El próximo foso de la IA puede ser una cola
La IA de frontera necesita pruebas de seguridad creíbles. Pero las instituciones que evalúan modelos también pueden convertirse en barreras…
El próximo foso de la IA puede no ser una tecnología mejor. Puede ser la capacidad de atravesar antes la revisión de seguridad.
A medida que los modelos se vuelven más potentes, aumenta la presión para evaluar capacidades peligrosas antes del lanzamiento. Es necesario. También crea una nueva estructura de poder basada en organismos de pruebas, documentación, expertos escasos y decisiones de acceso.
El capítulo 7 examina la frontera entre seguridad legítima y foso regulatorio, y por qué una cola puede convertirse en ventaja estratégica para los mayores desarrolladores.
El problema de seguridad es real
Los modelos de frontera mejoran en algo más que escritura y programación. Los institutos públicos observan avances rápidos en ciberseguridad, química, biología y tareas autónomas.
El AI Security Institute británico afirma haber evaluado más de 30 sistemas avanzados. Sus estudios indican que la duración de las tareas cibernéticas que los modelos pueden resolver de forma autónoma aumenta a intervalos muy cortos.
Existe por tanto un interés público legítimo en pruebas previas, acceso controlado y capacidad para limitar funciones especialmente peligrosas.
La cuestión no es si debe existir evaluación. Es quién la define, quién la realiza y quién debe esperar la autorización.
La propuesta de un organismo mundial
En julio de 2026, Demis Hassabis, director de Google DeepMind, propuso un organismo internacional liderado por Estados Unidos para supervisar la IA de frontera. Lo comparó con FINRA: financiado por la industria, dirigido por expertos y capaz de examinar modelos antes de su lanzamiento.
El organismo podría exigir salvaguardas adicionales o una ralentización sectorial si aumentan los riesgos. Combinaría conocimiento privado con autoridad pública.
La lógica es práctica: las empresas conocen mejor sus sistemas y poseen infraestructura, personal y acceso.
Ese es también el problema. Los mayores desarrolladores no solo serían regulados; podrían influir en reglas, umbrales, métodos y acceso.
Quien diseña la prueba de seguridad puede terminar decidiendo también quién entra en la prueba.
Europa convierte la seguridad en proceso
La Unión Europea ya ha creado una estructura para la IA de propósito general. Los proveedores deben preparar documentación técnica, apoyar a usuarios posteriores y atender obligaciones de derechos de autor. Los modelos con riesgo sistémico tienen deberes adicionales.
El Código de Buenas Prácticas para GPAI traduce estas obligaciones en transparencia, copyright, seguridad y protección. Entre los firmantes figuran Amazon, Anthropic, Google, Microsoft y OpenAI.
Las obligaciones para nuevos modelos se aplican desde agosto de 2025. Las facultades amplias de supervisión y ejecución de la Comisión están previstas para el 2 de agosto de 2026, junto con nuevas normas de transparencia para contenido generado.
El lanzamiento se convierte así en un proceso documentado de clasificación, evaluación, informe de riesgos y comunicación regulatoria.
Puede aumentar la confianza, pero también convertirse en barrera si solo las mayores empresas pueden pagar juristas, investigadores y sistemas de documentación.
La cola se forma en varias puertas
La siguiente cola no es una licencia única. Aparece en varios puntos escasos:
- Acceso a cómputo: chips avanzados, nubes y clústeres seguros
- Evaluación de seguridad: pruebas cibernéticas, biológicas, químicas y de autonomía
- Acceso al modelo: pesos, API y versiones internas
- Documentación: expedientes técnicos, riesgos y copyright
- Aprobación empresarial: privacidad, responsabilidad, auditoría y compras
- Distribución: nubes, tiendas, sistemas operativos y catálogos públicos
Cada puerta puede ser razonable. Juntas crean una barrera de tiempo y capital. Una empresa con nube propia, compliance maduro y relaciones regulatorias avanza más rápido.
Un desarrollador pequeño puede construir un buen modelo y esperar meses por capacidad de prueba, seguros, documentos, nube y distribución.
La seguridad se convierte en foso
El software tradicional podía lanzarse cuando producto y servidores estaban listos. La IA de frontera se acerca a aviación, finanzas o farmacia, donde autorización y supervisión forman parte del negocio.
Para los grandes proveedores, el compliance no es solo coste. Se convierte en activo. Laboratorios, pruebas, relaciones institucionales y auditorías reducen el coste marginal de cada nueva generación.
Los nuevos competidores deben financiar esa infraestructura desde cero. Crece la distancia entre capacidad técnica y producto comercial.
El foso ya no está solo en datos, chips o calidad. Está en la capacidad de atravesar repetidamente un largo proceso.
La cola se convierte en foso cuando los operadores establecidos la atraviesan más rápido que los nuevos competidores.
La captura regulatoria comienza con cortesía
La captura no necesita corrupción abierta. Suele comenzar con un problema comprensible: los reguladores necesitan conocimiento que inicialmente poseen las empresas reguladas.
Los grandes laboratorios ayudan a diseñar pruebas, definir términos y aportar expertos. Sus propuestas pueden ser técnicamente sólidas y proteger al mismo tiempo su posición.
Los umbrales pueden favorecer arquitecturas dominantes. La documentación puede convertir prácticas propietarias en estándar. La responsabilidad puede premiar el tamaño financiero más que la seguridad real.
