Un cambio estructural en la rendición de cuentas normativa asigna ahora la notificación de incidentes y la responsabilidad directamente a los operadores o implementadores de herramientas impulsadas por IA y software, en lugar de a los proveedores de tecnología o desarrolladores de modelos. Este mecanismo queda claro en los requisitos de la Ley de Resiliencia Cibernética (CRA), la Ley de Servicios Digitales (DSA) y la próxima Regulación de Maquinaria de la UE. Incidentes como la brecha causada por la herramienta Cursor en una empresa química belga evidencian que los plazos de cumplimiento y el escrutinio regulatorio recaen sobre la entidad que implementa la tecnología.
CrowdStrike y Okta informaron que el aumento del gasto empresarial en seguridad está impulsado por ataques generados mediante IA, según sus resultados trimestrales. Gartner prevé que el gasto en seguridad de IA alcance los 4,800 millones de dólares para 2027, un 68.7% más que este año, siendo el control del uso de IA el segmento más dinámico. Una carta pública firmada por más de 100 proveedores—incluidos OpenAI, Anthropic, AWS y Microsoft—alerta sobre necesidades urgentes de defensa pero no traslada la responsabilidad al proveedor de software.
Brechas y vulnerabilidades recientes demuestran que la responsabilidad operacional permanece en el proveedor de servicios o el implementador. El incidente con Cursor asignó el deber de notificación tanto a AnySphere (el proveedor) como a la empresa afectada, no a los desarrolladores del modelo. De igual modo, tras el fallo de Passportal de N-able, los MSPs fueron responsables de las acciones de remediación ante sus clientes. En todos los casos, la “línea de responsabilidad” recae sobre quien implementa la herramienta.
Para los MSPs y proveedores de TI, estas tendencias exigen actualizar acuerdos, operaciones y comunicaciones con los clientes. Las estructuras de servicio deben priorizar los plazos regulatorios, la documentación y la notificación clara. Los proveedores con clientes en la UE o integrados en cadenas globales enfrentarán riesgos de negocio si no abordan activamente estas exigencias antes de los plazos oficiales.