La IA está remodelando el equilibrio de la ciberseguridad al acelerar la detección, explotación y corrección de vulnerabilidades. Frente a agentes autónomos capaces de actuar más rápido que los ciclos de supervisión humana, el Chief AI Officer se convierte en una función de gobernanza, doctrina y responsabilidad. Será él quien tendrá el difícil papel de pilotear lo que la máquina puede decidir por sí sola.
Hay una postura conveniente en el debate sobre la IA en la ciberseguridad: la del comentarista. Analizar anuncios, mapear riesgos, producir recomendaciones. Es útil, pero no suficiente.
Cuando eres un integrador y experto en ciberseguridad (cuando implementas concretamente soluciones CrowdStrike, Palo Alto Networks o Zscaler en los sistemas de información de grandes organizaciones), el debate sobre la IA no es teórico. Sucede en proyectos, en arquitecturas, en conversaciones con equipos de seguridad que deben decidir hoy qué confían a un agente automatizado y qué mantienen bajo supervisión humana. Es desde esta base que se escribe este texto.
La información filtrada sobre el modelo Claude Mythos de Anthropic borró 14.500 millones de dólares en capitalización de mercado. Los inversores liquidaron sus posiciones anticipándose a la obsolescencia de las soluciones de detección tradicionales ante un agente de IA capaz de detectar, explotar y corregir vulnerabilidades de forma autónoma.
Este movimiento del mercado merece ser leído con atención. No está diciendo que estos editores estén desactualizados, ya que sus hojas de ruta de IA son reales, su integración en las arquitecturas de seguridad sigue siendo estructurante y su capacidad para absorber esta transición es mucho más sólida de lo que sugiere el mercado de valores. Dice algo más fundamental: el modelo puramente heurístico de ciberseguridad, aquel que consiste en reconocer lo que ya hemos visto para bloquear lo que sucede, ya no puede ser el único eje de defensa.
La IA no cambia la naturaleza de los ataques. Cambia su ritmo.
En 2018, el tiempo promedio entre la divulgación de una vulnerabilidad y su explotación fue de 2,3 años. En 2025, fueron 23 días. En 2026, son las 8 de la noche. No es una progresión lineal. Esto supone un colapso de la ventana de reacción humana y, a su vez, una limitación de todas las arquitecturas de seguridad que dependen de un ciclo de actualización de firmas.
Es en este preciso contexto que el papel de Director de IA deja de ser un título organizacional y se convierte en una necesidad operativa.
¿Cuál no es el papel?
Muchas organizaciones están creando un puesto de director de IA para demostrar que se toman la IA en serio. Este es un error de categoría. No nombras a un director de TI para demostrar que usas computadoras.
La CAIO no es un evangelista interno responsable de explicar el aprendizaje automático a los comités. Tampoco es un director de proyectos cuya hoja de ruta se reduce a «implementar copilotos en herramientas empresariales».
Si estas dos configuraciones existen, producen principalmente paneles de comunicación interna y adopción, pero en ningún caso interesan a clientes, reguladores o inversores.
Lo que el puesto realmente requiere que hagas
La pregunta fundamental que la CAIO hace a una organización no es «¿cómo utilizar la IA?» » pero “¿cómo podemos seguir siendo responsables de la toma de decisiones cuando los sistemas actúan a una velocidad que los humanos no pueden supervisar en tiempo real? »
Esta es una pregunta radicalmente diferente. Afecta la arquitectura de las decisiones, la doctrina de uso de modelos, la cadena de responsabilidad en caso de un error independiente.
—> Primera obligación: mapear qué sistemas de IA están autorizados a decidir por sí solos.
Este no es un inventario de herramientas. Esta es una política de delegación. ¿Bajo qué condiciones puede un agente iniciar una respuesta a un incidente sin validación humana? ¿Hasta dónde puede llegar para aislar un punto final comprometido? ¿A quién se le notifica, y dentro de qué plazo, cuando cruzan un umbral de acción? Estas preguntas no tienen respuesta técnica. Tienen respuestas de gobernanza y deben decidirse antes del despliegue, no después del primer incidente.
En la práctica, en el ámbito de la integración, este trabajo de delimitación es lo que más frecuentemente falta. Los editores ofrecen capacidades. Los integradores los implementan. Pero la política de delegación, lo que la máquina puede hacer por sí sola, rara vez permanece formalizada al nivel necesario.
—> Segunda obligación: definir una doctrina para modelos especializados.
