Si bien los orígenes de la IA se remontan a finales de los cincuenta del siglo pasado, ha sido en los últimos tres años cuando ha dado el salto a la cotidianeidad.
Para la sociedad en general ha dejado de ser una mera fantasía de ciencia ficción para convertirse en una fuerza transformadora de casi todos los aspectos de la sociedad, con elevadas expectativas sobre sus beneficios y enormes temores sobre los peligros que plantea en lo tocante a seguridad, ética y cumplimiento normativo.
De 2023 data la primera encuesta del ISMS sobre adopción y crecimiento de la IA en empresas españolas. En los próximos meses lanzaremos una nueva edición, en la que participan un amplísimo número de responsables de empresas españolas.
Para alcanzar un espectro representativo, hace muy pocas semanas pedimos a setenta de estos profesionales que respondieran a una serie de preguntas previas a esa gran encuesta que verá la luz en el tercer trimestre del año.
Aunque no son datos finales, el resultado sí nos puede dar una primera visión del contexto. Según se puede ver en el Cuadro 1, por ejemplo, cerca de un 35% de las empresas ya ha implementado sistemas de IA generativa, solo el 11% no contempla su uso, y menos del 2% no tiene una decisión tomada.
Otra de las cuestiones interesantes está relacionada con el tipo de sistemas que están implementando (Cuadro 2). Según las respuestas, el 27% manifiesta un objetivo ambicioso: afirma que están creando o crearán su propio modelo de IA.
Grupo de InteligenciaArtificial (GIA)
ISMS Forum, asociación de profesionales de ciberseguridad y protección de datos, creó el Grupo de Inteligencia Artificial (GIA). Este grupo ya ha publicado un amplio conjunto de guías, documentos y recursos.
En relación con estos últimos, cabe destacar los chats conversacionales sobre esta materia, construidos en dos versiones (ChatGPT y Microsoft Copilot), alimentados con las guías de la asociación y que permiten dar respuesta a consultas sobre seguridad, ética y cumplimiento en dicha materia. Se puede acceder a todas las guías y recursos de forma gratuita desde la página web de la asociación.
El Grupo trabaja actualmente en tres nuevas guías: un handbook sobre el nuevo Reglamento de la UE sobre la IA; el engaño mediante IA; y requisitos que se han de incorporar en pliegos y contratos de productos y servicios IA.
El 35% de las empresas ya ha implementado sistemas de IA generativa y solo el 11% no contempla su uso
Adicionalmente la asociación coordina el mayor canal de Telegram en lengua española dedicado a seguridad, ética y cumplimiento de la IA, formado por más de seiscientos profesionales en activo.
Dirige todos estos trabajos una amplia visión, pues amplio es el espectro de perfiles del cuantioso número de profesionales que están participando en el GIA (en este momento con tres iniciativas en un estado avanzado). Resumimos a continuación lo que se puede encontrar en cada una de las actuales guías del ISMS.
Introducción a la IA
La IA, en sus múltiples formas —desde algoritmos de aprendizaje automático hasta sistemas autónomos avanzados—, está integrándose en sectores tan variados como la sanidad, la automoción o la educación, por citar tan solo algunos.
Su capacidad para procesar y analizar grandes volúmenes de datos más rápido que los humanos la convierte en una herramienta invaluable. No obstante, esta capacidad también plantea preguntas sobre la privacidad de los datos, la toma autónoma de decisiones (las superinteligencias) y la seguridad, así como sobre su utilización como sistemas adversarios (es decir, dónde allí la IA es utilizada para causar daños a sociedades, empresas y ciudadanos).
Adopción y gobernanza de la IA
La implementación efectiva de la IA requiere una adopción cuidadosa y una gobernanza robusta. Organizaciones de todos los tamaños están adoptando estrategias para incorporar tecnologías de IA, pero esta debe ir acompañada de un marco de gobernanza sólido que asegure su uso ético y responsable. Esto incluye establecer roles claros para la supervisión de la IA, implementar políticas de transparencia y rendición de cuentas, y asegurar que todos los sistemas sean auditables y sus operaciones comprensibles para los usuarios finales.
Adicionalmente, ya sea durante las fases de entrenamiento, de acceso continuo a los datos que traten el modelo, o de salidas de la IA, se ha de contemplar tanto la calidad del dato como su control y supervisión.
Como parte de esa estrategia de adopción de la IA, hay que tratar aspectos tales como el cuerpo regulatorio, la identificación y asunción de responsabilidades e incluso la forma de identificar, evaluar y abordar las diferentes iniciativas (¿Comité de inteligencia artificial?). Las evaluaciones de riesgos de unos y otros tipos, junto a los controles y la supervisión, deben ser los cimientos de adopción y crecimiento de la IA empresarial.
Aspectos legales y regulatorios
A medida que la IA se convierte en una parte integral de más aplicaciones comerciales y productos —y, sobre todo, conforme la sociedad y no solo los procesos internos de las empresas se ven afectados—, las implicaciones legales y regulatorias se vuelven más complejas.
