El factor humano emerge como una vulnerabilidad crítica. El 70% de los CISOs mexicanos identifica el riesgo humano como la mayor debilidad cibernética de su organización. En línea con esto, el 69% de los directivos de TI en México teme que los empleados utilicen la IA de forma inadecuada, exponiendo datos confidenciales. Estos temores están bien fundados: Guidance Research reporta que el 71% de las empresas en México prioriza la ciberseguridad ante el avance de la IA, pero la implementación práctica no siempre sigue el ritmo.
La situación se extiende más allá de México. El ESET Security Report Latinoamérica 2026 revela que el 56% de los profesionales consultados en la región cree que la IA facilitará ataques más sofisticados, y un 20% identifica los "deepfakes" como una amenaza relevante. Alarmantemente, solo el 40% de las organizaciones latinoamericanas cuenta con un marco interno para regular el uso de la IA.
En cuanto a la adopción, Minsait (a través de su Innovation Telescope – Zoom México 2025) observa que más del 60% de las empresas mexicanas aceleran su transformación digital y el 65% ya utiliza IA regularmente. Datos de OCP TECH, basados en informes de NTT DATA y Kaspersky, indican que el 86% de las empresas latinoamericanas ya emplea soluciones de IA, pero el 81% las percibe como una amenaza creciente. Lo más preocupante es que solo el 35% de estas empresas tiene protocolos específicos de ciberseguridad para IA, el 60% carece de backups especializados y un alarmante 70% del personal no ha sido capacitado en riesgos de seguridad. Finalmente, UNIAT y Strand Partners para AWS (2026) señalan que el 63% de las empresas mexicanas que emplean IA están en una etapa básica de adopción, mientras que solo el 13% utiliza sistemas avanzados, a pesar de que la tasa de adopción nacional pasó del 38% al 48%, superando los 2.5 millones de organizaciones.
Análisis de la tendencia
La tendencia es clara: la innovación impulsada por la IA avanza a una velocidad vertiginosa, mientras que la infraestructura de seguridad y la preparación del personal luchan por ponerse al día. Esta disonancia crea una "fragilidad" en la adopción de estas tecnologías, como advierte Ricardo Barragán de OCP TECH, que podría derivar en "crisis sistémicas" sin una gestión de riesgos sólida. La IA está redefiniendo fundamentalmente las responsabilidades del CISO, transformándolos de guardianes técnicos a facilitadores estratégicos que deben proteger el negocio mientras permiten la adopción segura y rápida de tecnologías transformadoras, según Patrick Joyce, Global Resident CISO de Proofpoint.
El riesgo humano es el eslabón más débil, una constante en ciberseguridad que se magnifica con la IA. La falta de capacitación adecuada, combinada con la facilidad de acceso a herramientas de IA generativa, aumenta la probabilidad de exposición de datos confidenciales o la creación involuntaria de vectores de ataque. Luis Isselin, Country Manager de Proofpoint México, subraya que, aunque la resiliencia cibernética mejora, los riesgos son cada vez más complejos y requieren reforzar la gobernanza, la visibilidad y los recursos para una adopción segura. Expertos como Miguel Ayala de DXC enfatizan la necesidad de una evaluación exhaustiva de los riesgos de seguridad que acompañan la integración de la IA, mientras que Fidel Delgado de Salles Sainz Grant Thornton recomienda a las empresas adquirir sus propios modelos de IA adaptados a su infraestructura, en lugar de depender únicamente de soluciones genéricas.
La "adopción superficial" de IA en México, destacada por Nicole Filippetti de UNIAT, se debe en gran parte a la escasez de talento especializado en ciberseguridad, IA y análisis de datos. Esto significa que muchas empresas están utilizando la IA sin comprender completamente sus implicaciones de seguridad, tratando a los agentes de IA como una extensión de las políticas para humanos en lugar de diseñar arquitecturas específicas para su funcionamiento, como señala Peter Kroll de Novacomp México.
Contexto regional
La situación en México es un microcosmos de una tendencia regional más amplia. El mercado latinoamericano de IA está en plena ebullición, valorado en US$ 4.710 millones en 2024 y con una proyección de alcanzar los US$ 30.200 millones en 2033. Las empresas de la región están ansiosas por aprovechar la IA para mejorar la eficiencia y la competitividad, lo que impulsa aún más la adopción.
Sin embargo, a nivel regulatorio, Latinoamérica carece de un marco legal unificado para la IA o la ciberseguridad similar al que existe en Europa. La regulación está evolucionando de manera dispersa: países como Perú y El Salvador ya cuentan con legislación vigente, mientras que economías clave como México, Brasil y Colombia están desarrollando sus propios marcos en discusión. Esta fragmentación presenta desafíos adicionales para las empresas que operan en múltiples países, ya que deben navegar por un complejo mosaico de normativas. Aún así, la IA ya está impactada por normativas existentes en áreas como protección de datos, consumo, laboral y ciberseguridad, lo que añade capas de complejidad a la gestión de riesgos.
Las empresas latinoamericanas en general están experimentando la misma brecha entre la ambición de IA y la capacidad de seguridad. La falta de políticas internas robustas para controlar el uso de la IA y la desconexión entre los controles de seguridad tradicionales y las capacidades de anticipación de amenazas son evidentes en toda la región, como lo demuestran los estudios de ESET y OCP TECH. La escasez de talento especializado no es solo un problema mexicano, sino un reto transversal para toda América Latina, lo que ralentiza la madurez de la ciberseguridad y la implementación segura de la IA.
Perspectiva a futuro
El camino a seguir para las empresas latinoamericanas y, en particular, para México, pasa por una inversión estratégica y sostenida en la ciberseguridad de la IA. La adopción de esta tecnología no disminuirá; por el contrario, se intensificará, haciendo que los riesgos sean aún más críticos. La clave será desarrollar capacidades de seguridad que no solo reaccionen a las amenazas, sino que las anticipen y las mitiguen de manera proactiva.
Esto implica una serie de acciones fundamentales: reforzar la capacitación del personal en el uso seguro de la IA, desarrollar protocolos de ciberseguridad específicos para los sistemas de IA, invertir en herramientas avanzadas de detección y respuesta de amenazas, y establecer marcos de gobernanza interna claros para el uso ético y seguro de la IA. Los CISOs deberán ser los arquitectos de estas estrategias, colaborando estrechamente con la alta dirección para asegurar que la seguridad sea una parte integral del ciclo de vida de la IA, desde su diseño hasta su implementación y operación.
La voz de expertos como Volker Türk, Alto Comisionado de la ONU para los Derechos Humanos, quien advierte que la IA avanzada progresa más rápido que las salvaguardias, subraya la urgencia de una acción internacional concertada. A nivel regional, esto se traduce en la necesidad de acelerar la creación de marcos regulatorios armonizados que fomenten la innovación responsable. La perspectiva a futuro es una de continua evolución, donde la seguridad no es un obstáculo, sino un habilitador esencial para que la Inteligencia Artificial alcance su máximo potencial de forma segura y beneficiosa para las empresas y la sociedad en general.
