La IA funciona gracias a la infraestructura física. ¿Hay alguien que la proteja?

La IA funciona gracias a la infraestructura física. ¿Hay alguien que la proteja?

El debate sobre la seguridad de la IA tiene un punto ciego.

Hablamos sin cesar de las vulnerabilidades de los modelos, la privacidad de los datos y los ciberataques. Sin embargo, las instalaciones físicas donde realmente reside la IA —donde los servidores emiten un zumbido, los sistemas de refrigeración funcionan y la electricidad fluye— son objeto de un escrutinio relativamente escaso. Eso supone un problema, ya que esas instalaciones se están convirtiendo rápidamente en algunos de los activos de mayor importancia estratégica del mundo.

Los centros de datos son la columna vertebral física de la inteligencia artificial. Y, en estos momentos, son demasiadas las organizaciones que los protegen como si siguieran siendo meros armarios de informática.

El auge de las infraestructuras es una realidad, al igual que el riesgo que conlleva

Es difícil exagerar la magnitud de la inversión en infraestructura de centros de datos. El mercado estadounidense de centros de datos se valoró en más de 208 000 millones de dólares en 2024 y se prevé que alcance casi los 309 000 millones de dólares en 2030. En julio de 2025, la administración Trump emitió un decreto ejecutivo destinado específicamente a acelerar la concesión de permisos federales para la construcción de centros de datos, planteando dicha construcción como un elemento fundamental para la seguridad nacional y la rápida expansión de la inteligencia artificial.

Esa descripción no es una exageración. Los centros de datos se sitúan ahora al mismo nivel que las redes eléctricas, las redes de transporte y los sistemas de comunicaciones: infraestructuras que, si se ven afectadas, pueden provocar efectos en cadena en toda la economía. La diferencia es que llevamos décadas reforzando esas otras infraestructuras. La seguridad física de los centros de datos aún tiene que ponerse al día.

Las amenazas son físicas, no solo digitales

Si le pides a la mayoría de la gente que se imagine un incidente de seguridad en un centro de datos, describirán un ciberataque: un ransomware, una filtración de datos o un ataque DDoS. Esos riesgos son reales. Sin embargo, las amenazas físicas son igual de graves y, a menudo, se subestiman.

Los intentos de acceso no autorizado, las amenazas internas, el robo de hardware, el vandalismo, el sabotaje y la vigilancia mediante drones son vectores de amenaza bien documentados. Lo mismo ocurre con el robo de cobre: los precios del cobre alcanzaron máximos históricos en 2024, lo que convierte a los centros de datos en un objetivo cada vez más atractivo. Y una intrusión física no tiene por qué traducirse en el robo de datos para causar un daño real. La interrupción del funcionamiento de los sistemas de refrigeración, la infraestructura eléctrica o el hardware de red puede dejar fuera de servicio toda una instalación.

El riesgo financiero es real, no teórico. El coste medio de una filtración de datos alcanzó los 4,88 millones de dólares a nivel mundial en 2024, lo que supone un aumento del 10 % con respecto al año anterior, y esa cifra subestima lo que podría costar un incidente físico grave. El tiempo de inactividad imprevisto asciende ahora a una media de más de 14 000 dólares por minuto en organizaciones de todos los tamaños, y a unos 23 750 dólares en el caso de las grandes empresas.

Por qué la seguridad física suele quedarse corta

Parte del reto es de carácter organizativo. La seguridad de los centros de datos se ha considerado tradicionalmente una función propia de las instalaciones: tarjetas de acceso, vallas perimetrales, videovigilancia. Las personas que definen la estrategia de ciberseguridad no suelen ser las mismas que se encargan de la seguridad física, y estos dos ámbitos rara vez se comunican entre sí de forma estructurada.

Ese aislamiento genera vulnerabilidades reales. El acceso físico a una sala de servidores puede facilitar un ciberataque. Un proveedor con acceso legítimo puede convertirse en un riesgo interno. Es posible que una amenaza perimetral nunca llegue al equipo adecuado a tiempo para que esto tenga importancia. Sin una visión operativa unificada que conecte la actividad de los guardias, los incidentes de control de acceso, los informes de incidentes y la gestión de visitantes, los equipos de seguridad toman decisiones basándose en información incompleta.

La concienciación va en aumento: aproximadamente el 62 % de los operadores de centros de datos dan ahora prioridad a la mejora de sus protocolos de seguridad física, concretamente para protegerse contra amenazas internas, sabotajes y accesos no autorizados. Pero la concienciación no es lo mismo que la preparación operativa.

Las operaciones de seguridad deben estar a la altura de lo que está en juego

A medida que los centros de datos se distribuyen cada vez más geográficamente, se construyen más cerca de los usuarios finales para dar soporte a la inteligencia artificial de baja latencia y se extienden por campus suburbanos y terrenos federales, la seguridad física se convierte tanto en un problema de coordinación como en un problema tecnológico.

Los programas que resisten la presión suelen compartir algunas características. Mantienen una visión clara de quién se encuentra en las instalaciones y por qué, en todo momento. La actividad de las patrullas queda documentada y es verificable, no se basa en declaraciones de los propios agentes. Los incidentes se registran en tiempo real, no se reconstruyen a posteriori. Y cuando algo sale mal, la respuesta no depende de que alguien encuentre la carpeta adecuada.

Ese tipo de disciplina requiere los procesos adecuados, las herramientas adecuadas y, lo que es más importante, los datos adecuados. Los responsables de seguridad que son capaces de generar registros listos para auditoría sobre eventos de acceso, el cumplimiento de las rondas de vigilancia y la respuesta ante incidentes protegen sus instalaciones, al tiempo que consolidan la rendición de cuentas que resulta fundamental cuando los organismos reguladores, las aseguradoras o los directivos comienzan a plantear preguntas difíciles.

El margen para adelantarse a esto se está reduciendo

El desarrollo de la infraestructura de IA no hace más que acelerarse. Con unos 3.000 nuevos centros de datos en construcción o en fase de planificación solo en Estados Unidos, la superficie de ataque se está ampliando más rápido de lo que la mayoría de los programas de seguridad se adaptan para hacerle frente.

Puede que la IA sea digital, pero sus cimientos son físicos. Las instalaciones que alimentan los datos y la inteligencia a nivel mundial son objetivos de gran valor, y protegerlas exige el mismo rigor, visibilidad y responsabilidad que las organizaciones ya aplican a la información que contienen.

La cuestión no es si los centros de datos necesitan programas sólidos de seguridad física. La respuesta es obvia. La verdadera cuestión es si las organizaciones que construyen y gestionan estas instalaciones considerarán la seguridad física como una prioridad estratégica antes de que se produzca un incidente que les obligue a hacerlo.