Ocho de cada diez empresas de la cartera de clientes de esta compañía española, especializada en el diseño e integración de soluciones de IA para empresas, no cuentan con protocolos de ciberseguridad para sus proyectos de inteligencia artificial. Entre las prácticas que identifica está dar por hecho que las políticas tradicionales bastan para proteger también un modelo de lenguaje o un agente de IA. La advertencia se refiere tanto a la protección de estos sistemas como al uso que hace de ellos la plantilla y a la seguridad del software desarrollado con su ayuda.
El problema empieza, en ocasiones, antes de que exista un proyecto corporativo supervisado. La nota recoge un estudio de Cegid según el cual ocho de cada diez empleados españoles que ya utilizan IA en su trabajo han recurrido a herramientas no facilitadas por su empresa sin comunicarlo. Otro análisis, de VML The Cocktail y Salesforce, sitúa en seis de cada diez la proporción de quienes la usan sin directrices ni supervisión corporativa. En ese uso al margen del control de la organización, la consultora advierte del riesgo de compartir contratos, datos de clientes o código propio. A ello se suma el desconocimiento sobre el recorrido de la información: según un estudio de Red Hat citado en el comunicado, solo el 30 % de las empresas españolas sabe con exactitud dónde se almacenan y procesan los datos utilizados por sus sistemas de IA.
La falta de trazabilidad también puede impedir explicar por qué una herramienta ofreció una respuesta concreta o de dónde obtuvo un dato. Cuando se despliegan agentes conectados a sistemas críticos, el análisis señala otro foco de riesgo: concederles permisos excesivos sin vigilancia. El robo de claves de acceso a servicios de IA puede, por su parte, permitir un uso no autorizado que eleve las facturas en cuestión de horas. Son problemas que, según la compañía, aparecen en organizaciones de distintos tamaños y sectores.
Luis Bravo, responsable de seguridad de la información de la consultora, vincula parte de estas carencias con la presión por obtener resultados: «Aún hay muchas compañías que, al tratar de acelerar los proyectos para ver resultados pronto, introducen la seguridad a mitad del camino, cuando debería estar desde el diseño». También señala la situación inversa: proyectos que se frenan por el temor a implantar una tecnología cuya seguridad genera dudas. A su juicio, ambos escenarios conviven con una mayor concienciación empresarial, impulsada también por normativas como el AI Act, DORA o NIS2.
En el desarrollo de software, que el código generado con IA funcione puede llevar a reducir las revisiones necesarias. En dos de cada diez auditorías realizadas por el equipo de la consultora sobre programas previamente desarrollados con esta tecnología se detecta al menos una vulnerabilidad o una credencial expuesta. La nota cita además el informe GenAI Code Security 2025, de Veracode: el 45 % de las muestras de código generadas por más de cien modelos de IA no supera las pruebas de seguridad. Ambos porcentajes corresponden a análisis distintos.
El comunicado recoge asimismo casos en los que la IA recomienda paquetes de software inexistentes. Los ciberdelincuentes registran después esos nombres e incorporan código malicioso para infectar a quienes los utilicen.
Para abordar estos riesgos, la empresa describe un sistema propio de revisión durante todo el ciclo de desarrollo, con monitorización continua para detectar, entre otros problemas, contraseñas o claves incluidas en el código y datos personales protegidos por el RGPD. Antes de poner un agente en producción, lo somete además a ataques controlados en un entorno aislado para comprobar su respuesta ante intentos de manipulación, como la inyección de instrucciones, y usos indebidos de sus permisos.
Artículo redactado con asistencia de IA (Ref. APA: OpenAI. (2026). ChatGPT (versión no especificada, 3 de noviembre)).
Referencias consultadas:
- Cegid / OpinionWay (2026). El momento de la verdad de la IA en la empresa. Comunicado oficial con resultados y metodología.
- VML The Cocktail y Salesforce (2025). Detectando las claves para el desarrollo de agentes de IA 2025. Nota de prensa sobre los resultados.
- Red Hat (2026). Securing the enterprise software supply chain in the AI era. Resultados regionales y metodología de la encuesta realizada por Censuswide.
- Europa Press / PortalTIC (2026). Solo el 30 % de las empresas españolas tiene visibilidad total de sus datos de IA, según informe de Red Hat. Información sobre los resultados españoles.
- Veracode (2025). GenAI Code Security Report 2025. Informe completo.
- Logixs (2026). Nota de prensa del 3 de noviembre de 2026. Fuente de los datos internos sobre su cartera de clientes y las auditorías realizadas por la compañía.
