El informe State of Human Risk 2026 deja una cosa muy clara: el riesgo humano se ha convertido en el reto definitorio de la ciberseguridad. Pero escarbe bajo las cifras globales -el coste medio de 13,1 millones de dólares por incidente con información privilegiada, los 69% que ven los ataques de IA como inevitables, los escasos 28% que coordinan la seguridad entre las personas y la tecnología- y surge una imagen más matizada.
La forma en que las organizaciones reconocen, priorizan y responden al riesgo humano varía drásticamente en función del lugar en el que operan. Los entornos normativos, las actitudes culturales hacia la privacidad, la disponibilidad de recursos y la madurez de los panoramas de amenazas locales conforman la forma en que los líderes de seguridad traducen la concienciación en acción.
Aunque todas las regiones se enfrentan a los mismos retos universales -la complejidad de la gobernanza, los quebraderos de cabeza de la integración y la inevitabilidad de las amenazas impulsadas por la IA-, los caminos que están labrándose hacia la resiliencia parecen sorprendentemente diferentes.
La región aún tiende a definir la preparación
El ritmo y la filosofía de la adopción de la IA en la ciberseguridad varían drásticamente en los distintos mercados mundiales, en función de los entornos normativos, las actitudes culturales y la disponibilidad de recursos. Estados Unidos lidera como el mercado más avanzado en IA, con organizaciones que despliegan activamente la detección de amenazas impulsada por IA y la supervisión en tiempo real, respaldado por los niveles más altos de preocupación por la IA como vector de ataque, con un 85,4%.
Singapur refleja esta postura proactiva en la región APAC, con tasas de adopción de la IA superiores a las de sus homólogos regionales y un fuerte énfasis en la integración de las personas y la tecnología en estrategias de seguridad coordinadas. Ambos mercados comparten la voluntad de experimentar, iterar e invertir pronto, incluso antes de que las soluciones estén totalmente probadas.
Por el contrario, los mercados europeos tienden a adoptar un enfoque más prudente, que da prioridad a la gobernanza. El Reino Unido muestra una fuerte concienciación sobre las amenazas impulsadas por la IA, pero una adopción notablemente más lenta de las herramientas defensivas de la IA, con un retraso especialmente acusado en las organizaciones del sector público. Alemania favorece un ciclo metódico "estudiar, probar, desplegar", influido por una estricta aplicación de la protección de datos y una arraigada cultura de ingeniería que prioriza el rigor sobre la velocidad. España, por su parte, representa un punto intermedio emergente: experimenta activamente con la IA pero insiste en que los proveedores demuestren un valor claro antes de comprometerse a un despliegue generalizado.
En toda la región APAC, la preocupación por los ataques de la IA se sitúa en el 79%, la más baja de las tres grandes regiones, pero aún sustancial, y los mercados fuera de Singapur muestran una adopción más variada y en una fase más temprana. El resultado es un panorama global en el que todas las regiones reconocen la inevitabilidad de las amenazas impulsadas por la IA, pero la brecha entre la concienciación y la acción sigue siendo amplia, y en gran medida definida por la geografía.
Estados Unidos: el mercado del avance de la IA
Las organizaciones estadounidenses están avanzando en múltiples frentes, mostrando la mayor preocupación por los ataques impulsados por la IA y respaldando esa preocupación con acciones. Con 500 encuestados que representan la mayor muestra de un solo país en nuestra investigación, el mercado estadounidense revela una madura concienciación sobre las amenazas que se traduce en inversiones defensivas.
Principales hallazgos en EE.UU:
- 92,2% informan de un alto nivel de comprensión de los retos de seguridad por parte de la junta directiva (el más alto a nivel mundial, lo que demuestra que la seguridad cuenta con la atención de la C-suite y de la junta directiva).
- 46% están utilizando la detección de amenazas y la supervisión en tiempo real impulsadas por IA (frente a la media mundial de 55%, pero a la cabeza en velocidad de despliegue)
- 38,4% ya utilizan DMARC (frente a 32,2% EMEA, 30,8% APAC-significativa madurez de la seguridad del correo electrónico)
- 85,4% están preocupados por el uso de la IA como vector de ataque (frente a 82% EMEA, 79% APAC)
- 44% están viendo los beneficios de cumplimiento de la integración de herramientas (frente a 39% EMEA, 37% APAC-realizando ROI)
- Lidera los enfoques coordinados de personas + tecnología
Qué lo impulsa:
- Un panorama de amenazas maduro con actores criminales sofisticados y del Estado-nación
- Brechas de alto perfil (Change Healthcare $2.3B+ costo) impulsando la urgencia de la junta directiva
- La presión reguladora en múltiples estados crea una complejidad de cumplimiento
- Presupuestos de seguridad empresarial competitivos que permiten una rápida adopción de la tecnología
- Sólido ecosistema de proveedores de seguridad y acceso temprano a soluciones emergentes
- Cultura de la innovación y ventaja del pionero en tecnología
El reto:
A pesar de las mayores tasas de adopción y los mayores presupuestos, las organizaciones estadounidenses siguen informando:
- 91% se enfrentan a retos de gobernanza (lo que demuestra que el gasto por sí solo no resuelve la complejidad)
- La proliferación de herramientas crea problemas de integración incluso con las mejores soluciones
- La escasez de cualificaciones limita la capacidad de poner en marcha tecnologías avanzadas
- El mosaico normativo de cada estado crea una complejidad de cumplimiento
Lo que otros pueden aprender:
La adopción temprana de la IA no requiere perfección: comience con casos de uso de alto valor (detección de amenazas, análisis de phishing) e itere. El compromiso de la junta directiva es alcanzable cuando se cuantifica el impacto empresarial.
