Primera notificación de ataque de IA en España: la AEPD alerta sobre vulnerabilidades en sistemas de datos personales

La Agencia Española de Protección de Datos (AEPD) ha recibido la primera notificación de una brecha de datos personales en la que el incidente fue ejecutado mediante un agente de inteligencia artificial. Según la información proporcionada por la organización afectada, el agente de IA buscó vulnerabilidades en archivos genéricos, realizó un inicio de sesión correcto y, una vez accedido al sistema, modificó datos personales y accedió a facturas. La AEPD ha aclarado que la utilización de un modelo específico de IA no implica que el modelo o su infraestructura hayan sido comprometidos, sino que un tercero utilizó el agente de IA como instrumento para encadenar exitosamente distintas fases del ataque. Este caso confirma que los ataques apoyados en inteligencia artificial han dejado de ser un riesgo teórico y empiezan a materializarse en incidentes reales. La AEPD señala que la IA no crea nuevas amenazas, pero sí aumenta la velocidad, escala y capacidad de adaptación de técnicas maliciosas ya conocidas, reduciendo el tiempo disponible para detectarlas y contenerlas. El director adjunto de la AEPD, Francisco Pérez Bes, ha destacado la necesidad de incorporar expresamente los ataques asistidos por IA en los análisis de riesgos, revisar los tiempos de respuesta y reforzar las identidades digitales y credenciales. Además, ha subrayado que la seguridad de los tratamientos no puede depender únicamente de la intervención manual, sino que requiere mecanismos de detección, contención y respuesta capaces de operar con la rapidez suficiente. Este primer caso representa un cambio cualitativo en la ciberseguridad, ya que los agentes de IA pueden planificar tareas, utilizar herramientas, ejecutar código y adaptar su comportamiento de forma autónoma, lo que incrementa la complejidad de los ataques y la necesidad de nuevas estrategias de protección.