Los sistemas energéticos no necesitan esperar a que una inteligencia artificial se vuelva autónoma para convertirse en un objetivo peligroso. Subestaciones, plantas de generación, redes de distribución y centros de control llevan años expuestos a intrusiones, ransomware y campañas de espionaje impulsadas por actores estatales o grupos criminales.

La principal lección es clara: el mayor riesgo no procede de una máquina que decida sabotear la red por su cuenta, sino de personas, procesos y tecnologías vulnerables. Credenciales débiles, correos de phishing, proveedores mal asegurados, configuraciones erróneas y equipos heredados siguen abriendo puertas que ningún sistema de IA necesita inventar.

Esta realidad es especialmente delicada en el sector energético porque la tecnología informática y la operativa industrial conviven en el mismo entorno. Los sistemas SCADA, los controladores industriales y los dispositivos de monitorización fueron diseñados durante décadas para priorizar la continuidad del servicio, no necesariamente la seguridad digital. En muchos casos, no pueden actualizarse con la misma facilidad que un servidor convencional sin interrumpir operaciones críticas.

La inteligencia artificial sí cambia la ecuación, pero como amplificador. Puede ayudar a un atacante a redactar mensajes de ingeniería social más convincentes, analizar grandes volúmenes de datos robados o automatizar tareas de reconocimiento. Sin embargo, detrás de cada intrusión siguen existiendo decisiones humanas: qué sistema se conecta a Internet, qué parche se aplaza, qué proveedor recibe acceso remoto y qué alerta se ignora por falta de personal.

El problema no es solo técnico, sino organizativo. Muchas infraestructuras operan con presupuestos ajustados, documentación incompleta y equipos que deben mantener en funcionamiento activos con más de diez o veinte años de antigüedad. La ciberseguridad, en este contexto, compite con prioridades inmediatas como la producción, la estabilidad de la red y el coste de modernizar instalaciones que rara vez reciben inversión hasta que aparece un incidente.

Las advertencias de gobiernos sobre posibles campañas contra infraestructuras críticas no son nuevas. Lo preocupante es que el ecosistema de amenazas se ha diversificado. Ya no se trata únicamente de grandes ataques atribuidos a Estados. También existen grupos que buscan extorsión, actores que prueban accesos comprados en foros clandestinos y delincuentes que aprovechan fallos conocidos durante meses antes de que sean corregidos.

Para los profesionales de seguridad, la prioridad debe ser reducir la superficie de ataque antes de perseguir escenarios de ciencia ficción. Eso implica segmentar redes, limitar privilegios, aplicar autenticación multifactor, monitorizar accesos remotos, preparar planes de respuesta y comprobar que los proveedores cumplen estándares mínimos. También requiere ejercicios de recuperación capaces de restablecer operaciones aunque los sistemas principales queden comprometidos.

La IA puede formar parte de la defensa mediante detección de anomalías, análisis de registros y automatización de respuestas. Pero no sustituye la gobernanza, la formación ni la inversión. Un algoritmo no corrige por sí solo una arquitectura insegura, una cultura de parches deficientes o una organización que trata la ciberseguridad como un gasto secundario.

Por eso importa esta discusión. Un corte prolongado en el suministro eléctrico afecta a hospitales, transporte, telecomunicaciones, agua y actividad económica. La amenaza más probable no es una rebelión de máquinas, sino una cadena de decisiones humanas que deja una infraestructura esencial expuesta. Entenderlo permite proteger mejor la energía hoy, en lugar de preparar defensas solo para los riesgos del mañana.