La Comisión Europea publica su Plan de Acción sobre Ciberseguridad e IA – Cuatrecasas
El pasado 7 de julio de 2026, la Comisión Europea publicó su Comunicación COM(2026) 577 final, por la que se establece el Plan de Acción sobre Ciberseguridad e Inteligencia Artificial. Esta iniciativa constituye una respuesta específica y coordinada a los retos y oportunidades que plantea la IA avanzada en el ámbito de la ciberseguridad, tanto desde una perspectiva defensiva como ofensiva.
El Plan de Acción parte de un diagnóstico claro: los modelos de IA más avanzados disponibles o en desarrollo (conocidos como “frontera”) aportan capacidades reforzadas para mejorar la preparación, la detección de amenazas y la respuesta ante incidentes, generando oportunidades sin precedentes para fortalecer la ciberresiliencia. Sin embargo, al mismo tiempo, las capacidades avanzadas de IA ya disponibles —incluidas las de código abierto— pueden ser utilizadas por actores maliciosos para ejecutar ciberataques más automatizados, escalables y sofisticados.
La UE cuenta ya con un marco jurídico y operativo sólido, que incluye el Reglamento de Inteligencia Artificial, el Reglamento de Ciberresiliencia, la Directiva NIS2 y el Reglamento de Resiliencia Operativa Digital (DORA). Sobre estas bases, el Plan de Acción articula su respuesta en torno a cuatro pilares principales, según se describen a continuación:
Pilar 1: Hacer la IA frontera segura, accesible y desplegable para la ciberseguridad europea
El primer pilar se centra en garantizar que la UE cuente con la capacidad técnica para evaluar los riesgos de los modelos de IA frontera antes de su despliegue, facilitar el acceso a capacidades avanzadas de IA para actores europeos y coordinar entornos de prueba seguros.
En materia de evaluación de riesgos, a partir del 2 de agosto de 2026, la Comisión ejercerá las competencias de supervisión previstas en el Reglamento de Inteligencia Artificial para garantizar una vigilancia efectiva de los modelos de IA de propósito general, incluidos aquellos que presenten riesgos sistémicos relacionados con la ciberseguridad. Estas competencias incluyen la solicitud de información sobre el modelo, el acceso al modelo para realizar evaluaciones, la exigencia de medidas de mitigación de riesgos y, en última instancia, la imposición de multas de hasta el 3% del volumen de negocios global anual.
La Comisión lanzará una convocatoria dedicada para el establecimiento de una capacidad europea de evaluación de modelos de IA que deberá incluir la ciberseguridad. Esta capacidad contribuirá a generar señales de alerta temprana cuando se identifiquen riesgos, tanto en el ámbito de la ciberseguridad como en biotecnología y otras áreas.
En lo que respecta al acceso a capacidades avanzadas, la Comisión, en coordinación con ENISA, desarrollará un plan denominado European Blueprint para el acceso estructurado a capacidades avanzadas de IA con fines de ciberseguridad. Este documento de orientación incluirá los criterios que deben considerarse para otorgar acceso a diferentes tipos de organizaciones (instituciones europeas, autoridades de los Estados miembros, operadores de infraestructuras críticas, proveedores de ciberseguridad y actores de investigación). También contemplará medidas de contingencia en caso de restricción o retirada del acceso por parte de un proveedor o una autoridad de un tercer país.
Por último, ENISA y el Centro Común de Investigación (JRC) organizarán una plataforma segura de pruebas para la IA en casos de uso de ciberseguridad, que permitirá probar el despliegue de capacidades avanzadas de ciber-IA en sistemas de infraestructuras críticas sin exponer la infraestructura real a riesgos.
Pilar 2: Preparar el ecosistema cibernético de la UE para la era de la IA
El segundo pilar aborda la preparación del ecosistema europeo frente a las amenazas cibernéticas potenciadas por la IA, con especial atención a los sectores críticos y las pymes.
Se subraya la urgencia de transponer e implementar la Directiva NIS2 y el Reglamento DORA como base sólida de preparación, y se insta a los operadores de sectores críticos a revisar y ajustar sus marcos de gestión de riesgos anticipando ciberataques potenciados por IA con mayor frecuencia y escala. ENISA, en cooperación con las autoridades supervisoras europeas, pondrá a disposición orientaciones, recomendaciones y buenas prácticas para la protección contra amenazas potenciadas por IA y la integración segura de herramientas de IA en las operaciones de ciberseguridad.
En materia de gestión de vulnerabilidades, ENISA deberá asegurar que la infraestructura europea de gestión de vulnerabilidades —incluida la Base de Datos de Vulnerabilidades de la UE (EUVD)— esté adaptada a la era de la descubrimiento de vulnerabilidades asistido por IA. Los Estados miembros deberán actualizar sus políticas nacionales de divulgación coordinada de vulnerabilidades para abordar la explotación habilitada por IA.
Además, ENISA, en cooperación con la Comisión, los Estados miembros y las comunidades de código abierto, lanzará un primer piloto de una Campaña de Resiliencia del Software de Código Abierto Crítico, consistente en un esquema de patrocinio voluntario para asociar proyectos de código abierto con organizaciones dispuestas a apoyar su mantenimiento y seguridad. ENISA también construirá un catálogo de servicios impulsados por IA orientados a apoyar la corrección de vulnerabilidades en software de código abierto.
Pilar 3: Escalar las capacidades europeas de IA para la ciberseguridad
El tercer pilar se centra en el desarrollo y despliegue a escala de soluciones europeas de ciberseguridad basadas en IA, incluyendo inversiones significativas y el fomento de un ecosistema competitivo.
La UE ya está invirtiendo aproximadamente 200 millones de euros hasta el final del actual Marco Financiero Plurianual en el desarrollo de tecnologías avanzadas de ciberseguridad habilitadas por IA a través de los programas Horizonte Europa y Europa Digital. Asimismo, antes de que finalice 2026, la Comisión facilitará inversiones del Fondo del EIC en empresas de ciberseguridad e IA por valor de 100 millones de euros como parte de las inversiones en tecnología de defensa estratégica.
En cuanto al desarrollo de capacidades frontera soberanas, el Plan destaca la necesidad de que la UE desarrolle sus propias capacidades de IA frontera de propósito general para mitigar el riesgo de nuevas dependencias estratégicas. Las denominadas factorías de IA (AI Factories) existentes y las futuras Gigafactories deberán servir como parte de una infraestructura europea soberana para la IA y la ciberseguridad. La Comisión apoyará el desarrollo de capacidades soberanas europeas de ciber-IA, incluso para defensa, a través del Fondo Europeo de Competitividad.
Pilar 4: Cooperación internacional
El cuarto pilar reconoce que las implicaciones de la IA para la ciberseguridad son intrínsecamente globales y que la cooperación internacional resulta esencial para evitar la fragmentación, promover la interoperabilidad entre socios de confianza y aunar esfuerzos.
La Comisión continuará participando activamente en el G7 para promover su enfoque e invitará a socios internacionales a unirse a los esfuerzos en materia de seguridad del software de código abierto y adaptación de las prácticas de gestión de vulnerabilidades. A nivel bilateral, la UE profundizará los intercambios con países socios en materia de IA avanzada y ciberseguridad, priorizando la evaluación de modelos, la protección de infraestructuras críticas, la mitigación de vulnerabilidades y la mejora de la ciberresiliencia. Asimismo, se reforzarán los intercambios con la OTAN sobre las oportunidades y riesgos asociados a las capacidades de IA frontera en el dominio cibernético.
