La inteligencia artificial está acelerando los ciberataques, pero el mayor peligro empresarial no está solamente en la tecnología del atacante. Está en la lentitud con la que muchas organizaciones detectan, deciden y reaccionan. Cuando una amenaza puede explorar vulnerabilidades, personalizar engaños y moverse entre sistemas en cuestión de minutos, una empresa que todavía depende de controles aislados, procedimientos manuales y decisiones improvisadas entra en una competencia profundamente desigual. La pregunta importante, entonces, no es únicamente si Chile está preparado para enfrentar ataques potenciados por inteligencia artificial. La verdadera pregunta es cuántas organizaciones están preparadas para seguir funcionando cuando la velocidad del ataque supera la velocidad de su propia administración. Porque la ciberseguridad ya no puede reducirse al antivirus, al firewall o al departamento de tecnología. Se ha convertido en un problema de continuidad, datos, gobierno, personas, decisiones y confianza empresarial. 👉 LEE NUESTRO BLOG...
Ese cambio merece atención.
Durante muchos años hemos hablado de transformación digital concentrándonos en productividad, automatización, ventas, inteligencia artificial, nube y conectividad. Todo eso sigue siendo importante. Pero cada nueva conexión también crea una nueva dependencia y, por consiguiente, una nueva superficie de riesgo.
Una empresa que digitaliza procesos sin revisar cómo protege sus identidades, sus datos, sus proveedores, sus copias de respaldo y sus sistemas críticos puede estar aumentando simultáneamente su eficiencia y su vulnerabilidad.
Ahí aparece una contradicción que muchas organizaciones todavía no reconocen.
Cuanto más digital se vuelve una empresa, más importante resulta administrar correctamente aquello de lo que ahora depende.
La IA no inventó el problema: cambió su velocidad
Uno de los errores que podemos cometer al hablar de inteligencia artificial y ciberseguridad es imaginar una nueva generación casi cinematográfica de amenazas completamente desconocidas.
El problema es más concreto.
La IA está permitiendo ejecutar con mayor rapidez, escala y personalización actividades que los atacantes ya realizaban: reconocimiento de objetivos, identificación de vulnerabilidades, preparación de mensajes fraudulentos, ingeniería social, generación de contenido falso y adaptación de campañas.
El reciente análisis publicado por Computer Weekly sobre Chile, apoyándose entre otras referencias en el informe Sophos AI Security 2026, plantea precisamente esta transformación: actividades ofensivas que antes podían requerir semanas pueden comprimirse a días u horas, mientras la ingeniería social asistida por IA alcanza niveles cada vez más operativos.
Esto modifica una variable fundamental de la gestión empresarial: el tiempo.
Imagine una compañía cuyo procedimiento interno funciona así:
un empleado identifica una anomalía;
la comunica a su jefe;
el jefe informa al área administrativa;
alguien intenta localizar al responsable tecnológico;
se consulta al proveedor;
se analiza qué ocurrió;
se decide si desconectar un sistema;
se busca la última copia de respaldo;
y finalmente se informa a la dirección.
Puede parecer un procedimiento razonable.
El problema aparece cuando el atacante necesitó mucho menos tiempo para avanzar entre el primer acceso y el daño.
La organización no necesariamente perdió porque carecía de herramientas.
Pudo haber perdido porque su capacidad de decisión era demasiado lenta.
Ese es, en mi criterio, uno de los asuntos que los empresarios deberían comenzar a discutir en sus juntas directivas.
La nueva brecha digital es también una brecha de reacción
Chile ha realizado avances relevantes en materia institucional.
La Ley 21.663 estableció un marco general de ciberseguridad, creó la Agencia Nacional de Ciberseguridad y definió obligaciones, principios, mecanismos de coordinación y responsabilidades para determinadas instituciones y operadores. La legislación incorpora conceptos especialmente importantes para la gestión moderna, como prevención, resiliencia, continuidad, control de daños, cooperación y seguridad y privacidad desde el diseño.
