La inteligencia artificial ha dejado de ser un elemento periférico en la actividad cibercriminal. Según el informe Cost of a Data Breach Report 2026 de IBM, una de cada cuatro brechas maliciosas se llevó a cabo mediante IA, un avance del 56% frente al ejercicio anterior. El dato introduce una variación relevante para los comités de dirección: las brechas con IA alcanzaron un coste medio de 6 millones de dólares, alrededor de un millón más que la media mundial de 4,99 millones.
La diferencia no reside únicamente en el volumen económico. IBM atribuye estas intrusiones, sobre todo, a suplantaciones mediante deepfakes y malware basado en IA, dos técnicas que reducen el coste de preparación del ataque y aumentan su capacidad de adaptación. Para las empresas, el efecto operativo es menos visible hasta que aparece el incidente: más dificultad para detectar señales fiables, más presión sobre los equipos de respuesta y una factura mayor cuando la intrusión ya se ha producido.
El informe, elaborado por el Instituto Ponemon y patrocinado y analizado por IBM, se basa en brechas sufridas por 602 organizaciones de todo el mundo entre marzo de 2025 y febrero de 2026. La muestra permite observar una evolución que ya no se limita a laboratorios, pruebas de concepto o amenazas hipotéticas. La IA aparece integrada en métodos de ataque conocidos y, precisamente por eso, resulta más difícil aislarla como un riesgo separado.
La economía de las brechas con IA presiona a los equipos de seguridad
La lectura empresarial del informe apunta a un desequilibrio creciente. Lanzar ataques asistidos por IA puede requerir menos tiempo, menos recursos y menos especialización que hace unos años. Resolver una brecha, en cambio, sigue exigiendo investigación forense, contención, restauración de sistemas, comunicación, asesoramiento legal y, en muchos casos, revisión de procesos internos.
IBM calcula que las organizaciones que utilizan IA y automatización en sus operaciones de seguridad reducen los costes derivados de las brechas en una media cercana a los 2 millones de dólares. Sin embargo, una de cada cuatro compañías aún no ha incorporado estas herramientas a sus operaciones de ciberseguridad. El dato abre una brecha interna entre empresas capaces de acelerar la detección y compañías que mantienen procesos más manuales en un entorno donde los atacantes ya han automatizado parte de su trabajo.
«Lo que está cambiando es la economía de los ciberataques. La IA está haciendo que los ataques sean más rápidos y baratos, mientras que las brechas de seguridad resultan cada vez más costosas», señaló Suja Viswesan, vicepresidenta de IBM Security Software. La directiva vinculó ese aumento del coste con el tiempo que transcurre entre el descubrimiento y la corrección de los fallos, un intervalo que en muchas organizaciones depende todavía de flujos fragmentados entre desarrollo, seguridad, infraestructura e identidad.
La prioridad que plantea IBM se desplaza así hacia la corrección temprana. Integrar la remediación en los procesos de desarrollo, proteger la identidad en tiempo de ejecución y reducir la exposición de vulnerabilidades conocidas son decisiones que afectan al presupuesto, pero también a la arquitectura operativa de la empresa. En organizaciones grandes, esa arquitectura suele estar repartida entre equipos con métricas distintas.
Ponemon detecta más inversión antes del incidente
El estudio de seguimiento realizado por Ponemon en mayo de 2026 añade un matiz relevante. De las 602 organizaciones incluidas en la investigación inicial, 456 respondieron a esta segunda consulta. Entre ellas, 356 estaban familiarizadas con informes recientes sobre modelos avanzados de IA, como Mythos. En ese grupo, el 85% prevé aumentar su inversión en seguridad para afrontar las nuevas capacidades cibernéticas asociadas a la IA.
El contraste con la encuesta inicial es significativo: solo el 64% afirmaba que incrementaría el gasto tras sufrir una brecha de seguridad. La inversión empieza a desplazarse, al menos en intención, desde la reacción posterior al incidente hacia la anticipación. Para los directivos, ese cambio implica revisar la lógica tradicional de retorno de la inversión en ciberseguridad. El ahorro potencial no aparece solo cuando se evita una brecha, también cuando se reduce su alcance, su duración o su impacto reputacional.
