La protección de los sistemas internos de IA encabeza las preocupaciones en ciberseguridad

Nota de prensa. Bitdefender ha publicado su Informe de Evaluación de la Ciberseguridad 2026, un estudio anual basado en una encuesta independiente y el análisis de las respuestas de más de 1.200 profesionales de TI y ciberseguridad. El informe identifica las principales preocupaciones, desafíos y amenazas que están marcando la estrategia de seguridad de las organizaciones.

El estudio se basa en una encuesta realizada a más de 1.200 profesionales de TI y ciberseguridad, tanto especialistas técnicos como responsables de la toma de decisiones, desde responsables de TI y directores de seguridad de la información (CISO) hasta analistas, arquitectos e ingenieros de seguridad. Todos ellos trabajan en empresas de 500 o más empleados de Francia, Alemania, Italia, Singapur, Reino Unido y Estados Unidos.

Entre las principales conclusiones del informe destacan:

– Casi la mitad de las organizaciones carece de una visibilidad completa sobre el uso de herramientas de IA por parte de sus empleados. Aunque el 51,8 % de los encuestados afirma tener visibilidad total sobre el uso autorizado y no autorizado de la inteligencia artificial, el 47,4 % reconoce disponer únicamente de una visibilidad parcial o nula sobre las herramientas de Shadow AI o las cuentas personales utilizadas con fines laborales. Los datos también ponen de manifiesto una importante diferencia entre la percepción de los directivos y la de los profesionales técnicos: el 57,8 % de los responsables cree tener una visibilidad completa, frente al 45,9 % de los especialistas. Además, solo el 0,5 % de los directivos reconoce no tener ninguna visibilidad, frente al 4,5 % de los profesionales, lo que sugiere que los responsables podrían estar infravalorando el nivel real de exposición de sus organizaciones.

– La protección de los sistemas internos de IA y de la infraestructura en la nube encabeza las preocupaciones en materia de ciberseguridad. El 45 % de los encuestados identifica los sistemas internos de IA y los modelos de lenguaje de gran tamaño (LLM) como el entorno que más le preocupa, seguido de la infraestructura y las aplicaciones en la nube (44 %). Los sistemas de gestión de identidades y accesos (IAM) ocupan el tercer lugar (33,3 %). Sin embargo, pese a considerar la IA como la principal preocupación, el 20,4 % de los participantes considera que la filtración de información sensible por parte de los empleados en LLM públicos representa un riesgo bajo o muy bajo, lo que evidencia una importante brecha entre la percepción del riesgo y la exposición real.

– Más de la mitad de los profesionales que sufrieron una brecha de seguridad recibió instrucciones de mantenerla en secreto. El 55,2 % de los encuestados que experimentó un incidente o una brecha de seguridad en los últimos doce meses afirma que se le pidió mantenerlo confidencial, a pesar de considerar que debería haberse comunicado a las autoridades. Aunque la cifra desciende ligeramente respecto al 57,6 % registrado en 2025, continúa muy por encima del 42 % de 2023, lo que pone de manifiesto que la cultura de ocultación de brechas sigue profundamente arraigada a nivel mundial. Estados Unidos encabeza esta práctica (68,6 %), seguido de Alemania y Reino Unido (57,2 % en ambos casos), una tendencia que se repite tanto entre directivos como entre profesionales técnicos.

– Los accesos no autorizados y el compromiso del correo electrónico corporativo (BEC) lideran los incidentes de seguridad. Las brechas en infraestructuras o aplicaciones en la nube encabezan la lista de incidentes de seguridad registrados en los últimos 12 meses (41,8 %), seguidas de los ataques de BEC que provocaron pérdidas económicas o de datos (35,9 %) y del ransomware (25,6 %). Estados Unidos destaca especialmente, con un 54,7 % de las organizaciones que afirman haber sufrido incidentes de BEC, casi 19 puntos porcentuales por encima de la media global. Además, el 59,2 % de los encuestados confirma haber sido víctima de ataques de ingeniería social impulsados por IA durante el último año, una clara muestra de que el uso de la inteligencia artificial en la ciberdelincuencia ha dejado de ser una posibilidad para convertirse en una realidad.