El Reino Unido: el enfoque prudente
Las organizaciones del Reino Unido demuestran una adopción más comedida de la tecnología, pero mantienen un fuerte rigor en el cumplimiento impulsado por la madurez del GDPR y la cultura de la privacidad como prioridad. Con 300 encuestados, el Reino Unido representa la mayor muestra europea de un solo país y revela la influencia del GDPR en la estrategia de seguridad.
Principales hallazgos en el Reino Unido:
- 41,7% ya han desplegado DMARC (sólidos fundamentos de seguridad del correo electrónico, por encima de la media de EMEA)
- 83% están preocupados por las amenazas de la IA, pero la adopción de defensas contra la IA es notablemente más lenta (concienciación sin acción)
- 42% informan de un aumento de las amenazas internas/filtraciones de datos (entre las más altas, lo que sugiere un enfoque del riesgo interno)
- Fuerte preferencia por las tecnologías probadas frente a las soluciones de vanguardia
- Mayor dependencia de los procesos de revisión manual (48% revisión manual de las comunicaciones marcadas)
- Consideraciones sobre la privacidad que influyen en la adopción del análisis del comportamiento
Qué lo impulsa:
- La madurez del GDPR crea bases sólidas de cumplimiento, pero también cautela sobre los nuevos usos de los datos
- La cultura de la privacidad influye en la adopción de la vigilancia del comportamiento
- Influencia del sector público en las normas de seguridad y la propensión al riesgo
- Preferencia histórica por tecnologías probadas con un historial establecido
- Gran atención a los marcos de gobernanza antes del despliegue tecnológico
- El sector de los servicios financieros pone el listón muy alto en materia de seguridad
El reto:
- La brecha entre la concienciación sobre las amenazas (83% AI concern) y la adopción de herramientas defensivas de IA crea una ventana de vulnerabilidad
- Las dudas en torno a la IA y el análisis del comportamiento pueden ralentizar la respuesta a la ingeniería social impulsada por la IA/li>
- Procesos manuales que luchan por escalar con el volumen y la sofisticación de las amenazas
- El Brexit crea incertidumbre sobre la divergencia normativa
Lo que otros pueden aprender:
La privacidad por diseño y los marcos de gobernanza sólidos crean programas de seguridad sostenibles. La madurez en materia de cumplimiento proporciona la base para las capacidades avanzadas.
Alemania: la privacidad se une al pragmatismo
Las organizaciones alemanas equilibran los estrictos requisitos de protección de datos con el creciente reconocimiento del potencial defensivo de la IA. Con 300 encuestados, Alemania representa el enfoque de la seguridad centrado en la ingeniería de Europa Continental.
Principales conclusiones de Alemania:
- 33,3% ya utilizan DMARC (cerca de la media de EMEA de 32,2%)
- Fuerte énfasis en la gobernanza, las políticas y la gestión de terceros
- 81% informan de un aumento de la sofisticación de los ataques (entre las amenazas persistentes avanzadas de mayor envergadura)
- Enfoque metódico de la IA: estudiar, probar, desplegar (frente a la experimentación rápida)
- Gran atención a la seguridad del sector manufacturero y automovilístico
- La preocupación por la soberanía de los datos influye en la adopción de la nube y el SaaS
Qué lo impulsa:
- Mandatos de cumplimiento del GDPR con las autoridades alemanas de protección de datos entre las más estrictas
- Fuerte presencia del sector manufacturero y automovilístico que requiere seguridad de la tecnología operativa (OT)
- Cultura de ingeniería que favorece los enfoques sistemáticos y metódicos
- Soberanía de datos y requisitos de localización
- Madurez de la seguridad en la mediana empresa (Mittelstand)
- La preocupación por el espionaje industrial centra la atención en los riesgos internos
La oportunidad:
El enfoque estructurado de Alemania en materia de seguridad, combinado con su cultura de ingeniería, podría convertirla en un mercado ideal para las plataformas integrales de gestión de recursos humanos:
- Aumenta la claridad normativa en torno a la IA y el análisis del comportamiento
- Se abordan los requisitos de localización de datos
- Las capacidades de integración se demuestran en pruebas rigurosas
Lo que otros pueden aprender:
Los enfoques sistemáticos y las pruebas rigurosas crean programas de seguridad duraderos. La aceptación pragmática de que los humanos cometerán errores impulsa unos controles realistas y resistentes.
