Usos de IA en infraestructura crítica

En un banco, el error de un modelo cuesta dinero o expone datos. En una distribuidora, un modelo conectado a la operación puede dejar barrios sin luz, dañar un transformador o poner en peligro a quien trabaja en la subestación. Por eso, en la tecnología de operación (OT), el orden de prioridades cambia: primero la seguridad física y la disponibilidad, y después la confidencialidad, que sigue importando pero no manda.

Los usos son variados: pronóstico de demanda, mantenimiento predictivo, detección de vegetación cerca de las líneas, priorización de alarmas, optimización de tensión, asistentes para operadores y atención al cliente. Lo que define el riesgo no es la técnica (un modelo estadístico, uno de lenguaje), sino adónde va su salida: si solo informa, si propone algo que una persona decide o si cambia algo por sí mismo.

La guía conjunta que publicaron en diciembre de 2025 CISA y el centro australiano de ciberseguridad, con otras agencias, sobre integrar IA en entornos OT ordena estos usos por niveles de red. Sitúa el mantenimiento predictivo, sobre todo, en el nivel de operaciones del sitio, donde vive el historiador, y advierte de dos riesgos propios: modelos de proceso que se desvían con el tiempo y atajos que saltan los procesos de seguridad.

Un inventario solo sirve si la columna de efecto dice lo que el sistema hace hoy, no lo que hacía cuando se aprobó. Un sistema puede pasar de recomendar a actuar sin que nadie toque el modelo: basta un cambio de configuración pedido por un área que quería ahorrar trabajo.

Hay una forma de actuar que se pasa por alto: ocultar información. Un sistema que decide qué ve el operador cambia lo que esa persona sabe y, por tanto, lo que decide. Compara el inventario con el acta del comité.

Para priorizar una revisión importa saber qué sistemas reciben datos de la red de operación, sea en tiempo real o a través de una réplica. Esos datos describen el estado de la red, y un fallo en el sistema que los consume puede devolverse hacia ella.

Ojo con una confusión frecuente: dónde corre un sistema no dice de dónde vienen sus datos. Un servidor puede estar dentro de la zona de supervisión y no leer ni una medición del proceso.

Un sistema puede tener datos inofensivos y aun así ser un problema por dónde está. Un servidor de la zona de supervisión que llama a un servicio externo abre un camino entre la red de operación e internet, y lo abre aunque solo lea manuales.

La misma guía conjunta pide tratar un sistema de IA como cualquier sistema nuevo de OT: cada camino de conexión nuevo se aprueba y pasa por la DMZ o por el servidor de salto que ya existen, no se abre al lado.

El reglamento europeo de IA (Reglamento (UE) 2024/1689) incluye en su Anexo III el área de infraestructuras críticas: los sistemas pensados para usarse como componentes de seguridad en la gestión y operación de la infraestructura digital crítica, del tráfico rodado o del suministro de agua, gas, calefacción o electricidad. Un sistema así es, en principio, de alto riesgo.

No toda IA de una eléctrica entra ahí. Un chat de facturación o un detector de vegetación no operan la red. La casa matriz de Yareta está en Colombia y no se rige por ese reglamento; la pregunta llega por su filial europea. Qué obliga exactamente a cada sistema lo decide quien tiene la formación jurídica; el trabajo técnico es señalar qué sistema interviene en la operación.