Un supervisor financiado por la industria depende además de cuotas, datos y cooperación de las compañías que vigila.
La defensa exige dirección independiente, métodos transparentes, criterios revisables, apelación y representación real de pequeños desarrolladores, ciencia y sociedad civil.
El código abierto afronta otra frontera
Los modelos abiertos dificultan el control previo. Una vez publicados los pesos, las restricciones posteriores tienen eficacia limitada.
Desde la seguridad, los modelos abiertos más capaces pueden justificar requisitos mayores. Desde la competencia, esas reglas pueden debilitar el principal contrapeso a las plataformas cerradas.
Las grandes empresas ofrecen API vigiladas y controles. Startups, universidades y Estados dependen a menudo de pesos abiertos para mantener independencia.
Una regulación poco matizada podría aumentar la dependencia que pretende reducir.
Las obligaciones deberían graduarse por capacidad demostrada, riesgo de difusión y peligro concreto, no solo por marca o tamaño.
El evaluador necesita acceso real
La evaluación externa vale tanto como el acceso concedido. Puede estudiar una interfaz pública o recibir acceso profundo a prompts del sistema, salvaguardas, herramientas y versiones previas.
Los resultados pueden ser muy distintos. Un modelo puede parecer seguro en una interfaz limitada y mostrar otras capacidades conectado a agentes o herramientas.
Los reguladores necesitan entornos reproducibles, interfaces técnicas y autoridad para verificar afirmaciones centrales.
Los modelos previos contienen secretos empresariales e información sensible. El organismo de pruebas se convierte en objetivo de espionaje, ciberataques y presión política.
La autoridad debe ser al menos tan segura como las empresas que examina.
Quién controla la escasez de evaluadores
La evaluación exige especialistas escasos: ciberseguridad, biología, química, interpretabilidad, red teaming y autonomía.
Muchos trabajan ya para laboratorios, gobiernos o pocos institutos. Su tiempo se convierte en recurso limitado.
Si la capacidad no crece al ritmo de los modelos, aparecen colas. La prioridad se vuelve poder: ¿qué empresa se examina primero?, ¿qué lanzamiento nacional recibe preferencia?
Los grandes proveedores pueden financiar pruebas internas y entregar documentación completa. Los pequeños soportan retrasos y costes de oportunidad.
Una regulación neutral necesita estándares abiertos, varios evaluadores acreditados y capacidad no dependiente de una sola institución.
La regulación puede acelerar la innovación
Un estándar creíble no tiene por qué frenar. Reglas claras facilitan inversión porque los desarrolladores saben qué evidencia necesitan y qué responsabilidad asumen.
Pruebas comunes reducen duplicación. El reconocimiento entre países evita empezar desde cero en cada mercado.
Los sandboxes permiten pruebas reales limitadas. Los casos de seguridad transparentes muestran qué se evaluó y bajo qué condiciones el sistema puede utilizarse.
La mejor regulación reduce incertidumbre. La peor alarga la cola sin reducir de forma medible el riesgo.
La lógica bursátil de la autorización
Cuando el tiempo de aprobación y el compliance son previsibles, los inversores pueden valorarlos. Los desarrolladores con sistemas maduros reciben un menor descuento de riesgo.
Los laboratorios afrontan un conflicto. Reglas estrictas pueden evitar lanzamientos peligrosos y reducir competidores. Eso eleva el valor de los operadores establecidos y también su responsabilidad.
Las nubes ganan cuando modelos verificados, auditorías y compliance regional se venden como servicio integrado. Seguridad y evaluación forman una nueva infraestructura.
Sufren presión los laboratorios sin nube, proyectos abiertos con responsabilidad incierta y aplicaciones que quieren lanzarse en muchas jurisdicciones.
La prima regulatoria puede ser tan importante como la prima técnica.
La lista de vigilancia de Gridizer Research
- creación y base jurídica de un organismo estadounidense de pruebas
- gobernanza, financiación e independencia de la supervisión industrial
- ejecución europea de obligaciones GPAI desde agosto de 2026
- número y duración de evaluaciones externas
- tiempo entre finalización y lanzamiento público
- acceso de pequeños laboratorios a evaluadores y sandboxes
- reglas para pesos abiertos, modelos locales y reconocimiento internacional
- coste de safety cases, red teaming, auditorías y seguros
- cuota de mercado de nubes, compliance y evaluación
El permiso se convierte en parte del producto
La IA de frontera ya no depende solo de investigación, chips y distribución. Un modelo comercial necesita cada vez más seguridad documentada, evaluación externa, autorización jurídica y acceso a canales controlados.
Esto puede hacer la tecnología más segura. También puede concentrar poder en las empresas capaces de influir en normas, financiar pruebas y soportar retrasos.
El próximo foso puede no ser un muro. Puede ser una cola en la que los mayores proveedores ya ocupan los primeros lugares.
Fuentes y lecturas adicionales
- Axios: Demis Hassabis proposes a U.S.-led global AI watchdog
- European Commission: General-Purpose AI Code of Practice
- European Commission: GPAI Code of Practice Signatory Taskforce
- European Commission: Guidelines for General-Purpose AI Model Providers
- European Commission: Transparency obligations for AI-generated content
- UK AI Security Institute: Frontier AI Trends Report
- UK AI Security Institute: Autonomous cyber-capability trends
- UK AI Security Institute: Partnership on frontier-model evaluation
- Anderljung et al.: Frontier AI Regulation – Managing Emerging Risks to Public Safety