🤖 AI CISO / Responsable de seguridad y gobierno de la IA

El cargo que responde por los sistemas de inteligencia artificial de una organización: los que construye, los que compra, los que sus empleados usan sin avisar y los que sus proveedores han incorporado sin decírselo. Es, con diferencia, el título menos consolidado de todo el ecosistema CISO —y el que tiene el trabajo más urgente detrás.

Nivel de entrada: ninguno; se llega desde seguridad, riesgo o gobierno del dato · Foco: inventario, gobierno, evaluación previa al despliegue y riesgo de modelos y agentes · Certificación faro: ninguna consolidada todavía; CISM o CRISC como base de gestión y los marcos de IA como instrumental

Alias y variantes: AI CISO, Chief AI Security Officer, Head of AI Security, AI Risk Officer, Responsible AI Lead (con más peso en ética y sesgo que en seguridad), AI Governance Lead. En muchas organizaciones no es un cargo: es un encargo añadido al CISO, al responsable de riesgo o al de datos.

Fecha de consulta de las fuentes: 26 de agosto de 2026.

🧭 Qué es y por qué importa

Definición

El responsable de que la organización sepa qué sistemas de IA tiene, qué riesgo introduce cada uno y bajo qué condiciones se permiten, y de que existan controles proporcionados en todo su ciclo de vida: datos de entrenamiento, modelo, aplicación que lo consume, agentes que actúan con él y proveedores que lo suministran.

Nivel de consolidación del título: emergente, y hay que decirlo

Esta guía es explícita al respecto porque la honestidad importa más aquí que en ninguna otra ruta:

• El trabajo existe y es real. Inventariar modelos, gobernar datos, evaluar antes de desplegar, controlar agentes con permisos y responder por el uso de IA de terceros son tareas que alguien está haciendo hoy en muchas organizaciones.
• El título no está estandarizado. Su contenido varía enormemente entre empresas y hay organizaciones que lo usan como etiqueta de marketing.
• Con frecuencia no hay mandato ejecutivo detrás: es una función normativa —escribe la política, evalúa, recomienda— sin presupuesto ni capacidad de detener un despliegue.
• No hay certificación consolidada que acredite el puesto. Quien te venda una como requisito te está vendiendo algo.

Conclusión práctica: antes de aceptar el cargo, aplica el test del mandato. Si no puedes detener un despliegue y no tienes inventario, no tienes un cargo: tienes una expectativa.

Qué problema resuelve

Qué hace y qué no hace

Dónde existe

Empresas que construyen productos con IA, organizaciones reguladas que usan modelos para decidir sobre personas (crédito, seguros, salud, empleo), grandes tecnológicas, y cualquier organización con un despliegue masivo de asistentes internos. En una empresa mediana, este trabajo lo absorbe el CISO o un vCISO con el apoyo de legal.

🏛️ Mandato, autoridad y responsabilidad

Línea de reporte

En organizaciones serias, el punto de decisión no es una persona sino un comité de IA que aprueba despliegues; el AI CISO es quien prepara y sostiene ese comité.

Autoridad, presupuesto, equipo y riesgo

• Autoridad: normativa más que ejecutiva. Su palanca característica es la evaluación previa obligatoria: ningún sistema de IA entra en producción sin pasar por ella. Si esa obligación no existe por escrito, el rol no tiene palanca.
• Presupuesto: rara vez propio al principio; suele salir del programa de seguridad o del de datos.
• Equipo: pequeño. A menudo una o dos personas y una red de referentes en los equipos de datos.
• Riesgo: responde por el riesgo de los sistemas de IA. La aceptación de un riesgo residual —desplegar un modelo con una limitación conocida— la firma el dueño del proceso de negocio afectado, no seguridad.

Conflictos de interés y límites éticos

Esta ruta tiene un componente ético más denso que las demás, porque los sistemas de IA afectan a personas de forma directa.

🗓️ El día, el mes y el año

Un día típico. Revisión de tres solicitudes de uso de un servicio de IA externo; sesión con un equipo de producto sobre un agente que quiere permisos de escritura sobre la base de datos; actualización del inventario tras descubrir dos herramientas nuevas en la factura de la nube; lectura del cambio de condiciones de un proveedor de modelos.

Un mes típico. Un comité de IA con decisiones registradas; una evaluación completa previa al despliegue de un sistema relevante; una prueba adversarial sobre una aplicación con modelo de lenguaje; revisión de la política de uso a la luz de lo que se descubrió; formación a un equipo.