Eso representa un avance estructural.
Pero tener institucionalidad nacional no significa automáticamente que cada empresa haya desarrollado madurez organizacional.
Y allí debemos diferenciar dos problemas.
Una cosa es que un país disponga de leyes, organismos especializados, mecanismos de respuesta y políticas públicas.
Otra muy distinta es que una empresa determinada conozca exactamente:
qué información posee;
dónde está almacenada;
quién puede acceder;
qué sistemas sostienen su operación;
qué proveedores tienen acceso a esos sistemas;
qué ocurriría si alguno dejara de funcionar;
quién toma decisiones durante un incidente;
cómo se comunica la crisis;
cuánto tiempo puede permanecer interrumpido cada proceso;
y cómo recuperar la operación sin comprometer nuevamente la información.
Cuando estas respuestas no existen, la vulnerabilidad no es solamente informática.
Es organizacional.
Y por eso considero que muchas conversaciones sobre ciberseguridad empiezan demasiado tarde: comienzan hablando de herramientas antes de comprender la empresa.
En TODO EN UNO.NET sostenemos una filosofía desde hace años: “Nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad.”
En seguridad ocurre exactamente lo mismo.
No se trata de comprar más tecnología de protección.
Se trata de construir una organización capaz de proteger aquello que necesita para funcionar.
Si su empresa quiere revisar este problema desde una perspectiva empresarial, tecnológica y de protección de información, puede iniciar una conversación consultiva en:
https://t.mtrbio.com/todo-en-unonet
El delincuente ya no necesita conocer perfectamente a su víctima
Durante años, uno de los grandes obstáculos de la ingeniería social era el esfuerzo requerido para investigar a una persona u organización.
Había que recopilar información, estudiar estilos de comunicación, identificar relaciones internas y construir mensajes suficientemente creíbles.
La inteligencia artificial reduce significativamente ese costo.
Información pública disponible en páginas web, redes sociales, directorios profesionales, publicaciones corporativas, documentos, fotografías, entrevistas y perfiles de empleados puede ayudar a construir engaños cada vez más contextualizados.
El correo fraudulento genérico que decía que alguien había ganado una lotería puede resultar evidente.
Mucho más peligroso es un mensaje que aparentemente proviene de una persona conocida, utiliza lenguaje coherente con la organización, menciona una negociación real y solicita una acción perfectamente plausible.
Añadamos generación de voz, imágenes, documentos y video.
Entonces comprenderemos que la formación tradicional basada únicamente en “no abrir enlaces sospechosos” resulta insuficiente.
El trabajador necesita desarrollar criterio.
La empresa necesita procedimientos.
Y los procedimientos necesitan mecanismos de verificación independientes del contenido que una persona pueda ver, leer o escuchar.
Porque entramos en una etapa donde algo puede parecer auténtico sin serlo.
La identidad se está convirtiendo en el nuevo perímetro empresarial
Antes protegíamos principalmente instalaciones, computadores y redes.
Hoy debemos proteger identidades.
Una persona puede acceder desde la oficina, desde su hogar, desde un teléfono, desde una aplicación en la nube o desde un servicio externo.
Los sistemas empresariales se encuentran distribuidos.
Los datos también.
Por eso una organización debería considerar cada identidad digital como una llave.
Correos corporativos, cuentas administrativas, plataformas financieras, CRM, ERP, almacenamiento en nube, herramientas de inteligencia artificial, redes sociales, servicios de proveedores y aplicaciones internas forman una cadena.
El atacante no necesita necesariamente romper toda la cadena.
Le basta encontrar el eslabón débil.
Puede ser una contraseña reutilizada.
Una cuenta que continúa activa después de que una persona dejó la empresa.
Un proveedor externo con permisos excesivos.
Un administrador sin autenticación multifactor.
Una aplicación conectada innecesariamente.
Un empleado convencido mediante ingeniería social.
O información empresarial cargada sin autorización en una herramienta de inteligencia artificial.
