Seguridad informática en la era de la IA: tecnología, normas y formación

Las empresas alemanas gestionan a diario facturas, contratos, expedientes de personal y datos de clientes. Una parte cada vez mayor de este trabajo se lleva a cabo mediante sistemas de inteligencia artificial. Debido al aumento del número total de sistemas, accesos y personas, crece la superficie de ataque a través de la cual un atacante puede acceder a la empresa.

Para el estudio „Protección económica 2025“ sobre seguridad empresarial, la Asociación Digital encargó Bitkom entre abril y junio de 2025, se encuestó por teléfono a un total de 1.002 empresas con diez o más empleados. El resultado: el 87 % se había visto afectado en los últimos doce meses por robo de datos, espionaje industrial o sabotaje, y otro 10 % sospechaba que había sido víctima de ello. Los daños ascendieron a 289 200 millones de euros, de los cuales el 70 % se debió a ciberataques.

La inteligencia artificial está transformando a ambas partes. Los atacantes redactan correos de phishing sin errores, clonan voces y detectan vulnerabilidades con mayor rapidez. Los defensores utilizan la IA para detectar actividades inusuales en su propia red. Dos tercios de las empresas encuestadas (el 66 %) tienen la impresión de que, en los ataques que sufren, se recurre cada vez más a la IA. Al mismo tiempo, solo el 6 % utiliza la IA para mejorar su propia seguridad informática.

Este artículo describe cómo ha cambiado el panorama de amenazas y a qué deben prestar atención las empresas en materia de tecnología, datos y proveedores. Además, explica por qué la formación de los propios empleados se ha convertido en una obligación legal en la era de la inteligencia artificial. El artículo ofrece una clasificación de las herramientas de defensa en el apartado dedicado a La ciberseguridad bajo la influencia de la IA.

La situación de amenaza en la era de la IA

Más vulnerabilidades, objetivos más pequeños

La Oficina Federal de Seguridad en las Tecnologías de la Información (BSI) describe en su Informe de gestión de 2025 Para el periodo comprendido entre julio de 2024 y junio de 2025, se prevé una situación que „seguirá siendo tensa“. Cada día se detectaron una media de 119 nuevas vulnerabilidades en los sistemas informáticos, lo que supone un aumento de alrededor del 24 % con respecto al periodo anterior.

De los ataques denunciados a las autoridades, como los perpetrados con ransomware (software de chantaje que cifra los datos), alrededor del 80 % se dirigieron contra pequeñas y medianas empresas (pymes). Según la valoración de la BSI, estas suelen carecer de los medios y los conocimientos necesarios para protegerse por sí mismas.

Así pues, los atacantes eligen la vía más fácil, y esta suele pasar por sistemas que no cuentan con las últimas actualizaciones de seguridad y por las personas. El Informe sobre investigaciones de filtraciones de datos 2026 Verizon analiza los incidentes de seguridad ocurridos en todo el mundo entre noviembre de 2024 y octubre de 2025. Señala que las vulnerabilidades de software, con un 31 %, son el punto de entrada más frecuente, por delante de los datos de acceso robados, y que en el 48 % de todas las filtraciones de datos analizadas intervino el ransomware.

IA en ambos lados

IBM, en colaboración con el Ponemon Institute, calcula cada año el coste de un incidente basándose en filtraciones de datos reales ocurridas en empresas de todo el mundo. En el Informe sobre el coste de una filtración de datos 2026 El coste medio mundial de una filtración de datos asciende a 4,99 millones de dólares estadounidenses, un 12 % más que el año anterior y una cifra récord.

Según el mismo informe, el número de ataques basados en IA aumentó un 56 %, sobre todo debido a las imitaciones «deepfake» (voces o vídeos falsificados mediante IA) y al software malicioso basado en IA. Verizon enumera 15 técnicas de ataque que, actualmente, se ven reforzadas por la IA generativa.

El presidente de Bitkom, el Dr. Ralf Wintergerst, declaró al respecto en la Comunicado de prensa sobre el estudio del 18 de septiembre de 2025: „La inteligencia artificial permite métodos de ataque totalmente nuevos, como los deepfakes, pero también mejora los ataques clásicos, por ejemplo, mediante correos electrónicos de phishing mucho más creíbles“. Y: „Es importante formar y sensibilizar a los empleados al respecto“.“

Por el momento, los deepfakes solo causan daños en el 4 % de las empresas encuestadas. Sin embargo, un 11 % ya ha informado de ataques con deepfakes que no han causado daños.

Aspectos que las empresas deben tener en cuenta en materia de seguridad informática y de datos

Los informes de BSI, Bitkom y Verizon ofrecen un panorama similar: la mayoría de los ataques que tienen éxito aprovechan vulnerabilidades conocidas, accesos poco seguros o errores humanos. De ello se derivan seis puntos clave que son aplicables a empresas de cualquier tamaño.

