La Comisión Europea ha presentado un Plan de Acción sobre ciberseguridad e inteligencia artificial para coordinar la respuesta de la Unión Europea ante los riesgos de los modelos avanzados de IA y, al mismo tiempo, aprovechar su potencial en la protección del entorno digital. La iniciativa busca implicar a los Estados miembros, la industria y las organizaciones europeas en un marco común frente a nuevas vulnerabilidades y usos maliciosos de estas tecnologías.
Los modelos avanzados de inteligencia artificial están modificando el escenario de la ciberseguridad. Estas herramientas pueden emplearse para detectar vulnerabilidades, automatizar ataques y aumentar la escala y la velocidad de los incidentes cibernéticos, pero también ofrecen capacidades para mejorar la prevención, la detección y la respuesta ante amenazas.
Evaluación de modelos avanzados de IA y acceso para ciberseguridad
El plan se apoya en el marco jurídico europeo sobre inteligencia artificial y ciberseguridad. En virtud del Reglamento de Inteligencia Artificial, los modelos avanzados deberán ser evaluados y las medidas de mitigación tendrán que analizarse antes de su comercialización en el mercado de la UE.
Para reforzar la capacidad técnica europea, la Comisión lanzará una convocatoria específica destinada a crear una capacidad de evaluación de la UE, que incluirá el ámbito de la ciberseguridad y se espera que esté operativa en 2027. Esta estructura contribuirá a la función reguladora de la Oficina de IA mediante el refuerzo de las evaluaciones de terceros sobre capacidades y riesgos de la inteligencia artificial a escala global.
La Comisión también trabajará con la Agencia de la Unión Europea para la Ciberseguridad (ENISA) en la definición de un modelo europeo de acceso estructurado a capacidades avanzadas de IA aplicadas a la ciberseguridad. La guía estará dirigida a facilitar que organizaciones públicas y privadas europeas relevantes puedan acceder a estos modelos en condiciones claras y transparentes.
Pruebas seguras de IA en sectores críticos
ENISA y el Centro Común de Investigación de la Comisión Europea crearán una plataforma segura para probar inteligencia artificial aplicada a la ciberseguridad, incluido el uso de entornos simulados. El objetivo es trasladar conocimiento sobre el uso seguro de la IA a operadores de sectores críticos como finanzas, energía, salud, transporte y administración pública.
El Plan de Acción también plantea reforzar la protección de las infraestructuras críticas frente a las vulnerabilidades derivadas de la posible utilización indebida de estas tecnologías. La Comisión Europea recuerda que, conforme a las normas europeas de ciberseguridad, las organizaciones deben intensificar las prácticas de higiene cibernética, la gestión de riesgos y los principios de seguridad desde el diseño.
Las organizaciones deberán empezar a utilizar capacidades de IA ya disponibles, incluidos modelos de código abierto, para identificar y corregir vulnerabilidades con mayor rapidez, así como para prevenir ataques y responder a ellos. ENISA apoyará esta transición mediante asociaciones entre autoridades públicas, empresas y comunidades de código abierto del ecosistema cibernético.
Ese apoyo incluirá orientaciones, recomendaciones y buenas prácticas, además de una campaña específica para proteger el software crítico de código abierto. La medida forma parte del enfoque europeo para reducir riesgos operativos en componentes tecnológicos ampliamente utilizados.
Capacidades europeas de IA para el mercado de ciberseguridad
Para impulsar el desarrollo del mercado europeo, la Comisión Europea lanzará el gran reto europeo de innovación en inteligencia artificial aplicada a la ciberseguridad, una competición destinada a reunir a empresas, investigadores y organizaciones en el desarrollo de soluciones de inteligencia artificial para ciberseguridad.
La Comisión subraya también la necesidad de seguir invirtiendo en capacidades soberanas europeas de IA avanzada, apoyándose en la infraestructura de las fábricas de IA y de las futuras gigafactorías. En este contexto, la próxima European Tech equity capacity, anunciada en el Tech Sovereignty Package, podría movilizar inversión privada para escalar capacidades de IA desarrolladas en Europa.
El marco regulatorio europeo incluye varias normas vinculadas a esta agenda. El Reglamento de Inteligencia Artificial exige evaluar y mitigar los riesgos de los modelos de IA, mientras que el Código de Buenas Prácticas para la IA de propósito general precisa estos requisitos y facilita el cumplimiento por parte de los proveedores de modelos avanzados. Estas disposiciones empezarán a aplicarse el 2 de agosto de 2026.
El Reglamento de Ciberresiliencia, previsto para ser aplicable a finales de 2027, establece la seguridad desde el diseño para productos de hardware y software. A ello se suman la Directiva NIS2, orientada a reforzar la seguridad en sectores críticos como transporte y energía; el Reglamento de Resiliencia Operativa Digital (DORA), centrado en el sector financiero; y el Reglamento de Cibersolidaridad, que fortalece las capacidades de la UE para detectar, prepararse y responder a amenazas y ataques de ciberseguridad significativos y a gran escala.