El doble estándar que desnuda la hipocresía regulatoria en IA

Dos movimientos regulatorios casi simultáneos han dejado al descubierto una contradicción incómoda en la política de inteligencia artificial. Por un lado, el fiscal de San Francisco exige a Apple y Google retirar aplicaciones de ‘nudificación’ que generan imágenes íntimas sin consentimiento. Por el otro, los gobiernos de la Unión Europea aprueban una moratoria de hasta dos años para las obligaciones más estrictas de la Ley de IA sobre sistemas de alto riesgo. La paradoja es evidente: se avanza con rapidez contra el síntoma más visible del abuso mientras se postergan las reglas estructurales que podrían prevenir esos mismos abusos desde su origen.

La urgencia contra los deepfakes sexuales es incuestionable. Generar desnudos falsos sin permiso destruye reputaciones, daña la salud mental de las víctimas y, en muchos casos, constituye un delito que las legislaciones recién empiezan a tipificar. La acción de Chiu en California, así como la decisión europea de vetar explícitamente estas prácticas, son pasos necesarios. Pero su efectividad es limitada si los modelos que permiten generar ese contenido —los sistemas de IA de propósito general— no están sujetos a auditorías, transparencia y mecanismos de rendición de cuentas. La Ley de IA europea originalmente contemplaba esas obligaciones para sistemas considerados de alto riesgo, desde la selección de personal hasta el reconocimiento facial. Ahora, esos requisitos se aplazan hasta finales de 2027, y para los integrados en productos, hasta 2028.

La presión de la industria, encabezada por figuras como Mario Draghi, ha pesado más que la urgencia de proteger derechos fundamentales. El argumento de que las reglas frenan la innovación es recurrente y, en parte, válido, pero oculta una pregunta clave: ¿qué tipo de innovación se prioriza? Aplazar la regulación de sistemas de alto riesgo no solo deja sin control a herramientas que pueden discriminar, excluir o vigilar masivamente, sino que también envía una señal peligrosa: el daño concreto e inmediato (como los deepfakes sexuales) merece atención, pero los riesgos sistémicos y menos visibles pueden esperar. Es una muestra de hipocresía regulatoria que sacrifica la coherencia en favor de la conveniencia política.

Para América Latina, esta doble velocidad tiene implicaciones profundas. La región carece de un marco unificado como el europeo. La mayoría de los países ni siquiera tipifica la creación de deepfakes no consentidos como delito. Mientras Brasil avanza con su propia ley de IA y México debate reformas, el resto opera en un vacío legal que, paradójicamente, puede ser tanto una ventaja como un riesgo. Las startups locales que integran modelos de IA generativa enfrentan la tentación de lanzar productos sin las cargas regulatorias que sus competidores europeos deberán asumir —al menos por dos años. Pero esa ventana de oportunidad es engañosa. El mercado global, los socios comerciales y los inversores internacionales empiezan a exigir estándares que las empresas locales aún no incorporan.

El verdadero desafío no está en prohibir unas cuantas aplicaciones. Está en cómo auditar y controlar los modelos base que permiten esos abusos. La UE ya abrió un expediente sancionador contra X por las imágenes sexualizadas de su chatbot Grok, con multas de hasta el 6% del volumen de negocios. Pero, como señaló la vicepresidenta de la Comisión, Henna Virkkunen, las sanciones caso por caso no bastan. Se necesita un enfoque sistémico que abarque desde el diseño hasta el despliegue de los modelos.

Para un ejecutivo latinoamericano que evalúa incorporar IA generativa en su organización, la lección es clara: la regulación no es un obstáculo, es un activo de confianza. Adoptar modelos opacos, sin mecanismos de control, es exponerse a que un día aparezca contenido generado por el sistema sin que nadie sepa cómo ni quién responde. La protección real no puede ser selectiva. O se construye un marco regulatorio coherente que aborde tanto los abusos inmediatos como los riesgos sistémicos, o seguiremos priorizando la apariencia de acción sobre la seguridad efectiva. La pregunta que queda flotando es: ¿cuándo aprenderán los reguladores —y las empresas— que la velocidad del daño no espera a que la política se ponga al día?