La protección moderna, por eso, necesita preguntarse constantemente quién puede hacer qué, con cuál información, desde dónde, bajo qué condiciones y durante cuánto tiempo.
Eso no es paranoia.
Es administración.
La pyme enfrenta un problema diferente
Las grandes organizaciones suelen disponer de mayores presupuestos, especialistas, controles y proveedores.
La pequeña y mediana empresa enfrenta otra realidad.
Normalmente depende de pocas personas.
El administrador puede conocer las contraseñas.
El proveedor tecnológico puede tener acceso prácticamente total.
El correo electrónico puede convertirse en la puerta de entrada a numerosos servicios.
Las copias de seguridad pueden existir, pero nadie ha probado recientemente si realmente permiten recuperar la operación.
Los procedimientos pueden residir en la memoria de algunas personas.
Y cuando ocurre un incidente, el empresario descubre simultáneamente varios problemas que antes parecían independientes.
No puede facturar.
No encuentra determinada información.
Los empleados pierden acceso.
Los clientes llaman.
El proveedor solicita tiempo.
Aparece incertidumbre sobre los datos comprometidos.
Nadie sabe exactamente qué comunicar.
La presión crece.
Entonces comprendemos que un ciberataque no afecta únicamente sistemas.
Afecta operación, reputación, finanzas, obligaciones, clientes, proveedores y dirección.
Computer Weekly recoge una advertencia especialmente significativa para el contexto chileno: mientras algunos sectores sometidos durante años a mayores exigencias regulatorias presentan procesos más maduros, existe una marcada desigualdad entre organizaciones y un riesgo particularmente importante en entidades con infraestructura heredada y pequeñas empresas con recursos limitados.
Ese diagnóstico es perfectamente comprensible desde la administración empresarial.
No todas las compañías necesitan el mismo nivel de inversión.
Pero todas necesitan conocer su nivel de exposición.
Proteger datos no significa únicamente evitar que alguien los robe
Cuando hablamos de información, solemos concentrarnos en confidencialidad.
¿Quién puede verla?
Es importante.
Pero existen otras preguntas igualmente importantes.
¿La información continúa siendo correcta?
¿Está disponible cuando la necesitamos?
¿Podemos recuperar una versión confiable?
¿Sabemos quién la modificó?
¿Podemos demostrar cómo la protegemos?
¿Puede seguir operando la empresa si un sistema desaparece temporalmente?
La Ley Marco de Ciberseguridad chilena refleja precisamente una visión más amplia al incorporar conceptos como confidencialidad, integridad, disponibilidad y resiliencia dentro de su definición y tratamiento de la ciberseguridad.
Para un empresario, esto tiene una traducción sencilla:
proteger información también significa garantizar la capacidad de continuar trabajando.
Un respaldo que nunca se ha probado no debería producir tranquilidad.
Un plan de contingencia que nadie conoce no es todavía un plan operativo.
Una política que existe únicamente como documento tampoco constituye protección suficiente.
La seguridad debe funcionar cuando algo sale mal.
La inteligencia artificial también puede defender
No debemos convertir la IA en el villano de esta historia.
La misma tecnología que acelera determinadas capacidades ofensivas puede ayudar a las organizaciones a detectar anomalías, analizar grandes volúmenes de eventos, identificar comportamientos inusuales y reducir tiempos de respuesta.
Desde hace años, incluso organismos especializados han señalado el potencial de la inteligencia artificial para apoyar detección de intrusiones, identificación de vulnerabilidades, análisis de riesgos y automatización de respuestas.
Pero aquí vuelve nuestra filosofía funcional.
Incorporar inteligencia artificial a una arquitectura deficiente no corrige automáticamente la arquitectura.
Una herramienta avanzada conectada a información desorganizada, permisos excesivos y procesos inexistentes puede incluso agregar complejidad.
Primero debemos comprender la operación.
Después determinar qué proteger.
Luego definir responsabilidades, controles, continuidad y criterios.
