Artículos
Análisis técnicos y casos reales sobre ciberseguridad de la IA, EU AI Act, agentes autónomos y gobernanza para CISOs.
Multas y sanciones del EU AI Act: cuánto cuesta no cumplir
Hasta 35 millones de euros o el 7% de la facturación mundial. Los tres tramos del Artículo 99, quién los cobra y por qué la multa no es tu mayor riesgo.
Qué es el EU AI Act y cómo afecta a tu empresa
El primer reglamento del mundo que clasifica la IA por riesgo. Qué es, a quién aplica, los 4 niveles, los plazos y las multas, explicado para CISOs.
Cómo detectar Shadow AI en la empresa: la guía del CISO
Tus empleados ya usan IA que no aprobaste. Cómo detectar el shadow AI, medir el riesgo de fuga de datos y gobernarlo sin frenar la productividad.
AESIA: qué es, qué puede inspeccionar y cómo prepararte
La autoridad española de supervisión de la IA explicada desde la trinchera: competencias, inspecciones, sanciones y el plan de preparación de un CISO en 5 pasos.
Sistemas de IA de alto riesgo: cómo clasificarlos según el Anexo III
Las 8 categorías del Anexo III con ejemplos reales, la excepción del Artículo 6(3) y un árbol de decisión para clasificar tus sistemas de IA.
OWASP Top 10 LLM 2025: los 10 riesgos de la IA generativa que un CISO debe controlar
El mapa de los diez riesgos de seguridad de la IA generativa: qué es cada uno, qué falla y cómo se mitiga, mapeado a ISO 42001 y el EU AI Act.
Inventario de sistemas de IA: el control que todo CISO se salta
No puedes proteger lo que no sabes que existe. El inventario es el primer control de ISO 42001 y la base para clasificar riesgo en el EU AI Act.
EU AI Act high risk: las fechas reales tras el Omnibus
El Omnibus prevé aplazar el alto riesgo a 2027, pero el 2 de agosto de 2026 activa el enforcement GPAI y una multa del 3% en la cadena de proveedores.
Política de uso aceptable de la IA: la que yo te recomiendo, lista para implantar
Plantilla operativa lista para implantar mañana: sistema semáforo con 17 escenarios concretos en una sola página, y los seis errores que un CISO ve siempre cuando se la mandan revisar.
Riesgos del vibe coding: el triángulo mortal
Sicarii es el primer ransomware vibe-coded cuyo decryptor no funciona ni para el atacante. Anatomía del triángulo —velocidad × ignorancia × autonomía— que rompió a la vez las tres capas del modelo AppSec clásico.
El primer zero-day generado con IA: lo que Google encontró esta semana
Google confirmó esta semana lo que muchos vendíamos como hipótesis: el primer zero-day creado con IA ya está en producción. Iba a usarse para una explotación masiva. Lo cortaron antes.
Auditoría EU AI Act paso a paso para CISOs
El Digital Omnibus prevé aplazar las obligaciones de alto riesgo a 2027. Buena noticia para los relajados. Mala para los que tendrán que improvisar en diciembre 2026 con cuatro puntos que siguen vivos ahora.
Shadow AI 2.0: ya no es ChatGPT, son los OAuth scopes que nadie revisó
Cómo Vercel acabó con su base de datos a la venta en BreachForums por culpa de una app que su CISO no sabía que existía. Y cómo auditar OAuth en tu tenant esta semana.
Le pedí a Claude que generase 50 contraseñas. 18 eran la misma.
Las contraseñas generadas por ChatGPT, Claude y Gemini tienen 27 bits de entropía real, no los 98 que parecen. Se crackean en horas con un portátil viejo.