Francia: equilibrio entre innovación y privacidad
Las organizaciones francesas navegan entre la presión de la innovación y la estricta protección de la privacidad, mostrando una reflexiva selectividad en la adopción de herramientas de seguridad. Con 300 encuestados, Francia representa un mercado sofisticado que equilibra múltiples prioridades en competencia.
Principales conclusiones de Francia:
- Gran conocimiento de la sofisticación de las amenazas de IA
- Énfasis en la formación y concienciación de los usuarios (reconocida como esencial pero difícil)
- Adopción creciente del análisis del comportamiento, pero con guardarraíles de privacidad
- El sector de los servicios financieros impulsa las normas de seguridad
- El sector público influye en la estrategia nacional de ciberseguridad
Qué lo impulsa:
- Cumplimiento del GDPR con la aplicación activa de la autoridad francesa de protección de datos (CNIL)
- Sólidos sectores de servicios financieros y artículos de lujo con datos de gran valor
- Iniciativas de ciberseguridad impulsadas por el gobierno (orientación de la ANSSI)
- Equilibrio entre los objetivos de soberanía digital de la UE y la adopción de tecnología global
- La cultura de la privacidad influye en las prácticas de vigilancia aceptables
El reto:
Equilibrar la presión de la innovación con la protección de la privacidad manteniendo la eficacia de la seguridad.
Lo que otros pueden aprender:
Una adopción selectiva y meditada, basada en una comprensión clara de las amenazas y en principios de privacidad, crea programas defendibles y sostenibles.
España: impulso de los mercados emergentes
Las organizaciones españolas muestran una evolución significativa en la postura de seguridad y la voluntad de probar nuevos enfoques, manteniendo al mismo tiempo la debida cautela en la gobernanza. Con 200 encuestados, España representa el impulso del sur de Europa.
Principales hallazgos en España:
- Gran preocupación por los riesgos de seguridad de la IA equilibrada con la voluntad de experimentar
- Enfoque activo en la actualización continua de las políticas en función de la evolución de las amenazas
- Adopción creciente de análisis del comportamiento y supervisión activa
- Énfasis en probar el valor antes del despliegue generalizado de la IA
- Rápido desarrollo de la madurez de seguridad
Qué lo impulsa:
- La financiación de la UE para la transformación digital acelera la adopción de tecnología
- Creciente sector tecnológico en Barcelona, Madrid y otros hubs
- Las recientes brechas de alto perfil crean urgencia organizativa
- Un grupo demográfico de líderes en seguridad más joven y más abierto a las tecnologías emergentes
- Apoyo gubernamental al desarrollo de la industria de la ciberseguridad
La tendencia:
España representa el movimiento más amplio del sur de Europa, que ha pasado de estrategias de seguridad basadas en el cumplimiento a otras proactivas y orientadas a las amenazas. El enfoque de "pruébelo primero" equilibra la innovación con la gestión del riesgo.
Lo que otros pueden aprender:
La adaptación continua de las políticas y la experimentación medida crean programas de seguridad ágiles que pueden evolucionar con las amenazas.
Sudáfrica: el maximizador de recursos
Las organizaciones sudafricanas se enfrentan a retos únicos a la hora de equilibrar unos recursos limitados con un sofisticado panorama de amenazas que incluye actores del Estado-nación, crimen organizado y amenazas persistentes avanzadas. Con 200 encuestados, Sudáfrica ofrece una visión de los entornos de alta amenaza y recursos limitados.
Principales conclusiones de Sudáfrica:
- 56% informan de un aumento de los intentos de apropiación de cuentas (por encima de la media global de 41%, que se enfrenta a intensas campañas de robo de credenciales)
- Gran preocupación por los errores de los empleados y las lagunas en la eficacia de la formación
- Céntrese en maximizar la rentabilidad de cada inversión en seguridad
- Necesidad de soluciones altamente automatizadas debido a la escasez de personal cualificado
- La protección de las infraestructuras críticas crea requisitos adicionales
Qué lo impulsa:
- Presupuestos de seguridad limitados que requieren una cuidadosa priorización
- Escasez de personal cualificado en ciberseguridad (compitiendo con los mercados internacionales por el talento)
- Actores de amenazas sofisticados (delincuencia organizada local + APT internacionales)
- Mandatos de protección de infraestructuras críticas
- El sector de los servicios financieros se enfrenta a operaciones avanzadas de fraude
- Desconexión de la carga (cortes de electricidad) que crean problemas de seguridad operativa
El imperativo:
Las organizaciones sudafricanas necesitan soluciones muy eficaces y eficientes en el uso de los recursos, por lo que son las primeras en adoptarlas:
- Plataformas de GRH unificadas frente a la proliferación de herramientas (la consolidación reduce los costes y la complejidad)
- Detección y respuesta automatizadas (compensando la capacidad limitada de los analistas)
- Servicios de seguridad basados en la nube (reduciendo la inversión en infraestructura)
- Servicios gestionados de detección y respuesta (MDR)
Lo que otros pueden aprender:
Las limitaciones de recursos impulsan la innovación y se centran en la eficiencia. Toda inversión en seguridad debe aportar un valor mensurable. Las plataformas unificadas vencen a las soluciones puntuales en entornos con recursos limitados.