Las leyes de protección de datos, los derechos de propiedad intelectual y las regulaciones específicas del sector están evolucionando para abordar los nuevos desafíos que presenta la tecnología. Los desarrollos recientes en la legislación de la UE y otras regiones destacan la necesidad de un enfoque proactivo para gestionar los riesgos legales asociados con la IA.
En pocos meses, ISMS Forum publicará el informe Handbook IA Guía para comprender mejor el nuevo reglamento de la UE de Integración de Inteligencia Artificial), que sintetiza (en menos de treinta páginas, frente a las 144 del Reglamento) los principales ítems y conceptos que se deben entender e implementar.
Ética y cumplimiento
Además de los desafíos legales, la ética en el uso de la inteligencia artificial es un campo de creciente importancia. Los principios de justicia, transparencia y responsabilidad deben integrarse en todas las fases de su desarrollo y despliegue. Las organizaciones han de esforzarse por diseñar sistemas de IA que no solo sean eficientes, sino también justos y libres de prejuicios, con el fin de garantizar que los beneficios de esta tecnología se distribuyan equitativamente entre toda la sociedad.
En el fondo, la IA analizará y sustentará decisiones que hasta el momento se regían por una ética humana, por lo que el nuevo tratamiento no puede ser oscuro; las reglas de evaluación y decisión deben ser trazables y responder a la ética empresarial en sus relaciones con clientes, socios y empleados, y con la sociedad en general.
Ciberseguridad
La IA, con sus capacidades avanzadas de detección y respuesta, está revolucionando la ciberseguridad. Sistemas de IA pueden analizar grandes cantidades de datos de tráfico de red para identificar patrones anómalos que podrían indicar una actividad maliciosa. Además, la automatización de respuestas a incidentes mediante IA permite reaccionar a las amenazas de manera más rápida y eficiente que los métodos tradicionales.
La IA puede ser una poderosa aliada en la detección y mitigación de amenazas, pero también introduce nuevos vectores de ataque. Por ejemplo, ataques donde se manipulan los datos de entrenamiento para que los modelos de IA aprendan patrones incorrectos, con el fin de sabotear su integridad y eficacia. Además, la complejidad de los modelos de IA puede ocultar vulnerabilidades difíciles de detectar y remediar.
A los que nos dedicamos a la ciberseguridad nos preocupan las capacidades de la IA adversaria, donde se entrena a los sistemas para engañar o evadir otros sistemas de IA. En este aspecto, es necesaria una aproximación proactiva, que no solo responda a las amenazas, sino que también anticipe y neutralice tácticas adversarias avanzadas.
La implementación efectiva de la IA requiere una adopción cuidadosa y una gobernanza robusta
De ahí la importancia de incluir, como parte de la Gobernanza, el desarrollo de normas y estándares específicos para validar algoritmos de IA en contextos de ciberseguridad. Estos estándares, junto con los controles que ayuden a gestionar el riesgo, podrán asegurar que los sistemas de IA sean robustos, seguros y confiables, características que mitigarán el riesgo de que sean explotados por actores maliciosos.
Para combatir los riesgos asociados con la IA en ciberseguridad, no solo es necesario establecer un modelo de capas de mitigación de riesgo, que incluyan la monitorización, la auditoría, el testing y red team: es esencial asimismo invertir en formación y concienciación, tanto para los desarrolladores de IA como para los usuarios finales. La educación sobre las posibles vulnerabilidades y los métodos de mitigación puede fortalecer la postura de seguridad general de las organizaciones.
En conclusión, la llegada de la inteligencia artificial a la ciberseguridad ofrece tanto oportunidades significativas como desafíos considerables, pues si bien la IA puede mejorar significativamente la capacidad de las organizaciones para detectar y responder a amenazas cibernéticas, también requiere un enfoque cuidadoso en términos de gobernanza, regulación y formación para mitigar los riesgos asociados con su uso.
Desafíos y oportunidades futuras
Mirando hacia el futuro, la IA continuará siendo una frontera de innovación y controversia. Las tecnologías emergentes siempre prometen nuevas capacidades y posibilidades; sin embargo, también exigen una reflexión —renovada y mantenida en el tiempo— sobre cómo las regulamos y controlamos para prevenir abusos y asegurar que su desarrollo beneficie a toda la sociedad.
Las empresas deben encontrar la forma de gobernar la adopción de la inteligencia artificial y su crecimiento para los fines de Negocio, pero deberán hacerlo guiadas por los principios de la OCDE. Todo ello con el convencimiento de aproximarse de forma proactiva al cumplimiento legal, con decisiones fundadas en una correcta gestión de los riesgos. Esto exige una clara designación de funciones y roles, así como una amplia colaboración entre las partes implicadas en esa adopción y crecimiento.
