Pablo Sáez Hurtado
Delvy A.I. | Presidente Comisión Joven ENATIC | Director General BeAI Foundation | Gestor Ético OdiseIA
La Comisión Europea conecta AI Act, NIS2, DORA y Cyber Resilience Act en una hoja de ruta de nueve acciones para evaluar modelos de frontera, acelerar parches, blindar el código abierto y escalar capacidades soberanas.
La IA ya ha entrado por las dos puertas
La inteligencia artificial ya ha entrado en la ciberseguridad por las dos puertas. Por la buena, multiplica la capacidad de detectar anomalías, priorizar vulnerabilidades, analizar código, automatizar defensas y responder antes de que el daño se propague. Por la mala, abarata el ataque, reduce barreras técnicas y permite que actores menos sofisticados operen con una velocidad, escala y precisión antes reservadas a estructuras criminales o estatales avanzadas.
La Comisión Europea reconoce ese cambio de época con su Plan de Acción sobre Ciberseguridad e Inteligencia Artificial, fechado el 7 de julio de 2026. El documento no crea una nueva ley, pero tampoco es retórica. Ordena nueve acciones en tres pilares y conecta AI Act, NIS2, DORA, el Reglamento de Ciberresiliencia y el Reglamento de Cibersolidaridad dentro de una arquitectura operativa. Su tesis es inquietante: Europa no puede defender infraestructuras del siglo XXI con tiempos de reacción, capacidades de evaluación y cadenas de suministro diseñadas para una amenaza anterior.
El giro consiste en abandonar la pregunta cómoda —qué puede hacer la IA por la seguridad— y formular la incómoda: qué ocurre cuando el atacante dispone de modelos capaces de descubrir fallos, generar malware, escalar campañas o automatizar la explotación. La carrera ya no enfrenta solo a defensores y adversarios. Enfrenta velocidades de aprendizaje, acceso a cómputo, calidad de datos y capacidad para parchear antes de que una vulnerabilidad se convierta en crisis.
Un plan operativo sobre una base regulatoria ya existente
Bruselas parte de una ventaja y de una debilidad. La ventaja es un entramado regulatorio relevante. El AI Act impone obligaciones sobre ciberseguridad y riesgos sistémicos de ciertos modelos de propósito general; NIS2 exige gestión de riesgos y notificación de incidentes en sectores esenciales e importantes; DORA disciplina la resiliencia financiera; el Cyber Resilience Act incorpora seguridad por diseño y gestión de vulnerabilidades durante el ciclo de vida de productos digitales. La debilidad es que ninguna norma produce por sí sola capacidad técnica, talento, acceso a modelos o velocidad de respuesta.
El Plan intenta cerrar esa distancia entre cumplimiento y operación. Desde el 2 de agosto de 2026, la Comisión ejercerá sus poderes de supervisión sobre modelos de propósito general, incluidos los riesgos sistémicos de uso indebido cibernético. Paralelamente, ENISA, el Centro Común de Investigación, CERT-EU, Europol, el ECCC, los Estados y la industria deberán convertir el marco jurídico en evaluaciones, pruebas, guías, infraestructura y formación.
Esa es una virtud del documento: comprende que la ciberseguridad no se fortalece solo sancionando después del incidente. Se fortalece antes, evaluando modelos, ordenando accesos, simulando despliegues, acelerando parches y reduciendo dependencias. El Derecho entra en la sala de máquinas: cómo se prueba una capacidad, quién accede a ella, qué datos se emplean, qué responsabilidad conserva cada actor y cómo se documenta una decisión automatizada en un entorno crítico.
Pilar uno: evaluar la IA de frontera antes de que sea arma o escudo
El primer pilar aborda el punto más delicado: los modelos de frontera pueden ser un activo defensivo extraordinario y, a la vez, una capacidad de doble uso. La Comisión propone crear en 2027 una capacidad europea de evaluación de modelos que incluya ciberseguridad. No será un organismo de evaluación de conformidad, sino una infraestructura técnica para probar capacidades, contrastar mitigaciones y apoyar al AI Office en la supervisión de riesgos sistémicos. Europa reconoce así una carencia estratégica: buena parte de la experiencia independiente para evaluar modelos avanzados sigue fuera de la Unión.
