Empieza por distinguir una convocatoria para proyectos de una ayuda para comprar software
El European Cybersecurity Competence Centre abrió el 1 de septiembre de 2026 la convocatoria DIGITAL-ECCC-2027-DEPLOY-CYBER-11. Dentro de ella, la línea AI4SME reserva un presupuesto indicativo de 20 millones de euros para reforzar la ciberseguridad de las pymes europeas mediante soluciones basadas en inteligencia artificial. El plazo publicado termina el 14 de enero de 2027 a las 17:00 CET.
La convocatoria y su documento técnico coinciden en el propósito: apoyar la adopción y difusión de soluciones innovadoras, desarrollar o adaptar productos, herramientas y servicios, y validarlos con organizaciones usuarias. Por tanto, una pyme que solo quiere adquirir una licencia no debería asumir que esta línea es un bono de compra directa. El encaje más claro está en un proyecto que despliega una capacidad reutilizable para varias pymes y demuestra su funcionamiento.
Esta guía sirve para ordenar una primera decisión y no sustituye las condiciones de la convocatoria, la versión vigente del portal ni asesoramiento especializado en financiación europea. El documento oficial advierte además de que la convocatoria puede modificarse; antes de presentar una propuesta hay que volver a comprobar fechas, formularios, anexos y restricciones.
Comprueba el encaje con cuatro preguntas antes de buscar socios
El alcance no se limita a añadir un asistente conversacional a una herramienta existente. AI4SME menciona evaluación y gestión de riesgos, análisis de infraestructura, alertas de vulnerabilidades y amenazas, respuesta a incidentes, notificación y formación. También exige que las soluciones sean ciberseguras y que la inteligencia artificial se use de forma fiable y supervisable.
Formula el proyecto como una cadena verificable: una pyme tiene un problema de seguridad definido; la solución recibe datos autorizados; produce una señal o recomendación útil; una persona puede revisarla; y el proceso termina en una acción trazable. Si el equipo no puede describir esa cadena sin recurrir a expresiones como “plataforma integral” o “IA avanzada”, todavía no tiene un alcance evaluable.
Las cuatro preguntas siguientes ayudan a separar una oportunidad real de una idea demasiado genérica. Responderlas también permite detectar si falta un proveedor, un grupo de pymes usuarias, una entidad de investigación o una capacidad de validación independiente.
- ¿Qué riesgo o tarea de ciberseguridad concreta se quiere mejorar y para qué tipo de pyme?
- ¿Qué parte se desarrolla o adapta y qué parte ya está lista para desplegar?
- ¿Qué datos necesita la solución, quién los autoriza y cómo se protege la información personal o sensible?
- ¿Qué evidencia demostrará que funciona mejor que el proceso de partida sin desplazar una decisión crítica a una salida opaca?
Diseña el proyecto alrededor de pymes usuarias, no de una lista de funciones
El documento de la convocatoria pide resultados que lleguen a organizaciones, en particular pymes. Entre los indicadores obligatorios figuran el número de entidades beneficiadas y el número de infraestructuras, herramientas o servicios desarrollados, adaptados, probados y validados para su uso por pymes. Esto convierte a las organizaciones usuarias en parte del diseño, no en una audiencia que se incorpora al final.
Define dos o tres perfiles de pyme con necesidades comparables, pero entornos suficientemente distintos para probar la portabilidad. Por ejemplo, una empresa de servicios con aplicaciones cloud y una pequeña industria con activos operativos no deberían tratarse como si compartieran el mismo inventario, exposición o capacidad de respuesta. El objetivo es conservar un núcleo común y documentar qué configuración cambia por sector o madurez.
Para cada perfil, registra la situación inicial, los activos incluidos, el proceso actual y las personas que usarán o supervisarán la solución. Evita prometer reducciones de incidentes que no pueden medirse dentro del proyecto. Es más defendible medir cobertura, tiempo de análisis, precisión de alertas revisadas, acciones completadas y capacidad de recuperación ensayada.
Convierte la IA en una hipótesis medible y cibersegura
La Comisión Europea sitúa el uso defensivo de la IA y la seguridad de los propios sistemas de IA dentro de la misma agenda. La convocatoria AI4SME refleja esa doble exigencia: desplegar capacidades que ayuden a preparar, proteger y responder, y al mismo tiempo proteger la solución, sus datos y su cadena de suministro.
Escribe una hipótesis por función. Si la solución prioriza vulnerabilidades, especifica qué entradas utiliza, qué recomendación produce y cómo se compara con el criterio de un analista. Si guía la respuesta a incidentes, delimita qué instrucciones puede proponer y qué acciones requieren autorización humana. Si genera alertas, fija umbrales de revisión y un tratamiento explícito para falsos positivos y falsos negativos.
Añade controles desde el primer piloto: mínimo acceso, separación entre clientes, registro de consultas y acciones, evaluación de datos de entrenamiento o contexto, pruebas ante entradas manipuladas, proceso de actualización y mecanismo de retirada. La propuesta gana claridad cuando cada riesgo tiene una prueba, un responsable y un criterio de parada.
- Rendimiento: calidad de la detección o recomendación con un conjunto de casos documentado.
- Seguridad: pruebas de acceso, aislamiento, entradas adversarias, dependencias y actualización.
- Supervisión: decisiones reservadas a personas y evidencia conservada para revisarlas.
