El pasado 7 de julio de 2026, la Comisión Europea hizo pública su nueva Comunicación sobre el Plan de Acción de Ciberseguridad e Inteligencia Artificial, un documento estratégico que reconoce que la IA ha dejado de ser una herramienta más en la ciberseguridad para convertirse en el factor que está redefiniendo por completo el tablero de juego, tanto para quienes defienden los sistemas como para quienes los atacan.
Aunque no introduce nuevas obligaciones legales de forma directa, sí que marca el rumbo de la política europea para los próximos años y anticipa desarrollos regulatorios y operativos que las organizaciones deberían empezar a preparar desde ya.
La Comisión parte de que los modelos de IA de frontera (los más avanzados disponibles o en desarrollo) ya permiten a los equipos de ciberseguridad detectar y responder a amenazas con mayor rapidez y escala. Pero esa misma capacidad está siendo usada para automatizar ataques, descubrir vulnerabilidades más rápido y ejecutar operaciones ofensivas cada vez más sofisticadas, incluida la cibercriminalidad organizada.
El problema de fondo, según reconoce la propia Comisión, es que las capacidades de frontera se desarrollan mayoritariamente fuera de la UE y su acceso depende de decisiones no transparentes de proveedores extranjeros. Esto convierte el acceso a estas tecnologías en una cuestión no solo de resiliencia digital, sino de soberanía tecnológica europea.
Por ese motivo, el Plan de Acción se articula en torno a tres objetivos principales que vamos a detallar a continuación:
La Comisión anuncia que, a partir del 2 de agosto de 2026, ejercerá plenamente sus poderes de supervisión y control bajo el Reglamento de Inteligencia Artificial sobre los modelos de IA de propósito general incluidos aquellos que presentan riesgos sistémicos relacionados con la ciberseguridad.
También se menciona que la mayoría de las entidades líderes que realizan evaluaciones independientes de modelos de IA antes de su despliegue están ubicadas fuera de la UE. Esto se considera una carencia estratégica, porque el propio RIA reconoce la importancia de que terceros independientes evalúen los riesgos sistémicos de los modelos de IA de propósito general antes de su comercialización y con esta finalidad asume diferentes acciones clave:
La inteligencia artificial puede ayudar a mejorar la ciberseguridad, pero también puede ser utilizada para encontrar fallos y realizar ataques más rápidos y sofisticados. Por eso, la UE quiere prepararse mejor para estos riesgos. Por eso, impulsará el uso de herramientas de IA para detectar y corregir vulnerabilidades en los sistemas más importantes. En este proceso, ENISA ayudará en la adaptación de la ciberseguridad europea a la nueva era de la inteligencia artificial.
La Comisión insta a la transposición urgente de las directivas NIS2 y DORA incorporando el riesgo derivado de la IA en la supervisión. También se insta a las entidades a aplicar medidas básicas de higiene cibernética enfoques de “zero trust” y empezar a utilizar las capacidades de IA disponibles, incluidas las de código abierto, para detectar vulnerabilidades y prevenir ataques. Por su parte, ENISA publicará guías sobre la protección contra amenazas de IA e integración segura de herramientas de IA en operaciones de ciberseguridad, prestando especial atención a las pymes.
Dado que la IA permite a los atacantes descubrir y explotar fallos mucho más rápido, la UE debe acelerar su capacidad de respuesta a través de:
La UE da prioridad en aplicar la IA en el software de código abierto crítico porque está presente en el 98% de las bases de código de las infraestructuras críticas. Para cumplir con este objetivo ENISA creará un catálogo de servicios potenciados por IA destinados a apoyar el parcheo de vulnerabilidades en el código abierto.
Además, para reforzar la resiliencia del ecosistema cibernético europeo se proponen diferentes acciones clave:
El tercer pilar se centra en la necesidad de que la UE desarrolle sus propias soluciones de ciberseguridad impulsadas por IA para así garantizar su soberanía tecnológica.
Es por eso que, la UE se han destinado 200 millones de euros a través de los programas Horizonte y Europa Digital para investigar tecnologías de detección y respuesta de sistemas ante ciberataques. Además, se lanzará el “Grand Challenge” que tiene por objetivo la remediación de vulnerabilidades y va a estar formado por empresas europeas de ciberseguridad e IA, organizaciones de investigación, operadores de infraestructuras críticas y comunidades de código abierto. De esta manera, se pretende desarrollar un sistema de IA capaz de asistir a los equipos de ciberseguridad durante todo el ciclo de remediación.
Para evitar nuevas dependencias, la Unión Europea tiene que desarrollar sus propias capacidades de IA de frontera. Por eso, se deben aprovechar las “AI Factories” y las futuras Gigafábricas para formar una infraestructura europea soberana para la IA y la ciberseguridad. Además, se constata que para el desarrollo de capacidades de la IA de frontera serán necesarias muchas inversiones provenientes de capital privado.
Pero no todo se consigue con la inversión financiera, sino que la UE pone énfasis en que el éxito tecnológico también necesita contar con profesionales capaces de manejar estas herramientas de forma segura. Es por ello que, a través de la Academia de Habilidades de Ciberseguridad, se desarrollarán programas y módulos de formación específicos y la ENISA actualizará el Marco Europeo de Habilidades de Ciberseguridad para incluir competencias relacionadas con la IA.
Para conseguir este tercer pilar, la UE marca tres acciones clave, consistentes en:
Aunque este documento no crea, por sí mismo, nuevas obligaciones jurídicas, sí anticipa varias líneas de actuación que conviene anotar en la hoja de ruta de cumplimiento de cualquier empresa que trate con infraestructuras críticas, datos sensibles o desarrollo de IA:
La estrategia de la UE, después de haber establecido el marco normativo a través del RIA; el CRA y la NIS2, se centra ahora en la ejecución a través de tres pilares: asegurar un acceso estructurado a la tecnología, modernizar la gestión de vulnerabilidades y sobretodo, escalar las capacidades soberanas europeas.
En Vericta comprendemos la complejidad de esta nueva realidad regulatoria y tecnológica y por eso ofrecemos soluciones de cumplimiento normativo para la IA. Así que no esperes más y contrata Lawwwing.
Fuentes:
