La brecha de seguridad de IA en 2025: Por qué el 83% de las organizaciones operan a ciegas

Imagina esto: Una empresa de servicios financieros Fortune 500 descubre que, durante los últimos seis meses, su equipo de atención al cliente ha estado copiando y pegando datos confidenciales de clientes—incluyendo números de seguro social, saldos de cuentas e historiales de transacciones—en ChatGPT para generar plantillas de respuesta. La herramienta de IA ha procesado millones de registros y no hay forma de eliminarlos ni de rastrear a dónde han ido. Solo las multas regulatorias podrían alcanzar los 50 millones de dólares, sin contar las demandas colectivas y el daño irreparable a la confianza de los clientes.

Este escenario no es hipotético—está ocurriendo ahora mismo en todos los sectores. Una encuesta innovadora a 461 profesionales de ciberseguridad, TI, administración de riesgos y cumplimiento revela que el 83% de las organizaciones carecen de controles automatizados para evitar que datos confidenciales ingresen en herramientas públicas de IA. Aún más alarmante, el 86% no tiene visibilidad sobre los flujos de datos de IA, operando prácticamente a ciegas mientras los empleados comparten libremente información propietaria con sistemas de IA.

El riesgo no podría ser mayor. Con agencias regulatorias emitiendo 59 nuevas regulaciones relacionadas con IA solo en 2024—más del doble que el año anterior—las organizaciones enfrentan una tormenta perfecta de vulnerabilidades de seguridad, fallos de cumplimiento y riesgos competitivos. Cada día sin controles adecuados de seguridad en IA aumenta la exposición a filtraciones de datos, sanciones regulatorias que van desde cientos de miles hasta millones de dólares, y la pérdida de ventajas competitivas a medida que los secretos comerciales se filtran en los datos de entrenamiento de IA públicos.

Este análisis integral desglosa el Estudio de Riesgos de Seguridad de Datos y Cumplimiento de IA 2025, revelando por qué incluso los sectores más regulados fallan en la seguridad de IA y qué debe hacer tu organización para no convertirse en el próximo ejemplo a evitar.

El problema del 83%: Entendiendo la brecha de control

La revelación más impactante del estudio es la magnitud de la brecha de control. Solo el 17% de las organizaciones ha implementado controles automatizados con Prevención de Pérdida de Datos (DLP)—la protección mínima viable para la seguridad de datos en IA. Esto significa que el 83% de las empresas prácticamente dejan sus puertas abiertas para que los empleados ingresen datos confidenciales en herramientas públicas de IA sin ninguna barrera técnica.

Desglosando la pirámide de seguridad

La pirámide de madurez de controles de seguridad revela una preocupante distribución de niveles de protección en las organizaciones:

Controles automatizados con DLP (17%): Estas organizaciones representan el estándar de oro, usando tecnología para escanear y bloquear automáticamente datos confidenciales antes de que lleguen a herramientas de IA. Cuando un empleado intenta pegar registros de clientes o código propietario en ChatGPT, el sistema interviene y evita la exposición.

Solo formación y auditorías (40%): El grupo más grande depende completamente de la formación de empleados y auditorías periódicas. Aunque la formación tiene valor, no cubre el error humano, lapsos momentáneos de juicio o empleados que deliberadamente eluden las políticas. Incluso los empleados mejor formados cometen errores—los estudios demuestran que el error humano representa el 88% de las filtraciones de datos.

Advertencias sin refuerzo (20%): Una de cada cinco organizaciones emite advertencias sin monitoreo ni refuerzo. Este enfoque equivale a poner letreros de “Por favor, no entres” dejando las puertas sin llave ni vigilancia. Los empleados reciben advertencias emergentes pero pueden simplemente hacer clic y continuar con comportamientos riesgosos.

Sin políticas en absoluto (13%): El 13% restante opera sin ninguna política específica de IA, dejando que los empleados decidan por sí mismos qué datos compartir con herramientas de IA.