Finalmente podremos decidir dónde la inteligencia artificial realmente aporta velocidad y capacidad.
Ese orden evita una equivocación bastante común: comprar una solución esperando que ella resuelva un problema que en realidad pertenece al gobierno de la organización.
Si necesita evaluar qué tan preparada está su empresa antes de invertir en nuevas herramientas de ciberseguridad o inteligencia artificial, puede conversar con TODO EN UNO.NET:
https://t.mtrbio.com/todo-en-unonet
El directorio necesita participar
Durante demasiado tiempo la ciberseguridad fue tratada como un asunto del encargado de sistemas.
Ese modelo está quedando atrás.
Cuando un incidente puede detener operaciones, comprometer información, provocar pérdidas financieras, generar responsabilidades legales y deteriorar la confianza de clientes, deja de ser exclusivamente técnico.
Se convierte en gobierno corporativo.
Una junta directiva no tiene que aprender a configurar un firewall.
Pero sí debería poder preguntar:
¿Cuáles son nuestros procesos críticos?
¿Cuánto tiempo podemos operar sin ellos?
¿Cuál es nuestra información más sensible?
¿Quién tiene acceso privilegiado?
¿Cuándo probamos por última vez la recuperación?
¿Quién dirige la respuesta ante una crisis?
¿Qué proveedores representan dependencias críticas?
¿Qué herramientas de IA utilizan nuestros trabajadores?
¿Con qué datos?
¿Qué debemos hacer durante los primeros treinta minutos después de detectar un incidente?
Estas preguntas producen conversaciones muy diferentes a preguntar simplemente si “tenemos antivirus”.
Y esas conversaciones son las que construyen resiliencia.
La ciberseguridad comienza antes del incidente
Una organización preparada no es aquella que puede asegurar que nunca será atacada.
Esa promesa sería poco seria.
Una organización preparada es aquella que puede reducir probabilidades, identificar señales, contener daños, proteger información crítica, mantener funciones esenciales, tomar decisiones y recuperarse razonablemente cuando ocurre algo.
La Ley 21.663 coloca precisamente la prevención, contención, resolución y respuesta dentro de la estructura de obligaciones que pretende fortalecer en Chile.
El empresario debería trasladar esa lógica a su propia empresa, incluso cuando una determinada obligación legal no le aplique directamente.
Porque existe una diferencia fundamental entre cumplimiento y resiliencia.
El cumplimiento pregunta:
¿Qué debo hacer?
La resiliencia pregunta:
¿Qué necesito para seguir funcionando?
Una organización madura necesita comprender ambas cosas.
El riesgo invisible de los terceros
Existe además otra dimensión que frecuentemente queda fuera del diagnóstico: la cadena de proveedores.
Muchas empresas han trasladado servicios a terceros.
Hosting.
Correo.
Nube.
Facturación.
Software contable.
CRM.
Plataformas de ventas.
Pasarelas de pago.
Soporte tecnológico.
Proveedores de nómina.
Aplicaciones colaborativas.
Servicios de inteligencia artificial.
Esto genera eficiencia, pero también dependencia.
Una empresa puede tener controles razonables y resultar afectada a través de alguien conectado con ella.
Por eso la pregunta ya no puede limitarse a “¿estamos protegidos?”.
También debemos preguntar:
“¿De quién dependemos para permanecer protegidos y operativos?”
Identificar esas relaciones permite descubrir concentraciones de riesgo que normalmente permanecen invisibles hasta una interrupción.
La arquitectura importa más que la acumulación de herramientas
Desde nuestra visión en TODO EN UNO.NET, enfrentar este escenario requiere trabajar sobre una Arquitectura de Protección de Datos y Confianza Digital (APDP).
No porque necesitemos agregar una denominación más al vocabulario empresarial, sino porque debemos integrar elementos que tradicionalmente se administraron por separado.
Datos.
Personas.
Identidades.
Procesos.
Tecnología.
Cumplimiento.
Continuidad.
Proveedores.
Respuesta.
Gobierno.