- Operación: tiempo de respuesta, disponibilidad, recuperación y procedimiento cuando el modelo no responde.
- Protección de datos: finalidad, minimización, retención, acceso y tratamiento de incidentes.
Forma el consorcio por responsabilidades y no por logotipos
Para AI4SME no se fija un número mínimo específico de participantes en el cuadro de condiciones del documento. Aun así, el texto anima a colaborar cuando las capacidades complementarias refuercen la ejecución y el impacto. Que una solicitud individual pueda ser admisible no significa que una sola entidad pueda demostrar desarrollo, acceso a pymes, validación, seguridad y despliegue con la misma credibilidad.
Dibuja primero los trabajos y asigna después las organizaciones. Habitualmente habrá que cubrir producto o integración técnica, acceso y acompañamiento a pymes, ciberseguridad, evaluación, formación, protección de datos, explotación y coordinación. Una misma entidad puede asumir varias funciones, pero cada responsabilidad debe tener capacidad demostrable, tiempo y entregables.
La convocatoria admite entidades jurídicas públicas o privadas establecidas en Estados miembros de la Unión o países del Espacio Económico Europeo indicados en el documento. También aplica restricciones de seguridad y control conforme al artículo 12.5 del Reglamento Digital Europe. No cierres socios ni subcontrataciones sin revisar la sección de elegibilidad, las declaraciones de propiedad y control y la localización prevista de las actividades.
Alinea presupuesto, financiación y duración con un despliegue creíble
AI4SME se configura como una SME Support Action. El documento oficial establece una tasa de financiación del 50 % y del 75 % para pymes; el centro nacional alemán de coordinación en ciberseguridad publica el mismo reparto. La contribución europea solicitada se espera, de forma indicativa, entre 3 y 5 millones de euros por proyecto, aunque el documento permite justificar otros importes.
La duración orientativa es de 36 meses. Estas cifras describen proyectos de despliegue con suficiente alcance para coordinar usuarios, adaptar tecnología, validarla y documentar resultados. No son una invitación a inflar el presupuesto. Construye el coste desde paquetes de trabajo, recursos y adquisiciones necesarias, y conserva margen para incorporación de pymes, pruebas de seguridad, soporte y correcciones posteriores a los pilotos.
Distingue el presupuesto total del proyecto de la contribución europea y comprueba qué porcentaje corresponde a cada tipo de beneficiario. La ayuda reembolsa costes elegibles bajo las reglas del acuerdo de subvención; no debe presentarse como financiación automática ni como anticipo de todo el proyecto.
Prepara una ficha de decisión antes de abrir el formulario
El formulario será más fácil de completar si el equipo acuerda primero una ficha de dos páginas. Debe conectar problema, usuarios, solución, riesgos, trabajos, resultados y métricas. El documento de la convocatoria pide hitos que representen decisiones o logros reales, no reuniones rutinarias, y entregables sustantivos como especificaciones, herramientas, resultados de pilotos, materiales de formación o procedimientos operativos.
Incluye una línea base para cada KPI cuando exista y explica cómo se medirá, con qué fuente, con qué frecuencia y quién conservará la evidencia. Si una métrica no es aplicable, la convocatoria permite justificarlo; es preferible una justificación clara a un número artificial. No inventes tasas de adopción, ahorros ni mejoras antes de probar la solución.
Cierra la ficha con tres decisiones: presentar, buscar capacidades que faltan o descartar el encaje. Si se decide continuar, crea un calendario inverso desde el 14 de enero de 2027 y reserva tiempo para registro de participantes, validación de entidades, declaraciones de propiedad y control, revisión técnica, presupuesto y envío. La última semana debe servir para comprobar coherencia y anexos, no para descubrir el propósito del proyecto.
- Problema y población objetivo: necesidad observable y perfiles de pyme que participarán.
- Resultado: herramienta, servicio o capacidad desplegada y validada, no solo investigación.
- Plan de prueba: línea base, casos, métricas, responsables, evidencia y criterio de parada.
- Consorcio: cada paquete de trabajo con una entidad responsable y capacidades demostrables.
- Seguridad: datos, accesos, aislamiento, supervisión, dependencias, respuesta y retirada.
- Viabilidad: costes, cofinanciación, duración, explotación y soporte después del proyecto.
Usa la convocatoria para exigir evidencia, incluso si decides no presentarte
AI4SME convierte una tendencia amplia —usar IA para defender sistemas— en preguntas concretas sobre usuarios, validación, métricas y seguridad. Esa disciplina es útil aunque una empresa no lidere una propuesta. Un proveedor puede usarla para comprobar si su herramienta está lista para pilotos reales; una pyme usuaria, para exigir límites y evidencia antes de compartir datos; y una entidad de apoyo, para diseñar una cohorte que produzca resultados comparables.
La decisión GREEN no consiste en afirmar que cualquier proyecto de ciberseguridad con IA encaja. Consiste en demostrar que el problema es relevante para pymes europeas, que la solución se puede desplegar y validar, que la IA aporta una función delimitada y que los riesgos se controlan. Si falta uno de esos elementos, conviene corregir el diseño antes de convertirlo en una solicitud.
Revisa siempre la ficha oficial, el documento de convocatoria y el portal de Funding & Tenders antes de actuar. Las fechas, condiciones y documentos vigentes prevalecen sobre cualquier resumen, incluida esta guía.
