La AI Act no basta para mitigar los riesgos de la IA

La inteligencia artificial ya no es un concepto futurista reservado para grandes corporaciones o proyectos experimentales. En Europa, herramientas como copilotos de IA, agentes autónomos o aplicaciones SaaS con capacidades generativas se han integrado en el día a día de empresas de todos los tamaños, incluidas pymes. Sin embargo, esta adopción acelerada ha dejado al descubierto un problema crítico: la gobernanza no ha seguido el mismo ritmo. La brecha entre el uso real de la IA y los mecanismos para controlarla es hoy uno de los mayores riesgos cibernéticos a los que se enfrentan las organizaciones.

La Ley de Inteligencia Artificial de la UE (AI Act), pionera en su ámbito, ha sido recibida como un avance necesario. Pero, como advierten los expertos, cumplir con esta normativa no equivale a estar protegido. "Una empresa puede ajustarse a todos los requisitos legales y, aun así, sufrir una filtración de datos, un mal uso interno o un ataque de phishing potenciado por IA", explica un responsable de ciberseguridad. El problema radica en confundir el cumplimiento normativo con la gestión real de riesgos. La AI Act establece obligaciones legales, pero no aborda aspectos clave como el comportamiento humano, la protección de datos o la prevención de ataques sofisticados.

Tres marcos, un mismo objetivo: reducir riesgos

Actualmente, existen tres referencias internacionales para gestionar la IA, cada una con un enfoque distinto. El NIST AI RMF (EE.UU.) se centra en la identificación y mitigación de riesgos, ofreciendo una estructura para evaluar amenazas. Las normas ISO/IEC 23894 y 42001 priorizan la gobernanza, estableciendo procesos internos repetibles y fomentando una cultura de responsabilidad. Mientras, la AI Act europea actúa como marco legal obligatorio. La clave no está en elegir uno u otro, sino en combinarlos. Para una pyme con clientes internacionales, por ejemplo, lo ideal sería usar el NIST como base operativa, las ISO para madurar la gobernanza y la AI Act para cumplir con las obligaciones legales locales.

El debate público suele girar en torno a la precisión de los modelos de IA, su transparencia o posibles sesgos. Sin embargo, en la práctica, la mayoría de los incidentes no surgen de fallos técnicos, sino de cómo se utiliza la tecnología. Tres riesgos destacan sobre el resto: el factor humano (empleados que comparten datos confidenciales o ignoran políticas), la exposición de datos (la IA puede amplificar vulnerabilidades existentes en los controles de acceso) y los ataques impulsados por IA, como el phishing o el fraude del CEO, cada vez más difíciles de detectar. A esto se suma la llamada "IA en la sombra": herramientas no autorizadas que los empleados usan sin supervisión, creando brechas de seguridad invisibles para la dirección.

Qué significa para tu negocio

Si diriges una pyme del sector de la construcción, reformas, inmobiliarias o servicios técnicos, esta noticia no es solo un tema de grandes empresas. La IA ya está en tus herramientas de gestión, en los correos que envías o en los programas que usan tus equipos. Cumplir con la ley es un primer paso, pero no suficiente. Empieza por auditar qué sistemas de IA usáis (desde copilotos hasta integraciones con proveedores) y quién es responsable de cada uno. Prioriza los riesgos: no es lo mismo un prompt con información pública que uno que incluya datos de clientes o proyectos. Implementa controles operativos, como la clasificación de datos o la monitorización de accesos, y mide su eficacia con indicadores reales (por ejemplo, reducción de filtraciones). La ciberseguridad no es un documento que se firma y se archiva; es un proceso continuo que debe adaptarse a cómo evoluciona la tecnología en tu negocio.