La inteligencia artificial (IA) está transformando el panorama de la ciberseguridad. Su creciente capacidad para automatizar procesos, analizar grandes volúmenes de información y ejecutar tareas complejas no solo ofrece oportunidades para las organizaciones, sino que también puede ser aprovechada por agentes maliciosos para desarrollar ataques más sofisticados, personalizados y difíciles de detectar.
En este contexto surge la denominada IA ofensiva, entendida como el uso de sistemas de IA para potenciar, automatizar o ejecutar acciones dirigidas a comprometer, dañar o explotar sistemas informáticos, infraestructuras, entidades o personas. Su principal impacto radica en la llamada “ventana de exposición”, es decir, el intervalo entre el descubrimiento de una vulnerabilidad y su explotación, reduciendo el margen de respuesta de las organizaciones y aumentando la probabilidad de que los atacantes actúen antes de que se apliquen los controles necesarios.
Esta evolución adquiere especial relevancia para la protección de datos. La automatización de ataques y la explotación de vulnerabilidades pueden aumentar la exposición de información personal a accesos, usos o divulgaciones no autorizados, con posibles consecuencias para la privacidad y otros derechos de las personas.
Ante este escenario, las instituciones deben reconsiderar cómo identifican, evalúan y gestionan los riesgos asociados con la información que tratan.
Nuevos riesgos para la privacidad, ¿cómo pueden verse comprometidos los datos personales?
Entre los riesgos más relevantes destacan cuatro modalidades que combinan amenazas conocidas con nuevas capacidades de automatización y manipulación, a saber:
1. Phishing e ingeniería social hiperpersonalizada: generación automatizada de comunicaciones fraudulentas con alto grado de persuasión y adaptación.
2. Deepfakes y fraude de identidad sintéticas: manipulación y clonación sintética de voz e imagen en tiempo real para engañar a las personas y vulnerar esquemas de verificación biométrica.
3. Prompt injection (directa e indirecta) y envenenamiento de memoria/RAG: inyección de instrucciones maliciosas en entradas o contenidos consultados que alteran el flujo de razonamiento de la IA, provocando la ejecución de acciones no autorizadas, decisiones sesgadas o fugas de datos.
4. Exfiltración automatizada y Shadow AI / Shadow-leak: extracción masiva no autorizada de información, sobreexposición de datos no estructurados/metadatos y uso desgobernado de herramientas.
En conjunto, estas amenazas evidencian que los riesgos de la IA ofensiva trascienden la vulneración de sistemas tecnológicos y pueden comprometer directamente la confidencialidad de la información, la privacidad y el ejercicio de los derechos de las personas.
Medidas de contención y prevención: controles prioritarios a corto plazo
Frente a este panorama, las organizaciones deben adoptar una respuesta preventiva que permita reducir su exposición a las amenazas y fortalecer la protección de los datos personales. La prioridad consiste en implementar controles técnicos y organizativos capaces de dificultar los accesos no autorizados, limitar el impacto de posibles incidentes y mejorar la capacidad de detección y respuesta.
Una primera línea de actuación es el fortalecimiento de la gestión de identidades y accesos, mediante mecanismos de autenticación multifactor (MFA), revisión periódica de privilegios y aplicación del principio de mínimo privilegio. Estas medidas buscan limitar las posibilidades de acceso indebido a la información, incluso cuando las credenciales hayan sido comprometidas.
En paralelo, resulta necesario la implementación del Registro de Actividades de Tratamiento (RAT) como herramienta efectiva de gestión —controlar qué información se trata, cómo, dónde, quién lo hace y con qué finalidad—, fundamental para la gobernanza de los datos personales. Su actualización debe permitir conocer, además, los plazos de conservación, así como el flujo de información dentro y fuera de la organización. Sin un RAT que proporcione una visión completa y actualizada de los tratamientos, resulta imposible identificar riesgos con precisión.
De igual modo, las entidades deben establecer controles sobre el uso de herramientas de inteligencia artificial, definiendo qué información puede procesarse, qué sistemas están autorizados y cuáles son sus límites de acceso.
Finalmente, es fundamental fortalecer la detección y respuesta ante incidentes, mediante la vigilancia de accesos anómalos, la identificación de posibles filtraciones y la actualización de los procedimientos de contención.
