La adopción de la IA en el sector industrial avanza más rápido que la supervisión de seguridad en los entornos operativos.
Los adversarios cibernéticos respaldados por Estados ya están cartografiando los bucles de control físicos para atacar infraestructuras críticas.
Las organizaciones deben establecer una gobernanza estricta de la IA y visibilidad operativa antes de que se amplíen los puntos ciegos.
En los sectores industrial y de infraestructura crítica, nos apresuramos hacia un futuro impulsado por la IA, con enormes promesas de eficiencia, optimización y ventaja competitiva. Pero no estamos abordando los riesgos que la IA plantea para los sistemas industriales que hacen posible la vida moderna.
La ciberseguridad de las TI empresariales y de los propios modelos de IA está recibiendo atención, pero el análisis de cómo afecta la IA a la seguridad y la resiliencia de los entornos operativos va muy rezagado. No puede haber una revolución de la IA sin energía e infraestructura; tampoco es posible mantener durante mucho tiempo la energía y la infraestructura sin ciberseguridad de la tecnología operativa (OT).
Las conclusiones del Informe sobre ciberseguridad de OT/ICS 2026 de Dragosconfirman una cruda realidad: los adversarios ya operan dentro de entornos industriales que no los supervisan. La adopción de la IA hará mucho más difícil resolver ese problema de visibilidad.
Por qué el cambio se acelera a medida que evoluciona la OT
En los últimos 40 años, los entornos de OT han evolucionado de controles mecánicos a sistemas digitales; en los últimos 30 años, de redes aisladas a infraestructuras conectadas por IP; y en los últimos 20 años, a entornos complejos de automatización compuestos por dispositivos de OT, TI e Internet de las cosas (IoT).
En la última década, esta evolución se ha acelerado drásticamente. La transformación digital ha aportado enormes beneficios de eficiencia, pero también ha creado nuevas superficies de ataque y dependencias que aún no hemos protegido adecuadamente.
Ahora entramos en la siguiente fase: la integración de la IA en la OT. Por desgracia, la adopción avanza más rápido que nuestra capacidad para gestionar los riesgos.
La IA se incorpora al bucle de control
Las plantas de fabricación, las redes eléctricas, los centros de datos y otras organizaciones con procesos físicos están trasladando la IA de funciones de apoyo al bucle de control y aprovechando la capacidad fundamental de estos sistemas para influir en el mundo físico. Los primeros en adoptarla están implementando aplicaciones, controladores y software de IA en sus operaciones. Algunos exploran la IA agéntica en parques de baterías, solares y eólicos, en la minería y en otras infraestructuras críticas.
Los consejos de administración, los directivos y los inversores están impulsando la adopción. El resultado es presión sobre los plazos de prueba y validación, menos escrutinio de los nuevos proveedores y una complejidad mayor que la que estos entornos habían gestionado hasta ahora.
El panorama de amenazas no espera
Nuestro Informe sobre ciberseguridad de OT/ICS 2026 reveló que los adversarios que atacan entornos de OT han superado un umbral significativo. Varios grupos de amenazas vinculados a organizaciones estatales y delictivas de todo el mundo comenzaron a cartografiar activamente los bucles de control: identificaron estaciones de trabajo de ingeniería, exfiltraron archivos de configuración y datos de alarmas, y aprendieron lo suficiente sobre el funcionamiento de los procesos físicos como para interrumpirlos. Entre esos grupos estaban ELECTRUM y KAMACITE.
KAMACITE pasó meses cartografiando sistemáticamente los bucles de control de la infraestructura estadounidense. ELECTRUM, el grupo responsable de los ataques a la red eléctrica ucraniana de 2015 y 2016, lleva una década perfeccionando sus capacidades contra objetivos ucranianos. Una vez adquirida, esa experiencia no queda confinada a una sola región. En diciembre de 2025, ELECTRUM atacó Polonia y llevó a cabo el primer ciberataque coordinado de gran escala del mundo contra recursos energéticos distribuidos, incluidos los sistemas de gestión de energías renovables, que representan precisamente la infraestructura que se pretende optimizar con la IA.
