Creemos que estar seguros en internet consiste en aprender a descubrir cuándo una imagen, una voz o un video fueron creados con inteligencia artificial. Pero mientras intentamos identificar lo falso, seguimos entregando información verdadera: documentos, fotografías, conversaciones, datos laborales, nombres, ubicaciones y decisiones empresariales. El problema ya no es solamente si podemos reconocer un deepfake. La pregunta realmente importante es qué estamos haciendo con nuestros datos antes de que puedan ser utilizados para construir uno. La inteligencia artificial está modificando la forma en que entendemos la confianza digital y obliga a empresas y personas a desarrollar algo más importante que habilidades técnicas: criterio para decidir qué información compartir, con quién, para qué propósito y bajo cuáles condiciones. Porque podemos aprender a desconfiar de una imagen y, simultáneamente, seguir exponiendo aquello que permite crearla. La seguridad comienza mucho antes de detectar el engaño.
👉 LEE NUESTRO BLOG...
Durante años hemos construido la seguridad digital alrededor de una idea relativamente sencilla: reconocer el peligro.
Aprendimos a no abrir archivos extraños, desconfiar de correos sospechosos, revisar el remitente, identificar páginas falsas y evitar enlaces desconocidos.
Ahora estamos intentando trasladar esa misma lógica a la inteligencia artificial.
Buscamos movimientos extraños en los labios de una persona.
Observamos las manos en una fotografía.
Intentamos reconocer una voz artificial.
Buscamos inconsistencias en las sombras.
Nos preguntamos si una imagen parece demasiado perfecta.
El problema es que esa estrategia empieza a quedarse corta.
La calidad del contenido sintético está evolucionando precisamente para eliminar esas señales. Y cuando nuestra seguridad depende exclusivamente de nuestra capacidad para distinguir visualmente lo verdadero de lo falso, estamos convirtiendo a cada persona en el último mecanismo de defensa de un sistema que debería protegerla mucho antes.
Aquí aparece una contradicción empresarial que considero especialmente importante.
Podemos invertir tiempo enseñando a nuestros colaboradores a identificar contenidos falsificados y, simultáneamente, permitirles introducir información confidencial de la organización en herramientas de inteligencia artificial sin políticas, clasificación de información, procedimientos o criterios claramente establecidos.
Entonces creemos que estamos desarrollando cultura de seguridad cuando, en realidad, solamente estamos enseñando a reconocer una de las manifestaciones del riesgo.
El problema no comienza con el deepfake
Un deepfake es el resultado visible.
Detrás pueden existir datos, fotografías, audios, videos, perfiles públicos, documentos y fragmentos de información obtenidos de múltiples fuentes.
Eso cambia completamente la conversación.
La pregunta empresarial ya no debería ser únicamente:
“¿Cómo identificamos un deepfake?”
Deberíamos preguntarnos también:
“¿Qué información estamos dejando disponible para que alguien pueda construir una representación convincente de nosotros, nuestros colaboradores, directivos, clientes o proveedores?”
Esta segunda pregunta resulta mucho más incómoda porque nos obliga a mirar hacia adentro.
La investigación internacional de Avast publicada en septiembre de 2026 encontró una contradicción interesante: el 56 % de los adultos encuestados afirmaba sentirse capaz de identificar contenido generado o manipulado convincentemente mediante IA, mientras las estafas digitales continúan alcanzando a una proporción significativa de personas. El estudio reunió más de 13.000 adultos de doce mercados, entre ellos Colombia.
No podemos trasladar automáticamente esos porcentajes a cada empresa colombiana ni utilizarlos como diagnóstico particular de nuestra realidad organizacional.
Pero sí podemos observar el fenómeno que representan:
sentirse preparado y estar protegido son cosas diferentes.
Y esa diferencia es fundamental.
La confianza excesiva también es una vulnerabilidad
Cuando una persona cree que reconoce fácilmente una amenaza, puede disminuir sus mecanismos de precaución.
Eso ocurre fuera y dentro de las empresas.
“Yo sé reconocer esos correos.”
“A mí no me engañan por WhatsApp.”
“Me doy cuenta inmediatamente cuando una voz es artificial.”
“Eso se nota que fue hecho con inteligencia artificial.”
Hasta que deja de notarse.
La evolución de la inteligencia artificial generativa está haciendo cada vez menos razonable depositar toda nuestra seguridad en la percepción humana.
El problema no significa que debamos desconfiar de absolutamente todo.
Significa que necesitamos cambiar el mecanismo mediante el cual construimos confianza.
Antes confiábamos principalmente en lo que veíamos y escuchábamos.