Implicaciones reales: Seguridad en IA

Las consecuencias prácticas de controles débiles se manifiestan de varias formas:

• Filtración continua de datos: A diferencia de las filtraciones tradicionales que ocurren en un momento puntual, la exposición de datos en IA sucede de forma continua mientras los empleados interactúan con herramientas de IA durante su jornada
• Exposición imposible de rastrear: Una vez que los datos ingresan en sistemas públicos de IA, las organizaciones no pueden rastrearlos, recuperarlos ni eliminarlos
• Incumplimientos de cumplimiento: Cada interacción no controlada con IA puede violar múltiples regulaciones, desde GDPR hasta HIPAA
• Desventaja competitiva: La información propietaria compartida con herramientas de IA pasa a formar parte de los datos de entrenamiento, lo que puede beneficiar a la competencia

Comparativa por sector: Seguridad en IA

La brecha de control se extiende a todos los sectores, con una consistencia notable. La implementación de controles técnicos va desde solo el 15% en roles enfocados en cumplimiento hasta el 18% en posiciones de ciberseguridad. Incluso las empresas tecnológicas—las creadoras de herramientas de IA—muestran solo una mejora marginal en la protección de sus propios datos.

El reto de la visibilidad: Cuando no sabes lo que no sabes

Quizás más peligroso que los controles débiles es la incapacidad generalizada para ver lo que ocurre. Un abrumador 86% de las organizaciones carece de visibilidad sobre los flujos de datos de IA, operando completamente a oscuras respecto a la información que los empleados comparten con sistemas de IA.

La paradoja de la sobreconfianza en la seguridad de datos de IA

El estudio revela una gran desconexión entre percepción y realidad. Aunque el 56% de las organizaciones afirma tener controles y seguimiento de gobernanza integral, la investigación independiente cuenta otra historia:

• Gartner informa que solo el 12% de las organizaciones tiene estructuras dedicadas de gobernanza de IA
• Deloitte encuentra que solo el 9% alcanza un nivel de madurez “Ready”
• Esto representa una sobreestimación de las capacidades reales entre 5 y 10 veces

Esta brecha de sobreconfianza genera problemas en cascada. Los líderes toman decisiones estratégicas basadas en protecciones imaginarias, acelerando la adopción de IA mientras creen tener salvaguardas adecuadas. Es como conducir a alta velocidad creyendo que los frenos funcionan perfectamente—cuando en realidad están fallando.

Consecuencias prácticas de la ceguera

Sin visibilidad sobre el uso de IA, las organizaciones enfrentan desafíos inmediatos y graves:

Fallas en la respuesta a auditorías: Cuando los reguladores solicitan registros de interacciones de IA que involucran datos personales, las organizaciones simplemente no pueden proporcionarlos. Esto viola requisitos fundamentales como el Artículo 30 de GDPR, la Sección 1798.130 de CCPA y el § 164.312 de HIPAA.

Investigación de incidentes imposible: Si ocurre una filtración de datos o una violación de políticas, los equipos de seguridad no pueden rastrear qué pasó, cuándo o quién fue responsable. Las herramientas forenses tradicionales no capturan interacciones con IA.

Vacíos en la documentación de cumplimiento: Las organizaciones no pueden demostrar cumplimiento con los principios de minimización de datos, políticas de retención o requisitos de eliminación si no saben qué datos han sido procesados.

Ceguera en la evaluación de riesgos: Sin datos de uso, los responsables de riesgos no pueden evaluar con precisión los niveles de exposición, priorizar controles ni asignar recursos de seguridad de manera efectiva.

El peligro del “no saber”

Un significativo 17% de las organizaciones simplemente no sabe qué porcentaje de sus datos ingeridos por IA contiene información confidencial. Esta ignorancia no es solo una brecha de conocimiento—es una vulnerabilidad crítica que:

• Impide una evaluación precisa de riesgos
• Hace imposible obtener certificaciones de cumplimiento
• Deja a las organizaciones sin preparación para auditorías
• Crea una exposición ilimitada a responsabilidades

Exposición de datos: La catástrofe de 1 de cada 4

Los hallazgos del estudio sobre la exposición real de datos muestran un panorama alarmante de información que se escapa de las organizaciones hacia sistemas públicos de IA.

