La inteligencia artificial está acelerando la transformación de las empresas, pero también está ampliando los riesgos que deben gestionar. La información que alimenta sus sistemas, las herramientas automatizadas y los proveedores tecnológicos forman parte de una misma cadena de seguridad. Una falla en cualquiera de esos puntos puede comprometer operaciones, datos y confianza.
En Perú, la protección de datos y la confianza en la información aparecen entre las prioridades declaradas por las organizaciones consultadas en el Global Digital Trust Insights 2027, estudio de PwC que recoge las respuestas de 3.934 líderes empresariales y tecnológicos de 71 países. Los resultados específicos del país fueron difundidos por el diario Gestión.
Los datos muestran una preocupación que va más allá de instalar programas de seguridad: las empresas necesitan asegurar la información, revisar a sus proveedores y establecer controles para utilizar la inteligencia artificial sin poner en riesgo sus operaciones.
Los datos principales del estudio
74 %: de los encuestados en Perú señaló la protección de datos y la confianza en estos como prioridades, frente al 58 % de Latinoamérica y el 51 % del promedio global.
58 %: de las organizaciones peruanas consultadas prioriza la gestión de riesgos de terceros y de las cadenas de suministro.
52 %: identificó la seguridad de la IA y los agentes autónomos entre sus prioridades de inversión.
48 %: expresó preocupación por la confiabilidad y madurez de la tecnología de IA actual.
Fuente: resultados de Perú publicados por Gestión a partir del Global Digital Trust Insights 2027 de PwC. Los porcentajes corresponden a respuestas de la encuesta y no representan necesariamente montos de inversión ejecutados.
Por qué la protección de datos gana importancia en Perú
El 74 % registrado en Perú para la protección de datos y la confianza en estos supera los porcentajes regional y mundial. La diferencia sugiere que las organizaciones consultadas están prestando especial atención a la información que administran y a los riesgos asociados con su exposición.
Una explicación recogida por Gestión es que algunas empresas incorporaron tecnologías para crecer y mejorar sus servicios sin fortalecer al mismo ritmo sus controles de seguridad. La digitalización puede generar beneficios, pero también crea nuevas dependencias: aplicaciones conectadas, bases de datos, servicios en la nube y sistemas de inteligencia artificial que necesitan información para funcionar.
Cuando esos componentes no cuentan con controles adecuados, una vulnerabilidad puede afectar mucho más que un sistema aislado. La filtración de datos puede comprometer la privacidad de los clientes, interrumpir operaciones y deteriorar la reputación de una organización.
Por eso, proteger la información no consiste únicamente en evitar que alguien acceda sin autorización. También implica determinar quién puede utilizarla, para qué fines, dónde se almacena, cuánto tiempo se conserva y qué medidas se aplican cuando intervienen proveedores externos.
Los proveedores también forman parte del riesgo
Otro resultado relevante es que el 58 % de las organizaciones peruanas encuestadas prioriza los riesgos de terceros y las cadenas de suministro. Esto significa que la seguridad de una empresa depende, en parte, de los servicios y sistemas que utilizan sus socios tecnológicos y comerciales.
Por ejemplo, una compañía puede contar con buenas medidas de protección y aun así quedar expuesta si un proveedor que administra sus datos tiene accesos mal controlados o sufre un incidente. La amenaza puede propagarse a través de una conexión legítima, una cuenta comprometida o una herramienta utilizada por ambas organizaciones.
La evaluación de proveedores debería incluir, por tanto, requisitos de seguridad, revisión de permisos, mecanismos de notificación de incidentes y comprobaciones periódicas de los controles aplicados. También es importante definir cómo se gestionará la información al terminar un contrato.
Para las empresas pequeñas y medianas, que no siempre cuentan con equipos especializados, esto no necesariamente exige crear una gran estructura de ciberseguridad. Sí requiere identificar los servicios críticos, conocer qué información comparten y establecer condiciones mínimas que los proveedores deben cumplir.
