Los nuevos modelos avanzados de IA están redefiniendo la ciberseguridad. La IA puede ser mal utilizada para identificar vulnerabilidades, automatizar ataques y aumentar la escala y velocidad de los incidentes cibernéticos a una velocidad sin precedentes.
Basándose en el marco legal único de la UE para IA y ciberseguridad, el Plan de acción sobre Ciberseguridad e Inteligencia Artificial reunirá a los Estados miembros, la industria y las organizaciones a nivel de la UE para fortalecer la ciberseguridad de nuestro entorno digital frente a las vulnerabilidades que plantea la IA avanzada. A la publicación del Plan, se le acompaña una Ficha informativa
Evaluación de modelos de IA
Una seguridad eficaz requiere un conocimiento profundo de cómo se pueden utilizar, malutilizar y explotar nuevas tecnologías. Según la Ley de IA, los modelos avanzados de IA deben evaluarse y las medidas de mitigación cuidadosamente evaluadas antes de que los modelos se lleguen al mercado de la UE.
Para fomentar la experiencia local, la Comisión lanzará una campaña dedicada para establecer una capacidad de evaluación de la UE, que cubra la ciberseguridad, y que se espera esté operativa en 2027. Esta nueva capacidad contribuirá a la función reguladora de la Oficina de IA al fortalecer la evaluación de terceros sobre las capacidades y riesgos de IA a nivel global.
Acceso a modelos avanzados de IA
Europa también necesita condiciones claras y transparentes para acceder a los sistemas de IA más avanzados.
La Comisión trabajará con la Agencia Europea de Ciberseguridad (ENISA) para definir un plan europeo para el acceso estructurado a capacidades avanzadas de IA para la ciberseguridad. Esta guía apoyará a las organizaciones europeas públicas y privadas relevantes para acceder a modelos avanzados de IA.
Pruebas de IA para ciberseguridad
ENISA y el Centro Conjunto de Investigación de la Comisión crearán una plataforma segura para probar la IA en ciberseguridad, incluyendo el uso de entornos simulados. Esto aportará conocimientos sobre el uso seguro de la IA a operadores en sectores críticos como finanzas, energía, salud, transporte y administración pública.
Reforzando la ciberseguridad de la UE y corregiendo vulnerabilidades
La UE debe proteger su infraestructura crítica frente a las vulnerabilidades derivadas del posible mal uso de estas tecnologías.
Como prevén las normas de ciberseguridad de la UE, las organizaciones deberían intensificar las prácticas de higiene cibernética, las medidas de gestión de riesgos y los principios de seguridad desde el diseño.
Las organizaciones deberían empezar a utilizar las capacidades de IA ya disponibles, incluso a través de modelos de código abierto, para identificar y corregir vulnerabilidades más rápido, así como para prevenir y responder a ciberataques.
Para ayudar a las organizaciones en esta transición, ENISA apoyará y facilitará alianzas entre autoridades públicas, empresas y comunidades de código abierto en el ecosistema cibernético. Esto incluirá orientación, recomendaciones y mejores prácticas, así como una campaña para asegurar el Software Crítico de Código Abierto.
Escalando las capacidades europeas de IA para el ciber
Para estimular la expansión del mercado europeo, la Comisión lanzará el Gran Reto de la UE sobre IA para la ciberseguridad. Esta competición reunirá a empresas, investigadores y organizaciones para desarrollar soluciones de IA para la ciberseguridad.
La UE debe seguir invirtiendo en el desarrollo de sus propias capacidades soberanas de IA avanzada, aprovechando la infraestructura proporcionada por las Fábricas de IA y las futuras Gigafábricas. En este contexto, la próxima capacidad europea de renta variable tecnológica, anunciada en el Paquete de Soberanía Tecnológica, podría atraer inversión privada para ampliar las capacidades de IA autóctona.
Antecedentes
La UE dispone de un marco legal adecuado para abordar la ciberseguridad en la era de la tecnología emergente, como la IA. La Ley de IA exige evaluar y mitigar los riesgos derivados de los modelos de IA, mientras que el Código de Buenas Prácticas de IA de Propósito General especifica aún más estos requisitos y facilita el cumplimiento por parte de los proveedores de modelos avanzados. Estas disposiciones comenzarán a aplicarse el 2 de agosto de 2026.
La Ley de Resiliencia Cibernética, que será aplicable a finales de 2027, exige la seguridad desde el diseño para productos de hardware y software. Además, la Directiva de Sistemas de Red e Información, o NIS2, tiene como objetivo reforzar la seguridad de sectores críticos como el transporte y la energía, junto con la Ley de Resiliencia Operativa Digital (DORA) para el sector financiero. La Ley de Solidaridad Cibernética fortalece las capacidades de la UE para detectar, prepararse y responder ante amenazas y ataques de ciberseguridad significativos y a gran escala.