La adopción de herramientas de inteligencia artificial generativa exige controles de ciberseguridad, políticas de manejo de información y evaluaciones periódicas de riesgo, advirtió Layla Delgadillo, directora ejecutiva de Silent4Business. La empresaria señaló que numerosas organizaciones han incorporado asistentes, agentes y chatbots como pruebas operativas sin definir con precisión qué datos pueden procesarse en esas plataformas y cuáles deben mantenerse bajo protección.
Durante las actividades por el décimo aniversario de la compañía, Delgadillo sostuvo que el debate empresarial ya no consiste en decidir si se utilizará inteligencia artificial, sino en establecer las condiciones para hacerlo de manera controlada. A su juicio, la incorporación acelerada de estas tecnologías ha avanzado con mayor rapidez que la creación de reglas internas capaces de prevenir filtraciones, usos indebidos o errores derivados de información incompleta.
El desafío está en gobernar la información
La directora explicó que uno de los riesgos más frecuentes ocurre cuando los empleados introducen información privada o confidencial en servicios públicos de inteligencia artificial sin identificar previamente el nivel de sensibilidad de los datos. Esa práctica puede exponer información de clientes, procesos internos o activos estratégicos, además de dificultar el control sobre el destino y la conservación de los contenidos enviados.
“Se tiene que gobernar la data”, afirmó Delgadillo, al destacar que las empresas deben clasificar la información antes de permitir su uso en sistemas de IA. La medida implica establecer reglas sobre quién puede utilizar cada herramienta, con qué finalidad y bajo qué condiciones. También requiere definir mecanismos de supervisión, registro y respuesta ante incidentes, de manera que la innovación no dependa únicamente del criterio individual de los colaboradores.
Antes de desplegar agentes de inteligencia artificial, añadió, las organizaciones deben identificar sus activos críticos y determinar cuáles tendrían mayores consecuencias económicas, operativas o legales en caso de comprometerse. Este diagnóstico permite establecer prioridades de inversión y evitar que los recursos de seguridad se distribuyan sin considerar la importancia real de cada sistema o conjunto de datos.
La capacitación del personal constituye otro componente central. Delgadillo indicó que los agentes producen resultados a partir de la información que reciben: si los datos son correctos y suficientes, las respuestas pueden ser útiles; si son incompletos o erróneos, el resultado también puede serlo. Por esa razón, la automatización no elimina la necesidad de validaciones, especialmente cuando las respuestas influyen en decisiones de negocio, atención a clientes o procesos regulados.
La revisión humana sigue siendo necesaria
La ejecutiva subrayó que la inteligencia artificial no sustituye el criterio profesional. Estas herramientas pueden equivocarse, interpretar de forma incorrecta una instrucción o generar respuestas aparentemente plausibles que no corresponden a la realidad de una empresa. En consecuencia, recomendó que los resultados sean revisados por personas con conocimiento del negocio y que las compañías definan qué decisiones pueden apoyarse en IA y cuáles deben permanecer bajo responsabilidad directa de especialistas.
La advertencia también se relaciona con la seguridad cotidiana. Delgadillo consideró que el factor humano continúa siendo el eslabón más vulnerable frente a incidentes como la apertura de enlaces maliciosos, la conexión de dispositivos infectados y la respuesta a campañas de phishing. El uso de nuevas herramientas no elimina esos riesgos y, en algunos casos, puede ampliar la superficie de ataque si los trabajadores desconocen los límites de las plataformas autorizadas.
En sectores altamente regulados, como el financiero, la especialista planteó que las evaluaciones de riesgo deben preceder a la adopción de soluciones de inteligencia artificial. El objetivo es decidir qué activos deben protegerse primero, qué controles son proporcionales a la amenaza y cuánto debe invertirse en seguridad. Este enfoque busca vincular la innovación tecnológica con la continuidad operativa, en lugar de asumir que una herramienta por sí misma resolverá las vulnerabilidades existentes.
Resiliencia frente a ataques desconocidos
Delgadillo reconoció que ningún sistema puede garantizar una protección absoluta frente a los llamados ataques de día cero, que aprovechan vulnerabilidades todavía desconocidas o para las cuales no existe un parche disponible. Ante ese escenario, la estrategia empresarial debe combinar prevención, detección y capacidad de recuperación. La preparación para responder y restablecer operaciones resulta tan relevante como el intento de impedir cada intrusión.
La ausencia de certeza total refuerza, según la directiva, la necesidad de administrar los riesgos con criterios realistas. Las empresas deben conocer sus dependencias tecnológicas, definir responsabilidades, probar sus protocolos y revisar periódicamente sus controles. Sin esos elementos, la adopción de IA puede acelerar procesos, pero también multiplicar la velocidad con la que se propagan errores o se expone información sensible.
El pendiente de una ley de ciberseguridad
Otro de los asuntos señalados por Delgadillo fue la falta de una legislación integral en materia de ciberseguridad en México. La directora consideró que ese marco permitiría establecer controles más claros y ofrecer mayor certidumbre a los ciudadanos y a las empresas sobre el resguardo de la información.
La preocupación adquiere relevancia ante iniciativas relacionadas con datos biométricos, identidad digital y registros nacionales. Antes de poner en marcha mecanismos que concentren grandes volúmenes de información personal, sostuvo, debe realizarse un análisis exhaustivo de riesgos. La evaluación tendría que considerar quién administrará los datos, qué accesos estarán permitidos, cómo se detectarán usos indebidos y qué medidas se aplicarán ante una filtración.
Delgadillo también recomendó que las organizaciones eviten depender exclusivamente de plataformas públicas de inteligencia artificial. Como referencia, explicó que Silent4Business ha desarrollado infraestructura y modelos propios para conservar la soberanía de los datos de sus clientes y establecer metodologías sobre la información que puede incorporarse a sistemas automatizados.
A diez años de su fundación, la empresa busca impulsar soluciones de inteligencia artificial desarrolladas en México para fortalecer la ciberseguridad empresarial. Delgadillo afirmó que el país debe avanzar de la posición de consumidor a la de proveedor de estas tecnologías. El desafío, sin embargo, no se limita a crear modelos propios: también exige reglas de uso, talento especializado y mecanismos de supervisión que permitan aprovechar la IA sin convertirla en una fuente adicional de exposición.
