Sergio Herce, experto en IA y Ciberseguridad, sobre las pymes: “Los empleados que usan Inteligencia Artificial pueden abrir una brecha de seguridad en la empresa”

El reciente anuncio del modelo de inteligencia artificial Mythos Preview, desarrollado por Anthropic, ha generado inquietud en el ámbito tecnológico. Según sus creadores, esta herramienta sería capaz de detectar vulnerabilidades ocultas en sistemas de software en cuestión de minutos, algo que hasta ahora requería horas o incluso días de trabajo especializado.
El impacto potencial ha encendido las alarmas a nivel global, especialmente entre gobiernos y grandes corporaciones. Sin embargo, este avance también pone sobre la mesa una realidad menos visible: las pequeñas y medianas empresas ya están expuestas a riesgos muy importantes por el uso cotidiano de la inteligencia artificial dentro de sus propios equipos.

Cuando la brecha la abre un empleado
El imaginario colectivo se puede centrar en ciberataques sofisticados, pero Sergio Herce, especialista en IA y Ciberseguridad de SDi, advierte del problema que supone el uso descontrolado de herramientas de IA por parte de los trabajadores. “Los empleados que usan inteligencia artificial pueden abrir una brecha de seguridad en la empresa”, señala.
El escenario es habitual. Un trabajador accede a herramientas como ChatGPT con su cuenta personal y sube documentos internos para analizarlos o mejorar su trabajo. En ese momento, la empresa pierde el control sobre esa información. “Se pierde completamente la gobernanza del dato”, explica el experto. Documentos financieros, bases de datos de clientes o información estratégica pueden quedar expuestos sin que la empresa tenga visibilidad sobre ello. Este fenómeno, conocido como shadow IT, refleja el uso de tecnologías fuera del control corporativo. Y en el caso de la IA, su impacto es aún mayor por la facilidad con la que se puede procesar y extraer información.

La IA acelera tanto el ataque como el error humano
La inteligencia artificial facilita el trabajo interno, pero también ha revolucionado las técnicas de ataque. Correos electrónicos sin errores, suplantaciones de voz o campañas masivas automatizadas son ya una realidad. Pero, según Herce, el verdadero problema no es la tecnología en sí, sino su uso sin control. “No se puede usar la IA sin gobierno”, resume. A esto se suma un factor clave: el humano. Informes recientes de Verizon sitúan en torno al 60% la implicación humana en las brechas de seguridad, ya sea por errores, malas prácticas o ingeniería social.

Compartir cuentas o conectar sistemas: errores comunes con grandes consecuencias
Entre las prácticas más peligrosas detectadas en pymes está el uso compartido de cuentas de herramientas de IA. Varias personas utilizando una misma licencia pueden acceder al historial completo de conversaciones, incluyendo información sensible. “Solo con mirar el menú puedes ver datos financieros o estratégicos de otro compañero”, advierte Herce.
Otro riesgo crítico surge cuando se conectan sistemas de inteligencia artificial a bases de datos o ERP sin restricciones adecuadas. Sin controles de acceso, cualquier usuario podría consultar información que no le corresponde, desde datos salariales hasta información confidencial de clientes.

Las bases siguen siendo la mejor defensa
A pesar del avance tecnológico, la protección sigue empezando por lo esencial. Herce insiste en que las pymes deben centrarse en medidas básicas y útiles: mantener sistemas actualizados, proteger identidades, realizar copias de seguridad y formar a sus empleados. “No hace falta empezar con una arquitectura compleja, los antivirus como los de SDi se están adaptando a esta realidad”, afirma. Además, subraya la importancia de aplicar el principio de mínimo privilegio: cada empleado debe tener acceso únicamente a la información necesaria para su trabajo.

Auditorías y formación: la barrera más eficaz
Ante un escenario en el que controlar completamente el uso de la IA resulta complicado, Herce destaca dos herramientas clave para las empresas: la formación y las auditorías por expertos. Las auditorías permiten identificar qué herramientas se están utilizando realmente dentro de la organización y detectar posibles riesgos ocultos. La formación, por su parte, ayuda a que los empleados comprendan qué prácticas son seguras y cuáles pueden comprometer a la empresa.
“Si tuviera que resumir la seguridad en dos cosas, serían formación y copias de seguridad”, señala el experto. En esta línea, organismos como el INCIBE recomiendan a las pymes centrarse en políticas básicas, controles esenciales y buenas prácticas, como la verificación periódica de las copias de seguridad.