La Comisión Europea ha presentado un Plan de Acción sobre Ciberseguridad e Inteligencia Artificial para coordinar la respuesta de la Unión Europea ante los riesgos que plantean los modelos avanzados de IA y, al mismo tiempo, facilitar su uso en la protección del entorno digital. La iniciativa busca implicar a Estados miembros, industria y organismos europeos en un marco común frente a vulnerabilidades, ataques automatizados e incidentes de mayor escala y velocidad.
El plan parte de la premisa de que los nuevos modelos avanzados de inteligencia artificial están modificando las condiciones de la ciberseguridad. Estas tecnologías pueden emplearse para detectar fallos, acelerar ataques y ampliar el impacto de las amenazas, por lo que la Comisión Europea vincula la actuación a la aplicación del marco jurídico europeo en materia de IA y ciberseguridad.
Acceso a modelos de IA
Uno de los ejes del Plan de Acción es la evaluación de los modelos avanzados de IA antes de su llegada al mercado europeo. En virtud del Reglamento de Inteligencia Artificial, estos sistemas deberán ser analizados y sus medidas de mitigación revisadas para determinar cómo pueden utilizarse, desviarse de su finalidad o ser explotados con fines maliciosos.
Para reforzar capacidades propias, la Comisión lanzará una convocatoria específica destinada a crear una capacidad europea de evaluación que incluirá el ámbito de la ciberseguridad. Está previsto que esta estructura esté operativa en 2027 y que apoye la función reguladora de la Oficina de IA mediante una mayor capacidad de evaluación por terceros de las prestaciones y riesgos de los modelos a escala global.
El Ejecutivo comunitario también trabajará con la Agencia de la Unión Europea para la Ciberseguridad (ENISA) en la definición de un modelo europeo para el acceso estructurado a capacidades avanzadas de IA aplicadas a la ciberseguridad. Esta guía estará dirigida a organizaciones públicas y privadas europeas que necesiten acceder a modelos avanzados en condiciones claras y transparentes.
Plataforma de pruebas y uso seguro en sectores críticos
ENISA y el Centro Común de Investigación de la Comisión Europea desarrollarán una plataforma segura para probar inteligencia artificial aplicada a la ciberseguridad, con el uso de entornos simulados. El objetivo es trasladar conocimiento sobre el empleo seguro de estas herramientas a operadores de sectores críticos como finanzas, energía, salud, transporte y administraciones públicas.
El plan también insta a reforzar la protección de infraestructuras críticas frente a vulnerabilidades derivadas del posible uso indebido de la IA. En línea con las normas europeas de ciberseguridad, las organizaciones deberán intensificar las prácticas de higiene cibernética, la gestión de riesgos y los principios de seguridad desde el diseño.
La Comisión plantea que las entidades comiencen a utilizar capacidades de IA ya disponibles, incluidos modelos de código abierto, para identificar y corregir vulnerabilidades con mayor rapidez, así como para prevenir ciberataques y responder a ellos. ENISA apoyará esta transición mediante alianzas entre autoridades públicas, empresas y comunidades de código abierto del ecosistema cibernético.
Capacidades europeas de IA para ciberseguridad
Entre las medidas previstas figuran orientaciones, recomendaciones, buenas prácticas y una campaña destinada a proteger el software crítico de código abierto. La Comisión Europea también lanzará el gran reto europeo de innovación en inteligencia artificial aplicada a la ciberseguridad, una competición orientada a reunir a empresas, investigadores y organizaciones para desarrollar soluciones de inteligencia artificial aplicadas a la ciberseguridad.
El Plan de Acción subraya la necesidad de seguir invirtiendo en capacidades europeas soberanas de IA avanzada, apoyándose en la infraestructura de las factorías de IA y las futuras gigafactorías. En este contexto, la futura European Tech equity capacity, anunciada en el Tech Sovereignty Package, podría movilizar inversión privada para escalar capacidades de IA desarrolladas en Europa.
El marco regulatorio citado por la Comisión incluye el Reglamento de Inteligencia Artificial y el Código de Buenas Prácticas para la IA de propósito general, que concreta obligaciones y facilita el cumplimiento por parte de proveedores de modelos avanzados. Estas disposiciones empezarán a aplicarse el 2 de agosto de 2026.
La Comisión Europea también remite al Reglamento de Ciberresiliencia, aplicable a finales de 2027, que exige seguridad desde el diseño en productos de hardware y software. A ello se suman la Directiva NIS2 para reforzar la seguridad en sectores críticos como transporte y energía, el Reglamento de Resiliencia Operativa Digital (DORA) para el sector financiero, y el Reglamento de Cibersolidaridad, dirigido a mejorar la detección, preparación y respuesta ante amenazas y ataques significativos o a gran escala en la UE.