La IA ya ataca a las empresas españolas: una de cada cuatro brechas de datos usa inteligencia artificial, según IBM

La inteligencia artificial ya juega en los dos bandos de la ciberseguridad, y los números de 2026 lo dejan claro. El informe anual Cost of a Data Breach de IBM y el Ponemon Institute, elaborado a partir de 602 organizaciones de 16 países que sufrieron una brecha, sitúa el coste medio mundial de un incidente en 4,99 millones de dólares, la cifra más alta registrada hasta ahora y un 12 por ciento más que el año anterior. Una de cada cuatro brechas maliciosas analizadas ya implicó a la inteligencia artificial. En España, el INCIBE gestionó 122.223 incidentes en 2025, un 26 por ciento más que en 2024 y también un récord.

El coste de una brecha marca un récord

El dato principal del informe de IBM es el coste. Una brecha de datos costó de media 4,99 millones de dólares en 2026, un 12 por ciento más que el año anterior y el valor más alto de toda la serie histórica del estudio.

La cifra no es solo un número para grandes multinacionales. Detrás de ese promedio hay costes de detección, contención, notificación a los afectados, asesoría legal y pérdida de negocio. Cuando el ataque usa inteligencia artificial, la factura sube todavía más: esos incidentes costaron de media unos 6 millones de dólares, porque los ataques asistidos por IA son más rápidos, más creíbles y más difíciles de detectar a tiempo.

La IA ya está en uno de cada cuatro ataques

Según IBM, los ataques impulsados por IA crecieron un 56 por ciento en un año. Los deepfakes de suplantación y el malware generado con IA encabezan la lista de técnicas que más han crecido. Una de cada cuatro brechas maliciosas analizadas en el estudio ya involucró inteligencia artificial de alguna forma.

Otros informes de 2026 confirman la tendencia. El Global Threat Report 2026 de CrowdStrike registra un aumento del 89 por ciento en los ataques basados en IA y calcula que el tiempo medio que tarda un atacante en moverse por una red tras la intrusión se redujo a 29 minutos, un 65 por ciento más rápido que en 2024, con un caso récord de 27 segundos. La ventana para reaccionar se ha estrechado hasta medirse en minutos.

La IA en la sombra: el riesgo que nace dentro de la empresa

El dato que más debería preocupar a un directivo no viene de fuera, sino de dentro. El uso de herramientas de IA sin aprobación del área de seguridad, conocido como shadow AI o IA en la sombra, apareció en el 43 por ciento de los incidentes de las organizaciones estudiadas, frente al 20 por ciento un año antes. Esos incidentes costaron de media 5,39 millones de dólares y, en uno de cada cinco casos, terminaron en una multa regulatoria.

El patrón es fácil de reconocer: un empleado pega datos de un cliente en un chatbot público para redactar un correo, sube un documento interno a una herramienta de resumen que nadie ha revisado o conecta un asistente de IA a su correo corporativo. Nada de eso parece un ataque, pero cada herramienta es una puerta nueva por la que pueden salir datos sensibles. Según el informe, el 68 por ciento de las organizaciones afectadas no tenía mecanismos para gestionar la IA ni para detectar su uso no autorizado, frente al 63 por ciento del año anterior. La brecha de gobernanza crece justo cuando la adopción de la IA se dispara.

España: récord de incidentes y una defensa que va por detrás

En España el contexto tampoco ayuda. El INCIBE gestionó 122.223 incidentes en 2025, un 26 por ciento más que los 97.348 de 2024. El malware fue la principal amenaza, con 55.411 incidentes. La tendencia sigue al alza en 2026: según Check Point Research, las empresas españolas sufrieron en agosto una media de 2.192 ciberataques semanales, un 8 por ciento más que en el mismo mes de 2025.

Las pymes son el blanco más expuesto. Un informe de Kaspersky publicado en septiembre revela que el 86 por ciento de las pequeñas y medianas empresas españolas sufrió al menos un ciberincidente en el último año, y que el phishing afectó al 27 por ciento de ellas, por encima de la media mundial. NTT DATA contabilizó además 879 incidentes graves solo en el primer semestre de 2026, un 45 por ciento más que en el semestre previo.

Qué pueden hacer las empresas ahora

El informe de IBM no es solo un catálogo de malas noticias. Sus datos apuntan a medidas concretas que reducen el coste de una brecha. La primera es la detección temprana: los centros de operaciones de seguridad que combinan profesionales, procesos y herramientas de análisis consiguen acortar el tiempo entre la identificación de un ataque y su contención, y ese tiempo es justo lo que más encarece un incidente.

La segunda es poner orden en la IA que ya se usa dentro de la empresa. Inventariar qué herramientas de IA utilizan los empleados, aprobar una lista de herramientas permitidas y formar al personal sobre qué datos nunca deben pegarse en un chatbot público son pasos baratos que atacan directamente el riesgo de la IA en la sombra, que ya está detrás de casi la mitad de las brechas. Y si los atacantes usan voces y vídeos falsos para suplantar a un jefe, la defensa no puede ser solo técnica: una llamada urgente pidiendo una transferencia debe verificarse siempre por un segundo canal.

Frequently Asked Questions

¿Cuánto cuesta de media una brecha de datos en 2026?

Según el informe Cost of a Data Breach 2026 de IBM y el Ponemon Institute, el coste medio mundial de una brecha de datos es de 4,99 millones de dólares, un récord histórico y un 12 por ciento más que el año anterior. Cuando el ataque usa inteligencia artificial, el coste medio sube hasta unos 6 millones de dólares.

¿Qué es la IA en la sombra o shadow AI?

Es el uso de herramientas de inteligencia artificial sin la aprobación ni la supervisión del área de seguridad de la empresa. Según IBM, estuvo presente en el 43 por ciento de las brechas analizadas en 2026, frente al 20 por ciento del año anterior, con un coste medio de 5,39 millones de dólares por incidente.

¿Cuántos ciberincidentes gestionó el INCIBE en 2025?

El INCIBE gestionó 122.223 incidentes en 2025, un 26 por ciento más que los 97.348 de 2024 y la cifra más alta registrada por el organismo. El malware fue la principal amenaza, con 55.411 incidentes.