Jim Richberg: la IA acelera el juego de la ciberseguridad, pero las empresas todavía no saben quién responderá cuando algo salga mal
- angiecantillo1
- hace 2 horas
- 4 min de lectura
El Director de Política Cibernética y CISO Global de Campo de Fortinet advierte que la adopción de inteligencia artificial está creando nuevas identidades no humanas, ampliando la superficie de ataque y abriendo vacíos de responsabilidad. Su recomendación es combinar automatización en tiempo real con supervisión humana y una gobernanza de IA que todavía no tiene un estándar universal.
La discusión sobre inteligencia artificial y ciberseguridad suele plantearse como una carrera: quién encontrará primero una vulnerabilidad, quién desarrollará antes un exploit o quién podrá responder más rápido a un ataque. Para Jim Richberg, Director de Política Cibernética y CISO Global de Campo de Fortinet, esa descripción es correcta, pero incompleta.
La IA no necesariamente cambia las reglas fundamentales del enfrentamiento. Lo que hace es comprimir los tiempos.
“Yo dividiría la pregunta en dos partes”, explica Richberg cuando se le plantea qué significa para una empresa defenderse de ataques cada vez más rápidos y automatizados. Una parte corresponde a los atacantes que utilizan IA y otra, diferente, al uso que las propias compañías hacen de esta tecnología.
La distinción es importante porque las respuestas también son distintas. Frente a adversarios que utilizan IA, las organizaciones necesitan apoyarse cada vez más en proveedores de ciberseguridad capaces de analizar grandes volúmenes de información y automatizar la defensa. Cuando el riesgo proviene de la propia adopción de IA, el problema deja de ser exclusivamente tecnológico y pasa a ser de gobierno corporativo.
“Ahí es donde las empresas necesitan implementar un proceso y un sistema de gobernanza de IA”, señala.
Richberg llega a esta conclusión desde una trayectoria que combina política pública, inteligencia y seguridad empresarial. Antes de incorporarse a Fortinet, fue National Intelligence Manager for Cyber en la comunidad de inteligencia estadounidense y participó en la implementación de la Comprehensive National Cybersecurity Initiative.
Actualmente lidera la política cibernética y es Global Field CISO de Fortinet.
En agosto de 2026, Fortinet lo presentó en Costa Rica como uno de los especialistas centrales de su CyberSec Summit, donde abordó precisamente los retos para construir seguridad y transparencia en el ecosistema de IA.
La mitad de las empresas podría estar adoptando IA sin una brújula
Uno de los datos que más preocupa a Richberg es la ausencia de estructuras formales para gobernar la inteligencia artificial.
“He visto datos que sugieren que casi la mitad de las organizaciones que están adoptando IA no cuentan con un modelo formal para gobernar esa adopción”, afirma. Según esos datos, las organizaciones sin procesos establecidos tienen muchas más probabilidades de enfrentar problemas relacionados con seguridad de los datos y privacidad.
El problema es que no existe todavía una receta universal. “Todavía no existe necesariamente un único modelo universal”, dice Richberg. Su recomendación es que las empresas elijan un modelo, aunque sepan que no será perfecto y que probablemente tendrá que evolucionar.
La gobernanza tampoco puede convertirse simplemente en una tarea adicional para el responsable de seguridad.
“Lo ideal es tener a alguien dedicado, una persona que viva y respire IA y que tenga la autoridad necesaria”, sostiene. Esa figura debería poder dialogar directamente con la junta directiva y la alta dirección, pero trabajar estrechamente con el CISO para evitar que las decisiones sobre IA queden desconectadas de los riesgos de seguridad.
Es un cambio relevante para las empresas. Durante años, la ciberseguridad se ocupó principalmente de proteger sistemas, redes, aplicaciones, dispositivos y datos. Con la llegada de los agentes de IA, aparece una nueva categoría de activos que puede tener permisos, credenciales y capacidad de ejecutar acciones.
El nuevo empleado que nadie puso en el organigrama
Richberg identifica uno de los problemas más silenciosos de la expansión de la IA: las identidades no humanas.
“Las personas crean agentes de IA, los conectan a sistemas, les otorgan identidades y les dan acceso”, explica. El problema es que muchas organizaciones no tienen un inventario completo de esos agentes, ni saben exactamente qué permisos tienen.
La situación puede terminar generando privilegios excesivos. Un agente creado para leer información puede recibir accidentalmente permisos para modificarla o incluso eliminarla. Y existe otro riesgo más elemental: las credenciales. “Aunque las empresas cambian periódicamente las contraseñas de los empleados, casi nunca hacen lo mismo con este tipo de identidades”, advierte.
La velocidad con la que evolucionan las herramientas de IA agrava el problema. Un agente creado un año atrás puede dejar de utilizarse, pero continuar dentro de los sistemas, permanecer accesible y hasta ser detectable desde el exterior.
Richberg señala que en muchas organizaciones existen varias veces más identidades no humanas que humanas, mientras la mayoría de las empresas no sabe exactamente cuáles son, dónde están ni qué hacen.
Es una paradoja de la automatización: cuantos más agentes se incorporan para hacer el trabajo de las personas, más difícil puede resultar saber quién está haciendo qué.
El parche perfecto todavía no existe
La IA también está modificando la carrera alrededor de las vulnerabilidades. Los modelos de frontera pueden ayudar a descubrir fallos y generar código para intentar corregirlos.
Eso plantea una pregunta incómoda: ¿puede un atacante encontrar y explotar una vulnerabilidad antes de que una empresa tenga capacidad para repararla?
La respuesta de Richberg es sí, pero con una advertencia. La gestión de vulnerabilidades no termina cuando el fabricante descubre el problema y publica un parche.
“¿Cuál es el sentido de ganar esa carrera inicial si nunca cruzamos la línea de meta haciendo que los clientes instalen los parches?”, pregunta.
La cadena tiene al menos tres etapas: descubrir la vulnerabilidad, desarrollar un parche o mitigación y conseguir que el usuario lo implemente. Según su experiencia, solamente una minoría de los casos completa las tres etapas a tiempo.
Ese punto cambia la conversación sobre la velocidad. No basta con que una IA sea capaz de encontrar una vulnerabilidad en segundos si la organización tarda días, semanas o meses en aplicar la solución.
Y también hay que tener cuidado con la propia IA que genera el parche.
Richberg cita un estudio que leyó recientemente según el cual, cuando se utilizó IA para generar un parche para una vulnerabilidad, más de la mitad de las veces no funcionaba.
En algunos casos producía código inútil y, entre los parches que sí funcionaban, algunos eran frágiles y podían ser evadidos mediante determinados cambios.
Por eso establece una frontera bastante clara entre automatización y autonomía.
Comentarios