¿Qué es la formación en concienciación adaptada con IA?
La formación en concienciación adaptada con IA se asigna según el comportamiento medido, no según un calendario. Cada empleado se pone a prueba de forma continua en los canales que usan realmente los atacantes; cada resultado actualiza su Human Risk Score, y es esa puntuación, no una fecha de cumplimiento, la que decide la siguiente formación, la dificultad de la siguiente simulación e incluso si hace falta formación.
Cómo funciona la formación asignada según el comportamiento
Lo que ve el CISO
Cinco pestañas. Dos de las vistas responden a la pregunta que ningún programa de concienciación ha sabido responder: qué módulo redujo realmente los clics.
Clasificación de campeones
Personas · por riesgo, no por actividadEl reconocimiento se deriva de la puntuación de riesgo y pondera las notificaciones: puntuación de campeón = (100 − puntuación de riesgo) × 0,6 + peso de notificación, con las notificaciones limitadas para que sumen sin dominar.
| Empleado | Puntuación de campeón | Puntuación de riesgo | Avisos |
|---|---|---|---|
| 1Empleado 1 | 41,6 | 44 | 12 |
| 2Empleado 2 | 39,2 | 38 | 3 |
| 3Empleado 3 | 37,4 | 40 | 5 |
Exportación personalizada
Por secciones y con su marca.
Certificados
Cada uno tiene una página pública de verificación, para que cualquiera que lo tenga pueda comprobarlo.
Registro de auditoría
Exportable a su SIEM.
Integridad de la finalización, medida en el servidor
Por eso NOUSEC no acepta un simple clic como evidencia. Cada finalización se clasifica por el tiempo dedicado al contenido frente a la duración prevista del módulo, y la finalización de un vídeo es una magnitud medida, no un clic.
Cuatro formas de pasar un minuto asignado
- Omitido< 30 %
- Clic rápido30 – 70 %
- Implicado70 – 130 %
- Muy implicado> 130 %
El 100 % de la duración prevista cae dentro de Implicado.
La finalización de un vídeo exige haber visto el noventa por ciento de sus segundos únicos, calculado en el servidor. El contador se detiene si la pestaña está oculta o el vídeo en pausa.
Si arrastra hasta el final y se marcha, la cobertura se queda casi en cero: ni finalización ni certificado. Un intento fallido deja la inscripción en curso.
El registro de finalización lo emite el servidor, no lo solicita el cliente. Un vídeo pasivo no muestra ninguna puntuación inventada: el certificado lleva la fecha de finalización y la duración real, nada más.
El cuadro de cumplimiento muestra ambas tasas
Una tasa de finalización bruta y otra ajustada para auditoría, que descarta las finalizaciones sin indicios de implicación real. Los auditores ven la diferencia entre ambas, que es la cifra que de verdad significa algo.
Lo que reciben realmente los empleados
Catorce formatos en tres vías de entrega, y cinco elementos dentro de ellos construidos de forma distinta al resto de la categoría.
Retroalimentación forense
Cada respuesta incorrecta señala la pista observable que delata el ataque. La precisión es toda la lección.
Un escape room, no un sistema de puntos
Asíncrono, para un solo jugador, en el navegador. Sin sesión programada, sin facilitador y sin puntos que sustituyan a un juego.
Detección de voz deepfake
Pares de audio reales y sintéticos en un contexto bancario, con un análisis forense de cada clip.
15plantillas de políticas
Con la marca de la organización del cliente y vinculada a un módulo de formación. La aceptación se vuelve a exigir con cada nueva versión y el historial de aceptaciones se conserva.
Localizados, no solo traducidos
En cada idioma cambian los nombres de los personajes, de las empresas y el contexto cultural, no solo los textos. El árabe se lee de derecha a izquierda, y cada idioma tiene su propio paquete SCORM y sus subtítulos.
Un idioma que solo existe en una página de precios no es un idioma.
El alumno cambia de nombre, no solo de subtítulos. Los nombres de empresa y el contexto del escenario cambian con él.
Por qué fracasa la formación anual de concienciación en seguridad
Construimos la plataforma así porque la investigación publicada es inequívoca sobre la alternativa. Tres hallazgos decidieron el diseño.
La formación anual no redujo los fallos ante el phishing
Un ensayo aleatorizado con más de 19.500 empleados durante ocho meses no encontró una relación significativa entre haber completado recientemente la formación anual obligatoria y fallar una simulación de phishing. La formación integrada tras el fallo movió la probabilidad de clic unos 2 puntos porcentuales.
