Por qué la IA hará que las empresas gasten mucho más en ciberseguridad

Hablar de «aumentar el presupuesto de ciberseguridad» sin concretar en qué se invierte ese dinero es quedarse a medio camino. La cifra no funciona como un cheque en blanco que se destina sin más al mismo tipo de partidas de siempre: funciona como una redistribución consciente del gasto entre tres bloques que, en la mayoría de las organizaciones, hoy están profundamente desequilibrados —personas, tecnología y gobernanza— y que crecen a ritmos muy distintos cuando se introduce IA en la operativa.

– El primer cuello de botella no es el dinero, es el talento

Antes de decidir en qué herramienta invertir, conviene asumir una realidad incómoda: en España, y en el resto del mundo, la ciberseguridad lleva años enfrentándose a un déficit estructural de profesionales cualificados, y ese déficit se ha agravado con la irrupción de la IA, que exige perfiles nuevos —especialistas en seguridad de modelos, en gobernanza de agentes, en arquitecturas RAG seguras— que apenas existían hace tres años. Según el último informe global sobre la brecha de competencias en ciberseguridad de Fortinet, más de la mitad de los responsables de IT señalan la falta de competencias como la principal causa de las brechas de seguridad graves en sus organizaciones. A nivel mundial, ISC² sitúa el déficit de talento por encima de los tres millones y medio de vacantes sin cubrir. En España, distintos estudios sectoriales —entre ellos el elaborado por INCIBE junto con la patronal tecnológica Conetic— calculan que el país necesita incorporar decenas de miles de profesionales cualificados adicionales para cubrir la demanda actual, con perfiles como analistas de respuesta a incidentes, especialistas en entornos multicloud o expertos en IA aplicada a la defensa entre los más solicitados y más difíciles de encontrar.

Esto tiene una consecuencia práctica directa para cualquier comité de dirección: una parte de la inversión no se puede resolver solo con presupuesto, porque el mercado no tiene suficientes profesionales disponibles para contratar. La respuesta que están adoptando muchas organizaciones —y que confirma el propio INCIBE en sus diagnósticos sobre el sector— pasa por combinar tres vías simultáneas: formar y recualificar al personal interno que ya conoce la empresa, apoyarse en servicios externos especializados para cubrir picos de trabajo y necesidades muy concretas (auditorías, pruebas de intrusión, diseño de arquitecturas seguras para IA), y reservar la contratación directa para los roles más estratégicos y permanentes. Ignorar esta realidad y limitarse a «aumentar la partida de seguridad» sin resolver el problema de capacidad humana es una manera segura de que ese presupuesto adicional se quede sin ejecutar, o se ejecute mal.

– El segundo bloque: tecnología que hace tres años no existía

La parte más visible de la inversión es la tecnológica, pero conviene entender que no se trata simplemente de «comprar más del mismo tipo de herramienta» que ya se tenía. Los controles tradicionales —cortafuegos, antivirus, gestión de parches— siguen siendo necesarios, pero no cubren los riesgos específicos que introduce la IA. Hace falta una capa adicional, pensada específicamente para supervisar el comportamiento de los modelos y los agentes: sistemas de validación de las peticiones que llegan a un agente antes de que las procese, herramientas que analizan si una respuesta generada por IA se ha desviado del objetivo original de la tarea, plataformas de gestión de acceso a la nube que permiten ver qué datos está enviando la organización a cada proveedor de modelos, y sistemas de detección de uso no autorizado de herramientas de IA por parte de los propios empleados. Ninguna de estas categorías de herramientas formaba parte del catálogo estándar de un departamento de IT hace apenas tres años, y su coste no sustituye al de la infraestructura de seguridad tradicional: se suma a ella.

– El tercer bloque, el que más se olvida: gobernanza y procesos

Es habitual que, al hablar de «invertir en ciberseguridad», la conversación se quede en personas y tecnología, dejando fuera el bloque que determina si los otros dos funcionan de verdad: los procesos y la gobernanza. De poco sirve contratar a un especialista en seguridad de IA o comprar la herramienta de supervisión más avanzada del mercado si no existe un procedimiento formal para decidir qué agentes de IA se pueden desplegar, quién los autoriza, cómo se auditan de forma periódica y qué ocurre cuando uno de ellos falla. Este bloque incluye también algo que muchas organizaciones subestiman: el tiempo y el coste de mantener actualizadas las políticas internas al ritmo al que cambia la propia tecnología, algo que hace tres años se revisaba una vez al año y que hoy, en organizaciones que despliegan IA de forma activa, exige revisión trimestral o incluso continua.

Cuando se descompone así, las cifras dejan de sonar arbitrarias: no es «gastar veces más en lo mismo», sino reconocer que se ha añadido un bloque completo de talento especializado, un catálogo nuevo de herramientas y una capa de gobernanza que antes no existía, y que los tres compiten por presupuesto con las partidas de seguridad que la empresa ya tenía. Las organizaciones que reparten conscientemente su inversión entre estos tres bloques —en lugar de concentrarla solo en tecnología, que es la partida más fácil de justificar en una hoja de cálculo pero la menos efectiva sin las otras dos— son las que consiguen que ese presupuesto adicional se traduzca en una reducción real del riesgo, y no solo en una factura más alta a final de año.