La IA ya es el principal reto de ciberseguridad para las empresas más resilientes

Las empresas con mayores niveles de resiliencia ya ubican las vulnerabilidades asociadas con inteligencia artificial como su principal preocupación de ciberseguridad, mientras que la cadena de suministro y los terceros ganan peso en las decisiones de la alta dirección.

El giro aparece en un estudio desarrollado por el World Economic Forum y Accenture, que muestra una diferencia creciente entre las organizaciones más preparadas y aquellas que todavía concentran sus esfuerzos en amenazas tradicionales como fraude, phishing y ransomware.

En Colombia, el problema adquiere una dimensión adicional: durante 2026 se han registrado 43.514 denuncias por delitos informáticos, según datos abiertos de MinTIC citados en el documento.

La lectura para los CEOs es directa. La ciberseguridad ya no puede limitarse a proteger infraestructura tecnológica; las amenazas pueden afectar continuidad operativa, reputación, proveedores, finanzas y decisiones de inversión.

“Las compañías más resilientes ya entienden que la ciberseguridad dejó de ser únicamente un asunto tecnológico y pasó a convertirse en una prioridad estratégica de negocio, con impacto directo en la continuidad operativa, la reputación y la toma de decisiones”, afirmó Ariel Goldenstein, líder de Ciberseguridad de Accenture Colombia.

Terceros y proveedores concentran el 78% de la preocupación

Uno de los principales hallazgos está fuera de los límites tradicionales de la empresa.

El 78 % de los ejecutivos señala que la cadena de suministro y los terceros representan el principal reto para fortalecer la ciberseguridad.

La dependencia de proveedores de software, servicios en la nube, plataformas de pagos, operadores logísticos y socios tecnológicos amplía la superficie de ataque. Una compañía puede fortalecer sus propios sistemas y continuar expuesta por las vulnerabilidades de una organización externa conectada con su operación.

Las empresas más resilientes están respondiendo con controles que empiezan antes de contratar al proveedor. El 70 % incorpora criterios de seguridad dentro de sus procesos de adquisición, mientras que el 59 % prioriza evaluaciones de madurez de terceros.

Esto convierte la ciberseguridad en una variable de compras y gestión contractual, y no únicamente en una responsabilidad del equipo de tecnología.

Para una junta directiva, el costo más bajo de un proveedor pierde atractivo si esa decisión introduce una vulnerabilidad capaz de detener la operación o exponer información sensible.

La IA también está cambiando las amenazas

El aumento en el uso empresarial de inteligencia artificial está creando una nueva capa de riesgo.

El informe identifica amenazas como fraudes automatizados, suplantaciones y vulnerabilidades asociadas con proveedores tecnológicos, que pueden utilizar herramientas de IA para aumentar la velocidad, personalización y escala de los ataques.

Las organizaciones con menor madurez todavía están concentradas en incidentes internos y amenazas conocidas. Las compañías más avanzadas, en cambio, están ampliando la mirada hacia los riesgos que acompañan la adopción de nuevas tecnologías.

La diferencia no implica que el phishing o el ransomware hayan desaparecido. Significa que las empresas mejor preparadas están intentando anticipar la próxima fuente de exposición antes de que se convierta en el principal tipo de incidente.

Falta de presupuesto y talento siguen frenando a las empresas

No todas las organizaciones tienen capacidad para realizar esa transición.

Entre las empresas con menor preparación, la falta de recursos financieros afecta al 63%, mientras que el 56% identifica la escasez de competencias especializadas en ciberseguridad como una de sus principales limitaciones.

Esta diferencia puede ampliar la brecha entre compañías capaces de anticipar riesgos y aquellas que reaccionan después de un incidente.

El problema es particularmente relevante para empresas medianas que dependen de múltiples proveedores digitales, pero no necesariamente cuentan con equipos internos capaces de evaluar la seguridad de cada plataforma que incorporan.

La inversión, por tanto, ya no puede medirse únicamente por el número de herramientas adquiridas. También debe incluir talento, procesos de respuesta, evaluación de terceros y mecanismos de supervisión desde los niveles más altos de la organización.

Las juntas directivas entran de lleno en la ciberseguridad

El estudio muestra que la preparación tecnológica está estrechamente relacionada con la participación de la alta dirección.

En las organizaciones altamente resilientes, el 99% de los ejecutivos encuestados reporta algún nivel de involucramiento activo de sus directivos y juntas en materia de ciberseguridad.

Dentro de ese grupo, el 52% señala que la junta recibe actualizaciones periódicas, el 48% indica que los directivos participan directamente con la función de ciberseguridad y el 45% afirma que existe un rol claramente definido para la junta en su supervisión.

“Las empresas resilientes demuestran un fuerte involucramiento de sus directivos y juntas directivas en materia de ciberseguridad”, sostuvo Ariel Goldenstein.

El cambio también modifica las preguntas que deben formular los directorios. Ya no basta con saber cuántos ataques fueron bloqueados: deben entender qué procesos críticos están expuestos, qué proveedores representan una dependencia relevante y cuánto podría costar una interrupción.

De un indicador técnico a una decisión de gobierno corporativo

La principal diferencia entre las empresas analizadas no parece estar únicamente en la tecnología que compran, sino en cómo incorporan el riesgo cibernético dentro de las decisiones de negocio.

Una adquisición, la contratación de un proveedor de nube, una implementación de IA o la conexión con una plataforma externa pueden modificar el perfil de riesgo de la organización antes incluso de que el proyecto empiece a operar.

Por eso, el avance de la inteligencia artificial obliga a llevar la ciberseguridad a comités de inversión, compras, riesgos y juntas directivas.