Volver
Ciberseguridad
La IA también se cae: la resiliencia, el próximo gran reto de la ciberseguridad
6 min de lectura
Publicado el 15 de septiembre 2026
La reciente coincidencia de problemas de disponibilidad en varias de las principales plataformas de inteligencia artificial vuelve a poner sobre la mesa una cuestión que las organizaciones tendrán que abordar muy pronto: qué ocurre cuando los procesos empresariales empiezan a depender de una IA que, sencillamente, puede no estar disponible.
La inteligencia artificial se está incorporando a nuestras organizaciones a una velocidad difícil de comparar con cualquier otra transformación tecnológica reciente. En apenas unos años hemos pasado de experimentar con modelos generativos a integrarlos en procesos de desarrollo, atención al cliente, análisis de información, operaciones, automatización y, por supuesto, ciberseguridad.
Este mes hemos tenido un pequeño recordatorio de lo que esta dependencia puede significar.
Varias de las principales plataformas de inteligencia artificial registraron problemas de disponibilidad prácticamente al mismo tiempo. ChatGPT y Codex sufrieron incidencias reconocidas por OpenAI; Claude también experimentó problemas de infraestructura y Grok registró una interrupción relevante.
La coincidencia temporal generó rápidamente todo tipo de interpretaciones. Desde la existencia de una dependencia tecnológica común hasta la posibilidad de un incidente coordinado.
Por ahora, no existe evidencia pública que permita afirmar ninguna de esas hipótesis. Las explicaciones conocidas apuntan, de hecho, a problemas diferentes.
Pero quizá ésa no sea la cuestión más importante.
¿Estamos preparados para cuando la inteligencia artificial de la que dependen nuestros procesos simplemente deje de estar disponible?
De herramienta de productividad a infraestructura empresarial
Hasta hace relativamente poco, una caída de una plataforma de inteligencia artificial tenía un impacto limitado.
Un profesional no podía utilizar durante unas horas su asistente para redactar un documento, analizar información, generar código o realizar una consulta.
Era, fundamentalmente, un problema de productividad.
Pero estamos entrando rápidamente en una realidad diferente.
La IA empieza a integrarse dentro de aplicaciones, plataformas y procesos empresariales. Y la llegada de los agentes de inteligencia artificial acelerará todavía más esta transformación.
Los agentes no se limitarán a responder preguntas. Ejecutarán acciones, consultarán sistemas, analizarán información, tomarán determinadas decisiones y coordinarán procesos completos.
Esto significa que una indisponibilidad de la inteligencia artificial puede dejar de afectar únicamente al usuario para afectar directamente al proceso.
Y ahí cambia completamente la naturaleza del riesgo.
Pensemos, por ejemplo, en un centro de operaciones de ciberseguridad.
Los SOC están incorporando progresivamente inteligencia artificial para ayudar en el triaje de alertas, enriquecimiento de información, Threat Intelligence, investigación de incidentes, generación de consultas, análisis de vulnerabilidades o automatización de determinados procesos de respuesta.
Imaginemos ahora que una parte relevante de esa cadena depende de un determinado modelo de inteligencia artificial.
¿Qué ocurre si ese modelo deja de responder durante una hora? ¿Y durante cuatro? ¿Existe un modelo alternativo? ¿Puede continuar el proceso sin IA? ¿Sabemos qué funciones quedan degradadas? ¿Podemos recuperar las tareas que estaban siendo ejecutadas cuando se produjo la interrupción?
Estas preguntas, que hoy pueden parecer excesivamente técnicas, pronto serán preguntas de continuidad de negocio.
Una nueva dependencia tecnológica
Durante décadas hemos aprendido a diseñar arquitecturas pensando en la disponibilidad.
Redundamos centros de datos, comunicaciones, almacenamiento, sistemas críticos y proveedores cloud. Diseñamos planes de continuidad, recuperación ante desastres y mecanismos de contingencia.
Sin embargo, existe el riesgo de que estemos incorporando la inteligencia artificial dentro de procesos críticos sin aplicar todavía con suficiente madurez esos mismos principios.
Y el problema puede aumentar con las arquitecturas basadas en agentes.
Un agente puede depender de un modelo, pero también de APIs, bases de datos, herramientas externas, identidades, sistemas MCP y otros agentes.
La cadena tecnológica empieza a ser considerable.
Por tanto, ya no debemos preguntarnos únicamente si nuestro proveedor de inteligencia artificial está disponible.
Debemos entender qué ocurre con todo nuestro proceso cuando cualquiera de las dependencias que permiten operar a esa inteligencia artificial deja de estarlo.
La resiliencia debe diseñarse desde el principio.
Las dos conversaciones que ya tenemos
Desde la perspectiva de la ciberseguridad, hasta ahora estamos abordando principalmente dos grandes dimensiones de la inteligencia artificial.
La primera es Security for AI.
Es decir, cómo protegemos la propia inteligencia artificial.
