La IA es un tema candente en los consejos de administración y en los equipos directivos de todo el mundo.
Los líderes empresariales a menudo desconocen los ciberriesgos a los que se enfrentan sus organizaciones al adoptar sistemas de IA.
Para maximizar los beneficios de adoptar o utilizar tecnologías de IA, los líderes empresariales deben impulsar sólidos sistemas de gobernanza de los ciberriesgos.
Dado que la IA domina los debates de los consejos de administración sobre las decisiones de inversión globales, los líderes empresariales a menudo desconocen los riesgos cibernéticos y digitales a los que se enfrentan sus organizaciones al adoptar sistemas de IA, así como las estrategias que deberían adoptar para mitigar estos riesgos.
Para seguir siendo competitivas, las organizaciones deben impulsar la innovación, incluido el uso de la IA como facilitador empresarial. Sin embargo, centrarse únicamente en las oportunidades de la IA sin abordar los ciberriesgos asociados deja a las organizaciones vulnerables. Es fundamental tener en cuenta el coste total de las soluciones de IA, incluidos los gastos relacionados con la seguridad. En lugar de frenar la innovación, los líderes en ciberseguridad deben subrayar la importancia de integrar la seguridad desde el diseño, implementar conjuntos adecuados de controles de ciberseguridad y contabilizar estos costes para preservar el valor empresarial.
Por ello, un enfoque integral para comprender la exposición a los ciberriesgos e implementar controles adecuados es crucial para materializar todos los beneficios de la IA.
Los riesgos y costes de la seguridad de la IA
Las tecnologías de IA amplían la superficie de ataque de una organización e introducen nuevos riesgos, como el envenenamiento de datos de entrenamiento y la inyección de prompts. Además, estas tecnologías abren nuevas vías para tipos de riesgo ya existentes: por ejemplo, la magnitud de las bases de datos de entrenamiento y prueba presenta riesgos de fuga de datos a gran escala
Otra consideración es que, además de las propiedades tradicionales de la ciberseguridad (confidencialidad, integridad y disponibilidad), la evaluación de los ciberriesgos impulsados por la IA puede requerir tener en cuenta factores como la fiabilidad y la explicabilidad de los resultados del modelo.
La comunidad empresarial ya comprende los tipos de daño que pueden derivarse de los ciberataques, como los daños físicos, financieros o reputacionales. La IA no introduce necesariamente nuevos tipos de daño para una organización en comparación con las taxonomías de daños cibernéticos existentes, sino que los amplifica, aumentando la probabilidad o la gravedad de estos daños existentes.
Los factores contextuales de cada empresa influyen en su ciberriesgo y lo determinan, y deben tenerse en cuenta al desarrollar estrategias de mitigación de riesgos de la IA. La relación entre las tecnologías de IA y los procesos empresariales influye claramente en el riesgo: las organizaciones que utilizan la IA para procesos empresariales críticos o que están vinculadas a infraestructuras críticas se enfrentan a mayores ciberriesgos debido al posible impacto de las interrupciones. El nivel de autonomía de los sistemas de IA también repercute en los riesgos; si bien los controles y contrapesos humanos pueden mitigar algunos riesgos, serán necesarias soluciones escalables para las implementaciones de IA cada vez mayores. Los sistemas de IA de alta autonomía incluso podrían convertirse en actores de amenazas por sí mismos. Además, el origen y la jurisdicción de la tecnología de IA pueden influir en las evaluaciones de riesgo.
Los atributos de la empresa también podrían repercutir en el riesgo y en las oportunidades de mitigación. Entre ellos figuran su tamaño, su disposición a adoptar tecnologías de forma temprana, su posición en la cadena de suministro de la IA (si crea y, potencialmente, suministra modelos de IA, o si es consumidora de productos y servicios) y el contexto nacional en el que opera (incluida la existencia de normativa pertinente y de un mercado de ciberseguridad).
Tomar decisiones informadas basadas en el riesgo sobre la adopción de la IA requiere una comprensión clara de sus beneficios frente a los posibles daños. Actualmente, existe falta de claridad sobre los verdaderos beneficios de la IA, ya que los casos de uso siguen desarrollándose y a menudo están impulsados por el evangelismo, lo que complica el análisis preciso de costes y beneficios.
Un enfoque holístico de los controles es clave
El mercado de herramientas para garantizar la adopción segura de la IA está en expansión, pero muchos controles siguen sin estar disponibles o resultan difíciles de implementar. La mayoría de las herramientas de seguridad de la IA son específicas para cada caso de uso, lo que refleja la diversidad de funcionalidades, entrenamiento y resultados de los modelos de IA, y dificulta establecer una base universal de controles.
Las organizaciones necesitan una amplia gama de controles de seguridad para la IA, incluidas herramientas para la explicabilidad y la trazabilidad de los resultados, la supervisión de la seguridad de los modelos de IA, directrices de red teaming, herramientas de recuperación para sistemas comprometidos, procesos de desmantelamiento y procedimientos de reversión (similares a un 'kill switch'). Los sistemas de IA también pueden requerir más supervisión humana que el software tradicional, dada la imprevisibilidad de los resultados de la IA.
Como en otros ámbitos de la ciberseguridad, la divergencia de los requisitos normativos entre jurisdicciones ya está generando desafíos de cumplimiento para las organizaciones multijurisdiccionales. Todavía no existe una estandarización respecto a la base de controles necesaria para mitigar los ciberriesgos relacionados con la adopción de la IA.
Comunicar eficazmente los riesgos
Los líderes en ciberseguridad deben centrarse en comunicar eficazmente los riesgos de seguridad de la IA a la empresa, ya que será clave para respaldar sus solicitudes de inversión. Los líderes empresariales necesitan entender cómo estos riesgos se vinculan con las prioridades empresariales. Por ello, es fundamental desarrollar una herramienta que facilite la comprensión de la exposición al riesgo de una organización, acompañada de una orientación clara sobre cómo comunicar esta información a los públicos pertinentes.
La adopción actual de la IA representa una gran oportunidad para que los líderes en ciberseguridad ayuden a las organizaciones a obtener valor empresarial de la tecnología, al tiempo que protegen sus operaciones frente a las ciberamenazas relacionadas.
El Foro Económico Mundial, a través de su Centro para la Ciberseguridad colabora con el Centro Global de Capacidad en Ciberseguridad, Universidad de Oxford, en la dirección de la iniciativa AI & Cyber: Balancing Risks and Rewards para orientar las estrategias y la toma de decisiones de los líderes mundiales en materia de riesgos y oportunidades cibernéticos en el contexto de la adopción de la IA. Este trabajo se desarrolla en colaboración con la AI Governance Alliance — lanzada en junio de 2023 — y que tiene como objetivo ofrecer orientación sobre el diseño, el desarrollo y el despliegue responsables de sistemas de inteligencia artificial. Puede leer más sobre su labor aquí.