Un año típico. El inventario completo y su verificación; el ciclo de reevaluación de los sistemas ya desplegados —que no es opcional, porque los modelos y sus proveedores cambian—; un ejercicio de mesa de «el modelo hizo algo que no debía y el cliente se enteró antes que nosotros»; la actualización del marco a medida que la regulación de IA avanza; y la conversación de presupuesto, que en este rol es sobre todo una conversación sobre plantilla.

Interlocutores

🧾 Entregables verificables

📏 KPI y KRI

🧠 Qué necesitas saber

Competencias técnicas

• Cómo funciona un sistema de IA lo suficiente para evaluarlo: datos, entrenamiento, inferencia, ajuste fino, recuperación aumentada, agentes y herramientas. No necesitas entrenar modelos; necesitas saber dónde puede fallar cada pieza.
• Ataques específicos: adversariales, envenenamiento de datos y de modelos, extracción de modelo, inyección de instrucciones directa e indirecta, fuga por el contexto, abuso de herramientas de un agente.
• Controles: aislamiento, mínimo privilegio para agentes, validación de entradas y salidas, registro completo de interacciones, límites de tasa, aprobación humana en el bucle.
• Gobierno del dato: procedencia, clasificación, retención y qué datos pueden entrar en un contexto o en un entrenamiento.
• Seguridad de aplicaciones, porque la mayoría de los fallos reales están en la aplicación que rodea al modelo, no en el modelo.
• Vigilancia y evaluación continua: los modelos y sus proveedores cambian bajo tus pies.

Competencias de negocio

• Entender qué decisión de negocio automatiza cada sistema y qué pasa si se equivoca.
• Poner precio al riesgo y al control, en un dominio donde la incertidumbre es alta y hay que decirlo.
• Evitar los dos extremos que matan el puesto: bloquear todo (te ignoran) y aprobar todo (no aportas).

Comunicación y negociación

• Explicar a un directorio qué puede y qué no puede hacer un modelo, sin exageración en ninguna dirección.
• Sostener una conversación técnica con un equipo de ciencia de datos que sabe más que tú del modelo y menos que tú del riesgo.
• Escribir una política que la gente pueda cumplir: si prohíbes sin ofrecer alternativa, la organización usará IA a tus espaldas y perderás el inventario.

Competencias regulatorias

El terreno regulatorio de la IA está en construcción y avanza a distinta velocidad según la jurisdicción. No afirmes que algo «cumple» sin verificar la norma aplicable y su fecha de entrada en vigor, y trabaja siempre con legal. Lo que sí puedes hacer hoy:

• Apoyarte en marcos voluntarios reconocidos: el NIST AI Risk Management Framework para estructurar el trabajo y la ISO/IEC 42001 para el sistema de gestión.
• Cumplir lo que ya te aplica con independencia de la IA: protección de datos personales, normativa sectorial y obligaciones contractuales.
• Seguir la regulación específica de IA en las jurisdicciones donde operas, con fecha de consulta. En Chile, revisa el estado en la BCN y el contexto del ecosistema.

Componente comercial

Ninguno. Si tu organización vende productos con IA, la parte comercial de esa conversación pertenece al Product CISO; tú aportas la evaluación que la sostiene.

📚 Tu ruta en el programa

1. Fundamentos y ética — 001 · 003 · Frameworks · 025 · Ética y legalidad
2. Parte 15 · Seguridad de IA y machine learning — el núcleo del cargo, entera - 291 · Introducción a la seguridad de IA y ML · 292 · Ataques adversariales · 293 · Envenenamiento de datos y modelos · 294 · Robo y extracción de modelos - 295 · OWASP Top 10 para aplicaciones con LLM · 296 · Prompt injection y jailbreaks · 297 · RAG y agentes - 298 · IA aplicada a la defensa · 299 · IA ofensiva y deepfakes · 300 · Gobernanza y ética de la IA segura — la clase que define esta ruta
3. Los agentes, que son la parte que actúa — Parte 18 - 331 · IA generativa y LLM en ciberseguridad: capacidades y límites · 332 · Agentes de IA y el Model Context Protocol - 337 · IA para el lado defensivo · 339 · Riesgos, guardrails, OPSEC y ética — léela como el catálogo de lo que tienes que gobernar
4. Gobierno y riesgo: el esqueleto — Parte 14 - 276 · Gobernanza · 277 · Gestión de riesgos · 282 · Políticas · 284 · Terceros · 287 · KPI y KRI · 289 · Privacidad y protección de datos
5. El dato, que es la materia prima del riesgo - 311 · Clasificación y ciclo de vida de los datos · 312 · Retención, destrucción y DLP · 320 · Gobierno y regulación · 321 · Comunicación y reporte
6. La aplicación que rodea al modelo, donde están casi todos los fallos - 236 · Secure SDLC · 237 · Modelado de amenazas · 247 · Seguridad de APIs · 222 · IAM en la nube
7. La crisis — 202 · Ciclo de respuesta · 215 · Playbooks · 219 · Ejercicios de mesa

