracode, que señala que el 45% de las muestras de código generadas por más de un centenar de modelos de IA no supera las pruebas de seguridad. Además, se han documentado casos en los que estas herramientas recomiendan paquetes de software inexistentes que posteriormente son registrados por ciberdelincuentes para distribuir código malicioso.

Ante este escenario, Logixs ha desarrollado un sistema propio orientado a incorporar la seguridad durante todo el ciclo de vida de los proyectos de inteligencia artificial. La propuesta combina monitorización continua del código, detección temprana de vulnerabilidades y pruebas de resistencia sobre los agentes de IA antes de su despliegue definitivo.