Utility Dive advierte que las empresas eléctricas que incorporan inteligencia artificial en monitoreo de ciberseguridad pueden estar creando un riesgo de cumplimiento que solo aparecerá cuando lleguen los auditores. El texto se concentra en CIP-015-1, estándar de protección de infraestructura crítica que exigirá monitoreo interno de seguridad de red hacia octubre de 2028. Frente al volumen de eventos diarios, las utilities están recurriendo a herramientas de inteligencia artificial para filtrar miles de alertas que un equipo humano no puede procesar con la misma rapidez. Sin embargo, el autor sostiene que la ventaja operativa oculta un problema regulatorio: cuando un auditor pregunte por qué un sistema marcó un evento y descartó otro, responder que “el modelo lo decidió” no constituirá evidencia válida.

La dificultad surge porque el cumplimiento NERC siempre se apoyó en rastros documentales: autorizaciones, cambios de configuración, evaluaciones de vulnerabilidad y decisiones trazables. Los modelos de aprendizaje automático alteran esa lógica al tomar miles de microdecisiones diarias sobre qué paquetes investigar, qué anomalías son falsos positivos y qué alertas merecen escalamiento. Un sistema puede reducir, por ejemplo, 10.000 eventos a 500 alertas accionables. Pero si no existe un registro verificable de por qué se descartaron las otras 9.500, la utilidad no podrá demostrar que el filtrado fue apropiado bajo el estándar. El artículo también cuestiona las funciones de “explicabilidad” que varios proveedores ofrecen, porque suelen producir racionalizaciones posteriores y no evidencias contemporáneas del proceso real de decisión.

La propuesta es exigir a los proveedores tres capacidades: rastros de auditoría en tiempo real, verificación adversarial previa a la decisión final y registro inmutable con marcas criptográficas de tiempo. El artículo recuerda que sectores como servicios financieros y salud ya vienen desarrollando mecanismos de este tipo. La gobernanza de la automatización pasa así a ser parte integral de la ciberseguridad regulada.

Para leer más ingrese a:

https://www.utilitydive.com/news/why-post-hoc-ai-auditing-is-already-obsolete-for-nerc-cip/812008/