La inteligencia artificial afecta a la ciberseguridad de una pyme por tres vías: hace más creíbles y baratos los ataques (correos de phishing sin una falta, voces y vídeos clonados para el fraude del CEO), abre riesgos nuevos cuando la plantilla usa herramientas de IA sin control y, bien aplicada, también ayuda a defenderse. La respuesta útil no es comprar «seguridad con IA», sino reforzar tres cosas que ya están a tu alcance: verificar los pagos por un canal distinto, proteger todas las cuentas con doble factor y decidir qué herramientas de IA se usan en la empresa y con qué datos.
Qué ha cambiado: la IA abarata el engaño
El engaño sigue siendo la puerta de entrada más habitual. El informe de amenazas de 2025 de ENISA, la agencia de ciberseguridad de la Unión Europea, sitúa el phishing en torno al 60 % de los casos analizados y recoge que, a principios de 2025, las campañas apoyadas en IA representaban, según las fuentes que cita, más del 80 % de la actividad de ingeniería social observada en el mundo.
En España, el balance de INCIBE de 2025 contabiliza 122.223 incidentes, un 26 % más que el año anterior, con el fraude online como categoría principal (45.445 casos) y 25.133 casos de phishing. Y el fraude del CEO ya tiene una parte medible ligada a la IA: según el resumen de McDonald Hopkins del informe de 2025 del centro de denuncias del FBI, el compromiso del correo corporativo causó 3.046 millones de dólares en pérdidas, y más de 30 millones se asociaron de forma confirmada al uso de IA.
La consecuencia para una pyme: las señales que enseñábamos a detectar (faltas de ortografía, un tono raro, una voz que no encaja) ya no son fiables.
Los cuatro riesgos de IA que más afectan a una pyme
1. Phishing sin errores y hecho a medida
Con información pública de la web y de LinkedIn, un atacante redacta en segundos un correo que imita a un proveedor real y llega en perfecto español. La formación ya no puede basarse en «busca las faltas», sino en comprobar el remitente completo y desconfiar de cualquier urgencia que pida pagar, cambiar datos o introducir contraseñas.
2. Fraude del CEO con voz o vídeo clonados
INCIBE documenta el caso real de una empresa española que pagó tras una llamada con la voz clonada de su consejero delegado: los empleados reconocieron «exactamente» su voz y ordenaron la transferencia en el acto. El caso más conocido a gran escala es el de la ingeniería británica Arup, que, según CNN, perdió unos 25 millones de dólares después de que un empleado participara en una videollamada en la que el director financiero y varios compañeros eran recreaciones falsas.
La lección es incómoda: no se puede pedir a un empleado que detecte un deepfake. Hay que diseñar el proceso para que una orden de pago nunca dependa de reconocer una voz o una cara.
3. Datos de la empresa en herramientas de IA no aprobadas
Cuando alguien pega un contrato, una nómina o una base de clientes en una herramienta gratuita, esos datos salen del perímetro sin que nadie lo sepa. El informe de IBM sobre el coste de las brechas de datos de 2025, resumido por Help Net Security, indica que una de cada cinco organizaciones sufrió una brecha relacionada con este uso no controlado de la IA, que encareció el incidente en unos 670.000 dólares de media. Y el 97 % de las que tuvieron una brecha en modelos o aplicaciones de IA no tenía controles de acceso sobre ellos.
4. Asistentes y agentes con demasiados permisos
Un asistente conectado al correo o a las carpetas compartidas ve todo lo que ve el usuario. Si recibe instrucciones maliciosas escondidas en un correo o un documento, puede reenviar o modificar información que no debería. Antes de conectarlo, conviene saber qué permisos tiene, quién lo aprobó y qué registro deja.
