La Agencia Española de Protección de Datos (AEPD) ha alertado sobre los nuevos riesgos que plantea el uso de la inteligencia artificial (IA) por parte de los ciberdelincuentes, una tecnología que está transformando la naturaleza de los ciberataques y reduciendo considerablemente el tiempo del que disponen las organizaciones para detectar y responder a las amenazas.
En un análisis publicado bajo el título «IA ofensiva: cuando la inteligencia artificial acelera el riesgo para la protección de datos», la Agencia advierte de que los sistemas de IA, especialmente los denominados agentes inteligentes, permiten automatizar distintas fases de un ataque informático, identificar vulnerabilidades y acceder a información sensible con una rapidez hasta ahora difícil de alcanzar.
Esta evolución supone un desafío para empresas, administraciones públicas y organizaciones que gestionan información personal, ya que obliga a revisar sus estrategias de protección y respuesta ante incidentes de seguridad.
Los ciberataques pueden comprometer datos en cuestión de minutos
Uno de los principales riesgos identificados por la AEPD es la reducción de la denominada «ventana de exposición», el periodo comprendido entre el descubrimiento de una vulnerabilidad informática y su explotación por parte de los atacantes.
La utilización de inteligencia artificial permite analizar sistemas completos, detectar fallos de seguridad y aprovecharlos de forma automatizada, reduciendo potencialmente a minutos el tiempo necesario para acceder a información y extraer datos confidenciales.
Según señala la Agencia en su análisis de septiembre de 2026, las notificaciones de brechas de datos personales habían aumentado un 150 % respecto a 2025, una situación que pone de manifiesto la necesidad de reforzar los mecanismos de prevención.
Además, el organismo advierte de que el problema no se limita a la aparición de nuevas herramientas para los ciberdelincuentes, sino que también responde a debilidades estructurales de los sistemas tecnológicos, como la utilización de aplicaciones desactualizadas, la falta de controles de seguridad o la excesiva dependencia de determinados proveedores.
La prevención y la protección de los datos, prioridades para las empresas
Ante este escenario, la AEPD plantea una serie de actuaciones que las organizaciones deberían incorporar a sus estrategias de ciberseguridad para reducir los riesgos y limitar las consecuencias de posibles ataques.
Entre las principales recomendaciones destacan:
- Reforzar los sistemas de autenticación, mediante mecanismos multifactor resistentes a técnicas de suplantación de identidad.
- Limitar los permisos de acceso, garantizando que cada usuario disponga únicamente de los privilegios necesarios para desarrollar su actividad.
- Reducir la exposición de los sistemas a internet y proteger especialmente las infraestructuras y servicios críticos.
- Revisar la gestión de los datos personales, eliminando aquella información que ya no resulte necesaria o haya superado los plazos legales de conservación.
- Disponer de copias de seguridad fiables y comprobar periódicamente que permiten recuperar la información y restablecer los servicios.
- Establecer procedimientos de respuesta ante incidentes, que permitan detectar rápidamente los ataques, evaluar sus consecuencias y realizar las notificaciones correspondientes.
La Agencia también destaca la importancia de incorporar supervisión humana en los procesos automatizados y mejorar la coordinación entre los responsables de seguridad informática y de protección de datos. Más allá de las medidas inmediatas, la AEPD considera necesario abordar cambios estructurales en la forma en que se diseñan, desarrollan y gestionan los sistemas digitales.
En este sentido, defiende la incorporación de criterios de seguridad desde las primeras fases de cualquier proyecto tecnológico, así como la realización de pruebas, auditorías y evaluaciones de riesgos durante todo su ciclo de vida. Asimismo, subraya la necesidad de mejorar la formación de quienes toman decisiones estratégicas en las organizaciones, para que conozcan las capacidades y limitaciones de las tecnologías que utilizan y puedan valorar adecuadamente los riesgos asociados.
Otro de los aspectos destacados es la importancia de contar con planes de contingencia que permitan mantener los procesos esenciales de la actividad empresarial ante un ciberataque, una interrupción de los servicios digitales o un fallo de los proveedores tecnológicos.
La expansión de la inteligencia artificial en el ámbito de la ciberdelincuencia supone un desafío especialmente relevante para las pequeñas y medianas empresas y los profesionales autónomos, que deben proteger sus sistemas, información empresarial y datos de clientes y trabajadores.mLa creciente digitalización de los procesos productivos, administrativos y comerciales hace necesario que la ciberseguridad se integre en la gestión habitual de las organizaciones, con independencia de su tamaño o sector de actividad.
En este contexto, la prevención, la formación, el control de accesos y la capacidad de recuperación ante incidentes se convierten en elementos esenciales para garantizar la continuidad del negocio.