Ahora necesitamos confiar también en procesos de verificación.
Ese cambio aparentemente pequeño tiene enormes implicaciones empresariales.
Cuando la voz del gerente ya no demuestra que sea el gerente
Imaginemos una situación sencilla.
Un colaborador del área financiera recibe una llamada.
Reconoce el rostro de su gerente.
Reconoce su voz.
La conversación parece normal.
El gerente explica que existe una situación urgente con un proveedor y solicita realizar una transferencia.
Durante décadas, ver y escuchar a la persona habría sido una prueba bastante convincente de identidad.
Hoy ya no necesariamente lo es.
Los sistemas de generación sintética permiten imitar rostros y voces, mientras las modalidades de fraude apoyadas en inteligencia artificial continúan evolucionando. Avast, por ejemplo, describe escenarios de suplantación de familiares y ejecutivos mediante voces o videos artificiales, precisamente para aprovechar relaciones preexistentes de confianza.
Entonces el problema empresarial deja de ser exclusivamente tecnológico.
Se convierte en un problema de procesos.
¿Por qué una transferencia extraordinaria puede autorizarse mediante una llamada?
¿Por qué una instrucción sensible depende exclusivamente de reconocer una voz?
¿Por qué no existe una segunda validación?
¿Por qué determinadas operaciones no requieren confirmación por otro canal?
¿Por qué un colaborador siente que no puede cuestionar una solicitud urgente proveniente de un superior?
Estas preguntas pertenecen más a la administración que a la informática.
Y allí está una de las grandes lecciones que debemos aprender de la inteligencia artificial.
Muchas amenazas tecnológicas solamente consiguen producir daño porque encuentran procesos organizacionales débiles.
Por eso en TODO EN UNO.NET insistimos desde hace décadas:
“Nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad.”
La misma filosofía aplica a la seguridad.
No necesitamos simplemente comprar más tecnología.
Necesitamos entender qué debemos proteger, por qué debemos protegerlo y cómo debe funcionar la organización cuando la confianza visual o auditiva ya no resulta suficiente.
Si su organización está incorporando inteligencia artificial pero todavía no ha revisado cómo circulan sus datos, quién puede compartirlos y cuáles procesos necesitan mecanismos adicionales de validación, conviene comenzar por un diagnóstico funcional.
https://t.mtrbio.com/todo-en-unonet
Hay otro riesgo menos espectacular y mucho más cotidiano
Los deepfakes llaman nuestra atención porque son sorprendentes.
Pero probablemente existe un riesgo mucho más cercano ocurriendo todos los días:
personas compartiendo información con sistemas de inteligencia artificial sin preguntarse qué están entregando.
Copiar un documento completo dentro de un chatbot.
Subir una hoja de cálculo con información de clientes.
Introducir contratos para solicitar un resumen.
Compartir hojas de vida.
Copiar comunicaciones internas.
Subir actas.
Procesar bases de datos.
Entregar información financiera.
Pegar una conversación con un cliente.
Solicitar a una herramienta que analice información comercial sensible.
Cada una de estas acciones puede parecer inocente.
Incluso puede parecer productiva.
Y precisamente allí está el problema.
La inteligencia artificial ofrece beneficios extraordinarios cuando se utiliza correctamente. Nosotros mismos promovemos su adopción funcional en las organizaciones.
Pero adoptar inteligencia artificial no significa abrir indiscriminadamente las puertas de la información empresarial.
La investigación mexicana citada por ComputerWeekly ofrece un ejemplo ilustrativo: el estudio reportó que el 65 % de los adultos encuestados había compartido o considerado compartir alguna información sensible con herramientas de IA; también registró casos relacionados con documentos laborales y hojas de vida. La encuesta fue realizada en México a 1.000 adultos entre mayo y junio de 2026, por lo que debe entenderse dentro de ese contexto y no como una medición de Colombia.
Lo relevante para una empresa colombiana no es trasladar ese porcentaje.
Lo relevante es hacerse una pregunta:
¿Sabemos qué información de nuestra organización están introduciendo hoy nuestros colaboradores en herramientas de inteligencia artificial?
Si la respuesta es “no sabemos”, tenemos un problema de gobierno de información.
Prohibir la inteligencia artificial tampoco resuelve el problema
Aquí podemos cometer el error contrario.
Frente al riesgo, algunas organizaciones pueden pensar:
“Entonces prohibamos utilizar inteligencia artificial.”
No considero que esa sea una estrategia sostenible.