• Gestión de vulnerabilidades: El BSI señala que la protección de los propios puntos vulnerables es la clave decisiva para 2026: actualizaciones puntuales, una gestión restrictiva de los accesos y el menor número posible de sistemas accesibles públicamente.
• Accesos según el principio de minimalidad: Cada persona solo dispone de los derechos que requiere su función, y se registra cada acceso. Este principio constituye la esencia de Arquitecturas de confianza cero, en las que se comprueba cada acceso, incluso desde la propia red.
• Almacenamiento de datos y elección del proveedor: En todo proceso de adquisición debe indicarse dónde se almacenan los datos, qué subencargados del tratamiento (subprocesadores) intervienen y qué certificación acredita el proveedor, ya que es ahí donde se decide la seguridad de los datos. El 67 % de las empresas encuestadas por Bitkom se consideran dependientes de soluciones de seguridad procedentes de EE. UU.
• Plan de emergencia: Según Bitkom, seis de cada diez empresas cuentan con un plan de emergencia para incidentes de seguridad, mientras que el 39 % no está preparado. Un plan establece los procedimientos de notificación, la reanudación de las operaciones y la comunicación antes de que se produzca una situación de emergencia.
• Verificación por parte de terceros: Las pruebas de penetración (ataques simulados contra los propios sistemas) y las revisiones de código permiten detectar lo que permanece oculto a nivel interno. Esto es especialmente cierto en el caso de las soluciones que desarrollan los propios equipos con el apoyo de la inteligencia artificial.
• Normas para las herramientas de IA: Hay que establecer qué datos se pueden introducir en una herramienta de IA, qué herramientas están autorizadas y quién comprueba los resultados. Sin estas normas, los datos de los clientes acaban en modelos ajenos sin que nadie se dé cuenta.

Cinco de los seis puntos se pueden adquirir, implementar y documentar. Sin embargo, el cumplimiento de las normas relativas a las herramientas de IA se decide cada día en cada puesto de trabajo y, por lo tanto, depende de los trabajadores.

Por qué la formación de los empleados es fundamental

El ser humano como blanco de los ataques

La ingeniería social hace referencia a las técnicas en las que los atacantes se aprovechan del comportamiento humano para obtener acceso o información, por ejemplo, mediante correos electrónicos falsos o llamadas engañosas.

Según Bitkom, casi una de cada dos empresas ha sufrido este tipo de intentos en los últimos doce meses: el 21 % con frecuencia y el 28 % de forma esporádica. Los ataques de phishing causaron daños al 22 % de las empresas, mientras que los ataques a las contraseñas afectaron al 21 %.

La IA generativa reduce el coste de estos ataques. Hoy en día, se puede generar en cuestión de segundos un correo de phishing redactado en alemán sin errores, imitando el tono del superior y haciendo referencia a un proyecto real.

En el smartphone, la detección resulta aún más difícil: Verizon señala que los dispositivos móviles registran tasas de clics un 40 % más altas, por lo que los atacantes recurren a los SMS y las llamadas. Este tipo de correos suelen pasar el filtro antispam. En ese caso, solo los empleados pueden detener el ataque.

La brecha formativa en cifras

Según el estudio de Bitkom, aunque la mayoría de las empresas imparte formación periódica sobre phishing o ingeniería social, esta no se aplica de forma generalizada. El 55 % solo forma a determinados departamentos o puestos, mientras que el 24 % lo hace con todos los empleados. El 20 % prescinde por completo de la formación en seguridad informática.

En lo que respecta al uso de la IA en sí, la brecha es mayor. El Asociación TÜV Entre enero y marzo de 2026, encargó a Forsa una encuesta a 500 empresas con 20 o más empleados. El 27 % había formado a sus empleados en el uso de la IA, más del doble que en 2024 (12 %). El 45 % no veía la necesidad de hacerlo.

A Encuesta de Bitkom De las 603 empresas encuestadas en el verano de 2026, el 70 % ya imparte formación a sus empleados sobre el uso de la IA. De ellas, 37 puntos porcentuales corresponden a empresas que solo forman a determinados empleados. La diferencia entre ambos valores se explica por el momento posterior en que se realizó la encuesta, por el hecho de que se encuestó a un grupo diferente de personas y por un concepto amplio de «formación», que abarca desde una sesión informativa puntual hasta un programa con ejercicios.

Obligaciones derivadas de la Directiva NIS2 y del Reglamento sobre IA

La formación es ahora también una obligación legal. La Ley de aplicación de la Directiva NIS2 se refiere a las empresas afectadas como „entidades de importancia especial e importante“. A sus directivos se les exige Artículo 38 de la Ley del BSI participar periódicamente en cursos de formación para poder evaluar los riesgos cibernéticos y las medidas de prevención.

De conformidad con el apartado 2, los órganos de dirección responderán ante su entidad por los daños que causen por culpa propia al no aplicar o supervisar las medidas de gestión de riesgos contempladas en el apartado 1.

El Reglamento sobre IA es de aplicación para todos aquellos que utilicen sistemas de IA. Artículo 4 Desde la versión del 27 de julio de 2026, obliga a los proveedores y operadores a adoptar medidas para fomentar las competencias en materia de IA de su personal, en función de sus conocimientos previos y del contexto de aplicación.

