El 15% de los trabajadores de la Unión Europea afirma haberse encontrado con estafas que utilizan inteligencia artificial. En cambio, solo el 48% cree que sabría reconocer un vídeo falso creado con esa tecnología. La diferencia refleja una amenaza ya presente en el trabajo y una confianza limitada en la capacidad para detectarla.
El phishing encabeza los riesgos declarados: lo detectó el 39% de los empleados encuestados. Un 18% registró intentos de obtener datos personales. El 17% informó de ataques con malware y el 16%, de tentativas de robo de contraseñas.
El 81% de los trabajadores de entre 15 y 24 años dijo haber encontrado mensajes sospechosos, frente al 54% de quienes tienen 50 años o más.
En conjunto, entre el 74% y el 75% de los trabajadores se encontró con correos electrónicos o mensajes sospechosos durante los seis meses analizados por el Flash Eurobarometer 576. El dato incluye también enlaces potencialmente peligrosos. La Comisión Europea publicó los resultados el 30 de septiembre de 2026, tras una encuesta en línea a 25.747 participantes de los 27 Estados miembros. La cobertura del informe precisa que la cifra abarca distintos tipos de mensajes y enlaces, no solo intentos de phishing.
Ese porcentaje mide la exposición a posibles amenazas, no los ataques exitosos. No significa que tres de cada cuatro empleados hayan sufrido una intrusión. La encuesta recoge experiencias de los trabajadores y prácticas que declaran sus organizaciones; no confirma que se hayan comprometido cuentas o sistemas. Tampoco equivale a un recuento de denuncias del Ministerio del Interior ni a una resolución publicada en el BOE.
El trabajo de campo se realizó en línea entre el 27 de abril y el 8 de mayo de 2026 en los 27 países de la Unión Europea. Sus resultados reflejan respuestas de participantes, no una verificación técnica de incidentes en las organizaciones.
La ingeniería social convierte una petición aparentemente legítima en una acción: puede pedir credenciales. También puede inducir a cambiar una cuenta bancaria. En otros casos, busca que alguien autorice una transferencia. El engaño llega por correo o mediante una llamada de alguien que se hace pasar por personal técnico. También puede suplantar a un proveedor o a un organismo público.
La preparación de las plantillas va por detrás de esa exposición. Aunque el 83% considera graves las consecuencias de un ciberataque para su organización, solo el 60% recibió formación en ciberseguridad durante los doce meses anteriores. Apenas el 45% afirma que su organización comparte periódicamente avisos o actualizaciones de seguridad. La participación en la formación cae de forma apreciable en las empresas pequeñas.
El interés por aprender es alto: el 85% quiere mejorar sus conocimientos. Pero un 26% señala la falta de tiempo como principal obstáculo. Además, solo el 18% afirma que su empresa no había sufrido ningún incidente cibernético, hasta donde sabía. Esa respuesta refleja lo que conocen los empleados, no necesariamente un registro exhaustivo de cada organización.
ENISA vincula estos riesgos con una exposición extendida en el ámbito profesional. Su análisis de amenazas, basado en más de 8.000 eventos, incluye entre los sectores atacados la Administración pública y los servicios empresariales. También figuran el transporte y la industria; las finanzas aparecen asimismo entre los sectores afectados. En julio, la Comisión Europea presentó un Plan de Acción sobre Ciberseguridad e Inteligencia Artificial. El plan contempla el uso de esta tecnología para reforzar la protección y su capacidad para automatizar ataques.
Las herramientas técnicas pueden quedarse cortas si quienes gestionan tareas administrativas no reciben formación suficiente. Los resultados respaldan combinar capacitación con avisos periódicos, especialmente ante los fraudes que emplean inteligencia artificial. Estas cifras no demuestran que la falta de formación haya causado incidentes concretos.
