En 2026 la ciberseguridad ha dejado de parecerse a la defensa de un castillo. Se parece más a una partida de ajedrez donde no ves las piezas de tu rival hasta que ya están atacándote. Y lo que hace esta situación especialmente compleja es que ambos bandos, atacantes y defensores, jugamos ahora con inteligencia artificial. 

Desde hace más de una década trabajo en el diseño, desarrollo e implementación de sistemas tecnológicos para empresas. He visto cómo evolucionaban los ataques, cómo cambiaba el perfil de los atacantes y, sobre todo, cómo muchas organizaciones seguían confiando en estrategias de protección que quedaron obsoletas antes incluso de la pandemia. Hoy, cuando hablo con CEOs de sectores tan diversos como alimentación, logística, sanidad o retail, detecto un patrón común: entienden que el riesgo existe, pero subestiman su velocidad, su sofisticación y, especialmente, su capacidad de adaptación. 

La realidad es que los ciberataques ya no son eventos ocasionales protagonizados por hackers solitarios en sótanos oscuros. Son operaciones industrializadas, ejecutadas por organizaciones con recursos, estructura y objetivos claros. Y muchas de esas operaciones están potenciadas por inteligencia artificial generativa. 

Cuando el engaño se vuelve perfecto 

Hace tres años, un correo de phishing todavía era relativamente fácil de detectar. Errores gramaticales, tonos extraños, traducciones automáticas mal hechas. Hoy esos indicios han desaparecido. Las campañas actuales imitan con precisión milimétrica el estilo de comunicación de un proveedor habitual, de un directivo concreto o incluso del departamento de finanzas. No solo copian el tono: replican contextos, referencias internas y hasta el momento adecuado para enviar el mensaje. 

El impacto económico de este cambio es enorme. Según diversos informes del sector, el fraude digital basado en IA ya genera pérdidas globales anuales que se miden en cientos de miles de millones de dólares. Pero más allá de las cifras, lo que me preocupa es la tendencia: cada año que pasa, el margen para detectar estos ataques se estrecha. 

 

La suplantación mediante voz y vídeo sintéticos ya no es ciencia ficción ni un experimento de laboratorio; es una amenaza tangible, concreta y operativa"

 

Y si el phishing hiperrealista ha puesto contra las cuerdas a muchos sistemas tradicionales de seguridad, los deepfakes han cruzado una frontera aún más inquietante. La suplantación mediante voz y vídeo sintéticos ya no es ciencia ficción ni un experimento de laboratorio. Es una amenaza tangible, concreta y operativa. 

El caso de la consultora Arup en 2024 fue el primero en saltar a los titulares: 25 millones de dólares transferidos tras una videollamada falsa con supuestos directivos. Lo que muchos no saben es que ese no fue un caso aislado. Desde entonces, situaciones similares se han repetido en distintas geografías y sectores. Y el denominador común no es la falta de formación del personal, sino la confianza depositada en un único canal de validación. 

Porque aquí está uno de los grandes errores estratégicos que veo con frecuencia: confiar en que "ver es creer". Hoy, ver y oír ya no es suficiente. La tecnología permite clonar voces con segundos de audio, generar vídeos en tiempo real y construir identidades digitales falsas en cuestión de minutos. Existen incluso servicios clandestinos que ofrecen "kits completos" de suplantación adaptados al contexto de una empresa objetivo. El atacante no necesita ser un genio técnico. Solo necesita pagar. 

Esto ha transformado por completo la cultura de confianza que construimos durante décadas alrededor de la comunicación digital. Y esa confianza, paradójicamente, se ha convertido en nuestra mayor vulnerabilidad. 

La velocidad como factor determinante 

Otro aspecto que marca la diferencia en 2026 es la velocidad. No solo la velocidad del ataque, que ya es notable, sino la velocidad con la que esos ataques se adaptan y evolucionan. 

La automatización impulsada por IA permite generar malware adaptable, documentos falsos y nuevas identidades en tiempo récord. Algunas familias de ransomware incorporan ya mecanismos de aprendizaje automático que ajustan su comportamiento según el entorno que infectan. Esto explica por qué el coste medio de una brecha de seguridad puede superar fácilmente los cinco millones de dólares, sin contar el daño reputacional, las interrupciones operativas ni las consecuencias legales. 

 

El talento especializado en ciberseguridad e inteligencia artificial es escaso, caro y cada vez más difícil de retener"

 

El problema de fondo es que el ataque se mueve más rápido de lo que una respuesta puramente humana puede asumir. Y esto genera un desequilibrio estructural en muchas organizaciones. 

