En muchas organizaciones, la seguridad de los datos en el consejo se da por resuelta en cuanto la plataforma está cifrada y las certificaciones están en regla. Un asunto de TI.
Pero la información más sensible de una empresa no pasa por el departamento de TI. Pasa por la sala del consejo de administración. Planes de adquisición, decisiones de personal al más alto nivel, riesgos jurídicos sin resolver. Quien protege esa información no protege archivos, sino la capacidad de actuación de la organización.
Y con ello la pregunta se desplaza. Ya no se trata de qué cifrado emplea una plataforma, sino de quién responde de qué cuando algo ocurre.
Por qué el consejo es un objetivo particular
Los atacantes siguen el valor, no el camino más fácil. Y en pocos lugares de una empresa se concentra tanto valor en tan pocas páginas como en la preparación de una reunión del consejo. Un solo expediente de sesión puede contener justo aquello que interesaría a un competidor, a un activista o a un extorsionador.
Eso cambia el mapa de riesgos. Porque mientras el pensamiento en materia de seguridad de muchas organizaciones se dirige al nivel operativo, el nivel del consejo suele quedarse en una mezcla acumulada con el tiempo de adjuntos de correo, unidades compartidas y dispositivos privados.
El Verizon Data Breach Investigations Report muestra además que la proporción de filtraciones de datos con participación de terceros se ha duplicado en un solo año y supone ya alrededor de un tercio de todos los incidentes. Cuantos más asesores externos, despachos de abogados y proveedores intervienen en la documentación del consejo, mayor se vuelve esa superficie de ataque.
La arquitectura de seguridad es más que el cifrado
Quien busca un software seguro de gestión del consejo se topa enseguida con la misma lista de términos conocidos. Cifrado de extremo a extremo para los datos almacenados y transmitidos, permisos basados en roles, autenticación multifactor, registros de auditoría completos. Menos visibles, pero igual de decisivos, son los permisos granulares para documentos concretos, un tratamiento de datos conforme al RGPD y un almacenamiento central sin copias locales dispersas. Todo ello es necesario. Pero describe únicamente los cimientos, no el edificio.
Lo decisivo es cómo una arquitectura maneja la contradicción entre confidencialidad y colaboración. Un consejo debe compartir información para funcionar y, al mismo tiempo, impedir que esta se difunda sin control. Una buena arquitectura de seguridad no resuelve eso con el mayor número posible de cerraduras, sino con granularidad.
¿Quién ve qué documento, durante cuánto tiempo, con qué derechos? ¿Pueden retirarse los accesos después de una reunión o tras la salida de un consejero? ¿Permanece la documentación allí donde la seguridad y los permisos se regulan de forma centralizada, por ejemplo en un entorno de Microsoft 365 ya existente, o surgen con cada copia nuevos lugares de almacenamiento sin vigilancia?
Porque cada copia adicional de datos aumenta no solo el esfuerzo, sino también el riesgo. El documento más seguro suele ser el que nunca llegó a duplicarse.
Una buena gestión documental es gobernanza
La seguridad de los datos y la gestión documental se consideran a menudo por separado. En la práctica van indisolublemente unidas. Porque una gestión documental profesional en el consejo abarca mucho más que el archivo de ficheros. Va desde el control automático de versiones, pasando por procesos de aprobación trazables y expedientes digitales de sesión, hasta plazos definidos de conservación y supresión, la retirada de derechos de acceso al término de un mandato y una gestión centralizada de toda la documentación de acuerdos.
El control de versiones en particular se subestima con frecuencia. Quien en una situación crítica ya no puede rastrear qué versión de un documento sirvió de base a un acuerdo pierde una parte de su capacidad de gobernanza. La gestión documental no es, por tanto, una tarea administrativa secundaria, más bien una parte de la responsabilidad de un consejo.
El registro de auditoría como columna vertebral de la responsabilidad
El registro de auditoría se trata a menudo como un detalle técnico. Pero es un principio de gobernanza.