Distribución alarmante

La distribución de la exposición de datos confidenciales revela una crisis: el 27% de las organizaciones—más de una de cada cuatro—reporta que más del 30% de los datos compartidos con herramientas de IA contiene información confidencial. No se trata solo de metadatos o información anonimizada; incluye:

• Registros de clientes con información personal identificable (PII)
• Datos de empleados, incluyendo evaluaciones de desempeño e información salarial
• Algoritmos propietarios y código fuente
• Registros financieros y datos de transacciones
• Información de salud protegida bajo HIPAA
• Documentos legales cubiertos por privilegio abogado-cliente
• Secretos comerciales e inteligencia competitiva

Fenómeno de filtración continua

La exposición de datos en IA difiere fundamentalmente de las filtraciones tradicionales en varios aspectos críticos:

Velocidad: Las filtraciones tradicionales suelen implicar robo masivo de datos en un momento puntual. La exposición en IA ocurre de forma continua, con empleados compartiendo datos confidenciales docenas de veces al día en múltiples plataformas.

Fragmentación: Los datos no se van en un solo archivo grande, sino en miles de pequeñas interacciones, lo que dificulta la detección y cuantificación.

Persistencia: Una vez que los datos ingresan en sistemas de entrenamiento de IA, pasan a formar parte de la base de conocimiento del modelo y pueden aparecer en respuestas a otros usuarios.

Multiplicación: Un solo dato confidencial puede ser procesado por múltiples sistemas de IA a medida que los empleados usan diferentes herramientas, multiplicando los puntos de exposición.

Calcula tu riesgo de exposición

Para entender la vulnerabilidad de tu organización, considera estas preguntas de diagnóstico:

1. ¿Cuántos empleados tienen acceso tanto a datos confidenciales como a herramientas de IA?
2. ¿Qué porcentaje de las tareas diarias podría beneficiarse de la asistencia de IA?
3. ¿Con qué frecuencia los empleados trabajan bajo presión de tiempo que podría hacerles pasar por alto la seguridad?
4. ¿Qué tipos de datos manejan regularmente los empleados que podrían ser atractivos para el procesamiento por IA?
5. ¿Cuántas herramientas de IA diferentes son accesibles desde las redes corporativas?

La mayoría de las organizaciones que respondan con honestidad se darán cuenta de que su superficie de exposición es mucho mayor de lo esperado.

Análisis sectorial: Nadie está a salvo

Los hallazgos sectoriales del estudio destruyen cualquier ilusión de que ciertos sectores ya dominan la seguridad en IA. Incluso las industrias más reguladas muestran tasas de fallo que serían impactantes en cualquier otro contexto de seguridad.

La contradicción HIPAA en salud

Las organizaciones sanitarias enfrentan los requisitos más estrictos de protección de datos bajo HIPAA, pero el 44% opera con controles mínimos o nulos de privacidad para interacciones con IA. Esto genera una contradicción extraordinaria:

• HIPAA exige cobertura del 100% en trazabilidad de auditoría, pero solo el 40% puede rastrear el uso de IA
• Solo el 39% de los líderes de salud son conscientes de las amenazas impulsadas por IA—el porcentaje más bajo de cualquier sector
• Cada interacción no rastreada con IA puede violar múltiples disposiciones de HIPAA

Imagina un escenario donde enfermeras usan IA para resumir notas de pacientes, compartiendo inadvertidamente información de salud protegida con sistemas públicos de IA. Sin controles ni visibilidad, esto podría ocurrir miles de veces al día en un sistema de salud.

La falsa confianza de servicios financieros

El sector financiero, a pesar de manejar datos financieros altamente sensibles, muestra patrones preocupantes:

• Las filtraciones de terceros en servicios financieros se duplicaron, representando el 30% de todos los incidentes
• Sin embargo, solo el 14% prioriza el riesgo de IA de terceros—el porcentaje más alto de cualquier sector, pero aún peligrosamente bajo
• El 26% sigue reportando niveles extremos de exposición de datos, y el 43% tiene controles de privacidad mínimos o nulos

Bancos y firmas de inversión que usan IA para atención al cliente o análisis podrían estar exponiendo números de cuenta, historiales de transacciones y estrategias de inversión sin darse cuenta.

El fracaso irónico del sector tecnológico

Quizás lo más irónico es que las empresas tecnológicas—las creadoras de herramientas de IA—no protegen sus propios datos:

• El 92% de las empresas tecnológicas planea aumentar la inversión en IA
• Sin embargo, el 27% reporta exposición extrema de datos—la tasa más alta de cualquier sector
• Construyen herramientas de IA mientras fallan simultáneamente en asegurar su propio uso de IA

Esto equivale a que una empresa de seguridad deje sus propias oficinas sin llave—una contradicción fundamental que socava la credibilidad.

