Hitachi Vantara potencia el almacenamiento híbrido en Azure
IBM revela que el 13% de organizaciones sufrió brechas en sistemas de IA mientras la adopción tecnológica supera dramáticamente las medidas de seguridad implementadas.
La velocidad con la que las organizaciones adoptan inteligencia artificial superó hace tiempo su capacidad para protegerla. El resultado es un panorama donde los atacantes encuentran sistemas de alto valor con defensas inexistentes. El Cost of Data Breach Report 2025 de IBM documenta esta asimetría con datos que exponen una realidad incómoda: las empresas están desplegando IA como si la seguridad fuera un problema que resolverán después.
El 13% de las organizaciones encuestadas sufrió una brecha en modelos o aplicaciones de IA entre marzo de 2024 y febrero de 2025. Un 8% adicional no está seguro de si sus sistemas fueron comprometidos. Pero el dato más revelador es otro: el 97% de las organizaciones afectadas no contaba con controles de acceso específicos para IA.
No se trata de ataques sofisticados que evaden sistemas de seguridad de última generación. Se trata de puertas sin cerradura en edificios que almacenan información sensible.
Los incidentes de ransomware mantienen un coste medio elevado de 5,08 millones de dólares, especialmente cuando son los atacantes quienes revelan la brecha.
El costo de la velocidad sin control
“El informe revela una brecha clara entre la velocidad con la que se está adoptando la IA y las medidas de supervisión que la acompañan, una laguna que los atacantes ya están aprovechando”, explica Ana Gobernado, directora general de IBM Consulting en España, Portugal, Grecia e Israel.
Las consecuencias de esta brecha de seguridad no son abstractas. El 60% de los incidentes relacionados con IA comprometieron datos sensibles. El 31% provocaron interrupciones operativas que afectaron la continuidad del negocio. Cuando las organizaciones implementan sistemas de IA en procesos críticos sin controles adecuados, no están asumiendo riesgos calculados. Están operando a ciegas.
El coste medio de una brecha de datos alcanzó los 4,44 millones de dólares a nivel global en 2025. En Estados Unidos, la cifra se dispara a 10,22 millones de dólares. Estas no son abstracciones contables. Representan recursos que debieron destinarse a innovación, expansión o retención de talento, pero que terminaron en remediación, litigios y reconstrucción de confianza.
El informe, elaborado por el Instituto Ponemon con patrocinio y análisis de IBM, examina 600 brechas de datos registradas en organizaciones de todo el mundo. Por primera vez en sus 20 años de historia, el estudio incluye un análisis exhaustivo del estado de la seguridad y gobernanza de la inteligencia artificial.
Políticas de gobernanza: el papel que nadie lee
El 63% de las organizaciones que sufrieron una brecha no contaban con una política de gobernanza de IA o estaban apenas desarrollándola. Entre las que sí tienen políticas documentadas, solo el 34% realiza auditorías periódicas para detectar usos no autorizados.
Las políticas sin ejecución son teatro corporativo. Documentos que existen para cumplir requisitos de compliance pero que no tienen impacto en cómo los equipos despliegan, configuran o monitorean sistemas de IA en producción.
El problema no es redactar políticas. Es crear mecanismos que las hagan cumplir sin frenar la operación. Organizaciones que implementan controles de acceso granulares, auditorías automatizadas y monitoreo continuo de anomalías están reduciendo el riesgo sin sacrificar velocidad. Las que esperan a que la política perfecta esté lista mientras los equipos despliegan modelos sin supervisión, simplemente están acumulando deuda de seguridad que se cobrará con intereses.
El 16% de las brechas analizadas involucraron el uso de herramientas de IA por parte de atacantes, principalmente para campañas de phishing o suplantación mediante deepfakes.
Shadow AI: el enemigo interno que nadie supervisa
Una de cada cinco organizaciones sufrió una brecha causada por IA no autorizada, conocida como shadow AI. Solo el 37% tiene políticas activas para detectar y gestionar este fenómeno.
