El BCE ha puesto fecha, 31 de octubre, a algo que hasta ahora era un debate de expertos: defenderse de ciberataques ejecutados por inteligencia artificial.El pasado 7 de julio lleg� al despacho de los consejeros delegados de los 110 mayores bancos de la zona euro una carta poco habitual. La firmaba Claudia Buch, m�xima supervisora del Banco Central Europeo, y no conten�a una recomendaci�n ni una gu�a de buenas pr�cticas, sino una orden con fecha l�mite: antes del 31 de octubre, cada entidad debe presentar un plan de acci�n contra ciberataques potenciados por inteligencia artificial, con medidas concretas, responsables designados, recursos asignados y plazos de ejecuci�n. Ese mismo d�a, la Junta Europea de Riesgo Sist�mico emit�a una alerta formal sobre los modelos de IA de frontera, despu�s de haber elevado en apenas tres meses su valoraci�n del riesgo cibern�tico de "elevado" a "severo".Conviene subrayar el detalle que muchos titulares pasaron por alto: la carta no fue dirigida a los directores de tecnolog�a, sino a los consejeros delegados. El supervisor no est� pidiendo un ajuste t�cnico. Est� diciendo que esto es un asunto de gobierno corporativo, de los que se despachan en el consejo y no en el s�tano de sistemas.�Qu� ha cambiado para justificar tanta urgencia? Hasta hace poco, la IA era para el atacante una herramienta auxiliar: correos de phishing mejor redactados, algo m�s de automatizaci�n. Los modelos m�s avanzados han cruzado otro umbral. Seg�n la alerta europea, ya son capaces de descubrir vulnerabilidades, generar c�digo de ataque funcional y ejecutar ofensivas completas de forma aut�noma, a una velocidad y escala sin precedentes. La propia carta del BCE lo describe como "un cambio de largo plazo en el panorama de amenazas y no un fen�meno temporal". Y encierra una asimetr�a inc�moda: a largo plazo, estas mismas capacidades reforzar�n las defensas; a corto y medio plazo, la ventaja es del atacante. Quien encuentra el fallo en horas juega contra organizaciones que tardan meses en parchearlo.Habr� quien piense que esto es, ante todo, un problema de bancos: infraestructura cr�tica, dinero de por medio, regulaci�n a raudales. Es una objeci�n razonable. Pero no cambia la conclusi�n, sino que la refuerza. Los bancos son, precisamente, las organizaciones que m�s invierten en ciberseguridad de toda nuestra econom�a, y aun as� el supervisor considera que no est�n preparadas para lo que viene. Si ellos necesitan un plan urgente, �qu� decir del resto de empresas, que se enfrentan exactamente al mismo panorama de amenazas con menos medios, menos pr�ctica y ning�n supervisor que les ponga fecha?La anatom�a de un buen planLo m�s valioso de la carta del BCE es que convierte una amenaza difusa en una plantilla de trabajo que cualquier comit� de direcci�n puede copiar. A corto plazo pide tres cosas: acelerar la gesti�n de vulnerabilidades y el parcheo a escala, porque los ciclos trimestrales de actualizaci�n son una invitaci�n al desastre cuando el adversario opera en horas; reforzar la detecci�n y la monitorizaci�n apoy�ndose en IA defensiva, porque ning�n equipo humano puede vigilar a la velocidad del ataque; y estrechar el control sobre los proveedores tecnol�gicos, ese eslab�n de la cadena por el que hoy entran buena parte de los incidentes. A medio plazo, medidas estructurales: defensa en profundidad, higiene cibern�tica y modernizaci�n de las infraestructuras heredadas que todav�a sostienen la operativa de demasiadas organizaciones.Traducirlo a la propia empresa significa, primero, saber qu� se tiene: inventario de activos digitales y mapa de exposici�n. Significa actualizar el factor humano, porque el phishing hiperpersonalizado y los deepfakes de voz y de v�deo han dejado obsoleta la formaci�n tradicional: hoy hacen falta protocolos de verificaci�n reforzados para �rdenes de pago y decisiones sensibles, partiendo de que la voz al otro lado del tel�fono puede no ser quien dice ser. Y significa, sobre todo, gobernanza: un responsable con nombre, presupuesto propio y m�tricas que el consejo de direcci�n revise con la misma seriedad que las financieras.Hay, adem�s, otra cara del riesgo que ser�a un error esconder: la IA que la propia empresa utiliza. Empezando por la que utiliza sin saberlo, porque en casi todas las organizaciones los empleados ya usan herramientas de IA sin permiso ni control, y no se puede proteger lo que ni siquiera se ve. Y siguiendo por la que s� est� autorizada: fugas de datos a trav�s de herramientas generativas, modelos mal gobernados, decisiones automatizadas sin supervisi�n humana. El Reglamento Europeo de IA ya impone obligaciones crecientes a todos los sectores, y DORA lo hace en el financiero. Protegerse de la IA ajena y gobernar la propia no son dos planes distintos: son las dos mitades del mismo.Y esto no puede esperar a despu�s del verano. Hay que ponerlo en la agenda del pr�ximo comit� de direcci�n, y la buena noticia es que empezar no exige grandes consultoras ni presupuestos: exige responder a tres preguntas: �D�nde somos vulnerables, incluida la IA que ya usa la organizaci�n con y sin permiso? �De qu� proveedores dependemos y qu� pasar�a ma�ana si uno de ellos cae? �Y cu�nto tardar�amos en volver a operar, partiendo de que el atacante puede llevar meses dentro sin hacer ruido cuando por fin lo descubramos?Estas tres respuestas son el primer eslab�n del plan de protecci�n digital que deber�a tener cualquier empresa: de la primera sale el inventario de exposici�n, de la segunda el mapa de dependencias y de la tercera la medida real de nuestra resiliencia. Todo lo dem�s -medidas, responsables, recursos, plazos- se construye sobre ellas.Los bancos entregar�n sus deberes el 31 de octubre porque no les queda otra. Las dem�s empresas no recibir�n ninguna carta. Pero la amenaza no distingue entre quienes tienen supervisor y quienes no. Actuar ahora -sin que nadie nos obligue- no es un gesto de prudencia: es la diferencia entre implantar un buen gobierno de la IA o descubrir, un d�a cualquiera, que ya es tarde.Sandra Sieber, profesora en IESE