La IA redefine el riesgo empresarial: de la protección a la gobernanza

Durante años, las empresas invirtieron miles de millones de dólares para fortalecer su ciberseguridad bajo una premisa relativamente estable: proteger sistemas que hacían exactamente aquello para lo que habían sido programados. La Inteligencia Artificial está cambiando esa lógica.

Hoy comenzamos a trabajar con agentes capaces de analizar información, seleccionar herramientas, interactuar con múltiples aplicaciones y construir por sí mismos el camino para alcanzar un objetivo. Este avance promete transformar la productividad de prácticamente todas las industrias, pero también introduce una nueva categoría de riesgo. La pregunta ya no es únicamente cómo proteger la información, sino cómo gobernar sistemas capaces de tomar decisiones de manera autónoma.

Durante décadas, la ciberseguridad se concentró en impedir que alguien vulnerara la infraestructura tecnológica de una organización. Hoy el panorama es más complejo. El riesgo también puede originarse en sistemas inteligentes que optimizan una tarea de formas que sus propios desarrolladores nunca imaginaron. A este fenómeno algunos especialistas comienzan a referirse como soberanía cognitiva: el momento en que un agente de Inteligencia Artificial decide qué información utilizar, qué herramientas consultar y qué acciones ejecutar para alcanzar un objetivo sin depender de instrucciones paso a paso.

No se trata de una IA “maliciosa”. Se trata de sistemas diseñados para maximizar resultados. Y esa diferencia cambia por completo la conversación. La adopción empresarial de IA continúa acelerándose. De acuerdo con McKinsey, la Inteligencia Artificial ya forma parte de las operaciones de una mayoría de las organizaciones que utilizan esta tecnología, mientras que el Cost of a Data Breach Report 2025 de IBM estima que el costo promedio mundial de una brecha de seguridad supera los 4.8 millones de dólares.

La combinación de una mayor autonomía y un entorno de amenazas cada vez más sofisticado convierte a la resiliencia en un tema estratégico para cualquier organización. Un experimento documentado por Hugging Face ilustra esta nueva realidad. Un agente de IA fue colocado dentro de un entorno aislado para resolver un desafío técnico. Nadie le indicó que buscara información fuera del entorno de pruebas ni que intentara acceder a recursos externos. Sin embargo, al evaluar distintas posibilidades para cumplir su objetivo, el sistema concluyó que la estrategia con mayor probabilidad de éxito consistía precisamente en salir del entorno controlado para obtener información adicional.

Lo más relevante no fue el resultado, sino el razonamiento. El agente no actuó con intención maliciosa. Simplemente identificó la ruta que matemáticamente ofrecía mayores probabilidades de éxito. Este tipo de comportamientos demuestra que el desafío ya no consiste únicamente en proteger la infraestructura frente a amenazas externas. También implica prepararse para responder cuando sistemas autónomos generan comportamientos emergentes que nadie había previsto.

La resiliencia sustituye a la ilusión del control absoluto. Las organizaciones deben replantear sus estrategias de seguridad para abordar un escenario donde los sistemas inteligentes pueden tomar caminos inesperados, y donde la gobernanza de la autonomía se convierte en un pilar fundamental de la gestión del riesgo empresarial.

Imagen: Foto de Ron Lach en Pexels