Que el desarrollo de la inteligencia artificial (IA) impone nuevos riesgos y desafíos en materia de ciberseguridad, pero también oportunidades no es novedad. Tampoco que el desafío se redobla. La novedad involucra que la Comisión Europea (CE) anunciara un Plan de Acción sobre Ciberseguridad e IA, para enfrentar el nuevo paradigma de la innovación avanzada. Se trata de una apuesta que reunirá los esfuerzos de los Estados miembros, la industria y de diversas organizaciones.
La apuesta pasa por “reforzar la ciberseguridad de nuestro panorama digital frente a las vulnerabilidades que plantea la IA avanzada”, dice en la presentación del Plan en el que la Comisión abrevará esfuerzos con la Agencia de la Unión Europea para la Ciberseguridad (ENISA), tendiente a generar medidas de protección ante vulnerabilidades creadas con modelos avanzados de IA.
Se trata de una iniciativa que se apalanca en normativas vigentes, como la Ley de IA, que propone gestionar riesgos sistémicos de modelos de propósito general; la Ley de Ciberresiliencia (CRA), que estará aplicable desde finales de 2027; y la Directiva NIS2, vinculada a la ciberseguridad en sectores críticos.
En cronograma de trabajo comienza el 2 de agosto, en un mes, con un proceso de supervisión y mitigación de riesgos sistémicos, mediante la Oficina de IA y mediante la que se pondrá el foco en que los proveedores de modelos de IA de propósito general identifiquen y mitiguen los riesgos de abuso o malas prácticas en el ciberespacio.
Sucede que la apuesta de Europa en materia regulatoria para la IA pasa por el control de riesgos, un criterio que prevé extrapolarse también a la ciberseguridad. Pero previendo que la mayoría de las entidades que evalúan la seguridad de la IA están fuera de la UE, la Comisión lanzará una convocatoria para crear una capacidad de evaluación en el continente, de la UE, para estos modelos de IA. El objetivo es contar con un ecosistema propio e independiente de evaluadores externos, previo a que los modelos salgan al mercado.
Inclusive, se plantea que para evitar que los proveedores extranjeros limiten o restrinjan el acceso a herramientas de IA avanzada con criterios opacos, la UE definirá en el cuarto trimestre de 2026 un “Blueprint” o modelo de referencia europeo para guiar lo que considera que es un acceso seguro, estructurado y sin retrasos para las autoridades públicas, operadores de infraestructuras críticas y empresas de ciberseguridad europeas.
Para fines de este año, el ENISA y el Centro Común de Investigación (JRC) desarrollarán una plataforma de pruebas segura, para testear las capacidades de la IA en escenarios de ciberseguridad reales (como escaneo de vulnerabilidades y respuesta a incidentes) sin exponer los sistemas e infraestructuras críticas reales a riesgos.
Se exigirá, además, que los Estados miembros y los operadores críticos, actualicen sus marcos de gestión de riesgos y a adoptar medidas básicas de higiene cibernética, con enfoques de “Zero Trust” (Confianza Cero). Además, a reducir el tiempo de aplicación de parches (time-to-patch) para anticiparse a los ataques automatizados por IA.
Otro de los planes para el tercer trimestre de 2026 involucra realizar una campaña de Resiliencia para el Software de Código Abierto, por haber estimado que este tipo de código es el que compone cerca del 98 por ciento de las bases de código vigentes, por lo que muchas infraestructuras críticas dependen de él.
Inclusive, se asignarán recursos de computación a través de las “AI Factories”, por 100 millones de euros del Fondo EIC que alimentará a startups de tecnologías estratégicas de defensa/IA, también en este último trimestre.
Con todo, se trata de una apuesta de largo plazo, que tiene mucho de geopolítica y que busca reforzar las infraestructuras pero también a los profesionales del continente frente a las amenazas de la IA; aunque también se están ideando lazos de cooperación internacional a través de alianzas bilaterales y foros multilaterales (como el G7, la ONU y la OTAN) para estandarizar la evaluación de la IA y proteger las cadenas de suministro. Ese es el Plan.