OpenAI acaba de lanzar GPT-5.4-Cyber, una semana después de que Claude Mythos Preview estuviera reservado para unos cincuenta socios seleccionados. Dos filosofías opuestas: restricción máxima versus verificación escalada. Ambos se basan en la misma apuesta: la IA ofensiva se generalizará, por lo que los defensores deberán estar equipados primero.
Esta apuesta, aunque razonable, no está exenta de riesgos. Ninguna de las empresas ha documentado aún su cumplimiento de la Ley de IA para el mercado europeo. Ninguno garantiza que sus modelos no serán utilizados en la ofensiva mediante desvío o escape. Por lo tanto, la cuestión de cuál integrar en un sistema de información crítico no es una cuestión de compra. Es una cuestión de doctrina soberana.
Los principales editores también participan en esta misma carrera: sus plataformas integran capacidades de razonamiento de IA que van mucho más allá de la detección de firmas. La cuestión para un jugador cibernético no es elegir entre editores históricos y nuevos modelos. Se trata de construir una doctrina que determine cómo coexisten estos ladrillos, en qué condiciones están autorizados a actuar y quién es responsable de ellos.
La CAIO es la única función cuyo mandato cubre explícitamente esta decisión.
—> Tercera obligación: construir una arquitectura de responsabilidad.
Cuando un agente autónomo de IA toma una mala decisión de seguridad, ¿quién responde? ¿No ante una auditoría interna sino ante el regulador, ante el cliente, ante un tribunal si es necesario?
Esta pregunta hoy no tiene una respuesta clara en casi todos los organigramas. El CIO cubre la infraestructura. El CISO cubre la defensa. El CDO cubre los datos. Ninguno de los tres tiene un mandato explícito sobre la gobernanza de modelos y la rendición de cuentas de acciones autónomas.
La Ley de IA obligará a las organizaciones a responder. La directiva NIS 2 también, en sectores críticos. La CAIO no está ahí para anticipar el cumplimiento; está ahí para que la respuesta esté anclada en la estrategia de la organización, no impuesta como una obligación regulatoria.
Qué significa esto para los inversores
La crisis bursátil provocada por Claude Mythos reveló una vulnerabilidad asimétrica que el mercado está empezando a valorar de otra manera: los enfoques heurísticos y basados en firmas ya no pueden, por sí solos, contrarrestar a los agentes de IA capaces de mutar, planificar y explotar dinámicamente fallas. Esto no significa que el valor de las editoriales históricas se esté evaporando. Esto significa que se mueve y se recompone. Las organizaciones que puedan gobernar arquitecturas híbridas, que combinen plataformas establecidas con capacidades de razonamiento de IA, serán las que crearán valor duradero. Quienes acumulan herramientas sin una doctrina de gobernanza están acumulando un riesgo sistémico silencioso.
La gobernanza de la IA no es un elemento ESG adicional. Es un factor de riesgo operativo directo, al igual que la resiliencia de las infraestructuras o la solidez de la cadena de subcontratación. Una organización que ha estructurado esta gobernanza con una CAIO cuyo mandato es preciso, documentado e integrado en el comité de gestión, reduce mecánicamente su exposición a incidentes de IA no supervisados, sanciones regulatorias y pérdida de confianza del cliente en caso de fallo de un sistema autónomo.
La verdadera pregunta que se plantea el mercado francés
Francia se encuentra entre los países europeos más afectados por los ciberataques.
El Estado acaba de publicar una hoja de ruta 2026-2027 que enumera, casi palabra por palabra, las mismas prioridades que las hojas de ruta anteriores. Esto no es casualidad: el problema no es el diagnóstico. Es la capacidad de ejecutar en un contexto donde el ritmo de la IA se está acelerando más rápido que el de las instituciones.
Los actores privados de la ciberseguridad francesa tienen una responsabilidad particular en esta transición. No agregando herramientas a arquitecturas ya complejas, sino ayudando a sus clientes a estructurar la gobernanza que da significado a estas herramientas.
Esto es precisamente lo que el título de Director de IA debería indicarle al mercado: el escuadrón no usa IA. El equipo lo gobierna. Para sus propias necesidades y las de sus clientes.
_________________________________
Par Omer Shala, Director de IA, Grupo de escuadrón.
____________________________
Lea también:
IA agente: la nueva era de la IA empresarial
La IA no va a acabar con las empresas de software. Pero redistribuirá todo el valor.
En 2026, el director ejecutivo se convertirá en director de IA
IA: es hora de pasar de la reflexión a la acción para construir las empresas del mañana
Cómo la IA está redefiniendo la innovación del software en las empresas
AI Factory, gobernanza, frugalidad: Sopra Steria Next presenta su hoja de ruta para alejarse de la “IA de espectáculo”
Vistas de publicaciones: 497
[
