El 2 de agosto marca un antes y un después para la inteligencia artificial en Europa. A partir de ahora, las empresas deberán informar cuando un usuario interactúe con un chatbot y etiquetar determinados contenidos generados mediante IA. Sin embargo, quienes utilizan esta tecnología para estafar, suplantar identidades o lanzar campañas de phishing seguirán ignorando esas obligaciones. ¿Significa eso que la nueva IA Act no servirá para mejorar la ciberseguridad? No exactamente, porque lo que sí permitirá es que los usuarios tengan nuevas señales de alarma que les ayuden a identificar cuándo pueden estar siendo engañados.
Ya está en marcha la IA Act, una ley pensada para regular el uso de la inteligencia artificial y avanzar hacia una IA más segura, transparente y respetuosa con los derechos fundamentales. “Una norma ambiciosa y necesaria a partes iguales que, sin embargo, no va a impedir que los ciberdelincuentes sigan utilizando esta tecnología para lanzar ataques, crear deepfakes, perfeccionar campañas de phishing o suplantar identidades”, avisa Hervé Lambert, Global Consumer Operation Manager de Panda Security.
La normativa, que comenzó a aplicarse de forma escalonada en 2024, ha dado este 2 de agosto un paso clave con la entrada en vigor de las obligaciones de transparencia recogidas en el artículo 50 del Reglamento Europeo de IA. “Su objetivo”, explica Lambert, “es que los ciudadanos sepan cuándo están interactuando con un sistema de inteligencia artificial o cuándo están consumiendo contenido generado o manipulado mediante esta tecnología, reforzando así la confianza en el ecosistema digital y reduciendo el riesgo de engaño o manipulación”.
¿Qué cambia con la entrada en vigor de la Ley de IA?
En la práctica, las empresas que desarrollan o utilizan determinados sistemas de IA deberán informar claramente cuando un usuario esté conversando con un chatbot o cualquier otro sistema de inteligencia artificial, “salvo que resulte evidente por el contexto”, puntualiza el experto de Panda Security. Además, los contenidos sintéticos, como imágenes, vídeos, audios o textos generados mediante IA, deberán identificarse para que puedan reconocerse como tales. La norma también establece obligaciones de información para los sistemas de reconocimiento de emociones y determinadas aplicaciones de categorización biométrica, así como para los deepfakes y otros contenidos de interés público generados con inteligencia artificial. Todo ello forma parte del enfoque basado en el riesgo que adopta el AI Act para fomentar un uso responsable y fiable de esta tecnología.
“No obstante, conviene no confundir transparencia con protección”, subraya Lambert. Estas obligaciones afectan a las organizaciones que utilizan la IA de forma legítima y cumplen la legislación europea. Quienes recurren a esta tecnología para cometer fraudes, distribuir malware o lanzar campañas de phishing, sencillamente, no van a etiquetar sus contenidos ni advertir a sus víctimas de que están interactuando con una inteligencia artificial. Entonces, de qué servirá esta ley desde el punto de vista de la ciberseguridad.
“La Ley establece las reglas del juego“, dice Lambert, “y crea un nuevo estándar de confianza”. Así, “si una empresa cumple con la normativa, el usuario tendrá más información para entender con quién está interactuando y cómo se ha generado el contenido que está viendo. Pero los ciberdelincuentes seguirán actuando al margen de esas obligaciones y, precisamente por eso, intentarán seguir haciéndose pasar por personas reales o por entidades legítimas para ganar la confianza de sus víctimas“.
“Paradójicamente“, añade el experto, “a medida que las empresas sean más transparentes sobre su uso de la inteligencia artificial, quienes no lo sean pueden intentar aprovechar esa diferencia para pasar más desapercibidos. No porque la ley les dé más herramientas, sino porque seguirán ocultando deliberadamente que utilizan IA con fines maliciosos. Por eso los usuarios también deben aprender a interpretar la transparencia, o su ausencia, como una señal más a la hora de valorar si un contenido o una interacción son fiables“.
Cómo interpretar las nuevas señales de transparencia
Tal y como pasaba hace 20 años cuando una de las principales recomendaciones de ciberseguridad era comprobar que una página web mostraba candado en el navegador, la entrada en vigor de la IA Act nos obliga a considerar otras señales de alarma y normalizar ciertos hábitos de seguridad.
Que una empresa informe de que estamos interactuando con un chatbot o identifique un contenido generado mediante IA no significa automáticamente que sea completamente fiable, pero sí demuestra que está cumpliendo unas obligaciones de transparencia.
En cambio, si un servicio que aparentemente utiliza inteligencia artificial no ofrece ninguna información al respecto cuando cabría esperar que lo hiciera, el usuario debería interpretarlo como una señal para detenerse, verificar el contexto y desconfiar antes de facilitar datos personales, realizar un pago o tomar una decisión importante. No implica necesariamente que se trate de un fraude, pero sí añade un elemento más a la hora de valorar si una interacción es digna de confianza.
Si estás en la web de una empresa y todo apunta a que estás interactuando con un asistente virtual, pero en ningún momento se informa de ello, conviene actuar con cautela. Puede tratarse de un incumplimiento de la normativa o, en el peor de los casos, de un servicio fraudulento que busca generar una falsa sensación de cercanía haciéndose pasar por una persona.
Cómo protegerte de las estafas creadas con inteligencia artificial
Los deepfakes utilizados para estafas difícilmente llevarán una etiqueta indicando que son contenido sintético. “Si un vídeo pretende influir en una decisión económica, pedir dinero o promocionar inversiones milagrosas, la ausencia de cualquier advertencia debería ser un motivo más para verificar su autenticidad”, apunta Lambert.
Los ciberdelincuentes saben que las personas confiamos más en otras personas que en una máquina. Por eso seguirán utilizando la IA para hacerse pasar por empleados de bancos, técnicos de soporte, familiares o compañeros de trabajo, sin revelar en ningún momento que detrás hay un sistema automatizado. Aunque un servicio cumpla con la IA Act, eso no significa que debas bajar la guardia. Antes de facilitar datos personales, credenciales o realizar un pago, verifica siempre la identidad del interlocutor por otro canal si la solicitud resulta inusual o urgente.
La IA Act introduce una nueva pista para ayudar a los usuarios a distinguir los usos legítimos de la inteligencia artificial. Pero, como ocurre con el candado de una página web o el dominio de un correo electrónico, es solo uno de los elementos que conviene tener en cuenta antes de confiar.
“Los ciberdelincuentes seguirán ocultando que recurren a la inteligencia artificial porque el engaño forma parte de su estrategia“, concluye Lambert. “La diferencia es que los usuarios contarán con una nueva señal para identificar cuándo están interactuando con una IA y cuándo alguien, deliberadamente, está intentando ocultarlo. La ley no sustituye al sentido crítico, pero sí ofrece más herramientas para ejercerlo“.
En un escenario en el que la inteligencia artificial será cada vez más difícil de distinguir de la actividad humana, la mejor protección seguirá siendo la combinación de tecnología, regulación y concienciación. Porque la IA Act puede obligar a las empresas a ser más transparentes, pero la última decisión sobre en quién confiar seguirá estando en manos del usuario.