La brecha de 54 puntos en el sector legal

Las firmas legales enfrentan una desconexión especialmente marcada:

• El 95% espera que la IA sea central en su práctica para 2030, pero solo el 41% tiene políticas de IA hoy
• El 31% expresa alta preocupación por la filtración de datos
• Pero solo el 17% ha implementado controles técnicos

El privilegio abogado-cliente podría verse comprometido cada vez que un abogado usa IA para redactar documentos o investigar casos sin controles adecuados.

Crisis de confianza pública en el gobierno

Las agencias gubernamentales, responsables de los datos de los ciudadanos, muestran vulnerabilidades alarmantes:

• El 11% no tiene planes de seguridad en IA, el 13% carece completamente de políticas, el 43% opera con controles mínimos y el 26% reporta exposición extrema

Esto significa que los datos de los ciudadanos—desde registros fiscales hasta información sobre beneficios—podrían estar fluyendo hacia sistemas públicos de IA sin supervisión ni control.

La hemorragia de propiedad intelectual en manufactura

Las empresas manufactureras enfrentan riesgos únicos a medida que su propiedad intelectual fluye hacia sistemas de IA:

• Secretos comerciales, fórmulas, procesos, archivos CAD y datos de cadena de suministro terminan en herramientas de IA
• Con el 22% sin controles y el 13% sin políticas, los competidores podrían acceder a información propietaria a través de sistemas de IA

Bomba de tiempo de cumplimiento

Las organizaciones subestiman dramáticamente el riesgo regulatorio que enfrentan. A pesar de requisitos cada vez más estrictos, solo el 12% considera las violaciones de cumplimiento como una de las principales preocupaciones de seguridad en IA.

Aceleración regulatoria

El panorama regulatorio está cambiando rápidamente:

• Las agencias federales de EE. UU. emitieron 59 regulaciones relacionadas con IA en 2024, más del doble de las 25 emitidas en 2023
• Las menciones legislativas de IA aumentaron un 21,3% a nivel global en 75 países
• Surgen nuevos marcos regulatorios enfocados específicamente en el manejo de datos de IA cada trimestre

Fallos de cumplimiento específicos

No poder rastrear el uso de IA genera fallos inmediatos de cumplimiento en los principales marcos regulatorios:

Violaciones del Artículo 30 de GDPR: Las organizaciones deben mantener registros de todas las actividades de procesamiento. Cada interacción de IA no rastreada representa una violación con sanciones de hasta el 4% de los ingresos globales anuales.

Fallos en la Sección 1798.130 de CCPA: La ley de California exige la capacidad de rastrear y eliminar información personal a solicitud. Sin visibilidad sobre IA, las organizaciones no pueden cumplir con solicitudes de eliminación.

Incumplimientos de HIPAA § 164.312: Las organizaciones de salud deben mantener trazabilidad de auditoría integral para todo acceso a ePHI. Las interacciones con IA eluden completamente estos controles.

Escenario de pesadilla en auditoría

Cuando los reguladores lleguen para una auditoría—y lo harán—las organizaciones sin controles de IA enfrentarán una cascada de fallos:

1. No pueden proporcionar registros de interacciones de IA que involucren datos regulados
2. No pueden demostrar cumplimiento con la minimización de datos
3. No pueden probar adhesión a políticas de retención y eliminación
4. No pueden mostrar que los controles de acceso requeridos están implementados
5. No pueden responder con precisión a solicitudes de titulares de datos

Cada fallo multiplica las sanciones y extiende los plazos de auditoría, convirtiendo revisiones rutinarias de cumplimiento en amenazas existenciales.

Rompiendo el ciclo de sobreconfianza

La encuesta reveló que las organizaciones sobrestiman su preparación en gobernanza de IA entre 5 y 10 veces, con el 40% afirmando implementación total frente a solo el 12% de logro real.

