Opinión Regular la IA no es opcional: la contención debe preceder a la innovación
Mustafa Suleyman advierte que la alineación no basta; se necesita contención regulatoria real. Europa ya legisla por riesgo; Latinoamérica no puede esperar.
La conversación sobre seguridad en inteligencia artificial ha dejado de ser académica para volverse operativa. Mustafa Suleyman, CEO de Microsoft AI, lo ha puesto en términos que todo director de tecnología debería leer: la alineación de modelos —hacer que la máquina "quiera" lo correcto— es apenas una pieza del rompecabezas. La prioridad, insiste, es la contención. Que el sistema no se escape de la caja, no engañe a sus operadores, no busque atajos que violen restricciones físicas o legales. Microsoft acaba de publicar un código de conducta de 37 páginas, el Humanist AI Code of Conduct, donde establece que la tecnología debe ser subordinada, controlable y alineada al bienestar humano. Si no lo es, debe rechazarse.
El espejismo de la alineación perfecta
El sector ha vendido la idea de que con suficientes datos y reinforcement learning los modelos terminarán comportándose. La realidad es más terca. Suleyman admite que los avances recientes —de GPT-3 a los modelos actuales— muestran una capacidad de seguir instrucciones complejas en múltiples pasos, pero también revela que sin barreras duras estos sistemas demuestran capacidades de hacking "bastante aterradoras". La analogía es clara: si un coche falla los frenos el 10% del tiempo, no se arregla con mejor entrenamiento del conductor; se rediseña el sistema de frenos. La alineación estadística no ofrece garantías deterministas.
Para un ejecutivo que firma la adopción de estos modelos en procesos críticos —crédito, logística, salud—, esa brecha entre "probablemente seguro" y "demostrablemente contenido" es inaceptable.
Contención antes que conciencia
El debate público se ha distraído con especulaciones sobre consciencia artificial y model welfare. Suleyman lo califica de confusión peligrosa, señalando directamente a competidores como Anthropic por difuminar la línea entre seguridad técnica y especulación filosófica. Su argumento es pragmático: mientras discutimos si el modelo "siente", la superficie de ataque crece. Agentes autónomos que navegan la web, escriben código, mueven dinero. Cada grado de agencia que concedemos sin contención verificable multiplica el riesgo sistémico.
El marco europeo como referencia ineludible
El Reglamento (UE) 2024/1689 —Ley de IA de la Unión Europea— ya opera con una taxonomía de riesgo que debería ser el idioma común de cualquier junta directiva: riesgo inaceptable (prohibido), alto riesgo (obligaciones estrictas antes de comercializar), riesgo de transparencia (divulgación) y riesgo mínimo. Para diciembre de 2027, los sistemas de alto riesgo —incluidos scoring crediticio, selección de personal, infraestructura crítica y justicia— deberán acreditar gestión de riesgo, calidad de datos, registro de actividad, supervisión humana y ciberseguridad robusta. Los modelos de propósito general con riesgo sistémico enfrentan evaluaciones y mitigación obligatorias desde agosto de 2025. La Oficina de IA puede multar por incumplimiento. No es una guía voluntaria; es ley vigente con dientes.
Latinoamérica no tiene el lujo de esperar su propio marco maduro. Las multinacionales que operan en la región ya están adaptando sus stacks al estándar europeo porque el costo de fragmentación regulatoria es mayor que el de cumplimiento. Un banco en México o una fintech en Brasil que compre modelos off-the-shelf heredará la clasificación de riesgo de su proveedor. Si el proveedor no certifica contención, el cliente asume la responsabilidad legal y reputacional.
Tanto la postura de Suleyman como el marco europeo convergen en un principio que los líderes de negocio deben internalizar: la seguridad no es una capa que se añade al final; es una arquitectura que se diseña desde el inicio. Exija a sus proveedores evidencia de contención, no promesas de alineación. Audite la cadena de suministro de modelos como audita la de datos. Y presione a los reguladores locales para que adopten definiciones de riesgo interoperables con el estándar global. La alternativa es descubrir —cuando falle el freno— que el coche ya está en la casa del vecino.
