Hay una conversación que falta en la mayoría de los directorios de América Latina. Hablamos de inflación, de talento, de inteligencia artificial como oportunidad de negocio. Pero pocas veces alguien pone sobre la mesa una pregunta incómoda: ¿qué pasa el día en que un ataque deja sin sistemas a un hospital, una aseguradora de salud o un laboratorio del que dependen miles de personas? En mi experiencia trabajando con organizaciones de la región, esa pregunta casi nunca tiene dueño. Y lo que no tiene dueño, no se gestiona.
Vale la pena detenerse en por qué la salud se convirtió en el blanco preferido del cibercrimen, y por qué eso debería importarle a cualquier ejecutivo, no solo al área de tecnología.
El sector que paga las brechas más caras del mundo
Los números son contundentes. Según el IBM Cost of a Data Breach Report 2025, la salud encabeza —por decimocuarto año consecutivo— el ranking mundial de costo por brecha de datos: 7,42 millones de dólares en promedio, frente a 5,56 millones en finanzas y 4,44 millones de promedio global. No es una diferencia menor: es casi el doble del costo de una brecha promedio.
Hay un segundo dato que, como gestor, me preocupa todavía más: una brecha en salud tarda en promedio 279 días en detectarse y contenerse, cinco semanas más que en cualquier otro sector. Traducido a lenguaje de negocio, significa que el adversario pasa más de nueve meses dentro de los sistemas antes de que la organización reaccione. Ningún plan financiero sobrevive a esa exposición silenciosa.
Y esto no es teoría importada. En 2025, la región acumuló casos concretos: un proveedor de imágenes médicas en Argentina con más de 665 mil estudios de pacientes filtrados (ESET, 2025), un hospital pediátrico en Perú golpeado por ransomware, y México consolidado como el segundo país más atacado de América Latina según el reporte de amenazas de Fortinet (2025). El cibercrimen entendió antes que muchos directorios que un hospital no puede darse el lujo de apagar sus sistemas, y por eso paga.
La inteligencia artificial entró sin reglas
Mientras el riesgo de ciberseguridad crece, la región suma una segunda capa de exposición: la inteligencia artificial. La inversión en IA en América Latina alcanzó los 8.300 millones de dólares en 2025, con un alza del 42% interanual (IDC, 2025). La salud es uno de sus destinos estrella —diagnóstico por imágenes, triaje, soporte clínico—, pero la velocidad de adopción superó por completo a la del control.
El dato que debería encender todas las alarmas en una junta directiva: apenas el 8% de las organizaciones latinoamericanas que usan IA cuenta con un marco formal de gobernanza (G-CERTI, 2026). Es decir, más del 90% está incorporando modelos que toman o influyen en decisiones sensibles sin auditoría, sin trazabilidad y sin un responsable claro. El propio informe de IBM lo confirma a nivel global: la mayoría de las brechas vinculadas a IA ocurre en organizaciones que carecían de controles de acceso y de políticas de gobierno del modelo.
Para un ejecutivo, esto se traduce en una exposición triple: legal, reputacional y operativa. Y a diferencia de un riesgo financiero, este no se diluye con el tiempo: se acumula con cada modelo que se despliega sin gobernanza.
Por qué los líderes lo subestiman
He visto el mismo patrón repetirse: la ciberseguridad de la salud se delega al área de TI, se mide como un costo y se revisa una vez al año. El problema es que un ataque a un sistema clínico no es un incidente de TI; es un evento que interrumpe la operación, expone a la organización a litigios, destruye confianza y, en el peor de los casos, pone en riesgo vidas. Eso es materia de directorio, no de soporte técnico.
El segundo error es creer que se trata de comprar una herramienta. La tecnología ayuda, pero la diferencia la marca la gobernanza: quién decide, quién audita, quién responde cuando algo falla. Esa es una decisión de liderazgo.
Qué haría yo desde la mesa directiva
Si tuviera que llevar una agenda mínima al próximo comité, serían cinco puntos concretos:
- Tratar la salud digital como infraestructura crítica del negocio, con el mismo nivel de atención que se le da a la continuidad operativa o al riesgo financiero. Si se cae, todo se cae.
- No desplegar ningún modelo de IA sin gobernanza previa: auditoría algorítmica, trazabilidad de datos y un responsable con nombre y apellido. Si nadie puede explicar cómo decide un modelo, ese modelo no está listo para producción.
- Adoptar Confianza Cero y control estricto de accesos privilegiados. La mayoría de los incidentes empieza con una credencial. Mínimo privilegio y verificación continua dejaron de ser opcionales.
- Definir y ensayar un plan de respuesta a incidentes, con roles claros y simulacros reales. La pregunta no es si ocurrirá, sino qué tan rápido y ordenado será el día que ocurra.
- Apoyarse en marcos que ya existen —ISO 42001 para gobernanza de IA, las guías de organismos sanitarios regionales, los estándares internacionales de ciberseguridad— en lugar de reinventar la rueda. La referencia ya está disponible; falta la decisión de adoptarla.
El costo de no decidir
Cada unidad monetaria invertida hoy en proteger la salud digital vale mucho menos que el costo de un sistema paralizado mañana. Y, sin embargo, seguimos tratando este riesgo como un asunto técnico de segundo orden. La ventana para corregirlo es ahora: las decisiones de inversión y gobernanza que se tomen en este ciclo presupuestario definirán si llegamos a fin de década con organizaciones resilientes o expuestas a la extorsión y al error algorítmico.
El liderazgo se mide en los momentos que nadie ve venir. Este, en cambio, ya lo vemos venir. La única pregunta es si vamos a actuar antes o después del primer titular.
Fuentes: IBM Cost of a Data Breach Report 2025 · IDC Latinoamérica 2025 · G-CERTI, análisis regional de adopción de ISO 42001 (2026) · ESET 2025 · Fortinet Global Threat Report 2025.
