El mes de la concienciación sobre la ciberseguridad, que se celebra cada mes de octubre, es una buena oportunidad para que las organizaciones se planteen avanzar en este ámbito de una forma práctica; comprobando, por ejemplo, si sus entornos están preparados para afrontar los riesgos relacionados con la llegada de la IA. En este sentido, a medida que el concepto de IA soberana gana peso en Europa, el objetivo ya no es únicamente controlar la ubicación de los datos, sino alcanzar una confianza operativa integral.
Tradicionalmente, las organizaciones han enmarcado la IA soberana en torno a la ubicación de los datos, la infraestructura nacional y la autonomía estratégica. Aunque son pilares importantes, no son suficientes. Un modelo puede operar en un país, y aun así generar riesgos si el flujo de datos está mal gobernado; los controles de identidad son débiles; los proveedores no son transparentes; las acciones de la IA agéntica no se auditan o la recuperación nunca se ha puesto a prueba.
Esto es importante, porque la IA está adoptando un papel cada vez más operativo. Los futuros modelos de IA no solo generarán respuestas, sino que también se ocuparán de recuperar datos, interactuar con las aplicaciones, activar flujos de trabajo y respaldar decisiones en todos los procesos de negocio.
Para los CIO, esta evolución amplía el debate sobre la IA soberana. Ya no basta con saber dónde se almacenan los datos; también importa quién o qué puede acceder a ellos; cómo se mueven a través de los flujos de trabajo; qué proveedores interactúan con la infraestructura; cómo se monitorizan las acciones de la IA y si la organización puede recuperarse con rapidez ante un incidente.
En el sector tecnológico se está reforzando este mismo mensaje. El pasado mes de agosto, una carta abierta liderada por OpenAI y firmada por más de cien organizaciones, entre las que se incluye Dell, advertía que las crecientes capacidades de la IA están ampliando el alcance y la sofisticación de los ataques. Al mismo tiempo, se destacaba el potencial de la IA avanzada a la hora de ayudar a los defensores a detectar y corregir vulnerabilidades con mayor agilidad.
En Europa, esta convergencia entre innovación y seguridad ya se ha convertido en una prioridad. A medida que los estados miembros de la Unión Europea aceleran la inversión en IA, infraestructura digital y fábricas de IA para fortalecer su competitividad tecnológica, resulta evidente que el futuro de esta tecnología dependerá tanto de la resiliencia, la seguridad y el control como de la innovación. El Plan de Acción de la UE sobre Ciberseguridad e Inteligencia Artificial refleja esta visión, vinculando directamente la adopción de la IA con la ciberresiliencia y la soberanía tecnológica.
Aunque el 99% de las organizaciones dispone de estrategias de ciberresiliencia, un 59% reconoce no haber logrado una recuperación eficaz en su última prueba o incidente
Si nos centramos en España, podemos ver que el país ya cuenta con muchos de los elementos necesarios para liderar esta transición. Su creciente infraestructura digital, sus sólidos marcos de seguridad, como el Esquema Nacional de Seguridad (ENS), y la puesta en marcha de múltiples iniciativas dirigidas a fomentar la innovación, recogidas en el Atlas de la IA en España, están consolidando unas bases sólidas para una IA segura, escalable y alineada con la agenda digital europea.
Asimismo, la creación de la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), el organismo público encargado de supervisar el desarrollo de la inteligencia artificial para garantizar que se aplique de manera ética, segura y siempre en beneficio de la sociedad, ha situado al país como referente europeo en gobernanza de la IA. En conjunto, estas capacidades posicionan a España a la vanguardia de un modelo que combina innovación, resiliencia y responsabilidad en el despliegue de la IA.
Una infraestructura que garantice el control
En este contexto, el primer paso para un CIO es abordar la IA soberana como una decisión de arquitectura. La residencia de los datos es solo una capa dentro de un diseño que debe integrar identidad, control de acceso, cifrado, monitorización, garantía del proveedor, recuperación y auditabilidad. La cuestión no es únicamente si la IA se ejecuta en entornos de nube pública, privada, on-premises, en el Edge o en dispositivos, sino qué entorno ofrece el mejor equilibrio entre rendimiento, control, cumplimiento, coste y resiliencia.
El segundo paso es gobernar el movimiento de los datos y las acciones de la IA con agentes. Los sistemas de IA dependen de datos accesibles, precisos, protegidos y recuperables. Pero a medida que la IA agéntica gana autonomía, la pregunta ya no es solo qué datos utiliza un modelo, sino a qué puede acceder la IA, qué puede modificar, cuándo requiere supervisión humana y cómo se registra cada acción.
En entornos sensibles o regulados, la prioridad no es solo proteger los datos, sino demostrar la responsabilidad sobre ellos. A medida que la IA se vuelve más capaz, las empresas deben acreditar el origen de los datos, su movimiento, qué sistemas o agentes de IA pueden actuar sobre ellos y si pueden recuperarse sin problema tras una interrupción. La IA soberana solo será confiable si existe un control verificable a lo largo de todo el ciclo de vida de los datos.
El tercer elemento es la recuperación, que debe diseñarse desde el principio. La IA soberana no puede considerarse fiable si la organización no es capaz de restaurar los datos, los sistemas y los flujos de trabajo que la sustentan. El informe EMEA Cyber Resilience Insights de Dell revela que, aunque el 99% de las organizaciones dispone de estrategias de ciberresiliencia, un 59% reconoce no haber logrado una recuperación eficaz en su última prueba o incidente. Al hablar de IA soberana, esta brecha no es solo un problema de IT, sino de confianza. Si un servicio público, un flujo financiero, un sistema sanitario o un proceso industrial habilitados por IA se ven interrumpidos, cada empresa debe ser capaz de restaurar datos limpios, recuperar sistemas críticos y mantener la continuidad.
Esto es especialmente importante en Europa, donde se exige demostrar que los entornos tecnológicos críticos no solo cumplen la normativa, sino que son seguros, están bien gobernados y son recuperables en la práctica. Para la IA soberana, esto implica acreditar el control sobre la infraestructura, los proveedores, el acceso, los flujos de datos, las acciones de la IA y la recuperación en toda la arquitectura.
En definitiva, la prioridad para los CIO debe ser evolucionar desde la residencia de datos a la confianza integral. Solo así la IA soberana será creíble, escalable y estará preparada para la próxima generación de inteligencia artificial.