Dónde ayuda la IA a defenderse (y dónde no)
La IA también trabaja a favor. El mismo informe de IBM calcula que las organizaciones que usan de forma extensiva IA y automatización en seguridad redujeron el coste medio de una brecha en 1,9 millones de dólares y acortaron su duración en 80 días. En una pyme, eso se traduce sobre todo en funciones que muchas veces ya están incluidas en lo que paga:
- Filtrado de correo que detecta suplantaciones de dominio y mensajes anómalos, aunque estén bien escritos.
- Protección de equipos por comportamiento (lo que suele llamarse EDR), que bloquea un cifrado masivo aunque el programa sea nuevo.
- Detección de inicios de sesión sospechosos en Microsoft 365 o Google Workspace.
Lo que la IA no hace es suplir lo básico. Si no hay doble factor, las copias no se han probado nunca o nadie revisa las alertas, una herramienta más solo añade ruido. Como explicamos en cómo preparar la continuidad de una pyme ante el ransomware, lo que decide cuánto dura un incidente es la preparación previa.
Qué hacer en los próximos 30 días
- Regla de pagos fuera de banda. Toda petición urgente de pago o de cambio de cuenta bancaria se confirma llamando a un número ya conocido, nunca al que aparece en el mensaje. Es la recomendación central de INCIBE en su guía sobre el fraude del CEO en pymes.
- Doble autorización para transferencias por encima de un importe y para altas o cambios de proveedores.
- Doble factor en todas las cuentas, con métodos resistentes al phishing en dirección, finanzas y administradores. Lo detallamos en cómo implantar la autenticación multifactor en la empresa.
- Inventario de herramientas de IA que ya se usan, aunque sea con una encuesta interna, y una lista de las aprobadas con cuenta de empresa.
- Una norma breve de uso: qué datos no se introducen nunca (personales, contratos, datos financieros) y dónde consultar dudas.
- Revisión de permisos de asistentes y extensiones conectados al correo y a las carpetas compartidas.
- Formación con ejemplos actuales y un plan de respuesta: si el dinero ya ha salido, llamar al banco de inmediato, denunciar y contactar con la Línea de Ayuda 017 de INCIBE.
Preguntas frecuentes
¿Puede una pyme detectar un deepfake de voz?
No de forma fiable. Puede haber pistas, pero la defensa eficaz es el proceso: ninguna orden de pago se ejecuta solo por una llamada o una videollamada.
¿Hay que prohibir ChatGPT y herramientas similares?
Prohibir suele llevar el uso a la sombra. Es más seguro aprobar una o dos herramientas con cuenta de empresa y dejar claro qué información no se introduce.
¿Necesito comprar una solución de ciberseguridad con IA?
Primero revisa lo que ya tienes: Microsoft 365, Google Workspace y muchos antivirus empresariales incluyen detección basada en IA. Antes de comprar más, asegúrate de que está activada y de que alguien revisa sus avisos.
¿Quién debe encargarse en la empresa?
El riesgo de seguridad corresponde a quien dirige la ciberseguridad; la decisión sobre qué usos de IA aporta valor, a quien gobierna la IA. En una pyme suelen ser perfiles externos con dedicación parcial, como un responsable de IA externo que ordene qué herramientas se usan.
Conclusión
La IA no ha inventado ataques nuevos tanto como ha hecho más baratos y creíbles los de siempre. Una pyme que verifica los pagos por otro canal, protege sus cuentas con doble factor y controla qué herramientas de IA usa reduce la mayor parte de ese riesgo sin grandes inversiones. Si necesitas a alguien que lo ponga en marcha y lo mantenga, un CISO externo para tu pyme puede hacerlo con una dedicación proporcionada a vuestro tamaño. Y si quieres revisar por dónde empezar, solicita una conversación inicial de 30 minutos con RAZNAR.
Sigue el hilo desde aquí.
Si esto se parece a tu contexto, podemos aterrizarlo.
Convertimos estas decisiones en una hoja de ruta concreta para tu empresa: prioridades, riesgos, dependencias y primer plan de ejecucion.
