Tres de cada cuatro directivos españoles encuestados prevén gastar más en ciberseguridad en 2027, con la IA como prioridad

Tres de cada cuatro directivos españoles encuestados (74 %) prevén que su empresa aumente el presupuesto de ciberseguridad en 2027, con la inteligencia artificial como primera prioridad de inversión. Es una de las conclusiones para España del estudio Global Digital Trust Insights 2027 de PwC, que dibuja unas organizaciones dispuestas a gastar más, pero inseguras ante los ataques contra sus propios sistemas de IA, la amenaza para la que menos preparadas se sienten.

El estudio, en su 29ª edición y presentado a nivel global el pasado 1 de octubre, recoge las respuestas de 3.934 líderes de negocio, seguridad y tecnología de 71 países, 116 de ellos en España, entre mayo y julio de 2026. En el conjunto global, el 84 % espera que el presupuesto crezca, seis puntos más que en la edición anterior, y el 58 % de los responsables de seguridad sitúa la IA entre sus principales prioridades de gasto; en España lo hace el 52 %. MCPRO ya avanzó en octubre que los CISO tendrán más presupuesto en 2027, aunque no necesariamente más manos.

El dato llega con un matiz incómodo. Los ataques contra sistemas de IA encabezan las amenazas para las que las compañías se sienten menos preparadas: el 50 % de los responsables de tecnología y seguridad los incluye entre sus cinco principales carencias de preparación, una proporción que en España sube al 57 %. Entre los ataques habilitados por IA, en España preocupan sobre todo los ataques adversarios, que alteran las entradas de los sistemas para provocar resultados incorrectos (48 %), y el malware adaptativo (47 %). La industria ya responde a ese frente: esta misma semana OpenAI presentó GPT-6 Cyber, un modelo con foco en ciberseguridad.

Defensa con IA, pero con límites a la autonomía

Las empresas también emplean IA para protegerse. En España, el análisis y la priorización de vulnerabilidades es la primera aplicación defensiva, elegida por el 54 % frente al 41 % global, por delante de la detección de amenazas y alertas. A escala global, la detección de amenazas y la generación de alertas encabeza las prioridades de aplicación de la IA en ciberdefensa, seguida de la detección de fraude y de phishing.

La confianza, sin embargo, tiene límites claros. Solo el 22 % de los encuestados, en el global y también en España, autorizaría que agentes de IA ejecutaran de forma totalmente autónoma acciones de contención o remediación de alto impacto. Permitir acciones de bajo riesgo manteniendo la aprobación humana convence al 38 % a escala mundial, pero solo al 29 % en España, donde pesan más los usos meramente consultivos. Las dudas sobre la fiabilidad y la madurez de la tecnología son el principal freno (55 % global, 52 % España).

Continuidad, terceros y cuántica: las otras prioridades

La resiliencia avanza más despacio que el gasto. Solo el 39 % de los responsables de seguridad, riesgos y operaciones tiene planes de continuidad ante ciberincidentes plenamente formalizados e integrados. España mejora ese dato con un 50 %, que aun así deja a la mitad de las organizaciones sin un plan completo cuando los incidentes ya no son una cuestión de si ocurrirán, sino de cuándo, en palabras del informe.

La cadena de suministro es otro frente abierto: el 56 % de las organizaciones españolas (50 % en el global) está revisando y reforzando su gestión del riesgo de proveedores y terceros. Y ante la computación cuántica, el 44 % de las empresas españolas sigue en fase exploratoria y solo el 22 % está implementando ya medidas de seguridad resistentes, un punto por encima de la media mundial.

En la gestión del dato aparece un contraste revelador. Las empresas españolas superan la media en clasificación de la información (55 % frente al 49 % global), pero se quedan atrás en calidad del dato (31 % frente al 40 %), justo cuando esos datos alimentan los sistemas de IA que dicen querer proteger.

El gobierno del riesgo está más avanzado: nueve de cada diez directivos identifican mecanismos de supervisión en el consejo de administración. Sobre quién responde por la IA no existe un modelo único, aunque en España el 35 % lo asigna a un responsable o una función dedicada de IA, por encima del 26 % global. El presupuesto va por delante de la preparación.