– Las organizaciones tienen dificultades para reducir la superficie de ataque pese a ser conscientes de los riesgos. Los principales obstáculos para reducir la superficie de ataque son el elevado esfuerzo que supone mantener las reglas de protección y sus excepciones (38 %), el temor a provocar interrupciones operativas (35,4 %) y la falta de recursos (34,6 %). Esto sugiere que las organizaciones son conscientes de la necesidad de reducir su exposición, pero encuentran dificultades para hacerlo sin afectar a la continuidad de sus operaciones. A ello se suman la complejidad de proteger los sistemas heredados (34,5 %) y la falta de visibilidad sobre qué herramientas legítimas son realmente necesarias para cada usuario (33,8 %). En Estados Unidos, el 48,8 % de las organizaciones reconoce importantes carencias de visibilidad, frente a una media global del 33,8 %.

– La soberanía de los datos se ha convertido en un factor decisivo a la hora de elegir un proveedor de ciberseguridad. Más de tres de cada cuatro encuestados (76,1 %) afirma que probablemente cambiaría de proveedor debido a preocupaciones relacionadas con la soberanía de los datos, la jurisdicción o el acceso de gobiernos extranjeros a su información. Estados Unidos registra el porcentaje más elevado (87 %), seguido de Reino Unido (85 %) y Alemania (77 %). Esta preocupación es aún mayor entre los responsables de la toma de decisiones (79,4 %) que entre los especialistas técnicos (72,8 %). A medida que normativas como NIS2, DORA o la evolución de los marcos de transferencia de datos entre Estados Unidos y la Unión Europea amplían las obligaciones de cumplimiento, las organizaciones priorizan cada vez más proveedores que ofrezcan modelos transparentes de tratamiento de datos y claridad sobre dónde se almacenan y quién puede acceder a ellos.

– Las amenazas relacionadas con la IA se perciben como un riesgo alto o muy alto. Las organizaciones consideran especialmente preocupantes diversos escenarios impulsados por inteligencia artificial. El principal es el uso de IA por parte de los ciberdelincuentes para generar malware autoevolutivo (55,9 %), seguido de la filtración de información sensible por parte de empleados en LLM públicos (53,5 %), las técnicas de evasión basadas en IA capaces de eludir las firmas tradicionales de las soluciones de detección y respuesta en endpoints (EDR) (52,5 %) y el uso de deepfakes o clonación de voz para cometer fraudes o ataques de BEC (51,9 %). No obstante, aunque el malware autoevolutivo encabeza la lista de preocupaciones, la inteligencia de amenazas actual indica que los ciberdelincuentes están utilizando la IA para acelerar y perfeccionar sus ataques, más que para crear nuevos tipos de malware. La preocupación va más allá de estos escenarios: la IA agéntica y su capacidad para ampliar la superficie de ataque emerge como un riesgo especialmente relevante en Singapur (64 %) y Estados Unidos (61,6 %).

“La ampliación de la superficie de ataque, la rápida proliferación de amenazas impulsadas por la IA y la persistente presión operativa están obligando a las organizaciones a replantearse su estrategia de ciberseguridad desde sus cimientos”, afirma Andrei Florescu, presidente y director general de Bitdefender Business Solutions Group. “Los resultados de este informe demuestran que las estrategias de seguridad modernas deben ir más allá de las defensas reactivas para reducir el riesgo de forma continua, gobernar la adopción de la IA y garantizar el cumplimiento normativo en un entorno en el que los ciberdelincuentes son cada vez más rápidos, adaptables y automatizados”.

Informe de Evaluación de la Ciberseguridad 2026 | Descarga