Cuando una tecnología mejora significativamente determinadas actividades, una prohibición absoluta suele producir un fenómeno peligroso: el uso continúa, pero se vuelve invisible para la organización.
El colaborador utiliza su cuenta personal.
Consulta desde su teléfono.
Copia fragmentos de información.
Sube documentos fuera del entorno corporativo.
Y la empresa pierde todavía más capacidad de gobierno.
La respuesta madura no consiste en escoger entre utilizar IA o proteger los datos.
Consiste en aprender a hacer ambas cosas.
Ese es precisamente uno de los desafíos empresariales de esta década.
Primero clasificar, después compartir
Una organización difícilmente puede proteger aquello que nunca ha identificado.
Por eso, antes de discutir qué chatbot puede utilizar cada empleado, deberíamos responder preguntas más básicas.
¿Qué información maneja la organización?
¿Qué información es pública?
¿Cuál es interna?
¿Cuál es confidencial?
¿Cuál contiene datos personales?
¿Cuál contiene datos sensibles?
¿Qué información pertenece a clientes?
¿Cuál pertenece a proveedores?
¿Cuál constituye conocimiento estratégico?
¿Cuáles documentos podrían introducirse en determinadas herramientas?
¿Cuáles deberían anonimizarse previamente?
¿Cuáles sencillamente no deberían salir de determinados sistemas?
La clasificación convierte una recomendación abstracta como “tenga cuidado con la información” en decisiones concretas.
Y eso es mucho más útil.
Porque decirle a un colaborador “no comparta información confidencial” sirve de poco si nunca le hemos enseñado qué considera la empresa como confidencial.
La inteligencia artificial también es un asunto de protección de datos
En Colombia, esta conversación adquiere otra dimensión.
Cuando la información introducida en una herramienta contiene datos personales, ya no estamos hablando solamente de productividad o ciberseguridad.
Estamos entrando en el terreno de la protección de datos personales.
Una organización debe conocer qué datos trata, con qué finalidad, bajo qué condiciones, quién accede a ellos y qué terceros participan en su tratamiento.
La aparición de nuevas herramientas no elimina esas responsabilidades.
Las hace más importantes.
Por eso considero que la adopción de IA y la protección de datos no deberían administrarse como dos proyectos completamente separados.
Necesitamos conectarlos.
Una empresa puede tener una política de tratamiento de información perfectamente redactada y, simultáneamente, permitir prácticas cotidianas que nunca fueron contempladas cuando esa política fue diseñada.
Allí aparece la distancia entre tener documentos de cumplimiento y desarrollar una verdadera cultura de protección de datos.
Una política guardada en una carpeta no protege información.
Las decisiones cotidianas sí.
El nuevo principio: verificar antes de ejecutar
Frente a contenidos sintéticos cada vez más convincentes, las empresas deberían introducir un principio sencillo:
la identidad aparente no debe sustituir el procedimiento.
Si una operación financiera requiere determinada autorización, debe conservarla aunque quien llame parezca ser el gerente.
Si se solicita información confidencial, debe existir un mecanismo de validación.
Si cambia una cuenta bancaria de un proveedor, debe confirmarse mediante un procedimiento previamente definido.
Si una persona solicita credenciales, códigos o información sensible mediante un canal extraordinario, la urgencia no debería eliminar los controles.
Esto puede parecer burocracia.
No necesariamente.
Un buen control no debe paralizar la empresa.
Debe proteger las decisiones críticas sin dificultar innecesariamente las actividades normales.
Eso exige diseño organizacional.
Y allí es donde la seguridad deja de ser simplemente una colección de programas informáticos y comienza a convertirse en arquitectura empresarial.
Si desea revisar cómo se conectan protección de datos, inteligencia artificial, procesos, personas y tecnología dentro de su organización, podemos analizarlo desde una perspectiva funcional.
https://t.mtrbio.com/todo-en-unonet
La urgencia se está convirtiendo en una herramienta de ingeniería social
Hay algo que la inteligencia artificial no inventó: nuestra psicología.
Los fraudes tradicionales llevan décadas explotando miedo, autoridad, curiosidad, oportunidad y urgencia.
La IA simplemente puede hacer más convincente el escenario.
ComputerWeekly recoge, a partir del estudio de Avast en México, que las personas continúan ignorando señales como ofertas demasiado buenas para ser verdad, solicitudes de datos “solo para confirmar” o presiones para actuar rápidamente.
Esto debería interesar especialmente a gerentes y empresarios.
Porque una empresa puede tener excelentes controles tecnológicos y continuar siendo vulnerable si su cultura premia obedecer rápidamente sin verificar.