La inteligencia artificial introduce nuevos desafíos
La IA no solo es una herramienta para automatizar tareas: también se ha convertido en un componente que necesita protección. Los sistemas pueden procesar información confidencial, conectarse con aplicaciones empresariales y generar respuestas o ejecutar acciones a partir de instrucciones.
En los resultados peruanos publicados por Gestión, el 48 % de los encuestados manifestó preocupación por la confiabilidad y madurez de la tecnología actual. Otro 39 % señaló cuestiones relacionadas con la explicabilidad y la responsabilidad en la toma de decisiones.
Estas preocupaciones tienen consecuencias prácticas. Una respuesta incorrecta generada por un sistema de IA puede influir en una decisión comercial; el uso de información sensible en una herramienta externa puede exponer datos; y una instrucción maliciosa puede intentar alterar el comportamiento de un asistente conectado a documentos o aplicaciones internas.
El problema adquiere otra dimensión con los agentes de IA. A diferencia de un asistente que se limita a responder preguntas, un agente puede utilizar herramientas, encadenar tareas y ejecutar acciones para alcanzar un objetivo. Si tiene permisos excesivos o controles insuficientes, un error o una manipulación puede producir efectos sobre sistemas reales.
Por ello, la seguridad de la IA debe contemplar pruebas antes de su despliegue, límites de acceso, protección de los datos, registro de actividades y supervisión humana en las operaciones que puedan generar consecuencias importantes.
Un punto clave
Que una herramienta de IA funcione correctamente durante las pruebas no garantiza que sea segura en todos los escenarios. La organización debe controlar qué información recibe, a qué sistemas puede acceder y qué acciones tiene permitido ejecutar.
La inversión global crece, pero la preparación aún tiene brechas
La preocupación por estos riesgos también aparece en los resultados globales del estudio. PwC señala que el 84 % de los líderes de seguridad y finanzas consultados espera aumentar el presupuesto de ciberseguridad. La inteligencia artificial figura entre las prioridades de inversión para reforzar las defensas.
Sin embargo, disponer de más presupuesto no equivale automáticamente a estar preparado. El informe global identifica los ataques dirigidos contra sistemas de IA como la principal amenaza para la que los responsables de seguridad consideran que están menos preparados.
Además, solo el 22 % de los encuestados globales permitiría que la IA ejecutara acciones de manera completamente autónoma en tareas de ciberdefensa. La cifra refleja la cautela frente a sistemas que pueden actuar con poca intervención humana, especialmente cuando una decisión equivocada puede afectar la continuidad del negocio.
Otro dato que llama la atención es que solo el 39 % de los líderes de seguridad, riesgos y operaciones señala contar con planes de continuidad operativa plenamente formalizados e integrados que contemplen específicamente los riesgos cibernéticos. Estos planes permiten establecer cómo mantener o recuperar los servicios esenciales ante una interrupción.
En conjunto, los resultados sugieren que la prioridad no debería ser incorporar herramientas por sí mismas, sino combinar tecnología, procesos, personal capacitado y capacidad de recuperación.
Talento y cultura de seguridad: el otro desafío
La protección tecnológica necesita personas capaces de identificar riesgos y actuar ante incidentes. Según los resultados peruanos publicados por Gestión, el 58 % de los encuestados señaló como medidas prioritarias ofrecer oportunidades de crecimiento para desarrollar y retener talento en ciberseguridad. El mismo porcentaje priorizó herramientas habilitadas por IA y capacitación para trabajar con ellas. Un 55 % destacó la importancia de fortalecer la cultura de ciberseguridad.
Estas respuestas apuntan a una necesidad complementaria: las organizaciones deben preparar a sus equipos para utilizar nuevas herramientas sin depender completamente de ellas. La formación ayuda a reconocer intentos de suplantación, manejar información sensible, detectar comportamientos anómalos y aplicar procedimientos adecuados cuando ocurre un incidente.
