¿Qué es la soberanía digital y por qué preocupa a Europa?
La UE busca la fórmula para dar un empuje a sus capacidades digitales para reducir los riesgos geopolíticos.
8 octubre, 2026
8 min
Las organizaciones ya no se preguntan si deben implementar la inteligencia artificial (IA) en sus funciones, sino cómo hacerlo sin perder el control. En ese tránsito, dos conceptos se vuelven esenciales: gobernanza y seguridad. Lejos de frenar la innovación, actúan como auténticos catalizadores. De ahí parte una conversación que conecta estrategia, regulación, tecnología y ciberseguridad con una idea central: la IA solo crea valor sostenible cuando se apoya en la confianza.
Las organizaciones ya están en mitad de la transformación de sus procesos con IA, y el gobierno y la seguridad suelen ir por detrás. El reto ya no es ordenar antes de escalar, sino hacerlo mientras se escala. Ahí entra el modelo de gobierno de la IA, cuya función es alinear la estrategia de IA con los principios corporativos y con el marco regulatorio, especialmente en el contexto europeo.
“No se trata solo de cumplir la norma, sino de definir cómo entiende la compañía la IA y bajo qué reglas va a utilizarla”, destaca Javier Aznar, Global AI Security Leader en KPMG y socio de Ciberseguridad y Riesgo Tecnológico de KPMG en España.
Este modelo se apoya en principios como la ética, la equidad, la replicabilidad, la transparencia, la privacidad, la ciberseguridad o la sostenibilidad. Sobre ellos se construyen políticas de uso, roles claros y comités multidisciplinares en los que participan áreas como riesgos, legal, auditoría y tecnología. En fases tempranas de madurez, este enfoque resulta más eficaz que delegar la responsabilidad en una única figura.
Una de las primeras tareas de un buen modelo de gobierno es identificar e inventariar todas las iniciativas de IA que surgen en la organización. “Este ejercicio, además de ser un requisito regulatorio, aporta una ventaja estratégica que permite priorizar inversiones, aprovechar sinergias y evitar soluciones que no escalan”, añade Javier Aznar.
A partir de ese inventario, cada iniciativa debe someterse a un análisis de riesgos, clasificándose según su nivel de impacto. Es habitual encontrar aplicaciones de riesgo medio o alto que requieren mayores controles, más transparencia o medidas técnicas adicionales. Este proceso no solo protege a la organización frente a sanciones, sino que mejora la calidad de las decisiones y refuerza la confianza interna y externa en el uso de la IA.
Otro aspecto que no podemos obviar es que el gobierno de la IA no se sostiene únicamente con marcos y herramientas. Para que funcione, es imprescindible acompañarlo de formación, concienciación y gestión del cambio. Un procedimiento que no se entiende o no se explica difícilmente se utiliza.
Por ello, cerrar el círculo implica ayudar a los empleados a comprender el porqué de las reglas, cómo se aplican en su día a día y qué beneficios aporta un uso responsable de la inteligencia artificial. Sin una base cultural sólida, cualquier iniciativa corre el riesgo de quedarse en un ejercicio meramente formal.
A medida que la IA se integra en procesos críticos, el foco se desplaza hacia la seguridad de esos entornos. De hecho, el 39% de los empresarios y directivos españoles sitúa la ciberseguridad entre sus prioridades de inversión, según el informe Perspectivas 2026 de KPMG. Asimismo, el 29% de la muestra considera los ciberataques entre los riesgos más destacados para su negocio en los próximos 12 meses.
Y es que, desde la gestión de identidades no humanas hasta la protección de datos, pasando por pruebas de robustez, red teaming o control del ciclo de vida de los modelos, la seguridad se convierte en una condición imprescindible para escalar la IA con garantías.
Aquí el reto es especialmente complejo: los responsables de ciberseguridad juegan un papel clave en la confianza (interna y externa) sobre los despliegues de iniciativas de inteligencia artificial en la compañía. La innovación requiere agilidad y la organización la necesita para competir.
Por eso, el Chief Information Security Officer (CISO, por sus siglas en inglés) o Responsable de Ciberseguridad, debe priorizar una aproximación que parte de la seguridad desde el diseño, pero que se extiende al control y vigilancia automatizada. Su intervención empieza en las primeras fases de las iniciativas de IA, ayudando a definir controles, límites y salvaguardas antes de que los sistemas entren en producción. Modelos que aprenden, agentes autónomos o plataformas integradas con grandes volúmenes de datos amplían de forma exponencial la superficie de ataque si no se gobiernan adecuadamente.
Además, los agentes de IA no son deterministas: la misma instrucción puede llevar a decisiones distintas. Validarlos en el diseño es necesario, pero no basta. Hay que controlarlos durante toda su operación: supervisar su comportamiento en ejecución, limitar sus permisos y accesos, mantener la trazabilidad de sus decisiones y poder detenerlos si se desvían.
Por último, en este nuevo escenario conviven tres realidades:
Por un lado, la IA que genera valor y eficiencia y que debe ser protegida. Por otro, la IA “maliciosa”, que amplifica ataques como la suplantación de identidad, la clonación de voz o los deepfakes, y frente a la cual hay que defenderse. Y, finalmente, la IA aplicada a la ciberseguridad, que permite automatizar respuestas, detectar anomalías y mejorar las capacidades defensivas. “A día de hoy es imposible concebir la función de ciberseguridad sin desplegar capacidades basadas en inteligencia artificial”, resalta Javier Aznar.
En conclusión, la implementación y despliegue de la inteligencia artificial es una decisión estratégica que afecta a la reputación, la seguridad y la sostenibilidad del negocio. Las organizaciones que entiendan esto y apuesten por un enfoque integral: estrategia, gobierno, tecnología, seguridad y cultura, estarán mejor preparadas para aprovechar su potencial.
Y aterrizándolo a ciberseguridad, la principal recomendación pasa por entender dónde y para qué estamos desplegando capacidades de inteligencia artificial en la organización, cómo la pueden estar utilizando actores externos para explotar vulnerabilidades, cómo y en qué escala nos afecta y cómo podemos garantizar confianza a la par que la incluimos dentro de los procesos de detección, priorización, respuesta y remediación de nuestra organización. Y, en el caso de los agentes, asumir que su seguridad no termina en el diseño: se demuestra cada día en operación.
Deja un comentario