Gobernanza coordinada de privacidad y seguridad: Comité Ejecutivo, CISO y DPO con responsabilidades diferenciadas
La respuesta a largo plazo frente a los riesgos de la IA ofensiva requiere evolucionar desde controles tecnológicos aislados hacia un modelo de gobernanza que integre la seguridad de la información y la protección de datos personales, mediante responsabilidades claramente diferenciadas y mecanismos efectivos de coordinación.
En este sentido, la Ley núm. 172-13 sobre la Protección Integral de los Datos Personales establece, en sus artículos 5.5 y 13, deberes de seguridad y protección de la información que corresponden al responsable del tratamiento, que en este caso es la Superintendencia de Bancos. Su cumplimiento exige el compromiso del Comité Ejecutivo, encargado de impulsar las políticas institucionales, asignar los recursos necesarios y garantizar mecanismos adecuados de supervisión y rendición de cuentas.
Por su parte, el Oficial de Seguridad de la Información (CISO) lidera la gestión técnica de los riesgos de ciberseguridad, mediante el diseño, implementación y supervisión de controles orientados a preservar la confidencialidad, integridad y disponibilidad de la información. Esta función puede apoyarse en marcos de referencia como ISO 27001 y NIST CSF.
Como tercer componente, adquiere relevancia la figura del Oficial de Protección de Datos (DPO) o su equivalente organizacional, como el Especialista en Privacidad y Protección de Datos. Aunque la legislación dominicana no establece expresamente esta figura, su incorporación constituye una buena práctica de gobernanza orientada al asesoramiento y supervisión del cumplimiento en la materia.
Su función es de segunda línea de defensa: valida que los controles implementados por el CISO y las decisiones del Comité Ejecutivo se alineen con la normativa de protección de datos, documentando evidencia para demostrar responsabilidad proactiva (accountability). Asimismo, contribuye a identificar y evaluar los riesgos que los tratamientos de datos representan para sus titulares.
En síntesis, la evolución de la IA ofensiva plantea un desafío que trasciende la capacidad tecnológica de las organizaciones para detectar y contener ciberataques. La velocidad con la que estas amenazas pueden materializarse exige adoptar un enfoque preventivo, capaz de anticipar riesgos y reducir sus posibles consecuencias sobre los datos personales y los derechos de sus titulares.
En este escenario, la resiliencia institucional no depende exclusivamente de la implementación de controles de seguridad, sino también del conocimiento de los datos que se tratan, la evaluación continua de los riesgos y la coordinación efectiva entre quienes toman decisiones, gestionan la seguridad y supervisan el cumplimiento normativo en privacidad.
Por tanto, la protección de datos personales frente a la IA ofensiva debe asumirse como una responsabilidad institucional compartida, con funciones claramente diferenciadas. El verdadero desafío consiste en pasar de una respuesta predominantemente reactiva a un modelo de gobernanza que integre prevención, supervisión y mejora continua, fortaleciendo así la protección de los derechos de las personas y la confianza en la organización.
Referencias
Centro Criptológico Nacional, ‘‘Guía de buenas prácticas frente al modelo de IA ofensiva (CCN-CERT BP/36)’’, 2026. https://www.ccn-cert.cni.es/es/informes/informes-de-buenas-practicas-bp/7469-ccn-cert-bp-36-buenas-practicas-ia-ofensiva/file.html
Agencia Española de Protección de Datos. ‘‘IA ofensiva: cuando la inteligencia artificial acelera el riesgo para la protección de datos’’, ¸2026, 28 de septiembre https://www.aepd.es/prensa-y-comunicacion/blog/ia-ofensiva-cuando-inteligencia-artificial-acelera-riesgo-proteccion-datos
Agencia Española de Protección de Datos. ‘‘Inteligencia artificial agéntica desde la perspectiva de protección de datos’’ (versión 1.2), 2026b. https://www.aepd.es/guias/orientaciones-ia-agentica.pdf
Congreso Nacional de la República Dominicana. Ley núm. 172-13, sobre protección integral de los datos personales. Gaceta Oficial núm. 10737, 15 de diciembre de 2013. Ley-172-13.pdf
Echeverría Muñoz, D. ‘’Gestión de riesgos y protección de datos: la tecnificación normativa ecuatoriana frente al paradigma europeo del RGPD’’. Revista de Privacidad, Innovación y Tecnología, (1), (2026). 168–178.https://revista.aepd.es/revistaprivacidad/issue/view/1
