Por fin, el riesgo de IA consigue su propia partida presupuestaria

Existe un tipo particular de confianza organizacional que proviene de no saber lo que no se sabe. En ciberseguridad, esa confianza sale cara. El Informe de Amenazas de Datos Thales 2026, basado en una encuesta a 3,120 participantes de 20 países, realiza el incómodo trabajo de mostrar con exactitud cuánto sigue en la oscuridad.

Conclusiones clave

1. La seguridad de IA por fin tiene su propia partida presupuestaria. El Informe de Amenazas de Datos Thales 2026 identificó que el 30% de las organizaciones ya cuenta con un presupuesto dedicado a la seguridad de IA, frente al 20% del año anterior. Este cambio es relevante porque el 59% de esas mismas organizaciones sufrió ataques de deepfake y el 48% experimentó daños reputacionales por desinformación generada por IA. Financiar el riesgo de IA desde presupuestos generales de seguridad deja a las organizaciones sin recursos dedicados ni responsables claros para responder cuando ocurren incidentes específicos de IA.
2. La nube no es solo parte de la superficie de ataque: es la superficie de ataque. Según el informe de Thales, el almacenamiento en la nube, las aplicaciones entregadas desde la nube y la infraestructura de gestión en la nube ocupan los tres primeros lugares entre los objetivos de ataque reportados, con un 35%, 34% y 32% respectivamente. La organización promedio opera con 2.26 proveedores de nube y 89 aplicaciones SaaS. Ese alcance no se está reduciendo. Tampoco lo hace la cantidad de credenciales, integraciones y vías de acceso que los atacantes pueden aprovechar dentro de ese entorno.
3. La cobertura de cifrado va en la dirección equivocada. El informe de Thales detectó que solo el 47% de los datos confidenciales en la nube estaban cifrados en 2026, frente al 51% del año anterior. A medida que la huella en la nube crece, la gobernanza del cifrado no avanza al mismo ritmo. La distancia entre lo que es confidencial y lo que realmente está protegido se amplía—silenciosamente y sin que la mayoría de las organizaciones lo perciban hasta que algo sale mal.
4. La proliferación de herramientas es enemiga de la visibilidad. El informe de Thales encontró que el 77% de las organizaciones utiliza cinco o más herramientas de protección de datos. Casi la mitad opera cinco o más sistemas de gestión de claves. El resultado es telemetría fragmentada, aplicación inconsistente de políticas y un entorno donde la configuración incorrecta—la causa principal de filtraciones con un 28%—es estructuralmente más probable. Más herramientas no significan mayor seguridad. A menudo, solo implican más brechas sin responsables claros.
5. El reloj cuántico ya está corriendo. El informe de Thales reveló que el 61% de los encuestados identifica el «cosechar ahora, descifrar después» como su principal preocupación relacionada con lo cuántico—y tienen razón. Los adversarios están recopilando datos cifrados hoy con la intención de descifrarlos cuando la capacidad cuántica madure. Las organizaciones que aún no han comenzado a evaluar algoritmos criptográficos poscuánticos ya no están por delante de este problema. Ya van por detrás.

Durante los últimos años, la seguridad de IA ha sido un pasajero en el coche de otro. Las organizaciones financiaban iniciativas de IA con partidas existentes de seguridad, lo que mantenía la gestión de riesgos atada a las prioridades que ya tenían presupuesto. Eso está empezando a cambiar. El treinta por ciento de los encuestados ya tiene un presupuesto dedicado a la seguridad de IA, frente al 20% del año anterior. Ese salto de diez puntos no es solo una línea presupuestaria en movimiento. Es una señal de que la dirección empieza a tratar el riesgo de IA como una disciplina propia y no como una nota al pie dentro del programa de ciberseguridad general.

La presión que impulsa ese cambio es real. El 59% de los encuestados reporta haber experimentado ataques de deepfake. Casi la mitad—el 48%—ha sufrido daños reputacionales vinculados a desinformación generada por IA. No son escenarios teóricos que se ponen a prueba en ejercicios de simulación. Le están ocurriendo a organizaciones reales, afectan reputaciones reales y generan riesgos legales concretos.

El 70% restante de las organizaciones que sigue financiando el riesgo de IA desde presupuestos generales de seguridad enfrenta una desventaja estructural: cuando ocurren incidentes relacionados con IA, no hay recursos dedicados, ni responsables claros, ni flexibilidad presupuestaria disponible. Las organizaciones que ahora están construyendo programas de seguridad de IA dedicados también son las que tienen más probabilidades de contar con enfoques estructurados para la integridad de los flujos de datos, controles de acceso a modelos y marcos de autenticación que determinan quién interactúa con esos sistemas.