Aquí aparecen cuestiones como la protección de modelos y datos, la seguridad de los agentes, las identidades máquina, las APIs, los prompts, las credenciales, las nuevas arquitecturas basadas en MCP o los riesgos derivados de conectar sistemas empresariales con modelos externos.
Es un territorio enorme que apenas estamos empezando a explorar.
La segunda dimensión es AI for Security.
Cómo utilizamos la inteligencia artificial para mejorar nuestra capacidad de ciberseguridad.
Las posibilidades son igualmente enormes.
Automatización del SOC, investigación de incidentes, Threat Intelligence, detección de amenazas, análisis de vulnerabilidades, generación y revisión de código, ofensiva, GRC o respuesta ante incidentes son algunas de las áreas que están experimentando una transformación acelerada.
Pero creo que debemos empezar a incorporar una tercera dimensión.
AI Resilience
Podríamos denominarla AI Resilience: la capacidad de nuestras organizaciones para mantener sus procesos cuando la inteligencia artificial que utilizan no está disponible o funciona de manera degradada.
Y probablemente será uno de los ámbitos que más evolucionará durante los próximos años.
Las arquitecturas empresariales tendrán que plantearse estrategias multi-modelo y, en determinados casos, multi-proveedor.
Si un proceso puede ejecutarse utilizando diferentes modelos, una indisponibilidad puntual de uno de ellos no debería necesariamente detenerlo.
También necesitaremos mecanismos de fallback capaces de redirigir determinadas operaciones hacia modelos alternativos.
Para algunas funciones críticas puede incluso tener sentido disponer de modelos locales que permitan mantener capacidades mínimas cuando los servicios externos no estén disponibles.
Pero la resiliencia no consiste únicamente en tener otro modelo preparado.
Necesitaremos observabilidad.
Las organizaciones deberán conocer en tiempo real qué agentes están funcionando, qué modelos están utilizando, qué dependencias tienen, qué operaciones están ejecutando y qué impacto puede tener la indisponibilidad de cualquiera de esos componentes.
También serán necesarios mecanismos de degradación controlada.
Un sistema debería saber qué funciones puede seguir ejecutando cuando pierde determinadas capacidades de inteligencia artificial y cuáles deben detenerse.
Y, por supuesto, seguirá existiendo algo que a veces olvidamos en plena carrera hacia la automatización: procedimientos alternativos de operación.
Porque automatizar un proceso no debería significar perder la capacidad de operarlo cuando la automatización falla.
El riesgo de concentración
Existe además otra cuestión que merece atención.
El mercado de los grandes modelos de inteligencia artificial está extraordinariamente concentrado.
Miles de empresas están construyendo aplicaciones, agentes y procesos sobre un número relativamente reducido de proveedores.
Esto genera enormes eficiencias, pero también crea nuevas formas de concentración tecnológica.
No es un fenómeno nuevo.
Ya lo hemos vivido con el cloud, las telecomunicaciones, determinados proveedores de software o algunas infraestructuras esenciales de Internet.
La diferencia es la velocidad.
Estamos introduciendo inteligencia artificial en procesos empresariales mucho más rápido de lo que tardamos en construir muchas de las arquitecturas tecnológicas anteriores.
Y esa velocidad puede hacer que primero creemos la dependencia y después pensemos en cómo gestionarla.
Deberíamos intentar hacerlo al revés.
De la disponibilidad tecnológica al riesgo empresarial
La inteligencia artificial está dejando progresivamente de ser simplemente una herramienta.
Se está convirtiendo en una nueva capa de infraestructura sobre la que construiremos procesos empresariales cada vez más importantes.
Y cuando una tecnología pasa a formar parte de la infraestructura de una organización, su disponibilidad deja de ser únicamente responsabilidad del departamento tecnológico.
Se convierte en riesgo empresarial.
Consejos de administración, responsables de riesgos, CIO, CISO y responsables de negocio tendrán que empezar a comprender qué procesos dependen de inteligencia artificial, cuál sería el impacto de su indisponibilidad y qué mecanismos existen para garantizar su continuidad.
Exactamente igual que hemos hecho durante años con otros servicios tecnológicos críticos.
Quizá dentro de unos años nos resulte extraño pensar que alguna vez desplegamos agentes de inteligencia artificial sin analizar previamente su continuidad.
La evolución natural de la ciberseguridad alrededor de la inteligencia artificial podría resumirse entonces en tres grandes dimensiones:
- Security for AI. Proteger la inteligencia artificial.
- AI for Security. Utilizar la inteligencia artificial para protegernos mejor.
- Y una tercera que empieza a ser imprescindible: AI Resilience. Garantizar que nuestras organizaciones puedan seguir funcionando cuando la inteligencia artificial también se detiene.
Porque la IA será cada vez más capaz. Pero seguirá siendo tecnología. Y toda tecnología, tarde o temprano, falla.