La shadow AI no es sabotaje deliberado. Es el resultado de equipos que encuentran herramientas que resuelven sus problemas y las implementan sin pasar por TI o seguridad. Un equipo de marketing que usa un servicio de IA generativa para crear contenido. Desarrolladores que integran APIs de modelos de lenguaje grandes en aplicaciones sin revisar términos de servicio. Analistas que suben datos confidenciales a plataformas cloud para obtener insights más rápidos.
Las organizaciones con uso intensivo de shadow AI experimentaron costes un 15% más altos que la media global, equivalente a 670,000 dólares adicionales por brecha. Más preocupante aún: vieron comprometida más información personal (65% vs 53% global) y propiedad intelectual (40% vs 33% global).
El problema no se resuelve con prohibiciones. Se resuelve ofreciendo alternativas aprobadas que sean tan convenientes como las no autorizadas. Si usar herramientas de IA corporativas requiere tres semanas de aprobaciones mientras que servicios externos se activan en minutos, la organización está incentivando la shadow AI.
Ciberataques con IA: sofisticación disponible para todos
El 16% de las brechas analizadas involucraron el uso de herramientas de IA por parte de atacantes, principalmente para campañas de phishing o suplantación mediante deepfakes.
La democratización de la IA no solo beneficia a defensores. Atacantes con recursos limitados ahora acceden a capacidades que antes requerían equipos especializados. Generar correos de phishing personalizados a escala. Crear videos deepfake convincentes de ejecutivos para fraudes de transferencias. Analizar vulnerabilidades en código expuesto públicamente. Todas estas capacidades están disponibles mediante servicios de IA generativa accesibles desde navegadores web.
La asimetría se invierte cuando defensores ignoran estas herramientas mientras atacantes las adoptan agresivamente. Organizaciones que emplean IA y automatización de forma intensiva en sus operaciones de ciberseguridad reducen el coste medio de una brecha en 1,9 millones de dólares y acortan su ciclo de vida en 80 días de media.
Solo el 49% de las organizaciones planea reforzar su seguridad tras sufrir una brecha, una caída significativa frente al 63% del año anterior.
El sector sanitario: primer lugar que nadie quiere
Con un coste medio de 7,42 millones de dólares, la sanidad sigue siendo el sector más afectado por brechas de datos. A pesar de una reducción de 2,35 millones respecto a 2024, el tiempo medio de contención y recuperación en este sector alcanza 279 días, casi 40 más que la media global de 241 días.
La combinación es tóxica: datos de altísimo valor (historiales médicos completos se venden en mercados clandestinos por cifras significativamente superiores a datos financieros), sistemas legacy que no fueron diseñados con seguridad como prioridad, y presupuestos de TI que compiten con equipamiento médico y personal clínico por recursos limitados.
Las organizaciones sanitarias que están cerrando esta brecha no lo hacen con inversiones masivas en tecnología de última generación. Lo hacen priorizando controles básicos: autenticación multifactor obligatoria, segmentación de redes, cifrado de datos en reposo y tránsito, y programas de capacitación continua para personal clínico y administrativo.
Ransomware: negativa a pagar pero costes persistentes
El 63% de las organizaciones se negó a pagar el rescate exigido en ataques de ransomware, un incremento frente al 59% del año anterior. La negativa refleja una madurez creciente en estrategias de respaldo y recuperación, junto con la conciencia de que pagar no garantiza recuperación completa ni previene futuros ataques.
Sin embargo, los incidentes de ransomware mantienen un coste medio elevado de 5,08 millones de dólares, especialmente cuando son los atacantes quienes revelan la brecha. El mensaje es claro: negarse a pagar es la decisión correcta, pero no elimina el costo del incidente.
Las organizaciones que mejor resisten ataques de ransomware no son necesariamente las que más invierten en prevención. Son las que pueden recuperarse rápidamente. Backups inmutables, pruebas periódicas de restauración, planes de continuidad del negocio actualizados y equipos entrenados en procedimientos de recuperación son más valiosos que cualquier solución de detección avanzada que falle en el momento crítico.
Menos disposición a invertir después del incidente
Solo el 49% de las organizaciones planea reforzar su seguridad tras sufrir una brecha, una caída significativa frente al 63% del año anterior. De ese grupo, menos de la mitad prevé invertir en soluciones específicas de ciberseguridad con IA.