La nube es la superficie de ataque. Los números lo dejan claro.

Las conversaciones sobre seguridad en la nube suelen centrarse en la configuración incorrecta y la gestión de privilegios. Son preocupaciones reales. Pero el informe de Thales 2026 las sitúa en una realidad más amplia: los activos en la nube no son solo un vector de riesgo—son la principal superficie de ataque. El almacenamiento en la nube encabeza la lista de objetivos de ataque reportados con un 35%. Las aplicaciones entregadas desde la nube le siguen con un 34%. La infraestructura de gestión en la nube—el plano de control que regula el acceso a todo lo demás—alcanza un 32%. Estas tres categorías ocupan las primeras posiciones. La infraestructura en las instalaciones aparece mucho más abajo en la lista.

Las técnicas de ataque dirigidas a la infraestructura de gestión en la nube son reveladoras. El robo y la vulneración de credenciales—including secretos mal gestionados—es citado por el 67% de los encuestados como técnica principal. Le siguen las vulnerabilidades de terceros y las exposiciones de API. El patrón es claro: los atacantes no están forzando su entrada en los entornos de nube. Están accediendo por vías legítimas, usando credenciales mal gestionadas, sobreaprovisionadas o nunca rotadas.

Esto importa porque la organización promedio opera con 2.26 proveedores de nube y 89 aplicaciones SaaS. Cada aplicación es una superficie de identidad. Cada integración es un posible punto de exposición. La superficie de ataque no es un único perímetro a defender—es una red distribuida y en expansión constante de interfaces, credenciales y flujos de datos que requiere visibilidad y gobernanza continuas para gestionarse.

Y luego está el panorama del cifrado. El 47% de los datos confidenciales en la nube están cifrados en 2026, frente al 51% en 2025. Esa caída de cuatro puntos no es dramática por sí sola. Pero la tendencia importa. A medida que la huella en la nube crece y los datos confidenciales migran a más entornos, la cobertura de cifrado va en la dirección equivocada. La distancia entre lo que es confidencial y lo que está protegido se amplía, no se reduce.

Demasiadas herramientas, poca visibilidad

Existe una versión de la protección de datos que, desde fuera, parece un programa maduro. Múltiples plataformas, controles en capas, una lista de proveedores de seguridad. El informe de Thales 2026 examina esa imagen y encuentra algo menos tranquilizador debajo. El 77% de los encuestados usa cinco o más herramientas de protección de datos. Casi la mitad utiliza cinco o más sistemas de gestión de claves. No son indicadores de una postura de seguridad robusta. Son señales de soluciones puntuales acumuladas—cada una resuelve un problema específico, ninguna ofrece una visión unificada del entorno.

Los efectos secundarios de la proliferación de herramientas son previsibles. La aplicación de políticas se vuelve inconsistente porque cada herramienta aplica reglas diferentes en entornos distintos. La telemetría se fragmenta, lo que significa que los equipos de seguridad no pueden construir una visión coherente de lo que ocurre en todo el entorno. La respuesta a incidentes se ralentiza porque los analistas deben correlacionar señales de múltiples sistemas desconectados en vez de trabajar desde una única fuente de información confiable.

La visibilidad sobre la ubicación de los datos agrava el problema. Solo el 34% de los encuestados reporta conocer completamente dónde se almacenan sus datos. El 66% opera con inventarios parciales, clasificación desigual y brechas significativas en la comprensión de dónde reside realmente la información confidencial. No puedes proteger lo que no puedes ver. No puedes clasificar lo que no has encontrado. Y la configuración incorrecta—la principal causa de filtraciones con un 28%—se vuelve estructuralmente más probable cuando la gobernanza se distribuye entre docenas de herramientas desconectadas, cada una con su propio modelo de configuración y controles de acceso.

Los ejecutivos ven un panorama de filtraciones distinto al resto

El informe de Thales 2026 revela una distancia con implicaciones directas sobre cómo las organizaciones priorizan inversiones y comunican el riesgo: los ejecutivos y el resto del personal no comparten la misma visión sobre el historial de filtraciones de su organización. El 78% de CEOs, presidentes y directores generales reporta no haber experimentado filtraciones en las instalaciones. Entre el resto de la muestra, esa cifra baja al 58%. Para filtraciones en la nube, el 62% de los ejecutivos reporta no tener antecedentes, frente al 54% general.

Hay varias formas de interpretar esta diferencia. Una posibilidad es que los ejecutivos estén protegidos de las notificaciones de filtraciones—que los incidentes se resuelven a nivel operativo sin llegar a la alta dirección. Otra es que los ejecutivos apliquen un umbral diferente para definir qué es una filtración. Sea cual sea la causa, la implicación es la misma: si la dirección ejecutiva no comparte la percepción del panorama de amenazas con los equipos de seguridad responsables de la defensa diaria, las conversaciones sobre inversión, tolerancia al riesgo y autoridad de respuesta a incidentes estarán desalineadas. Esa desalineación tiene consecuencias—en los ciclos presupuestarios, en los tiempos de respuesta y en la autoridad organizacional disponible para los equipos de seguridad cuando ocurren incidentes.

Cerrar esa distancia requiere más que mejores informes. Hace falta un lenguaje común sobre el riesgo—uno que traduzca la exposición técnica en consecuencias de negocio y que brinde a los ejecutivos el contexto necesario para tomar decisiones alineadas con el entorno de amenazas real de su organización.

Soberanía y el reloj cuántico

La soberanía de los datos ya no es una abstracción regulatoria. Es una restricción arquitectónica que está redefiniendo cómo las organizaciones piensan dónde residen sus datos, quién los controla y qué hacer cuando el entorno regulatorio cambia. El 45% de los encuestados señala la portabilidad como el principal motor de sus iniciativas de soberanía. El 34% quiere control total sobre software y datos. Y el 49% indica que la ubicación física de la infraestructura en la nube importa para algunas o todas sus cargas de trabajo. No son respuestas para cumplir con el expediente. Reflejan una presión estratégica real para mantener el control de los datos a medida que evolucionan los entornos regulatorios y las consideraciones geopolíticas influyen en la adquisición de tecnología.

Junto a la soberanía, el riesgo cuántico pasa de ser una preocupación teórica a formar parte de la planificación activa de programas. El 61% de los encuestados identifica «cosechar ahora, descifrar después» como su principal preocupación cuántica. No es una amenaza futura. Es presente. Los adversarios recopilan datos cifrados hoy para descifrarlos cuando la computación cuántica alcance la escala necesaria. Los datos que se capturan ahora pueden seguir siendo confidenciales dentro de varios años. Las organizaciones que gestionan datos regulados, de larga duración o estratégicamente sensibles no pueden tratar esto como un problema a futuro.

El 59% de los encuestados reporta estar prototipando y evaluando algoritmos criptográficos poscuánticos. Esa cifra es alentadora como señal de conciencia, pero también significa que cerca del 40% de las organizaciones aún no ha comenzado a evaluar lo que requeriría una transición criptográfica. La ventana para una migración ordenada es limitada. La agilidad criptográfica—la capacidad de actualizar mecanismos de cifrado sin reemplazar toda la infraestructura—es cada vez más central en la estrategia de los programas de seguridad maduros ante este reto. Las organizaciones que integren esa agilidad ahora tendrán opciones que las que empiecen más tarde no tendrán.

¿Qué significa esto para tu programa?

El Informe de Amenazas de Datos Thales 2026 no describe un nuevo tipo de entorno de amenazas. Describe el mismo entorno—proliferación en la nube, abuso de credenciales, herramientas fragmentadas, presión regulatoria—en una etapa más avanzada de complejidad. Las organizaciones que tienen dificultades en este entorno no son las que carecen de programas de seguridad. Son las que no han escalado sus programas al ritmo de la expansión de su infraestructura.

La distancia entre cómo las organizaciones creen que gestionan los datos y cómo lo hacen en realidad no se cierra sola. Requiere esfuerzo deliberado: mejor clasificación de datos, gobernanza de identidades más estricta, consolidación de herramientas y visibilidad ejecutiva sobre el verdadero panorama de filtraciones. Hace falta tratar la planificación criptográfica como un proyecto actual y no como una consideración futura. Y se requiere un análisis honesto de dónde el cifrado realmente protege los datos confidenciales—y dónde no lo hace.

Las organizaciones que cierren esa distancia en 2026 no solo estarán más seguras. Estarán mejor preparadas para operar en los entornos regulatorios, arquitecturas en la nube y condiciones de amenaza que definirán los próximos años de la seguridad empresarial. Las que no lo hagan seguirán descubriendo esas brechas de la manera difícil—incidente tras incidente.