La cultura de seguridad también depende de decisiones cotidianas. Utilizar contraseñas robustas, limitar los permisos, mantener los sistemas actualizados y evitar el envío de datos confidenciales a plataformas no autorizadas son prácticas que reducen riesgos si se aplican de manera consistente.
Qué deberían priorizar las empresas peruanas
Los resultados del Global Digital Trust Insights 2027 no significan que todas las organizaciones deban invertir de la misma manera. Las medidas necesarias dependen del sector, el tamaño de la empresa, la sensibilidad de la información y el nivel de exposición de sus sistemas.
Como punto de partida, hay cinco acciones que pueden ayudar a convertir la preocupación en mejoras concretas:
- Identificar los datos críticos. Determinar qué información se administra, dónde se encuentra y quién puede acceder a ella.
- Revisar los accesos y los proveedores. Aplicar permisos según las funciones, verificar los servicios externos y reducir accesos que ya no sean necesarios.
- Establecer reglas para utilizar IA. Definir qué herramientas están autorizadas, qué datos pueden procesar y qué decisiones requieren revisión humana.
- Capacitar a los equipos. Preparar a los trabajadores para reconocer amenazas, proteger información y usar la IA de forma responsable.
- Preparar la respuesta ante incidentes. Contar con responsables, procedimientos de comunicación, respaldos y planes para recuperar los servicios esenciales.
Estas medidas deberían revisarse periódicamente. La aparición de una nueva aplicación, un cambio de proveedor o la incorporación de un agente de IA puede modificar los riesgos y exigir ajustes en los controles existentes.
El marco peruano también exige una adopción responsable
En Perú, la Ley N° 31814 promueve el uso de la inteligencia artificial en favor del desarrollo económico y social. Su reglamento fue aprobado mediante el Decreto Supremo N° 115-2025-PCM, que establece disposiciones para fomentar el uso seguro, responsable y ético de estos sistemas.
Este marco normativo forma parte del contexto en el que las organizaciones deben evaluar sus proyectos de IA, sus riesgos y las responsabilidades asociadas a su implementación. Las obligaciones concretas dependen de las disposiciones aplicables y de las características de cada sistema y actividad.
La existencia de reglas, sin embargo, no sustituye la gestión interna de riesgos. Las empresas necesitan identificar quién toma las decisiones sobre el uso de IA, quién supervisa los controles y cómo se comprueba que la tecnología funciona de acuerdo con los objetivos establecidos.
La protección de datos, la ciberseguridad y la gobernanza de la IA deben abordarse de manera coordinada. Separarlas puede dejar vacíos entre los equipos tecnológicos, las áreas legales, la dirección y los responsables de los procesos de negocio.
La confianza digital se construye antes del incidente
Los resultados del estudio muestran que la protección de datos, los riesgos de terceros y la seguridad de la IA ocupan un lugar importante en las prioridades declaradas por las empresas peruanas. El reto es que esas prioridades se traduzcan en controles que funcionen en la práctica.
La inteligencia artificial puede ayudar a mejorar procesos, analizar información y elevar la productividad. Pero sus beneficios dependen también de la calidad de los datos, la seguridad de los sistemas y la capacidad de las organizaciones para supervisar sus resultados.
En un entorno donde las empresas están cada vez más conectadas, la confianza digital no se construye únicamente comprando tecnología. Requiere conocer los riesgos, proteger la información, preparar a las personas y contar con planes para responder cuando algo falla.
¿Qué deberían priorizar las empresas peruanas para aprovechar la inteligencia artificial sin comprometer la seguridad de sus datos? Comparte tu opinión en QHAPAQ Perú.
Fuentes
- PwC: Global Digital Trust Insights 2027, resultados globales.
- Gestión: resultados de Perú del Global Digital Trust Insights 2027, 14 de octubre de 2026.
- Presidencia del Consejo de Ministros: Decreto Supremo N° 115-2025-PCM.
.jpg)
.jpg)
.jpg)
