Tabla de Contenido
El 90% de los directores de Seguridad de la Información en México considera que la Inteligencia Artificial representa un riesgo para sus organizaciones. Aunque establecer políticas de uso seguro es una prioridad, nueve de cada diez no cuentan con recursos presupuestales proporcionales a los nuevos desafíos, revela Proofpoint.
La adopción de Inteligencia Artificial (IA) está modificando las prioridades de los Chief Information Security Officers (CISO) o directores de Seguridad de la Información en México. El uso de herramientas generativas, asistentes inteligentes y agentes autónomos amplía la superficie de ataque y plantea nuevos desafíos para proteger los datos corporativos, controlar el acceso a la información y mantener la visibilidad sobre las actividades de los usuarios.
De acuerdo con el estudio Voice of the CISO, elaborado por Proofpoint, el 90% de los CISO en México considera que la Inteligencia Artificial representa un riesgo de seguridad para sus organizaciones, frente al 78% registrado a nivel global.
El desafío no se limita a identificar las amenazas. El 90% de los responsables de seguridad en México considera prioritario establecer políticas para el uso seguro de IA, definir restricciones y adoptar medidas de control. Sin embargo, la misma proporción señala que sus organizaciones no han incrementado los recursos presupuestales en correspondencia con las nuevas exigencias de seguridad.
A escala global, el 79% de los CISO enfrenta esta misma limitación presupuestal.
Los resultados muestran una brecha entre la velocidad de adopción tecnológica y la capacidad de las áreas de seguridad para administrar sus riesgos. Para los directores de Seguridad de la Información, el reto consiste en permitir que las organizaciones aprovechen la IA sin comprometer la confidencialidad de los datos, la continuidad operativa y la confianza de clientes y socios.
La IA generativa aumenta la exposición de los datos
Luis Isselin, director general de Proofpoint México, explicó que las preocupaciones de los CISO aumentaron respecto al año anterior debido a los avances tecnológicos, la incorporación de agentes de IA en las operaciones empresariales, la falta de personal especializado y las restricciones presupuestales.
Entre los principales cambios identificados por el estudio destacan el crecimiento de los riesgos relacionados con la pérdida de información y el uso de herramientas de IA generativa.
Evolución de las principales preocupaciones de los CISO en México:
| Indicador | 2025 | 2026 |
|---|---|---|
| Pérdida o fuga de datos de clientes por uso indiscriminado de IA generativa | 58% | 69% |
| Riesgos de ciberseguridad asociados con IA generativa | 56% | 70% |
| Organizaciones que bloquean o limitan el uso de IA generativa | 61% | 73% |
| CISO preocupados por el uso seguro de asistentes de IA | 80% | 90% |
| Organizaciones que utilizan soluciones de seguridad basadas en IA | 87% | 90% |
Fuente: Proofpoint, Voice of the CISO. Comparativo 2025-2026.
El incremento de 10 puntos porcentuales en la preocupación por los riesgos de ciberseguridad asociados con la IA generativa refleja la presión que enfrentan los responsables de seguridad para establecer mecanismos de protección sobre herramientas que ya forman parte de los procesos de trabajo.
También destaca que el 73% de las organizaciones limita o bloquea el uso de estas tecnologías, una proporción que aumentó 12 puntos respecto a 2025.
Otro dato relevante es que el 90% de los CISO encuestados reporta que sus organizaciones utilizan tecnologías de seguridad basadas en IA. Sin embargo, Isselin advirtió que este porcentaje no representa necesariamente la situación de todo el mercado: existen empresas que mantienen plataformas de seguridad desactualizadas y sin las capacidades necesarias para responder a nuevas modalidades de ataque dirigidas tanto a los sistemas de IA como a las infraestructuras tradicionales.
Agentes autónomos y plataformas colaborativas amplían la superficie de ataque
La incorporación de asistentes inteligentes y agentes autónomos introduce nuevos puntos de exposición, particularmente cuando estas herramientas interactúan con información corporativa, aplicaciones empresariales y repositorios de datos.
El estudio identifica distintas tecnologías y entornos que los CISO consideran fuentes de riesgo:
- 38%: plataformas de colaboración como Slack, Microsoft Teams y Zoom.
- 37%: software SaaS e integraciones con terceros.
- 34%: asistentes de IA y agentes autónomos que interactúan con datos de trabajo.
- 28%: herramientas públicas de Inteligencia Artificial utilizadas sin restricciones ni consentimiento.
- 22%: almacenamiento en la nube y uso compartido de archivos.
A estos riesgos se suman nuevas técnicas de ataque contra los sistemas de IA. Isselin señaló que, después del levantamiento del estudio en mayo, Proofpoint ha observado un crecimiento de ataques mediante inyección de instrucciones (prompt injection), una técnica que busca manipular el comportamiento de los modelos o agentes para inducir acciones no autorizadas.