La segunda pieza será un Blueprint europeo, coordinado con ENISA, para estructurar el acceso legítimo a capacidades avanzadas. Los proveedores deciden hoy, mediante procesos privados y poco transparentes, qué autoridades, empresas, investigadores u operadores críticos acceden a modelos sensibles. El Plan propone criterios comunes, medidas de seguridad, intercambio de conocimiento y contingencias si un proveedor o una autoridad extranjera restringe el acceso. No crea obligaciones nuevas, pero intenta evitar que la resiliencia europea dependa de decisiones unilaterales externas.
La tercera pieza son los cyber ranges: entornos seguros que reproducen redes e infraestructuras sin exponer sistemas reales. ENISA y el JRC desplegarán una plataforma para probar IA en detección, triaje, inteligencia de amenazas, respuesta y remediación. La distinción es esencial: probar la utilidad operativa de una IA no equivale a evaluar su cumplimiento bajo el AI Act. Confundir ambos planos generaría falsas garantías. El Plan acierta al separar seguridad del modelo, seguridad del uso y adecuación al caso concreto.
Pilar dos: ganar la carrera del parche y proteger el código abierto
El segundo pilar aterriza en la realidad de cualquier organización: inventario, accesos, endurecimiento de sistemas, gestión de terceros, divulgación coordinada y parcheo. La IA cambia la economía de la vulnerabilidad porque permite encontrar fallos más deprisa; pero descubrir no significa corregir. Si el atacante automatiza la explotación mientras la empresa mantiene ciclos lentos de aprobación y despliegue, la ventaja tecnológica se vuelve ofensiva.
La Comisión pide reducir el tiempo de parcheo, reforzar enfoques de confianza cero cuando proceda y adaptar NIS2 y DORA a ataques potenciados por IA. También ordena modernizar la European Union Vulnerability Database y la plataforma única del Cyber Resilience Act para soportar más hallazgos y mejorar la interoperabilidad entre bases europeas, nacionales y globales. La pregunta dejará de ser cuántas vulnerabilidades conoce una entidad y pasará a ser cuáles puede priorizar, corregir y desplegar antes de que sean explotadas.
La iniciativa más inteligente es la Campaña de Resiliencia del Código Abierto Crítico. El Plan recuerda que el 98% de las bases de código contiene componentes open source y que, en industrias críticas, alrededor del 80% presenta vulnerabilidades de riesgo alto o crítico. Europa propone mapear componentes esenciales, emparejar proyectos con patrocinadores y crear servicios de IA para escaneo, parcheo y remediación. Corrige así una anomalía histórica: infraestructuras multimillonarias descansan sobre componentes mantenidos por comunidades pequeñas, sin recursos equivalentes al riesgo sistémico soportado.
La dificultad será no trasladar una carga imposible a los mantenedores. Patrocinar no puede significar colonizar; auditar no puede equivaler a imponer responsabilidades desproporcionadas. El éxito dependerá de financiación estable, reglas claras, protección jurídica y cooperación real.
Pilar tres: soberanía, inversión y talento para no defender Europa con herramientas prestadas
El tercer pilar convierte la ciberseguridad en política industrial. La Comisión lanzará un Gran Desafío europeo sobre remediación de vulnerabilidades asistida por IA, con apoyo del ECCC y ENISA, para reunir empresas, investigadores, operadores críticos y comunidades open source. El objetivo es desarrollar sistemas capaces de acompañar el ciclo completo: identificar, priorizar, proponer, validar y desplegar correcciones en condiciones realistas.