Reconociendo los síntomas

La sobreconfianza en la seguridad de IA suele manifestarse a través de varias señales de advertencia:

• Confundir documentos de políticas con seguridad operativa
• Asumir que la formación de empleados equivale a protección técnica
• Creer que las herramientas de seguridad actuales cubren automáticamente los riesgos de IA
• Confundir la intención de implementar con la implementación real
• Confiar en las garantías de proveedores sin verificación

El coste de la ilusión

Las organizaciones que operan bajo una falsa confianza enfrentan riesgos multiplicados:

• Decisiones estratégicas basadas en protecciones inexistentes
• Adopción acelerada de IA sin crecimiento equivalente en seguridad
• Asignación de presupuesto a innovación mientras la seguridad queda rezagada
• Certificaciones de cumplimiento basadas en evaluaciones incompletas
• Planes de respuesta a incidentes que no contemplan exposiciones de IA

Marco de verificación de la realidad

Para evaluar tu postura real de seguridad, hazte estas preguntas:

1. ¿Puedes generar un informe que muestre todo el uso de herramientas de IA en las últimas 24 horas?
2. ¿Tus herramientas DLP escanean automáticamente los datos antes de que lleguen a sistemas de IA?
3. ¿Puedes evitar (no solo detectar) que datos confidenciales ingresen en herramientas de IA?
4. ¿Tienes registros adecuados para los requisitos de auditoría regulatoria?
5. ¿Puedes cuantificar exactamente qué porcentaje de entradas de IA contiene datos confidenciales?

Si respondiste “no” a alguna de estas preguntas, tu organización probablemente sufre la brecha de sobreconfianza.

Ventaja competitiva de la seguridad

Las organizaciones que actúan con decisión en seguridad de IA no solo evitan riesgos—crean ventajas competitivas que se acumulan con el tiempo.

Beneficios del pionero

Los primeros en adoptar seguridad integral en IA obtienen varias ventajas:

• Diferenciación por confianza: Conviértete en el proveedor que puede garantizar la seguridad en IA
• Preparación regulatoria: Cumple los nuevos requisitos antes que la competencia
• Velocidad de innovación: Implementa IA con confianza mientras otros dudan
• Atracción de talento: Los profesionales orientados a la seguridad prefieren entornos protegidos
• Preferencia de socios: Otras organizaciones buscan aliados de IA seguros

La confianza como moneda

En una economía impulsada por IA, la confianza se convierte en un activo medible:

• Los clientes pagan más por protección de datos garantizada
• Los socios comparten datos más valiosos con organizaciones seguras
• Los reguladores otorgan aprobaciones más rápidas y menor supervisión
• Los inversores valoran el menor riesgo de cumplimiento
• Los empleados innovan con mayor libertad en entornos seguros

El coste de esperar

Cada día de retraso incrementa los costes exponencialmente:

• Deuda técnica: Adaptar la seguridad después cuesta 10 veces más que integrarla desde el inicio
• Sanciones de cumplimiento: Las primeras violaciones sientan precedentes para multas más altas
• Daño reputacional: Los pioneros definen los estándares de seguridad que otros deben cumplir
• Inteligencia competitiva: Los datos no protegidos entrenan los modelos de IA de la competencia
• Posición en el mercado: Las organizaciones seguras captan a los clientes más preocupados por la seguridad

Conclusión: Profecía a 18 meses

Los datos son claros: con el 83% sin controles automatizados, el 60% a ciegas respecto al uso de IA y los incidentes aumentando un 56,4% anual, enfrentamos una crisis en toda la industria. La ventana para actuar voluntariamente se cierra rápidamente.

En 18 meses, cada organización estará en una de dos categorías: quienes actuaron con decisión cuando pudieron y quienes se convirtieron en ejemplos de lo que ocurre cuando la seguridad queda rezagada frente a la innovación. La tormenta regulatoria ya comenzó con 59 nuevas regulaciones de IA solo en 2024, y la aceleración es segura.

La decisión es tuya, pero el momento es ahora. Las organizaciones que reconocen la realidad, implementan controles y se preparan para el escrutinio pueden transformar la IA de su mayor vulnerabilidad a su mayor fortaleza. Quienes se retrasen enfrentarán costes crecientes, fallos de cumplimiento y desventajas competitivas que se agravan cada día.

Recursos adicionales

• Artículo del Blog Zero Trust Architecture: Never Trust, Always Verify
• Video Cómo Kiteworks ayuda a avanzar el modelo Zero Trust de la NSA en la capa de datos
• Artículo del Blog Qué significa extender Zero Trust a la capa de contenido
• Artículo del Blog Cómo generar confianza en la IA generativa con un enfoque Zero Trust
• Video Kiteworks + Forcepoint: Demostrando cumplimiento y Zero Trust en la capa de contenido