Pensemos en expresiones empresariales frecuentes:
“Necesito esto inmediatamente.”
“No hay tiempo para el procedimiento.”
“Hágalo y después miramos.”
“Yo respondo.”
“Es una orden de gerencia.”
Ese tipo de cultura puede convertirse en terreno fértil para la suplantación.
Una organización segura necesita permitir que un colaborador pueda decir:
“Antes de realizar esta operación debo verificarla.”
Eso no es desobediencia.
Es control organizacional.
Capacitar ya no puede significar mostrar ejemplos de fraude
Muchas capacitaciones de seguridad funcionan así:
se presenta un correo falso;
se muestran señales;
se explica qué hizo mal la víctima;
se entregan recomendaciones;
termina la capacitación.
Necesitamos evolucionar.
La capacitación debería colocar a las personas frente a decisiones.
¿Qué haría usted si recibe una llamada aparentemente auténtica del gerente solicitando una transferencia urgente?
¿Qué información puede introducir en una herramienta de IA?
¿Qué debe hacer antes de cargar un documento?
¿Cómo verifica la identidad de alguien que solicita información?
¿A quién reporta un incidente?
¿Qué sucede si ya compartió accidentalmente información?
¿Qué debe hacer si recibe una solicitud fuera del procedimiento habitual?
Las personas aprenden mejor cuando entienden cómo actuar dentro de situaciones reales.
La cultura de protección no consiste en memorizar amenazas.
Consiste en desarrollar criterio.
También debemos revisar nuestra exposición pública
Existe otra dimensión que muchas organizaciones están ignorando.
¿Cuánta información publicamos voluntariamente?
En páginas web aparecen nombres de directivos.
En LinkedIn aparecen cargos.
En redes sociales mostramos reuniones.
Publicamos fotografías.
Compartimos eventos.
Subimos entrevistas.
Publicamos videos de gerentes hablando durante varios minutos.
Mostramos proveedores, clientes, instalaciones, viajes y proyectos.
Nada de esto significa que debamos desaparecer de internet.
Una organización necesita presencia digital.
Pero necesitamos comprender que nuestra huella digital también puede convertirse en materia prima para intentos de suplantación e ingeniería social.
La solución no consiste en dejar de comunicar.
Consiste en comunicar con criterio.
Otra vez aparece el mismo principio:
no se trata de rechazar la tecnología, sino de comprender funcionalmente sus consecuencias.
La empresa necesita pasar de seguridad reactiva a confianza diseñada
Durante mucho tiempo reaccionamos después del incidente.
Ocurre el fraude.
Entonces revisamos.
Se filtra información.
Entonces capacitamos.
Alguien comparte una contraseña.
Entonces modificamos el procedimiento.
La inteligencia artificial nos obliga a adelantarnos.
Debemos diseñar confianza.
Eso significa construir una organización donde personas, procesos, tecnología y protección de datos funcionen coordinadamente.
Una Arquitectura de Protección de Datos y Confianza Digital (APDP) debería permitir precisamente eso: pasar de documentos aislados y controles reactivos a una estructura donde la información tenga reglas claras durante todo su ciclo de vida.
No comienza comprando una herramienta.
Comienza comprendiendo la organización.
Qué datos existen.
Dónde están.
Quién los utiliza.
Por qué los necesita.
Con quién se comparten.
Qué tecnologías intervienen.
Qué riesgos existen.
Qué controles son proporcionales.
Cómo se verifica una identidad.
Cómo se gestiona un incidente.
Cómo se capacita a las personas.
Cómo se evidencia el cumplimiento.
Y cómo se revisa periódicamente todo lo anterior.
Porque el entorno seguirá cambiando.
Detectar deepfakes será útil, pero no suficiente
Ya existen soluciones tecnológicas diseñadas para ayudar a identificar contenido sintético. Avast, por ejemplo, dispone de herramientas que analizan audio y video para advertir sobre posibles deepfakes y estafas.
Son mecanismos útiles dentro de una estrategia de protección.
Pero ninguna herramienta debería convertirse en nuestra única defensa.
Porque incluso suponiendo que pudiéramos detectar perfectamente cada deepfake, todavía tendríamos que resolver el problema anterior:
¿cómo estamos protegiendo los datos verdaderos?
La fotografía verdadera.
La voz verdadera.
El documento verdadero.
La base de datos verdadera.
La conversación verdadera.
La información financiera verdadera.
Los datos personales verdaderos.
Ese es el cambio de perspectiva que considero necesario.
Estamos demasiado concentrados en descubrir lo falso y todavía demasiado poco concentrados en gobernar lo verdadero.
