El pensador francés Samuel Fitoussi propone una distinción incómoda: dentro de cada persona conviven dos racionalidades.
- La racionalidad epistémica: el impulso genuino de entender qué es verdad.
- La racionalidad social: la tendencia a sostener las ideas que nos hacen quedar bien frente a los demás.
Cuando no hay una consecuencia inmediata que castigue el error, la segunda tiende a imponerse sobre la primera.
Esa misma dinámica explica buena parte de las decisiones de ciberseguridad corporativa. La racionalidad epistémica, aplicada a la seguridad de una organización, sería simple: mirar la evidencia y actuar en consecuencia. Y la evidencia es contundente. Año tras año, los informes de incidentes ubican al error humano —un clic en un phishing, una contraseña reutilizada, una credencial cedida por ingeniería social— como el vector de entrada dominante en la mayoría de los ataques exitosos. Si tomáramos en serio ese dato, la inversión debería concentrarse en las personas: entrenamiento continuo, simulacros, cultura organizacional de sospecha sana.
Pero en los comités de dirección suele ganar la otra racionalidad. Se aprueban presupuestos importantes en licencias, firewalls de última generación, EDR, XDR y una sopa de siglas que impresiona en una auditoría y tranquiliza a un directorio. Es una decisión socialmente rentable: es visible, es medible en una factura, coincide con lo que el proveedor recomienda y con lo que hace la competencia, y nadie es cuestionado por haber comprado "la mejor tecnología del mercado". Invertir en concientización, en cambio, no deja una casilla tan fácil de marcar ni una demo tan vistosa. Es una racionalidad que prioriza parecer seguro por sobre estar seguro.
Lo mismo está ocurriendo, a mayor escala, con la inteligencia artificial. La IA es una herramienta: multiplica lo que ya sabemos hacer, no lo sustituye, y su valor depende por completo de quién la usa y con qué criterio. En ciberseguridad ya se están corriendo agentes de detección de anomalías, de respuesta automatizada y de análisis de amenazas en tiempo real. También ahí conviven las dos racionalidades: adoptar IA porque es lo que se espera de una empresa "innovadora" lleva a invertir en cosas tangibles, fáciles de entender y de bajar a los libros contables, y no tanto en las personas que tienen que entender cómo integrarla dentro de los procesos internos.
La IA acelera los tiempos: tanto de lo que se hace bien como de lo que se hace mal.
El paralelismo con los intelectuales de Fitoussi es exacto: mientras no ocurra el incidente, no hay penalidad que corrija el sesgo. La organización puede sostener durante años una arquitectura de seguridad desequilibrada —fuerte en tecnología, débil en personas— sin que nada en el corto plazo la desmienta. El costo aparece recién con la brecha, cuando ya es tarde para discutir el criterio con el que se asignó el presupuesto.
Corregir ese sesgo no empieza en el presupuesto: empieza en la pregunta. Mientras la pregunta siga siendo "¿qué solución es la más reconocida del mercado?", la respuesta seguirá siendo tecnología. La pregunta que ninguna licencia responde es otra: ¿qué cambia en las personas para que el error que abre la puerta sea menos probable mañana que hoy? Esa pregunta no tiene demo. Tampoco tiene casilla en una auditoría. Pero es la única que importa cuando llega la brecha.