Cuando algo falla en un entorno de OT, ya sea por un ciberataque, una avería o un error operativo, las organizaciones necesitan poder realizar un análisis de la causa raíz. Demasiadas no pueden hacerlo. O bien dependen de una supervisión de TI que no abarca la OT, o bien han invertido tan poco en la visibilidad de OT que, cuando ocurre un incidente, no pueden determinar qué pasó, cuándo ni por qué.
La adopción de la IA agrava este problema al añadir capas de toma de decisiones autónoma a entornos que ya carecen de visibilidad.
Dos escenarios de fallos que requieren atención inmediata
A medida que las organizaciones integran la toma de decisiones autónoma en las infraestructuras críticas, dos escenarios de riesgo emergentes ponen de relieve por qué la visibilidad y la resiliencia deben preceder al despliegue rápido.
Escenario de riesgo uno: las tecnologías y los datos de IA desaparecen tras un reajuste del mercado.
Es probable que en algún momento se produzca una corrección del mercado de la IA. ¿Qué ocurrirá con sus operaciones si una aplicación de IA o los datos asociados dejan de estar disponibles de la noche a la mañana? Las organizaciones deben preguntarse ahora: ¿qué garantías y compromisos de continuidad ofrecen los proveedores de IA? ¿Pueden operar manualmente o con sistemas heredados si la IA deja de estar disponible? El ritmo de adopción puede hacer que las organizaciones dependan de sistemas que desaparezcan de repente.
Escenario de riesgo dos: los puntos ciegos de la IA impiden analizar la causa raíz.
A medida que la IA vuelve más complejos los entornos operativos, entender qué ocurre en los sistemas se vuelve exponencialmente más difícil. Ya sea por un ciberataque, una avería o un error operativo, las organizaciones necesitan datos recopilados en los entornos operativos para respaldar el análisis de la causa raíz después de un incidente. Ya vemos esta carencia en los entornos actuales. La adopción de la IA agravará drásticamente el problema para las organizaciones que no cuenten con una supervisión adecuada.
Qué deben hacer ahora las organizaciones
En primer lugar, las organizaciones deben establecer una gobernanza para la adopción de la IA que aplique el mismo rigor en las pruebas, la validación y la evaluación continua que históricamente han aplicado a los sistemas de control. Los líderes deben comprender el riesgo de permitir que la presión competitiva prevalezca sobre la disciplina de ingeniería que ha mantenido las operaciones seguras.
En segundo lugar, las organizaciones deben implementar ahora visibilidad y supervisión nativas de OT, antes de que la adopción de la IA acelere aún más la complejidad. Los datos de nuestro informe mostraron que las organizaciones industriales con una visibilidad integral de OT detectaron y contuvieron los incidentes de ransomware en un promedio de cinco días, frente al promedio de 42 días del sector en su conjunto. Los equipos de defensa no pueden mitigar adecuadamente las amenazas que no ven, ni pueden los equipos de seguridad investigar incidentes que nunca se registraron. Las brechas de visibilidad no hacen más que crecer a medida que la IA aumenta la complejidad.
En tercer lugar, hay que planificar para los fallos entendiendo los escenarios de amenazas que ya se están produciendo. Documente las dependencias de la IA. Comprenda qué ocurre si falla un sistema o proveedor. Mantenga la capacidad de operar sin IA cuando sea necesario.
Es posible defenderse
Sabemos cómo proteger sistemas industriales complejos. Existen el talento y la tecnología necesarios. Los países pueden coordinarse para proteger a la población civil, las familias y las infraestructuras compartidas.
Se necesita conciencia de que este es un problema, diálogo para abordarlo entre organizaciones y sectores, y acción para implementar las salvaguardas adecuadas.
La presión para innovar con IA es real y no hará más que intensificarse. Pero las organizaciones que tengan éxito a largo plazo serán las que se preparen de antemano.