Singapur: el líder de APAC
Entre los mercados de APAC, Singapur demuestra una madurez de seguridad notablemente superior y una adopción más rápida de las tecnologías emergentes, superando su peso como mercado pequeño. Con 250 encuestados, Singapur representa el centro financiero asiático y el líder del gobierno digital.
Principales conclusiones de Singapur:
- 44,4% están preocupados por las amenazas a las herramientas de colaboración (por encima de la media de APAC en concienciación sobre amenazas)
- Tasas de adopción de la IA superiores a las de sus homólogos regionales
- Gran atención a los enfoques de seguridad integrados (más propensos a coordinar personas + tecnología)
- El sector de los servicios financieros impulsa las normas de seguridad regionales
- La Agencia Gubernamental de Ciberseguridad (CSA) proporciona orientación proactiva
Qué lo impulsa:
- Papel como centro financiero regional y mundial que crea objetivos de alto valor
- Iniciativas gubernamentales de economía digital (estrategia Smart Nation)
- Alta concentración de empresas multinacionales
- Orientaciones y marcos de la Agencia de Ciberseguridad Proactiva
- Fuerte cultura de adopción de la tecnología
- Mano de obra cualificada con un centro regional de experiencia en seguridad
El elemento diferenciador:
Las organizaciones de Singapur son más propensas a coordinar la seguridad entre las personas y la tecnología, lo que demuestra una madurez que va más allá del despliegue de herramientas para orquestar la gestión humana de los riesgos.
Lo que otros pueden aprender:
La colaboración entre el gobierno y la industria, la regulación proactiva y el enfoque en la integración por encima de la acumulación de herramientas crean posturas de seguridad líderes.
Australia: evolución impulsada por la reglamentación
Las organizaciones australianas están experimentando una rápida evolución de la seguridad impulsada por los requisitos normativos y los mandatos de protección de infraestructuras críticas. Con 250 encuestados, Australia muestra cómo la reglamentación puede acelerar la madurez de la seguridad.
Principales conclusiones de Australia:
- Fuerte adopción de los fundamentos de la seguridad del correo electrónico
- Los requisitos de seguridad de las infraestructuras críticas impulsan la inversión
- Marcos de seguridad dirigidos por el gobierno (Essential Eight, ISM) que proporcionan una orientación clara
- Centrarse en la resistencia y la continuidad empresarial
- Creciente colaboración entre los sectores público y privado en materia de inteligencia sobre amenazas
Qué lo impulsa:
- Legislación sobre protección de infraestructuras críticas (Ley SOCI)
- Orientación sobre amenazas activas del Centro Australiano de Ciberseguridad (ACSC)
- Los requisitos de las violaciones de datos notificables impulsan la preparación de la respuesta a incidentes
- Operaciones remotas/distribuidas que crean retos de seguridad únicos
- Proximidad al panorama de amenazas de APAC
Lo que otros pueden aprender:
Unos requisitos normativos claros y unos marcos proporcionados por el gobierno aceleran la madurez de la seguridad cuando se combinan con una orientación práctica.
Lo esencial
Aunque las tácticas varían según la región en función del entorno normativo, el panorama de las amenazas, las normas culturales y la disponibilidad de recursos, el imperativo estratégico es universal. La gestión del riesgo humano requiere plataformas integradas que se coordinen:
- Iniciativas centradas en las personas (formación, sensibilización, cultura)
- Controles centrados en la tecnología (detección, prevención, respuesta)
- Marcos de gobernanza y cumplimiento (políticas, retención, auditoría)
- Adaptación continua a la evolución de las amenazas (IA, herramientas de colaboración, riesgo interno)
Las soluciones puntuales, la proliferación de herramientas y las iniciativas aisladas fracasan independientemente de la geografía. El éxito requiere plataformas unificadas, estrategias coordinadas y un compromiso con el diseño de la seguridad centrado en el ser humano.
Para saber más, descargue el informe de Mimecast The State of Human Risk 2026.