Ho et al., IEEE Symposium on Security & Privacy, 2025La mejora desaparece antes del siguiente curso
En pruebas a intervalos, los empleados seguían detectando el phishing significativamente mejor cuatro meses después de un curso (d′ 1,60; p = 0,034). A los seis meses la mejora ya no era estadísticamente significativa (d′ 1,46; p = 0,123). Un ciclo de doce meses deja sin cubrir aproximadamente medio año.
Reinheimer et al., USENIX SOUPS 2020La medición continua es lo que mueve la cifra
En 42 millones de simulaciones en 64.000 organizaciones, la proporción media de empleados que fallan una prueba de phishing bajó del 33,2 % de partida al 20,1 % a los 90 días y al 4,2 % a los doce meses de pruebas y formación continuas.
KnowBe4 Phishing by Industry Benchmarking Report, 2026Las tres cifras proceden de investigaciones del sector, no son resultados de NOUSEC.
Lea la investigación completa →Formación convencional en concienciación frente a NOUSEC
La diferencia no está en la calidad del contenido, sino en qué decide a quién se forma, cuándo y cómo se sabe si ha funcionado.
Evidencias de auditoría para NIS2, DORA, ISO 27001 y PCI DSS
Formación en concienciación de seguridad: preguntas frecuentes
¿Qué es la formación en concienciación adaptada con IA?
La formación en concienciación adaptada con IA es la formación que se asigna según el comportamiento medido, no según un calendario. Cada empleado se pone a prueba de forma continua en los canales que usan realmente los atacantes; cada resultado actualiza su Human Risk Score, y es esa puntuación, no una fecha de cumplimiento, la que decide la siguiente formación, la dificultad de la siguiente simulación e incluso si hace falta formación.
¿La formación en concienciación reduce de verdad el phishing?
Tal como la aplican la mayoría de las organizaciones, no. Un estudio aleatorizado de 2025 con más de 19.500 empleados (Ho et al., IEEE Symposium on Security & Privacy) no encontró una relación significativa entre haber completado recientemente la formación anual obligatoria y fallar una simulación. Lo que mueve la cifra es combinar pruebas continuas con formación: en 42 millones de simulaciones, la propensión media al clic bajó del 33,2 % de partida al 20,1 % a los 90 días y al 4,2 % a los 12 meses (KnowBe4 2026). Lo decisivo no es la calidad del contenido, sino la frecuencia y la medición.
¿Cómo miden la cobertura de visionado por segundos únicos?
La finalización de un vídeo exige haber visto el 90 % de sus segundos únicos, y esa proporción la calcula el servidor, no la declara el navegador. El contador se detiene si la pestaña está oculta o el vídeo en pausa; si salta al final y se marcha, la cobertura se queda casi en cero: ni finalización ni certificado. Una solicitud de finalización falsificada recibe un 403.
¿Qué es la tasa de finalización ajustada para auditoría?
El cuadro de cumplimiento muestra dos tasas: la tasa de finalización bruta y una tasa ajustada que descarta las finalizaciones sin indicios de implicación real. El auditor ve la diferencia entre ambas, que es la cifra que de verdad significa algo. Las finalizaciones se clasifican por el tiempo dedicado al contenido frente a la duración prevista del módulo: Omitido por debajo del 30 %, Clic rápido del 30 al 70 %, Implicado del 70 al 130 %, Muy implicado por encima del 130 %.
¿Cómo acreditan los requisitos de NIS2 y DORA?
El artículo 20, apartado 2, de NIS2 exige que los órganos de dirección sigan formación en ciberseguridad, y el artículo 21, apartado 2, letra g), incluye la formación en ciberseguridad entre las medidas mínimas de gestión de riesgos; NOUSEC ofrece un itinerario específico para la dirección y evidencias exportables por persona. El artículo 13, apartado 6, de DORA exige concienciación sobre seguridad de las TIC y formación en resiliencia operativa digital para todo el personal y la alta dirección, acorde a cada función; el contenido y la dificultad se ponderan según el puesto y la puntuación. Este resumen no constituye asesoramiento jurídico.
¿Dónde se almacenan nuestros datos?
En la UE, en Fráncfort. NOUSEC está diseñado conforme al RGPD y no requiere agentes ni software en los equipos. La formación se imparte en el idioma de cada empleado: hoy hay 9 idiomas disponibles y otros 21 bajo petición, con el mismo proceso de localización en cuatro fases.
En 20 minutos suspendemos a propósito una simulación y le mostramos exactamente qué hace la plataforma después.
Solicitar una demo