El reporte 2026 de Proofpoint revela que la responsabilidad sobre IA generativa recae en seguridad sin presupuesto ni personal nuevo, mientras el mandato ya abarca datos, identidad y compliance.
La gobernanza de inteligencia artificial generativa está aterrizando en los escritorios de los responsables de seguridad informática sin que las organizaciones ajusten recursos, presupuestos o estructura de equipos. Según el reporte 2026 Voice of the CISO publicado por Proofpoint, el 78% de los CISOs considera la IA generativa un riesgo de seguridad concreto, pero la responsabilidad de gestionarla se suma a un mandato que ya incluye protección de datos, gestión de identidad, resiliencia operativa y cumplimiento normativo. El desajuste entre expansión de responsabilidades y capacidad real de ejecución marca el panorama de seguridad corporativa para este año.
La IA generativa aterriza como problema de seguridad, no como proyecto de innovación
El reporte de Proofpoint documenta que la preocupación de los CISOs no gira en torno a la adopción de IA como tecnología habilitadora, sino alrededor de tres vectores específicos: manejo de datos sensibles, control de acceso y monitoreo de actividad de empleados. La IA generativa introduce superficies de exposición nuevas porque opera sobre conjuntos de datos corporativos que antes no salían de sistemas controlados, y porque su uso por parte de empleados no siempre pasa por canales formales de TI. Investigadores de Proofpoint señalan que la falta de visibilidad sobre qué herramientas de IA están en uso dentro de la organización es el primer obstáculo para cualquier estrategia de gobernanza.
El 78% que considera la IA generativa un riesgo no está reaccionando a incidentes concretos documentados en el reporte, sino a la evaluación de potencial pérdida de control sobre información crítica. La preocupación se centra en escenarios donde datos confidenciales — propiedad intelectual, información de clientes, credenciales de acceso — terminan ingresados en servicios de IA externos sin políticas claras de retención, procesamiento o eliminación. A diferencia de otros riesgos tecnológicos que los CISOs han gestionado históricamente, la IA generativa no es un sistema que se despliega una vez y se audita: es una categoría de herramientas en constante expansión, muchas de ellas adoptadas de forma descentralizada por equipos de negocio.
El mandato del CISO ya estaba sobrecargado antes de que llegara la IA
El reporte de Proofpoint contextualiza la nueva responsabilidad sobre IA dentro de un mandato que ya abarca protección de datos, gestión de identidad y acceso, resiliencia operativa ante incidentes y cumplimiento de marcos regulatorios que varían por jurisdicción. Este conjunto de responsabilidades no es nuevo, pero su complejidad creció en los últimos tres años con la adopción acelerada de arquitecturas cloud, trabajo remoto permanente y proliferación de aplicaciones SaaS fuera del perímetro tradicional. Ahora, la gobernanza de IA se suma sin que las organizaciones hayan resuelto brechas previas en visibilidad, automatización o capacidad de respuesta.
La falta de aumento correspondiente en recursos — presupuesto, personal, herramientas — significa que los CISOs están redistribuyendo capacidad existente en lugar de construir capacidad nueva. Esto genera dos problemas operativos inmediatos: primero, la gobernanza de IA queda relegada a controles reactivos en lugar de diseño proactivo de políticas; segundo, otras áreas del mandato del CISO — gestión de vulnerabilidades, respuesta a incidentes, auditoría de accesos — reciben menos atención porque el tiempo disponible no aumentó. El reporte no cuantifica el déficit de recursos, pero documenta que la expansión del mandato es asimétrica respecto de la capacidad de ejecución.
América Latina enfrenta el mismo desajuste con menor madurez en controles previos
Aunque el reporte de Proofpoint no desglosa datos por región, el patrón documentado tiene implicancias directas para América Latina, donde la adopción de IA generativa en empresas medianas y grandes está ocurriendo al mismo ritmo que en otras geografías, pero sobre una base de controles de seguridad con menor madurez promedio. Organizaciones en México, Brasil, Colombia y Argentina están integrando herramientas de IA en operaciones de atención al cliente, análisis de datos y automatización de procesos sin haber cerrado brechas previas en gestión de identidad, segmentación de redes o monitoreo de actividad de usuarios privilegiados.
El desafío específico para la región es que muchas organizaciones no tienen un inventario completo de aplicaciones SaaS en uso — un problema que antecede a la IA pero que se agrava con ella, porque las herramientas de IA generativa suelen adoptarse de forma descentralizada por equipos de negocio sin pasar por aprobación formal de TI. En contextos donde el CISO ya opera con equipos reducidos y presupuestos ajustados, asumir gobernanza de IA sin recursos adicionales significa que la función de seguridad queda en modo de contención de daños en lugar de gestión estratégica de riesgo. La dependencia de proveedores externos para servicios de IA — muchos de ellos con términos de servicio que no contemplan requisitos de residencia de datos o auditoría — agrega una capa de riesgo regulatorio que todavía no está siendo gestionada de forma sistemática en la región.
Nuestro análisis
El reporte de Proofpoint documenta un patrón que ya vimos en adopciones tecnológicas previas: la responsabilidad de gestionar riesgo aterriza en seguridad antes de que la organización ajuste estructura, presupuesto o procesos para soportarla. Lo que hace distinto el caso de la IA generativa es la velocidad de adopción y la falta de controles nativos en las herramientas mismas — a diferencia de plataformas cloud que al menos ofrecen logs, políticas de acceso y opciones de cifrado, muchas herramientas de IA generativa no exponen APIs de auditoría ni permiten configurar políticas de retención de datos. Esto deja al CISO en una posición donde la única palanca de control disponible es restricción de acceso a nivel de red o endpoint, lo cual genera fricción con áreas de negocio que ven la IA como habilitador de productividad.
El 78% que considera la IA generativa un riesgo no está equivocado, pero la pregunta operativa es qué puede hacer un CISO con mandato amplio, recursos limitados y herramientas que no fueron diseñadas para ser gobernadas. La respuesta no está en el reporte de Proofpoint, pero el patrón sugiere que sin cambios en cómo se asignan recursos a seguridad — y sin presión desde directorios y reguladores para que esos cambios ocurran — la gobernanza de IA va a quedar en el mismo estado que otras áreas del mandato del CISO: documentada en políticas, subejecutada en la práctica, y visible solo cuando falla. ¿Cuántos incidentes de fuga de datos vía IA generativa van a hacer falta para que las organizaciones ajusten recursos antes de expandir responsabilidades?