Para los CISO, esto implica ampliar los esquemas tradicionales de protección. Ya no basta con controlar el acceso de los empleados a las aplicaciones: también es necesario supervisar qué información consultan los asistentes, qué permisos tienen los agentes y qué acciones pueden ejecutar en nombre de los usuarios.
El factor humano sigue siendo el principal riesgo
Aunque la IA concentra buena parte de las preocupaciones, el comportamiento de las personas continúa siendo uno de los principales factores de exposición.
El 70% de los CISO en México identifica al factor humano como el mayor riesgo para la seguridad de la información.
Entre las situaciones que generan mayor preocupación destacan:
| Factor de riesgo humano | CISO que lo identifican |
|---|---|
| Empleados que abandonan la organización y pueden provocar pérdida de datos | 92% |
| Personas internas con intenciones maliciosas | 56% |
| Empleados descuidados | 44% |
| Falta de confianza plena en proveedores y terceros | 41% |
| Dispositivos extraviados o robados por empleados | 41% |
| Uso irresponsable de IA por parte de los empleados | 31% |
Los resultados muestran que las amenazas internas no necesariamente responden a acciones deliberadas. La falta de capacitación, los errores humanos, el manejo inadecuado de información y la utilización de herramientas no autorizadas también pueden derivar en incidentes de seguridad.
En particular, el uso de IA generativa sin políticas claras representa un desafío para los responsables de seguridad, debido a la posibilidad de que los empleados compartan información confidencial en plataformas externas.
Pérdida de datos: impacto financiero y reputacional
Las deficiencias en los controles de seguridad tienen consecuencias que trascienden el área tecnológica.
El estudio Voice of the CISO encontró que el 39% de los responsables de seguridad encuestados reportó al menos un incidente de pérdida de datos durante el último año.
Entre las organizaciones afectadas:
- 36% reportó pérdidas financieras.
- 34% experimentó un incremento en los costos de recuperación.
- 54% registró mayores costos de recuperación, frente al 50% reportado anteriormente, de acuerdo con los datos presentados por Isselin.
- 49% enfrentó afectaciones a su reputación, un incremento de nueve puntos porcentuales.
Los costos asociados con estos incidentes pueden incluir recuperación de sistemas, atención de contingencias, posibles rescates, sanciones y gastos derivados de la interrupción de operaciones.
Para los CISO, esto refuerza la necesidad de vincular las decisiones de ciberseguridad con indicadores de continuidad del negocio, impacto financiero y protección de la reputación corporativa.
Visibilidad y gobierno de datos, prioridades para los CISO
Frente a este escenario, las organizaciones están adoptando controles para identificar dónde se encuentra su información sensible, quién tiene acceso a ella y cómo se utiliza.
De acuerdo con Proofpoint:
- 93% de los CISO afirma tener visibilidad sobre los datos sensibles de su organización.
- 93% está estableciendo controles de protección.
- 63% reconoce que hay empleados que exponen información sensible mediante herramientas de IA.
- 93% considera que los controles actuales permiten mitigar los riesgos relacionados con la Inteligencia Artificial.
Estos resultados muestran que las organizaciones están avanzando en la identificación y administración de sus datos, aunque persiste una diferencia entre la percepción de control y los riesgos derivados de las nuevas formas de interacción con la información.
En este contexto, Proofpoint plantea un enfoque basado en el gobierno de la información, la identificación de datos sensibles y la visibilidad sobre los riesgos asociados con su utilización. La compañía ofrece herramientas de seguridad potenciadas por IA para detectar y bloquear comportamientos de riesgo y acciones maliciosas.
La ciberseguridad llega a la agenda del Consejo Directivo
Uno de los hallazgos relevantes del estudio es la necesidad de incorporar la seguridad de la información en las decisiones estratégicas de las organizaciones.
El 43% de los CISO encuestados considera fundamental que los consejos directivos cuenten con integrantes que tengan experiencia en ciberseguridad.
La cifra refleja que la protección de los activos digitales dejó de ser una responsabilidad exclusiva de los departamentos de TI. La exposición de información, los incidentes de seguridad y los riesgos asociados con la Inteligencia Artificial tienen consecuencias sobre las finanzas, la operación y la competitividad empresarial.
Para los directores de Seguridad de la Información, el desafío consiste en equilibrar la adopción de nuevas tecnologías con políticas de gobierno, controles de acceso, capacitación y presupuestos adecuados.
La paradoja que deja el reporte de Proofpoint es que, mientras el 90% considera prioritario establecer políticas para el uso seguro de IA, el 73% de las organizaciones restringe o bloquea su utilización y nueve de cada diez CISO mexicanos reportan que no cuentan con recursos presupuestales proporcionales a los nuevos riesgos.
El reto, por tanto, no consiste únicamente en impedir el uso de Inteligencia Artificial, sino en establecer las condiciones técnicas y organizacionales para adoptarla sin perder el control de los datos.