El Plan vincula además la defensa cibernética con las AI Factories, futuras gigafactorías, laboratorios de datos y capacidad soberana de cómputo. El diagnóstico es contundente: sin modelos, datos e infraestructura propios, Europa seguirá siendo usuaria vulnerable de capacidades desarrolladas en terceros países que pueden limitarse o desconectarse. La Comisión admite que la IA de frontera exigirá cientos de miles de millones de euros y plantea una nueva capacidad europea de inversión en capital para movilizar financiación privada. La soberanía deja de ser ceremonial y se convierte en acceso efectivo a cómputo, talento, financiación y datos seguros.
Sin personas, sin embargo, no habrá autonomía. La Academia de Competencias en Ciberseguridad incorporará formación específica en IA y ENISA actualizará los perfiles profesionales. Los equipos deberán comprender ataques adversariales, envenenamiento de datos y modelos, prompt injection, límites de automatización, validación humana y responsabilidad. El profesional más valioso no será quien delegue más, sino quien sepa cuándo confiar, verificar o detener la herramienta.
La sombra es evidente: Europa puede diseñar programas impecables y ejecutarlos con fragmentación, lentitud o financiación insuficiente. La coordinación entre Comisión, agencias, Estados, supervisores e industria será tan importante como la tecnología. Pilotos inconexos ampliarían la brecha que pretenden cerrar.
Qué deben hacer ya empresas, despachos y consejos de administración
El Plan no obliga mañana a todas las empresas, pero redefine lo que empezará a considerarse diligencia razonable. Para consejos de administración, responsables de seguridad, compliance y asesoría jurídica, esperar a cada guía de ENISA sería una lectura tardía. La hoja de ruta debe comenzar ahora.
Primero, mapear todos los usos de IA en ciberseguridad: detección, análisis de código, priorización, pentesting, respuesta, generación de reglas y gestión de vulnerabilidades. Cada caso necesita propietario, datos autorizados, proveedor, controles humanos y registro de decisiones. Segundo, integrar AI Act, NIS2, DORA, CRA y RGPD en una matriz única, evitando proyectos paralelos que no conversen. Tercero, revisar contratos con proveedores de modelos, SOC, cloud y terceros críticos: evidencias, incidentes, cambios de modelo, localización, subcontratación, retirada de acceso, pruebas, auditoría y responsabilidad deben quedar definidos.
Cuarto, adaptar el programa de vulnerabilidades a velocidad de IA: inventario, SBOM, criticidad, plazos de parcheo, excepciones, pruebas y despliegue de emergencia. Quinto, identificar dependencias de código abierto y financiar, cuando sea viable, los componentes de los que depende el negocio. Sexto, utilizar cyber ranges y ejercicios de mesa para probar quién autoriza una respuesta automática, quién puede aislar sistemas y cuándo debe intervenir la dirección. Séptimo, formar conjuntamente a juristas, técnicos y negocio. Una crisis algorítmica no respetará organigramas.
Para la abogacía tecnológica nace un mercado evidente: gobierno de IA cibernética, contratos de acceso a modelos, diligencia de proveedores, evidencias, incidentes, auditoría de resiliencia, responsabilidad por parcheo y coordinación regulatoria. El abogado ya no puede limitarse a preguntar si una herramienta cumple; debe entender cómo puede fallar y cómo demostrar que la organización estaba preparada.
El Plan acierta en lo esencial: la IA será simultáneamente escudo y arma. Sus luces son la visión integrada, el foco en evaluación, parcheo, open source, soberanía y talento. Sus sombras son la dependencia extranjera, la fragmentación institucional y el riesgo de confundir anuncios con capacidad desplegada. La batalla decisiva no será quién descubre primero una vulnerabilidad, sino quién logra corregirla antes de que la máquina contraria la convierta en ataque. Europa ha escrito la estrategia. Ahora debe ejecutarla a la misma velocidad que la amenaza. Porque en ciberseguridad, la ventaja no pertenece al sistema más poderoso, sino al que aprende, verifica y corrige con mayor rapidez.
