El nuevo rol del CISO con la IA: de guardián del “no” a estratega de negocio
Especialistas coinciden en que los CISOs deben formar parte del equipo ejecutivo de las empresas, tomando un rol más activo en el contexto actual de la IA.
Ciudad de México. La irrupción de la Inteligencia Artificial (IA) está transformando no sólo la operación de las empresas, sino también el perfil de quienes deben protegerlas.
En ese nuevo escenario, el director de Seguridad de la Información (CISO, por sus siglas en inglés) ya no es sólo el responsable técnico que impone restricciones y responde a incidentes; en la actualidad, debe ser una figura estratégica, cercana a la dirección general y con capacidad de habilitar innovación de manera segura.
Durante el Strategy Summit, Lorena Bravo, directora de AI & Security para América Latina de Google, y Erwin Campos, ex Global CISO, coincidieron en que la IA obliga a redefinir el liderazgo de ciberseguridad dentro de las organizaciones.
Lorena Bravo explicó que los ataques actuales buscan generar crisis operativas, fraudes, daños reputacionales e incluso detener servicios críticos. Por ello, dijo, el CISO no puede permanecer aislado en una función técnica.
“La recomendación es que pase a formar parte del equipo ejecutivo, prácticamente donde está el director general”, señaló.
La especialista advirtió que el nuevo entorno exige responsables de ciberseguridad con visión de negocio, entendimiento del riesgo corporativo y capacidad para participar en decisiones estratégicas sobre crecimiento, innovación y uso de datos.
Esto significa que el responsable de seguridad debe sentarse junto al director ejecutivo, al director de Tecnología y a otros líderes clave para definir cómo se adopta la Inteligencia Artificial sin comprometer la privacidad, la continuidad operativa o la propiedad intelectual de una organización.
Te recomendamos: Marcos Polanco de Scitum: la ciberseguridad es estratégica y amerita una legislación
La era del “Dr. No” terminó
Por años, al CISO se le identificó con la imagen de ser quien bloquea proyectos, retrasa implementaciones y responde con negativas ante cualquier iniciativa digital. Erwin Campos resumió esa percepción con una frase: el viejo CISO era el “Doctor No” (un genio científico, personaje de la película 007: el satánico Dr. No).
Sin embargo, sostuvo que ese enfoque ya no funciona en una economía donde las áreas de negocio demandan velocidad, automatización y nuevas herramientas basadas en IA.
“Ya no estamos para poner barreras, sino para acompañar al negocio en hacer las cosas mejores y rápidas, pero dentro del margen de la seguridad”, afirmó.
En opinión de Campos, los CISOs necesitan dejar atrás una visión policiaca y volverse un habilitador de la transformación digital.
Campos añadió que el nuevo CISO necesita comprender a profundidad cómo funciona la empresa, cuáles son sus prioridades anuales y hacia dónde quiere crecer. Sólo así puede diseñar controles que protejan sin frenar la competitividad.
Tradicionalmente, muchos líderes de seguridad fueron evaluados por métricas técnicas: incidentes atendidos, vulnerabilidades cerradas o cumplimiento normativo. Ahora también deben demostrar impacto en objetivos de negocio, resiliencia operativa y confianza digital.
También lee: La IA y la geopolítica ponen en jaque la estabilidad digital global en 2026
IA cambia el tablero de riesgos
La Inteligencia Artificial también está alterando la naturaleza de las amenazas. Lorena Bravo advirtió que hoy muchas organizaciones ya experimentan con agentes de IA, modelos generativos y automatización sin contar con una estructura de gobierno corporativo.
Eso abre la puerta a fenómenos como el Shadow AI: empleados que usan herramientas públicas de IA con información sensible fuera de los controles corporativos.
Frente a ello, los CISOs tienen que liderar nuevos esquemas de gobernanza que incluyan políticas de uso responsable de IA; privacidad y protección de datos, control de accesos; supervisión de modelos y agentes; evaluación financiera y tecnológica de proyectos, y capacitación interna.
Nuevos equipos y capacidades
Ambos especialistas coincidieron en que la seguridad ya no puede recaer en una sola persona. El nuevo modelo demanda equipos multidisciplinarios y diversos con especialistas en aplicaciones, arquitectura, privacidad, análisis de vulnerabilidades y seguridad de IA.
Bravo explicó que algunas organizaciones ya implementan figuras tipo champions: perfiles con capacidades avanzadas que acompañan a desarrolladores y áreas operativas desde el diseño hasta la puesta en producción de soluciones.
Esto libera al CISO para que pueda concentrarse en decisiones estratégicas, gestión de crisis y relación con la alta dirección.
Otro cambio relevante es el paso de una seguridad reactiva a una preventiva e inteligente. Si antes muchas áreas actuaban después de un incidente, ahora la IA obliga a monitoreo continuo y análisis predictivo. Es decir, los CISOs tienen que anticiparse al atacante antes de que el daño ocurra.