Documenta de forma completa quién ha visto, editado o descargado qué documento y cuándo, y cómo se alcanzaron qué acuerdos. Suena a control, pero se trata de algo más fundamental: la responsabilidad presupone trazabilidad.
Un consejo que después no puede reconstruir sobre qué base informativa decidió difícilmente podrá responder de esa decisión. El registro de auditoría es así menos un instrumento de vigilancia, más bien la condición para que la responsabilidad pueda atribuirse siquiera. Protege no solo a la empresa frente a ataques externos, sino al consejo frente a la imprecisión de su propia memoria.
Cuando la inteligencia artificial pasa a formar parte del flujo de información
Con la entrada de la IA en el trabajo del consejo, esa idea gana peso adicional. Cuando ya no son solo personas quienes leen documentos, sino máquinas que resumen expedientes, señalan riesgos o preparan informes, el registro de auditoría se amplía con una nueva pregunta. ¿Qué información ha visto la IA, cómo la ha procesado y sobre qué base surgió el resultado?
Así aparece una nueva categoría de información: contenido generado por máquinas que prepara una decisión sin que cada miembro del consejo haya leído por sí mismo cada fuente. En sí mismo no es un problema de seguridad, pero cambia de raíz la cuestión de la responsabilidad.
Según el Cost of a Data Breach Report de IBM, un 63 por ciento de las empresas afectadas por una filtración de datos operaba sin marco alguno de gobernanza de la IA. Al mismo tiempo, IBM informa de que ya un 16 por ciento de los ataques emplea IA, por ejemplo para campañas de phishing más convincentes. La amenaza se vuelve, pues, más inteligente, mientras la gobernanza en muchos lugares apenas está tomando forma.
Con ello el human-in-the-loop se convierte en una práctica relevante para la seguridad, no en una palabra de moda. Un resumen generado por IA puede facilitar la revisión humana, no sustituirla. Y una plataforma que emplea IA debe hacer trazable qué ha hecho la máquina. De lo contrario traslada la responsabilidad a un lugar que no puede asumir ninguna.
Qué aportan realmente los estándares de protección de datos
Certificaciones como la ISO 27001 o un centro de datos dentro de la UE son señales razonables, con las que los proveedores publicitan en consecuencia de buen grado. Son, sin embargo, un punto de partida, no una meta. Un estándar describe que ciertos procesos existen, no que funcionen llegado el caso.
Para los consejos de administración y las direcciones surge de ello una tarea de supervisión que no se deja delegar. Marcos regulatorios como el RGPD, la NIS2 o el Reglamento Europeo de IA aumentan la presión, si bien su configuración concreta y sus plazos siguen en movimiento y conviene seguirlos con atención.
Más importante que invocar un certificado es, en todo caso, la capacidad de entender y cuestionar la propia situación de seguridad. No: ¿estamos certificados? Sino: ¿nos enteraríamos si algo saliera mal, y podríamos demostrarlo?
La verdadera pregunta sigue siendo la de la responsabilidad
La seguridad de los datos en el consejo no se compra, hay que ejercerla. La mejor arquitectura de seguridad sirve de poco si nadie entiende qué decisiones le quita al consejo y cuáles no. Y el registro de auditoría más refinado queda sin efecto si nadie lo lee.
Por eso la pregunta decisiva al elegir una solución no es qué funciones de seguridad enumera, sino si hace la responsabilidad visible y atribuible. Porque en la sala de consejo digital rige lo mismo que en la analógica: la seguridad no es una propiedad de la tecnología, sino una práctica de las personas que la utilizan.
Fuentes
- IBM, Cost of a Data Breach Report, entre otros sobre gobernanza de la IA y ataques asistidos por IA, recogido por Marconet: Data Security Governance Best Practices for 2026
- Verizon, 2026 Data Breach Investigations Report, sobre la duplicación de la participación de terceros: Verizon DBIR
- Akin, sobre la responsabilidad del consejo en materia de ciberseguridad y sobre ataques asistidos por IA: Cybersecurity and Operational Resilience: A Board-Level Imperative
