Lo que debía ser un salvavidas para los equipos de ciberseguridad se está convirtiendo, paradójicamente, en una fuente de estrés adicional. La inteligencia artificial, vendida como la solución milagrosa para automatizar tareas, reducir carga operativa y anticipar amenazas, está dejando una resaca difícil de digerir: presión desbordante, falta de formación y una crisis de talento que no para de agravarse.

Según un informe reciente de Gartner, el 98 % de las organizaciones ya ha incorporado inteligencia artificial generativa o planea hacerlo en los próximos meses. Sin embargo, en vez de liberar a los equipos de seguridad, los está empujando a una especie de esquizofrenia funcional: deben regular el uso de la IA en sus organizaciones, pero también incorporarla a sus propias rutinas… y todo esto muchas veces sin formación ni recursos adecuados.

“Están intentando construir el avión mientras vuelan a 900 km/h y, por si fuera poco, también tienen que ser los pilotos y los ingenieros”, bromea con ironía un analista senior de ciberseguridad de ISACA.

La promesa rota

La IA no solo no ha aliviado la carga de los equipos, sino que ha introducido una nueva capa de complejidad que va desde la gobernanza tecnológica hasta la necesidad urgente de desarrollar habilidades específicas como ingeniería de prompts o comprensión de grandes modelos lingüísticos. ¿El problema? Esas capacidades no están disponibles de forma inmediata en la mayoría de los departamentos de seguridad, ya de por sí saturados.

Un estudio de O’Reilly reveló que el interés por formarse en IA creció un 386 % solo en principios básicos y un 456 % en ingeniería de prompts entre 2023 y 2024. La demanda está, pero la oferta —sobre todo interna— brilla por su ausencia.

IA sin contexto = desastre anunciado

Las empresas se lanzan a implantar IA con el entusiasmo con que alguien prueba el wasabi por primera vez: sin entender muy bien lo que están haciendo y esperando milagros instantáneos. “Adoptar IA sin estrategia es como comprar un Fórmula 1 y esperar que tu repartidor lo conduzca como Fernando Alonso”, apunta Anil Appayanna, CISO de India International Insurance.

La presión por “no quedarse atrás” ha creado una ola de adopciones aceleradas donde la tecnología va por delante del factor humano. Y en ciberseguridad, ese desfase puede salir carísimo.

Los atacantes sí están listos

Mientras tanto, los ciberdelincuentes sí están aprovechando al máximo las capacidades de la IA. Ya la usan para escribir emails de phishing indistinguibles de uno humano, automatizar escaneos de vulnerabilidades o generar malware capaz de adaptarse en tiempo real.

“El atacante solo tiene que acertar una vez. El defensor, siempre. Y la IA ha desequilibrado aún más esa balanza”, resume Rona Spiegel, experta en riesgos cibernéticos y exdirectiva de Wells Fargo.

¿Solución o espejismo?

No todo es pesimismo. Algunos líderes como Spiegel sostienen que la IA, bien utilizada, podría ayudar a mitigar la escasez de talento. Eso sí, requiere un rediseño completo del enfoque hacia la ciberseguridad, con especial énfasis en la formación transversal, la colaboración entre departamentos y una cultura de vigilancia constante.

“El error es pensar que la IA sustituye a los humanos. Lo que hace es ampliar sus capacidades. Pero sin una base sólida, sin contexto, sin estrategia, lo único que estás haciendo es ponerle esteroides a un caos que ya existía”, concluye Addiscott, de Gartner.

En resumen…

La IA no es ni el apocalipsis ni la panacea. Es una herramienta poderosa, sí, pero sólo en manos de quienes saben usarla. Pretender que un equipo de ciberseguridad sobrecargado la gestione, la integre y la regule al mismo tiempo, sin formación ni estructura, es como pedirle a un camarero que te prepare un cóctel mientras apaga un incendio con la otra mano.

La tecnología está lista. ¿Y los humanos? Todavía no.