Antes de liderar Redsolución, pasé varios años en gerencias de Administración y Finanzas. Desde ese asiento vi algo que hoy explica muchos problemas de ciberseguridad: durante mucho tiempo, el área de tecnología dependió de esas gerencias.
TI se gestionaba como una cuenta de gastos generales y no como una función estratégica con voz propia frente al directorio. Cada vez más empresas dan a la tecnología y la ciberseguridad un lugar propio, con el CIO y el CISO reportando a la gerencia general. Pero ese tránsito, en Chile, está a medio camino, y la IA generativa lo dejó en evidencia.
La brecha está en el directorio
La adopción no da tregua. Según el informe “CIO Outlook 2026”, seis de cada diez líderes tecnológicos ya implementan soluciones basadas en IA, y un 54% reconoce retornos concretos. Por primera vez, la prioridad de los CIO es alinear la estrategia de TI con los objetivos del negocio, por sobre la ciberseguridad. Un 61% declara que los ejecutivos todavía no comprenden su rol y sus responsabilidades. La brecha no está en los servidores; está en el directorio.
Mientras tanto, el riesgo crece a la par de la adopción. En CYBERSEC Chile 2026, Jimena Mora, de la Unidad de Delitos Digitales de Microsoft, advirtió que cerca del 80% de los incidentes involucran algún compromiso de identidad y alertó sobre el auge del “crimen como servicio”, que baja la barrera técnica para lanzar un ataque de ransomware. Es la tensión que veo en las empresas que asesoramos: la tecnología que promete eficiencia también amplía la superficie de ataque.
El costo de no gobernar la IA ya tiene cifra: una brecha vinculada con la IA utilizada en la sombra (“shadow AI”) cuesta en promedio US$670.000 más que un incidente estándar, y un 97% de las empresas comprometidas no contaba con una política de acceso a modelos de IA. Mientras tanto, en Chile, la agenda regulatoria avanza sin pausa. La Ley Marco de Ciberseguridad (Ley 21.663) exige controles verificables, registro de riesgos y reporte de incidentes a la Agencia Nacional de Ciberseguridad (ANCI). Las multas pueden llegar a 40.000 UTM. A esto se suma la Ley de Protección de Datos Personales (Ley 21.719), que entra en vigencia el 1 de diciembre de 2027 y crea una Agencia de Protección de Datos, mientras el proyecto de Ley de Inteligencia Artificial continúa su trámite en el Senado, sin un período de adaptación definido para las pymes.
Gartner resume en tres frentes las prioridades del CISO para 2026: modernizar la gestión de identidades, reducir las barreras a la innovación en IA mediante gobernanza en lugar de bloqueo, y medir la seguridad por la resiliencia real del negocio ante un incidente. El CISO y cada vez más el CIO, cuyos roles convergen en la práctica, deben responder qué datos entrenan los modelos de IA, cómo se protege la información confidencial, quién es responsable cuando un agente inteligente toma una decisión errada y qué acceso tienen esos agentes a los sistemas críticos.
A esta complejidad se suma el talento. Un 46% de las organizaciones identifica la ciberseguridad como la habilidad crítica más difícil de conseguir, seguida por IA y machine learning (37%). Solo el 58% cuenta con programas de desarrollo para talento emergente en TI. La consecuencia es una dependencia creciente del talento externo, que escasea a nivel regional. Las gerencias de Recursos Humanos deben ser actores partícipes en este proceso.
El eslabón más expuesto: las pymes sin CIO ni CISO
Ese déficit golpea con dureza a las pymes. Según Chiletec, un 70% no cuenta con ninguna medida de ciberseguridad, y Chile ya es el cuarto país de América Latina con más incidentes de ransomware. La razón no es solo presupuestaria: la seguridad suele postergarse hasta que ocurre un incidente, y contratar a un CIO o un CISO de dedicación exclusiva no es viable para la mayoría. Un 45% de las pymes chilenas sufrió al menos un incidente durante 2025, y un 34% de las afectadas necesitó entre dos y seis semanas para recuperar su operación, un plazo que, para un negocio que vive del flujo de caja diario, puede significar el cierre.
El impacto no se queda en lo tecnológico. Un ciberataque paraliza la facturación electrónica, retrasa cobranzas y pagos, deteriora la confianza de clientes y proveedores y expone información sensible de terceros. Los fraudes con Clave Única y Clave Tributaria también alcanzan a las pymes cuando reciben facturas falsas, pagan a cuentas fraudulentas o deben responder ante el Servicio de Impuestos Internos por operaciones simuladas que nunca autorizaron. Sin doble validación de facturas, autenticación multifactor y revisión periódica de sus trámites tributarios, la pyme queda expuesta a una pérdida financiera y a una contingencia con el SII. Además, grandes empresas de minería, retail y banca ya exigen estándares mínimos de ciberseguridad a sus proveedores, dejando fuera a quienes no logran acreditarlos.
La salida realista es asesorarse con especialistas externos que aporten esa mirada estratégica a una escala acorde a su tamaño. Por ello, se deben buscar partners que trabajen con una lógica de integrar la tecnología y la ciberseguridad con una visión de negocio completa, la misma que aprendí desde las gerencias de Administración y Finanzas. Esa mirada integral (tecnológica, financiera y tributaria) es la que necesitan hoy las pymes chilenas para tomar decisiones informadas, cumplir con la regulación y proteger su continuidad operativa.
El mensaje es el mismo para una corporación que para una pyme: la gobernanza de la inteligencia artificial y de la ciberseguridad dejó de ser un ejercicio de cumplimiento normativo para convertirse en una ventaja competitiva y una condición de supervivencia financiera. Las organizaciones con CIO y CISO deben sentarlos en la misma mesa que el directorio y la gerencia general; las que no pueden costear esos cargos deben buscar ese criterio a través de una asesoría externa seria.
La pregunta para 2026 no es si la IA va a transformar el negocio (eso ya está ocurriendo), sino si la organización estará gobernada con la disciplina suficiente para capturar esa transformación sin quedar expuesta.