Confianza.
Si cada componente trabaja aisladamente, aparecen vacíos.
Tecnología puede instalar controles que administración desconoce.
Administración puede crear procedimientos que tecnología no puede ejecutar.
Legal puede establecer obligaciones que los procesos nunca incorporaron.
Los empleados pueden utilizar herramientas de IA que nadie evaluó.
Los proveedores pueden conservar accesos innecesarios.
Dirección puede creer que existe protección porque recibió un informe técnico.
La arquitectura obliga a mirar el conjunto.
Y esa mirada resulta especialmente importante cuando los ataques comienzan a operar con mayor automatización.
La ventaja ya no será solamente bloquear: será decidir mejor
Existe una enseñanza empresarial detrás de todo este cambio.
La organización capaz de decidir con claridad durante una crisis tendrá una enorme ventaja sobre aquella que comienza a organizarse después del incidente.
Eso significa que debemos pasar de una cultura reactiva a una cultura preparada.
No necesitamos vivir asustados.
Necesitamos vivir informados.
No necesitamos convertir cada empleado en especialista en ciberseguridad.
Necesitamos que cada persona entienda su responsabilidad.
No necesitamos comprar todas las herramientas disponibles.
Necesitamos seleccionar aquellas que resuelven riesgos reales.
Y tampoco necesitamos implementar inteligencia artificial simplemente porque el mercado la presenta como inevitable.
Necesitamos determinar dónde aporta funcionalidad, dónde crea exposición y bajo cuáles reglas puede utilizarse.
Ahí está la diferencia entre adoptar tecnología y gobernarla.
Entonces, ¿está preparado Chile?
Chile está construyendo capacidades institucionales importantes y dispone hoy de un marco de ciberseguridad considerablemente más estructurado que hace algunos años. La creación de la ANCI, la Ley Marco de Ciberseguridad y el fortalecimiento de obligaciones y mecanismos nacionales representan pasos significativos.
Pero la preparación de un país no puede medirse únicamente por su legislación.
También depende de la madurez de miles de organizaciones.
Y allí probablemente está el desafío más importante.
Los atacantes pueden aprovechar inteligencia artificial para comprimir tiempos.
Las empresas necesitan responder reduciendo sus propios tiempos de detección, decisión, contención y recuperación.
Eso requiere tecnología, por supuesto.
Pero también requiere administración.
Requiere liderazgo.
Requiere gobierno de datos.
Requiere procedimientos.
Requiere formación.
Requiere revisar dependencias.
Y requiere algo que considero todavía más importante: criterio empresarial.
Porque cuando una empresa comprende realmente qué necesita proteger y por qué necesita protegerlo, la ciberseguridad deja de percibirse como un gasto impuesto por el miedo.
Se convierte en una inversión destinada a preservar la capacidad de operar y la confianza de quienes hacen posible el negocio.
La inteligencia artificial continuará evolucionando.
Los ataques también.
Intentar competir comprando cada nueva herramienta que aparezca será una carrera costosa y probablemente interminable.
Construir organizaciones más conscientes, estructuradas, resilientes y capaces de decidir mejor es una estrategia mucho más sostenible.
La pregunta que deberíamos llevar hoy a nuestras empresas no es si algún día sufriremos un intento de ataque.
La pregunta es mucho más útil:
si mañana alguien consigue entrar, ¿sabemos exactamente qué debemos proteger, quién debe actuar y cómo mantener funcionando la organización?
La respuesta a esa pregunta revela mucho más sobre nuestra verdadera preparación que cualquier catálogo de tecnología.
Si desea evaluar esa respuesta en su empresa y convertir la protección de datos, la continuidad y la ciberseguridad en una estructura funcional y no solamente en una colección de herramientas, puede iniciar una conversación con TODO EN UNO.NET:
https://t.mtrbio.com/todo-en-unonet
La confianza digital no se compra después de un incidente. Se construye antes, cuando todavía tenemos tiempo para pensar, organizar y decidir correctamente.