Laboratorio y práctica

• 🧪 labs/ciso-leadership — el escenario 13 (inventario y registro de riesgos de IA) es el de esta ruta.
• 🧪 kali-mcp-ia — un agente de IA con herramientas reales. Recórrelo desde el lado del que tiene que gobernarlo: qué permisos pide, qué puede hacer sin supervisión, qué queda registrado y qué no.
• 🧪 appsec-web — porque la mayoría de los fallos de una aplicación con IA son fallos de aplicación.

Capstone

El programa mínimo viable de gobierno de IA. Sobre Andes Retail del laboratorio, que ha desplegado un asistente de atención al cliente, un modelo de detección de fraude y un agente interno con acceso a documentos:

1. Inventario de los tres sistemas más los que descubras en el material del escenario, con dueño de negocio, datos que usan, proveedor y criticidad.
2. Registro de riesgos de IA: para cada sistema, al menos tres riesgos con escenario concreto (no «riesgo de sesgo», sino «el modelo rechaza X con más frecuencia que Y, y el cliente reclama»), control propuesto y residual.
3. Política de uso aceptable de una página, con la alternativa que ofreces para el caso que prohíbes.
4. Evaluación previa al despliegue completa del agente interno, incluidos los límites de permisos y qué acciones exigen aprobación humana.
5. Informe de pruebas adversariales sobre el asistente de atención al cliente: al menos tres escenarios de inyección de instrucciones, con resultado y mitigación.
6. Nota de una página para el comité de dirección: qué se aprueba, qué se condiciona y qué se detiene.

Criterio de aceptación: cada riesgo debe tener un escenario concreto y comprobable y un dueño de negocio con nombre. Un registro de riesgos de IA lleno de categorías abstractas no está aprobado: es exactamente el error que este puesto debe evitar.

Portafolio

• El inventario, con la columna de «cómo lo descubrí».
• El registro de riesgos con escenarios concretos.
• La política de uso aceptable que ofrece alternativas.
• La evaluación del agente con sus límites de permisos.
• El informe adversarial, incluido lo que no conseguiste mitigar.

🎤 Preguntas de entrevista

1. ¿Cuántos sistemas de IA hay hoy en esta organización? ¿Cómo lo sabemos?
2. ¿Puedo detener un despliegue? ¿Está escrito?
3. Un equipo quiere un agente con permisos de escritura en producción. ¿Cuál es tu proceso?
4. ¿Qué diferencia hay entre tu función y la del DPO? ¿Dónde se solapan y dónde no?
5. ¿Cómo evalúas un modelo de un proveedor que no te deja ver nada?
6. Descubres que el proveedor cambió el modelo sin avisar. ¿Qué haces?
7. ¿Cómo escribes una política de uso que la gente cumpla en lugar de esquivar?
8. Dame un escenario de riesgo concreto de inyección indirecta de instrucciones en esta empresa.
9. ¿Qué haces si el modelo funciona peor para un grupo de clientes?
10. ¿Qué parte de este trabajo crees que no debería llamarse «AI CISO»?

🎓 Certificaciones

No existe todavía una certificación consolidada de referencia para este puesto, y esta guía no va a inventar una. Lo que hay son credenciales de gestión que sirven de base y marcos que se usan como instrumental.

Han aparecido certificaciones comerciales de «seguridad de IA» de reciente creación. Antes de pagar una, comprueba quién la reconoce, qué evalúa y desde cuándo existe: en un dominio joven, la credencial vale lo que valga quien la emite.

