El 57% de las empresas españolas no está preparada para los ataques contra sus sistemas de IA

La inteligencia artificial ya está dentro de las empresas españolas, pero la protección no ha llegado al mismo ritmo. Según una encuesta mundial recogida por Computerworld y El País Aguilar, el 57% de las empresas españolas sitúa los ataques contra sus sistemas de IA entre sus cinco principales carencias de preparación. Es la primera vez que este tipo de ataques encabeza esa lista, y el dato español queda siete puntos por encima de la media mundial, del 50%.

El estudio se basa en las respuestas de 3.934 directivos de 71 países, entre ellos 116 españoles. La IA se ha adoptado rápido, sin que la seguridad haya tenido tiempo de acompañar ese cambio.

Qué dice la encuesta sobre España

El 57% es el dato principal. Más de la mitad de las empresas españolas reconoce que no está preparada para defenderse de ataques dirigidos contra sus sistemas de IA. Son ataques que apuntan directamente a los modelos, a los datos con los que se entrenan y a las aplicaciones que los usan.

La encuesta recoge dos preocupaciones concretas. El 48% de los encuestados españoles señala los ataques adversarios como una de sus principales preocupaciones: ataques que intentan engañar a un modelo con entradas manipuladas para que tome decisiones equivocadas. El 47% cita el malware adaptativo impulsado por IA, programas maliciosos que cambian su comportamiento para esquivar las defensas. A escala mundial, el 50% de las organizaciones se siente poco preparada ante estos ataques. En España, ese porcentaje sube al 57%.

Ocho de cada diez empresas no tienen protocolos específicos

El dato más llamativo no viene de la encuesta en sí, sino de los datos de clientes que maneja Logixs, la consultora que ha trabajado sobre estos resultados. Según esos datos, ocho de cada diez compañías españolas no cuentan con protocolos específicos de ciberseguridad en sus proyectos de IA.

Esto significa que muchas empresas han puesto en marcha asistentes, chatbots o herramientas de análisis con IA sin definir reglas claras. No hay un protocolo que diga quién puede subir datos a la herramienta ni qué hacer si el sistema se comporta de forma extraña. Sin esas reglas, cada empleado decide por su cuenta.

El problema se agrava con otro dato del informe. Solo el 30% de las empresas españolas sabe con exactitud dónde se almacenan y procesan los datos de sus sistemas de IA. El 70% restante no lo sabe con certeza. Sin saber dónde están los datos, una empresa no puede protegerlos bien ni responder rápido cuando algo sale mal.

El código generado por IA también falla en seguridad

La encuesta también pone el foco en un riesgo que crece deprisa: el código que escriben las herramientas de IA. Según datos de Veracode recogidos en el informe, el 45% de las muestras de código generadas por más de 100 modelos de IA no supera las pruebas de seguridad. Casi la mitad del código que produce la IA tiene algún problema de seguridad.

Logixs encuentra en sus auditorías al menos una vulnerabilidad o una credencial expuesta en dos de cada diez revisiones de software desarrollado con ayuda de IA. Si ese código llega a producción sin revisión humana, el agujero queda abierto. Esto no significa que la IA no sirva para programar. Significa que su código hay que revisarlo igual que el de cualquier persona.

El dinero llega, pero no basta por sí solo

Hay un dato positivo: la inversión en ciberseguridad crece, y la IA es su principal destino. El 58% de las organizaciones a escala mundial y el 52% de las españolas sitúan la IA entre sus principales prioridades presupuestarias en materia de ciberseguridad. Buena parte de ese gasto va a la inteligencia artificial.

El problema es que el dinero no basta por sí solo. Comprar herramientas no resuelve la falta de protocolos ni la falta de formación. Una empresa puede tener la mejor herramienta de detección del mercado y seguir sin saber dónde se guardan sus datos o sin revisar el código que genera la IA. La inversión tiene que ir acompañada de reglas claras, de formación para los equipos y de revisiones periódicas.

El contexto español ayuda a entender la urgencia. El INCIBE gestionó 122.223 incidentes de ciberseguridad en 2025, un 26% más que el año anterior. Según el informe anual de IBM, los ataques impulsados por IA crecieron un 56% en un año y ya están detrás de una de cada cuatro brechas maliciosas.

Qué pueden hacer las empresas ahora

El primer paso es saber qué herramientas de IA se usan en la empresa y dónde están los datos. Preguntar a los equipos qué herramientas usan y con qué datos trabajan es un trabajo que se puede hacer en semanas y que cambia por completo la capacidad de respuesta.

El segundo paso es escribir protocolos sencillos y claros: qué datos se pueden subir a una herramienta de IA y cuáles no, qué herramientas están permitidas y cuáles no, y qué hacer si se sospecha que se ha filtrado información. Tienen que ser reglas que la gente entienda y pueda seguir.

El tercer paso es revisar el código generado por IA antes de ponerlo en producción, con pruebas de seguridad automatizadas y revisión humana. Y el cuarto paso es formar a los equipos, porque la mayoría de los incidentes empiezan con una persona que hace clic donde no debe.

La encuesta deja una lección clara. La IA ya está en las empresas españolas y no va a desaparecer. La pregunta es si se usa con las protecciones adecuadas. Hoy, según los datos, más de la mitad de las empresas reconoce que no. Corregirlo es posible, pero exige empezar por lo básico: saber qué se usa, poner reglas y revisar lo que la IA produce.

Frequently Asked Questions

¿Qué significa que el 57% de las empresas españolas no esté preparada para ataques contra sus sistemas de IA?

Significa que más de la mitad reconoce que los ataques contra sus modelos, sus datos y sus aplicaciones de IA están entre sus cinco mayores carencias. Queda siete puntos por encima de la media mundial, del 50%.

¿Qué son los ataques adversarios contra la IA?

Son ataques que intentan engañar a un modelo de inteligencia artificial con entradas manipuladas para que tome decisiones equivocadas, como datos alterados que hacen que un sistema no reconozca un ataque.

¿Por qué es un problema no saber dónde se guardan los datos de IA?

Porque sin saber dónde están los datos no se pueden proteger bien ni responder rápido ante un incidente. Solo el 30% de las empresas españolas lo sabe con exactitud.