La pregunta que debería hacer hoy un gerente
No es:
“¿Mis empleados saben detectar un deepfake?”
La pregunta debería ser mucho más amplia:
“¿Nuestra organización sabe proteger la información en un mundo donde la inteligencia artificial puede utilizarla, transformarla, combinarla y convertirla en algo que parece auténtico?”
Responderla obliga a conectar administración, tecnología, protección de datos, seguridad, inteligencia artificial y cultura organizacional.
Exactamente por eso este problema no debería quedarse exclusivamente en manos del departamento de sistemas.
Es una responsabilidad empresarial.
Gerencia debe participar.
Talento humano debe participar.
Jurídica debe participar.
Tecnología debe participar.
Los responsables de protección de datos deben participar.
Y cada colaborador debe comprender su papel.
La ventaja competitiva será la confianza
Hay una paradoja interesante.
Mientras más fácil resulte fabricar contenidos convincentes, mayor valor tendrá poder demostrar autenticidad.
Mientras aumente la incertidumbre digital, más importante será la confianza.
Y las organizaciones que comprendan esto no verán la protección de datos simplemente como una obligación jurídica.
La entenderán como un activo empresarial.
Un cliente quiere saber que su información será protegida.
Un proveedor necesita confiar en los canales mediante los cuales recibe instrucciones.
Un empleado necesita saber qué puede hacer con las herramientas digitales.
Un gerente necesita confiar en que una orden crítica será validada correctamente.
La confianza digital terminará formando parte de la reputación empresarial.
No podremos improvisarla cuando ocurra un incidente.
Debemos construirla antes.
La tecnología cambia; nuestra responsabilidad permanece
Los deepfakes serán mejores.
Las herramientas de detección también mejorarán.
Después aparecerán nuevas formas de manipulación.
Y nuevamente desarrollaremos mecanismos para enfrentarlas.
Esa carrera tecnológica continuará.
Por eso una empresa no puede construir su seguridad alrededor de la herramienta de moda.
Debe construirla alrededor de principios.
Minimización de información.
Finalidades claras.
Accesos controlados.
Verificación.
Trazabilidad.
Responsabilidad.
Capacitación.
Gestión del riesgo.
Protección de datos desde el diseño.
Y criterio humano.
Esos principios sobreviven a los cambios tecnológicos.
Ese es precisamente el sentido de una Arquitectura de Protección de Datos y Confianza Digital: conseguir que la organización pueda incorporar nuevas tecnologías sin abandonar los principios que protegen a las personas, la información y el negocio.
Antes de preguntarnos si algo es falso, protejamos lo verdadero
Quizás esa sea la reflexión más importante.
Estamos entrando en una época donde nuestros ojos y nuestros oídos dejarán de ser mecanismos suficientes para comprobar la realidad digital.
Eso puede generar miedo.
No debería.
Debería generar mejores procesos.
No necesitamos convertir a cada colaborador en especialista en inteligencia artificial.
Necesitamos organizaciones capaces de pensar antes de compartir, verificar antes de ejecutar y proteger antes de lamentar.
Porque detrás de cada deepfake existe una pregunta mucho más profunda sobre nuestra relación con los datos.
¿Qué entregamos?
¿A quién?
¿Para qué?
¿Durante cuánto tiempo?
¿Bajo qué condiciones?
¿Quién puede reutilizarlo?
¿Podemos controlarlo después?
Cuando una empresa comienza a hacerse esas preguntas, deja de reaccionar ante la tecnología y comienza a gobernarla.
Y esa diferencia será cada vez más importante.
En TODO EN UNO.NET llevamos años sosteniendo que la tecnología solamente adquiere verdadero sentido cuando responde a una necesidad funcional. La inteligencia artificial no modifica ese principio; lo hace todavía más necesario.
Si su empresa está utilizando inteligencia artificial, compartiendo información mediante nuevas plataformas o revisando sus políticas de protección de datos, este es un buen momento para evaluar si sus procesos actuales realmente corresponden al nuevo entorno digital.
https://t.mtrbio.com/todo-en-unonet
La próxima amenaza probablemente no llegará anunciándose como amenaza.
Puede tener el rostro de alguien conocido.
Puede hablar con una voz familiar.
Puede aparecer dentro de una herramienta que utilizamos todos los días.
Por eso nuestra defensa no puede depender exclusivamente de descubrir qué es falso.
Debe comenzar mucho antes:
protegiendo correctamente aquello que es verdadero.
Arquitectura: Arquitectura de Protección de Datos y Confianza Digital (APDP).