Aun así, el informe muestra una adopción desigual de agentes de IA dentro de las operaciones de seguridad. Más de la mitad de las organizaciones utiliza agentes para detectar y contener amenazas, mientras que solo el 18% los emplea en la gestión de vulnerabilidades. La diferencia importa porque la detección llega tarde si las exposiciones conocidas permanecen abiertas durante semanas o meses.
Cerca de tres de cada cuatro organizaciones afirma que las nuevas amenazas asociadas a la IA les están llevando a replantear el uso de agentes en sus operaciones de seguridad. La cuestión práctica no es cuántas herramientas se incorporan, sino dónde se colocan dentro del flujo de trabajo. Un agente aplicado a alertas puede aliviar carga operativa. Un agente conectado a gestión de vulnerabilidades, priorización de riesgos y remediación puede cambiar el tiempo real de exposición.
Infraestructuras críticas concentran el mayor impacto
El 62% de los ataques impulsados por IA analizados por IBM se dirigió contra sectores de infraestructuras críticas. Las entidades de servicios financieros y las empresas energéticas registraron la mayor concentración. La lectura va más allá del coste directo para cada organización: una brecha en estos sectores puede afectar pagos, suministro energético, cadenas logísticas, servicios esenciales o confianza en mercados regulados.
En servicios financieros, el coste medio de una brecha alcanza ya los 6,3 millones de dólares. En energía, la media se sitúa en 5,2 millones. Son cifras que combinan la complejidad técnica de los entornos afectados con exigencias regulatorias, continuidad de negocio y dependencias entre proveedores. Un incidente en una entidad financiera puede tener una trayectoria pública distinta a la de una compañía industrial, aunque ambos compartan vectores de ataque similares.
La concentración sectorial también afecta a la planificación de riesgos. Las organizaciones críticas suelen contar con más controles, más supervisión y más presupuesto que otros sectores. Pese a ello, su superficie de ataque resulta más extensa por la convivencia de sistemas heredados, proveedores externos, entornos cloud, identidad distribuida y operaciones que no pueden detenerse sin coste económico o social.
El informe apunta además a un vector que crece dentro de los propios sistemas de IA. Más del 20% de las organizaciones informó de una brecha dirigida a modelos o aplicaciones de IA. Las causas más habituales no fueron fallos del modelo en sentido estricto, sino vulnerabilidades en el ecosistema que lo rodea: APIs, aplicaciones o complementos comprometidos, con un 27%, y configuraciones erróneas en la nube que afectaban a cargas de trabajo de IA, también con un 27%.
Cifrado, ransomware y reputación amplían el perímetro del riesgo
Las debilidades criptográficas continúan abiertas pese al aumento de la inversión en soluciones resistentes a la computación cuántica. Solo el 37% de las organizaciones que sufrieron una brecha cifra los datos sensibles tanto en reposo como en tránsito. Apenas el 34% dispone de visibilidad sobre sus activos criptográficos. Para empresas con infraestructuras híbridas, esa falta de inventario complica cualquier transición hacia esquemas de cifrado más robustos.
El ransomware añade otra capa de presión. Los incidentes aumentaron frente al año anterior, del 34% al 39%, y los atacantes utilizan la IA para automatizar y ampliar operaciones. La interrupción del negocio sigue siendo un factor relevante, aunque IBM observa una mayor explotación de activos intangibles para forzar pagos o acelerar decisiones. La reputación de marca aparece en el 41% de los casos, por delante de los datos de empleados, con un 35%, y la propiedad intelectual, con un 31%.
Ese desplazamiento cambia la conversación en los consejos de administración. La seguridad ya no se mide solo por la resistencia técnica del perímetro, sino por la capacidad de una organización para conocer sus dependencias, cerrar exposiciones y responder antes de que el impacto se traslade a clientes, reguladores o mercados. En sectores críticos, la velocidad de corrección empieza a competir con la velocidad del ataque como variable central de gestión.