El reglamento no establece un nivel de competencia concreto, pero tampoco permite la inacción. Lo que exige además el reglamento se describe en el artículo sobre La Ley de IA de la UE para las empresas.

Así es un programa de formación eficaz

Formación tradicional: una presentación al año sobre contraseñas y phishing, participación confirmada mediante firma, contenidos iguales para todos. Este formato resulta insuficiente frente a los ataques basados en IA, ya que estos se centran en la actualidad, la personalización y la rapidez. Un programa que se oponga a ello debe seguir la lógica de los atacantes.

• Separar los grupos destinatarios: Dirección (formación obligatoria para las entidades NIS2 según el artículo 38 de la BSIG, responsabilidad, toma de decisiones en situaciones de emergencia), departamentos especializados (phishing, llamadas telefónicas, cesión de datos) y desarrolladores (uso seguro de herramientas de IA en la programación).
• Practicar los patrones de ataque actuales: Llamadas «deepfake», facturas falsas con datos bancarios modificados, mensajes en nombre de la dirección de la empresa.
• Regular el uso de las herramientas de IA: Repasar las normas del punto de control anterior con ejemplos de tu propio día a día laboral hasta que las domines.
• Practicar los procedimientos de notificación: Un caso sospechoso debe poder notificarse en un minuto, sin atribuir culpas. Cuanto antes se reciba la notificación, menor será el daño.
• Repetir y medir: Sesiones breves varias veces al año, simulaciones de phishing (correos electrónicos de prueba enviados por nosotros mismos) con análisis por departamento, y formación complementaria en aquellos casos en los que la tasa de clics siga siendo elevada.

Consejo: La tasa de clics de la simulación de phishing propia es el indicador más significativo, ya que mide el comportamiento en lugar de contabilizar las participaciones. Junto con el estado de las actualizaciones y la prueba de copias de seguridad, debe figurar en todos los informes de seguridad dirigidos a la dirección de la empresa.

Ejemplo: un equipo de desarrollo que crea una aplicación interna con ayuda de la IA aprende en la Konfuzio Academy un caso de nuestra propia lista de tareas. Se trata de las directrices para el uso de herramientas de IA en el día a día: qué datos pueden introducirse en cada herramienta, quién los comprueba y qué se registra. A continuación, se realiza una prueba de penetración para comprobar el sistema en funcionamiento, y el informe de la prueba se envía de vuelta al mismo equipo.

Seguridad en el proveedor de servicios: el ejemplo de Konfuzio

Estos requisitos son doblemente importantes para los proveedores de servicios de procesamiento de documentos, ya que tienen acceso a los datos más sensibles de sus clientes. Konfuzio ha sido desarrollado por Helm & Nagel GmbH en Alemania, se gestiona de acuerdo con la norma ISO 27001 (la norma internacional de seguridad de la información) y está alojado en centros de datos alemanes.

El certificado, las medidas de seguridad y los subencargados del tratamiento pueden consultarse en el Centro de confianza; los detalles se encuentran en la página dedicada a Seguridad y conformidad. Helm & Nagel también ofrece como servicio la experiencia adquirida en su propia empresa, desde el asesoramiento en materia de cumplimiento normativo hasta las pruebas de penetración.

Conclusión

En la era de la inteligencia artificial, el panorama de amenazas ha cambiado, y ahora se registran más ataques con métodos ya conocidos.

119 nuevas vulnerabilidades al día, un 80 % de los ataques registrados dirigidos contra pymes y un 87 % de empresas afectadas marcan la tendencia. Los atacantes buscan puntos débiles mal protegidos y utilizan la inteligencia artificial para que los métodos conocidos sean más rápidos y parezcan más creíbles. La tecnología y las normas siguen siendo la base de la seguridad empresarial, desde la gestión de la superficie de ataque hasta la elección de proveedores, pasando por los derechos de acceso.

Los empleados son un punto vulnerable que rara vez se protege de forma sistemática. Solo el 24 % de las empresas imparte formación sobre seguridad informática a todos sus empleados, y en lo que respecta al uso de la inteligencia artificial, el porcentaje oscila entre el 27 % y el 70 %, dependiendo de la encuesta y la definición.

Al mismo tiempo, el artículo 38 de la BSIG exige a los órganos de dirección de las entidades NIS2 una formación periódica, y el artículo 4 del Reglamento sobre IA exige a los proveedores y operadores que adopten medidas para garantizar la competencia en materia de IA de todas las personas que utilicen sistemas de IA. Por lo tanto, un programa con grupos destinatarios específicos, patrones de ataque actuales y resultados medibles es una inversión cuyo impacto puede evaluarse, tras cada sesión, a partir de la tasa de clics.

¿Quiere saber cuál es la situación de su sistema informático y de sus equipos, desde la evaluación de proveedores hasta las pruebas de penetración? Basta con enviar un mensaje a Konfuzio para recibir asesoramiento de expertos.