La Comisión Europea ha presentado un Plan de Acción sobre Ciberseguridad e Inteligencia Artificial con el objetivo de preparar a la Unión Europea contra ciberataques ante un escenario en el que la Inteligencia Artificial ya no solo sirve para reforzar la defensa, sino también para automatizar y escalar ataques informáticos. El documento advierte de que los modelos más avanzados pueden mejorar la detección, la respuesta y la resiliencia, pero también facilitar operaciones ofensivas más rápidas, sofisticadas y accesibles para actores maliciosos.
El plan parte de una realidad cada vez más evidente para los equipos de seguridad: la inteligencia artificial está cambiando la economía del ciberataque. La automatización permite descubrir vulnerabilidades con mayor rapidez, crear campañas más personalizadas y reducir los conocimientos técnicos necesarios para ejecutar operaciones complejas.
Bruselas considera que Europa debe actuar en dos direcciones al mismo tiempo: aprovechar la IA para reforzar su ciberresiliencia y evitar que la dependencia de modelos, infraestructuras y capacidades desarrolladas fuera de la Unión genere nuevas vulnerabilidades estratégicas.
Evaluar la IA antes de su despliegue
Uno de los principales pilares del plan es reforzar la capacidad europea para evaluar modelos avanzados de IA antes de que se desplieguen. La Comisión recuerda que el Reglamento de Inteligencia Artificial ya establece obligaciones para gestionar riesgos sistémicos, incluidos los relacionados con el uso indebido de modelos de propósito general en el ámbito cibernético.
A partir de agosto de 2026, la Comisión ejercerá sus competencias de supervisión y aplicación sobre los modelos de propósito general que puedan presentar riesgos sistémicos. Esto incluye evaluar si los proveedores identifican adecuadamente las capacidades peligrosas de sus sistemas y si han aplicado medidas eficaces para mitigarlas.
Para ello, Bruselas quiere impulsar un ecosistema europeo de evaluadores independientes. La Comisión prevé lanzar una convocatoria específica para crear una capacidad europea de evaluación de modelos de IA que incluya pruebas de ciberseguridad.
El objetivo es que Europa no dependa únicamente de centros de evaluación situados fuera de su territorio y pueda contar con señales tempranas sobre posibles riesgos en áreas como la ciberseguridad, la biotecnología u otros sectores sensibles.
Acceso seguro a capacidades avanzadas
El plan también plantea la necesidad de que autoridades, operadores críticos, empresas de ciberseguridad e investigadores europeos puedan acceder de forma segura y ágil a modelos con capacidades cibernéticas avanzadas.
La Comisión, en coordinación con ENISA, elaborará una guía europea para estructurar ese acceso. Este marco definirá criterios para determinar qué organizaciones pueden acceder a estos modelos, bajo qué condiciones y con qué controles de seguridad.
La preocupación de Bruselas es doble. Por un lado, limitar el riesgo de uso indebido de modelos potentes. Por otro, evitar que decisiones opacas de proveedores no europeos impidan a actores legítimos de la Unión utilizar capacidades necesarias para defender infraestructuras críticas.
El documento también contempla medidas de contingencia para el caso de que el acceso a determinados modelos sea restringido o retirado por un proveedor o por una autoridad de un tercer país.
Acelerar la gestión de vulnerabilidades
El segundo gran bloque del plan se centra en preparar el ecosistema europeo para ataques impulsados por IA. La Comisión advierte de que los procesos tradicionales de gestión de vulnerabilidades deben adaptarse a una realidad en la que los atacantes pueden descubrir y explotar fallos a mayor velocidad.
Por ello, la UE quiere reforzar la base de datos europea de vulnerabilidades, mejorar la interoperabilidad con plataformas nacionales y globales y actualizar las políticas de divulgación coordinada.
El plan insiste en que no basta con descubrir vulnerabilidades o publicar parches. El verdadero cuello de botella está en aplicarlos con rapidez en sistemas críticos y complejos.
En este contexto, ENISA elaborará guías, recomendaciones y buenas prácticas para ayudar a organizaciones y sectores críticos a protegerse frente a amenazas impulsadas por IA.
Soberanía tecnológica y talento
El tercer pilar del plan se centra en escalar capacidades europeas de IA aplicada a la ciberseguridad. Bruselas considera que la UE debe contar con soluciones propias, especialmente para casos sensibles y de doble uso, incluidos defensa y protección de infraestructuras críticas.
La Comisión impulsará un “Grand Challenge” europeo sobre remediación de vulnerabilidades asistida por IA, con participación de empresas, investigadores, operadores críticos y comunidades de código abierto.
También se buscará acceso a capacidad de cómputo soberana mediante AI Factories y futuras gigafactorías, además de nuevos programas de formación para profesionales de ciberseguridad.
El mensaje de fondo es claro: la IA va a acelerar tanto la defensa como el ataque. Europa quiere evitar quedarse como simple usuaria de tecnologías desarrolladas fuera y construir una capacidad propia para evaluar, desplegar y gobernar la ciberseguridad en la era de la inteligencia artificial.