Este dato contradice toda lógica. Una organización que acaba de sufrir un incidente de seguridad, que documentó sus costes financieros y operativos, que enfrentó escrutinio de clientes y reguladores, decide no invertir en prevenir que se repita.
Las explicaciones posibles son preocupantes. Fatiga de inversiones en seguridad que no previenen ataques. Presión de stakeholders para reducir costos después de un incidente costoso. Falsa sensación de que la probabilidad de sufrir otro ataque próximamente es baja. Desconfianza en que inversiones adicionales generen resultados diferentes.
El problema con esta lógica es que los atacantes no operan con intervalos predecibles. Una organización que sufrió una brecha es un objetivo más atractivo, no menos. Los atacantes saben que los sistemas probablemente aún tienen vulnerabilidades sin remediar y que la organización está distraída con recuperación.
Impacto operativo: el costo que continúa después
Prácticamente todas las organizaciones analizadas sufrieron disrupciones operativas tras una brecha de seguridad. Entre las que lograron recuperarse, la mayoría tardó más de 100 días de media en hacerlo.
Pero las consecuencias no terminan con la contención. Casi la mitad de las organizaciones planeaban subir el precio de sus productos o servicios a raíz de la brecha. Casi un tercio declaró que esas subidas serían del 15% o más.
Este traslado de costos a clientes tiene límites. En mercados competitivos, incrementos de precios significativos resultan en pérdida de participación de mercado. Los competidores que mantuvieron sus sistemas seguros ahora tienen ventaja de precio sin haber hecho nada más que evitar errores.
Detección temprana: el factor que marca diferencia
El ciclo de vida de una brecha se redujo a 241 días en 2025, 17 menos que el año anterior. Las organizaciones que detectaron la brecha por sí mismas ahorraron de media 900,000 dólares en comparación con aquellas donde fue el atacante quien la reveló.
La diferencia entre detectar un incidente en días versus meses no es lineal en costos. Cada semana adicional que un atacante permanece sin detectar amplifica exponencialmente el daño: más sistemas comprometidos, más datos exfiltrados, más persistencia establecida, más difícil la remediación completa.
Las organizaciones con capacidades maduras de detección y respuesta operan bajo el supuesto de que los atacantes eventualmente entrarán. El objetivo no es prevención perfecta, sino detección rápida y contención efectiva. Monitoreo continuo de anomalías, threat intelligence integrada, equipos de respuesta entrenados y simulacros regulares de incidentes son inversiones que se pagan solas en el primer incidente que mitigan efectivamente.
La confianza como activo no renovable
“Lo que está en juego no es solo el dinero: es la confianza, la transparencia y el control”, señala Ana Gobernado.
Las brechas de datos destruyen un activo que toma años construir y que no se recupera con comunicados de prensa o inversiones en relaciones públicas. Clientes que confían sus datos a una organización esperan que esos datos estén protegidos con el mismo rigor que la organización protege sus propios activos críticos.
Cuando esa confianza se rompe, las consecuencias van más allá de costos inmediatos. Clientes que migran a competidores. Talento que busca empleadores con mejor reputación en seguridad. Inversionistas que demandan primas de riesgo más altas. Reguladores que intensifican supervisión.
La seguridad de la IA no es un problema técnico que se resuelve con más presupuesto para herramientas. Es un problema de gobierno corporativo que requiere decisiones conscientes sobre qué riesgos son aceptables y qué controles son no negociables.
Las organizaciones que están manejando esta transición efectivamente no son necesariamente las que más invierten. Son las que integran seguridad en sus procesos de desarrollo y despliegue de IA desde el inicio, no como auditoría posterior. Las que establecen controles de acceso antes de que los sistemas vayan a producción, no después de incidentes. Las que tratan la gobernanza de IA como requisito operativo, no como aspiración.
El informe de IBM documenta 20 años de evolución en brechas de datos. En 2005, el 45% se debía a pérdida o robo de dispositivos físicos. Hoy, la IA se ha convertido en vector de ataque y objetivo prioritario. La pregunta no es si las organizaciones adoptarán IA. Ya lo están haciendo. La pregunta es cuántas aprenderán a protegerla antes de que los costos de no hacerlo se vuelvan insostenibles.