📈 Progresión de carrera y salario

Cargos de entrada y experiencia previa razonable

Ninguna vía llega completa, y esa es una característica del puesto, no un defecto tuyo. Se compensa con un equipo mixto y con reconocer en voz alta lo que no sabes.

Hacia dónde sigue

AI CISO → CISO con una especialidad muy demandada · → Chief AI Officer o dirección de riesgo de IA · → Product CISO si la empresa vende IA · → consultoría y vCISO especializado en gobierno de IA · → auditoría y evaluación independiente de sistemas de IA, un mercado que está naciendo.

Sobre la remuneración

Este programa no publica cifras para este puesto, y aquí la razón es más fuerte que en las demás rutas: el título es tan nuevo y tan poco estandarizado que cualquier rango sería un dato inventado con apariencia de estudio. Si negocias este cargo:

1. Pregunta si es un cargo o un encargo añadido. Cambia el número y cambia el puesto.
2. Compara con la banda de tu organización para roles de riesgo o seguridad senior, y con la ruta CISO como techo orientativo.
3. Negocia el mandato antes que el sueldo: sin evaluación previa obligatoria y sin inventario, el cargo no es sostenible a ningún precio.

⚠️ Mitos y errores comunes

• «AI CISO es un cargo consolidado.» No lo es. Es un título emergente con un trabajo real detrás. Decirlo claro es parte de hacer bien este trabajo.
• «La seguridad de la IA es la seguridad del modelo.» La mayoría de los incidentes reales ocurren en la aplicación, en los permisos del agente y en el dato, no en los pesos del modelo.
• «Prohibir las herramientas de IA resuelve el riesgo.» Lo desplaza a la sombra y destruye tu inventario, que es tu único activo. Ofrece una alternativa segura.
• «Un modelo con guardrails no puede ser manipulado.» Ninguna mitigación conocida elimina la inyección de instrucciones; se reduce la probabilidad y se limita el daño mediante permisos.
• «Lo cubre el DPO.» El DPO cubre datos personales, con independencia propia. Ni te sustituye ni lo sustituyes.
• «Es un problema de ética, no de seguridad.» Es de los dos, y separarlos produce comités que no deciden nada.
• Señal de cargo decorativo: te nombran responsable de IA, no hay inventario, no hay evaluación obligatoria, no tienes presupuesto y el primer entregable que te piden es una política de dos páginas para enseñar a un cliente.

↔️ Diferencias con los cargos vecinos

📎 Fuentes y fecha de consulta

Consultadas el 26 de agosto de 2026.

• NIST AI Risk Management Framework (AI RMF 1.0) — marco voluntario que estructura las cuatro funciones (gobernar, mapear, medir, gestionar) y del que toma su forma el registro de riesgos propuesto en esta guía.
• ISO/IEC 42001 — sistema de gestión de inteligencia artificial. Norma de pago: este programa explica sus conceptos, no reproduce su texto.
• OWASP Top 10 para aplicaciones con LLM — vocabulario común de fallos en aplicaciones con modelos de lenguaje.
• NIST Cybersecurity Framework 2.0 — la base de gobierno sobre la que se apoya el programa de IA.
• CISA y ENISA — orientación sobre adopción segura de IA y panorama de amenazas.
• IAPP — cuerpo de conocimiento de privacidad, imprescindible para separar bien esta función de la del DPO.
• Biblioteca del Congreso Nacional de Chile — para verificar el estado de la regulación chilena aplicable, incluida la Ley 21.719 sobre datos personales, cuya entrada en vigencia está fijada para el 1 de diciembre de 2026.
• Ecosistema CISO de este programa — taxonomía, matriz comparativa y contexto chileno.

🚀 Siguientes pasos

1. Lee el ecosistema CISO y aplica el test del mandato: en esta ruta es obligatorio antes de aceptar el cargo.
2. Haz el escenario 13 del laboratorio ejecutivo.
3. Recorre kali-mcp-ia desde el lado del gobierno, no del uso.
4. Rinde el examen final de AI CISO.
5. Si tu organización vende IA, sigue por Product CISO; si buscas el mandato completo, por CISO.

• ⬅️ Volver al índice de rutas
• 🗂️ El ecosistema CISO — mapa de cargos, matriz comparativa y test del mandato
• 🎩 CISO · 📦 Product CISO · 🏛️ GRC
• 🧪 Laboratorio ejecutivo CISO · 🎓 Evaluación del ecosistema
• 🏠 Inicio del programa