Conozco Centros de Operaciones de Seguridad (SOC) que reciben decenas de miles de alertas diarias. La mayoría son irrelevantes o de bajo impacto, pero hay que revisarlas todas. Esa avalancha constante no es un problema de falta de talento ni de compromiso del equipo. Es un límite cognitivo. Cuando el ruido domina el sistema, las amenazas reales pueden pasar desapercibidas, no porque no se sepan detectar, sino porque el analista humano está saturado. 

Durante años se pensó que la solución pasaba por ampliar equipos y reforzar turnos. Hoy sabemos que ese enfoque no escala. El talento especializado en ciberseguridad e inteligencia artificial es escaso, caro y cada vez más difícil de retener. Las empresas compiten no solo por presupuesto, sino por perfiles que casi no existen en el mercado laboral. 

Por eso la inversión en IA aplicada a ciberseguridad no deja de crecer. No es una moda tecnológica. Es una respuesta lógica a un problema estructural. 

Repensar la seguridad desde el núcleo 

En los últimos años hemos trabajado con decenas de empresas que buscaban mejorar su posición de seguridad. Y lo que he aprendido es que el verdadero cambio de paradigma no pasa por añadir más capas externas de control, sino por integrar inteligencia directamente en el núcleo del negocio. 

Cuando la IA forma parte de los sistemas operativos, de los ERPs, de los flujos críticos, la seguridad deja de ser reactiva y se convierte en contextual. El sistema entiende cómo debería comportarse la organización: qué transacciones son habituales, qué patrones de acceso son normales, qué comunicaciones tienen sentido. Y cuando detecta una desviación, no solo alerta. Analiza, contextualiza y en muchos casos, contiene el incidente antes de que escale. 

Este enfoque no solo reduce riesgos. Alinea la ciberseguridad con los objetivos empresariales. Las organizaciones que avanzan en esta dirección logran reducir falsos positivos, contener incidentes con mayor rapidez y minimizar el impacto operativo cuando algo falla. No se trata de añadir complejidad. Se trata de diseñar mejor desde el inicio. 

Considero que aquí está uno de los grandes cambios culturales que necesitamos asumir: la ciberseguridad ya no es un añadido. Es parte del diseño. No es algo que se coloca al final, como una capa de barniz. Es algo que debe estar presente desde el primer boceto de un sistema, de un proceso, de una estrategia digital. 

De la reacción a la predicción 

La gran evolución que estamos viviendo en 2026 es el paso de la reacción a la predicción. La inteligencia artificial defensiva permite construir sistemas autoaprendientes, comparables a un sistema inmune digital, capaces de identificar comportamientos anómalos sin depender exclusivamente de amenazas conocidas. 

Frente a un deepfake, por ejemplo, la defensa ya no se basa únicamente en comprobar si la imagen o la voz parecen reales, sino en analizar el contexto, los patrones habituales, la coherencia temporal y múltiples factores biométricos en tiempo real. No elimina el riesgo por completo, ninguna tecnología lo hace, pero sí devuelve equilibrio a una partida que estaba claramente inclinada a favor del atacante. 

Los casos que conozco confirman esta tendencia. Las empresas que han sufrido ataques más graves suelen compartir un mismo patrón: dependencia de un único canal de validación, exceso de confianza en la apariencia de legitimidad y falta de entrenamiento específico frente a amenazas hiperrealistas. 

Por el contrario, aquellas que han integrado inteligencia predictiva, protocolos de verificación cruzada y una cultura de vigilancia consciente logran contener incidentes con mayor rapidez y menor coste. La diferencia no está en el tamaño de la organización, sino en su nivel de madurez digital. Y esa madurez no se improvisa: se construye con decisiones estratégicas, inversión sostenida y, sobre todo, con liderazgo consciente del riesgo. 

Una cuestión de gobernanza 

Todo esto me lleva a una conclusión incómoda, pero inevitable. En 2026, la ciberseguridad ya no puede entenderse como una cuestión técnica delegable exclusivamente en el departamento de IT. Es una decisión de gobernanza. Es una responsabilidad de liderazgo. 

Como CEOs, tenemos que asumir que proteger nuestras organizaciones implica comprender cómo se mueve este tablero invisible y tomar decisiones estratégicas en consecuencia. No necesitamos convertirnos en expertos técnicos, pero sí debemos entender los riesgos, conocer las opciones disponibles y estar dispuestos a invertir no solo en tecnología, sino en cultura organizacional. 

Al final, la mejor defensa no es solo tecnológica, también es humana. Se trata de formar equipos conscientes, crear protocolos claros, fomentar la duda constructiva y diseñar sistemas que asuman que el error es posible. 

El ajedrez invisible de la ciberseguridad seguirá siendo invisible, pero eso no significa que debamos jugar a ciegas. 

 

Isidoro López Briones

Gerente Gowtech