Las empresas se preparan para elevar de nuevo sus presupuestos de ciberseguridad en 2027. Pero el desafío ya no consiste solo en gastar más. La inteligencia artificial, las tensiones geopolíticas y la creciente interconexión de los sistemas están cambiando la naturaleza de los riesgos y obligando a las organizaciones a replantearse cómo se protegen, cómo responden y, sobre todo, cómo se recuperan.
La carrera tecnológica tiene una cara menos visible. Cuanto más rápido incorporan las empresas nuevas tecnologías a sus procesos, productos y modelos de negocio, mayor es también la superficie que deben proteger. Y la inteligencia artificial representa probablemente el mejor ejemplo de esa paradoja: se ha convertido al mismo tiempo en una de las grandes palancas de transformación empresarial y en uno de los nuevos terrenos de juego para los ciberdelincuentes.
Los datos del ‘Global Digital Trust Insights 2027‘ de PwC, elaborado a partir de las opiniones de 3.934 líderes de negocio, seguridad y tecnología de 71 países, incluidos 116 directivos españoles, dibujan con claridad este cambio de escenario. El 84% de los responsables de seguridad prevé aumentar su presupuesto de ciberseguridad en 2027, seis puntos porcentuales más que un año antes. En España, el porcentaje alcanza el 74%.
Pero quizá resulte aún más revelador observar hacia dónde irá esa inversión. La inteligencia artificial se sitúa entre las principales prioridades presupuestarias para el 58% de las organizaciones en el mundo y para el 52% de las españolas
La IA cambia de bando, constantemente
La peculiaridad de la inteligencia artificial es que juega simultáneamente en ataque y defensa. Por un lado, puede multiplicar la capacidad de los atacantes para encontrar vulnerabilidades de software y explotarlas con mayor velocidad y menor intervención humana. Por otro, proporciona a las empresas nuevas posibilidades para automatizar la vigilancia, detectar comportamientos anómalos y reaccionar con mayor rapidez.
Ese doble papel explica una de las conclusiones más llamativas del estudio: los ataques dirigidos contra sistemas de inteligencia artificial encabezan por primera vez la lista de ciberriesgos frente a los que las organizaciones se sienten menos preparadas. Así lo considera el 50% de los responsables de tecnología y seguridad a escala global. En España, el porcentaje asciende al 57%.
Las amenazas empiezan, además, a diversificarse. Entre las que más inquietan aparecen las redes de dispositivos comprometidos controladas mediante IA, los ataques adversarios y el envenenamiento de datos. En España, un 48% de los participantes señala los ataques adversarios y un 47% el malware adaptativo entre aquellos para los que considera que su organización está peor preparada.
La siguiente frontera ya empieza a asomar. Aunque la computación cuántica todavía parece para muchas empresas una amenaza lejana, solo el 21% de las organizaciones está implantando medidas de seguridad resistentes a esta tecnología. En España, el porcentaje es prácticamente idéntico, un 22%, mientras que otro 44% continúa todavía en fase de exploración.
Cuando la geopolítica entra en el departamento de ciberseguridad
La transformación del mapa de riesgos no procede únicamente de la tecnología. También llega desde la geopolítica.
Los ataques vinculados a actores estatales se extienden desde los entornos puramente digitales hasta la tecnología operacional y las infraestructuras físicas críticas. Como consecuencia, las organizaciones están ampliando el foco más allá de sus propios perímetros de seguridad para analizar también las vulnerabilidades de proveedores y socios.
La mitad de las compañías está revisando la gestión del riesgo de sus proveedores, terceros y cadenas de suministro ante el aumento de los riesgos de ciberseguridad asociados a factores geopolíticos. En España ese porcentaje alcanza el 56%.
La ciberseguridad deja así de ser una cuestión limitada a la infraestructura tecnológica propia. En un ecosistema empresarial cada vez más conectado, la vulnerabilidad de una compañía puede encontrarse también en cualquiera de los eslabones con los que intercambia información, tecnología o servicios.
Gastar más no significa necesariamente estar mejor protegido
El fuerte crecimiento de los presupuestos plantea otra cuestión: ¿se está traduciendo realmente en organizaciones más resilientes?
Los datos señalan que todavía existe una brecha importante entre inversión y preparación. Solo el 39% de los responsables de seguridad, riesgos y operaciones asegura contar con planes de continuidad plenamente formalizados e integrados para hacer frente a ciberincidentes. España se encuentra en mejor posición, con un 50%, aunque sigue existiendo margen para integrar de manera efectiva la continuidad del negocio, la recuperación tecnológica y la gestión de crisis.
La protección de los datos utilizados por los sistemas de IA ofrece otro ejemplo. De media, las organizaciones han implantado de manera integral menos de la mitad de las principales medidas de gestión del riesgo asociado al dato y apenas un 5% las ha completado todas.
España presenta una fotografía desigual. El 55% de las compañías cuenta con políticas de clasificación de datos desplegadas en toda la organización, frente al 49% global. Sin embargo, cuando se analiza la calidad del dato, el porcentaje español cae al 31%, nueve puntos por debajo de la media internacional.
La IA también quiere ser el escudo
Hasta aquí, la IA aparece fundamentalmente como parte del problema. Pero puede ser también una parte relevante de la solución.
A escala global, la detección de amenazas y la generación de alertas constituyen la principal aplicación que las compañías prevén dar a la inteligencia artificial en ciberdefensa, seguidas de la detección del fraude y del phishing. En España, la prioridad es distinta: el 54% señala el análisis y la clasificación de vulnerabilidades, frente al 41% global.
Sin embargo, las organizaciones todavía establecen límites claros a la autonomía de las máquinas. Solo el 22% permitiría que agentes autónomos de IA ejecutaran sin intervención humana acciones de contención y remediación de alto impacto. La falta de confianza en su fiabilidad y madurez constituye la principal barrera para concederles una mayor autonomía, mencionada por el 55% de los participantes globales y el 52% de los españoles.
La cuestión ya no parece ser, por tanto, si la IA participará en la defensa de las organizaciones, sino hasta dónde estarán dispuestas las empresas a dejarla actuar por sí sola.
De proteger sistemas a proteger el negocio
En este escenario, la ciberseguridad continúa avanzando desde el terreno estrictamente tecnológico hacia la agenda estratégica de las compañías.
Nueve de cada diez líderes consultados reconocen que existen mecanismos de supervisión del ciberriesgo. Sin embargo, solo el 34% considera que las decisiones empresariales activan habitualmente una evaluación específica del riesgo cibernético. En España, ese porcentaje mejora hasta el 41%, pero sigue reflejando una distancia considerable entre la supervisión formal y su incorporación real a las decisiones del día a día.
Ahí puede encontrarse uno de los principales desafíos para 2027. La nueva frontera de la ciberseguridad no consiste únicamente en proteger mejor la tecnología, sino en conseguir que el riesgo digital forme parte de la manera en que las empresas deciden, innovan y crecen.
Porque en un entorno en el que la misma tecnología puede convertirse en amenaza y defensa, aumentar el presupuesto será importante. Saber dónde invertirlo y cómo convertirlo en resiliencia será todavía más decisivo.
