Royal Statistical Society: sin principios estadísticos, toda regulación de IA es humo

La Unión Europea acaba de dar un paso más en su cruzada por domesticar la inteligencia artificial: desde agosto de 2026, todos los chatbots y los contenidos generados por IA (deepfakes incluidos) deberán identificarse como tales. La medida suena razonable, casi de sentido común. Pero por debajo de esa fachada de orden, el edificio regulatorio global de la IA se sostiene sobre arena movediza.

La Royal Statistical Society acaba de publicar un informe que debería poner en alerta a cualquier ejecutivo que esté integrando modelos de lenguaje o sistemas de IA en sus operaciones. Su título lo dice todo: AI Regulation Needs Statistics. La tesis central es incómoda: sin principios estadísticos sólidos integrados en la gobernanza de la IA, cualquier regulación es una declaración de intenciones vacía, en el mejor de los casos, y un marco que crea falsas seguridades, en el peor.

El problema de fondo es que la IA es, en su esencia, un artefacto estadístico. Los modelos no "razonan" ni "entienden": generan distribuciones de probabilidad. El informe de la RSS lo plantea con crudeza: evaluar sistemas de IA que evolucionan dinámicamente después de ser desplegados en el mundo real exige métodos de evaluación continua, no una auditoría puntual. Y eso, justamente, es lo que ninguna de las grandes propuestas regulatorias globales resuelve bien.

Tres modelos, tres agujeros negros

Un análisis académico publicado en arXiv y firmado por Wu y Liu desmenuza los enfoques de las potencias regulatorias. Estados Unidos apuesta por un modelo sectorial a la medida de cada industria; la Unión Europea, por un enfoque centralizado basado en el riesgo al estilo GDPR; y el Reino Unido, por una estrategia "pro-innovación" que, en los hechos, es un mecanismo de recolección de feedback sin dientes.

Cada uno tiene un talón de Aquiles. El sistema sectorial estadounidense deja el poder regulatorio en manos de los propios lobbies industriales que buscan ser regulados. El modelo de riesgo europeo, que clasifica los sistemas IA en categorías, resultó ser demasiado simplista: un estudio citado en el mismo análisis determinó que el 18% de los sistemas de IA califican claramente como de alto riesgo y otro 40% podría entrar en esa categoría, muy por encima del 5-15% que la UE estimaba. Y el modelo británico, al no ofrecer reglas predecibles y estandarizadas, puede terminar ahogando la innovación que dice querer fomentar.

Lo que une a los tres es la ausencia de una base estadística real en sus mecanismos de enforcement. La RSS recomienda explícitamente que los gobiernos establezcan responsabilidades claras para identificar vacíos regulatorios, que los reguladores evalúen los sistemas de IA tal como operan en la práctica (no como fueron diseñados en teoría), y que doten a sus organismos de la capacidad estadística y los poderes necesarios para exigir evidencia a los proveedores de IA de alto riesgo.

Lo que esto significa para América Latina

Mientras los gigantes globales discuten modelos, América Latina observa, pero no desde la tribuna. La región está adoptando IA a un ritmo acelerado, sobre todo en sectores como fintech, retail, salud y logística. Empresas brasileñas, mexicanas y colombianas ya integran chatbots, sistemas de scoring crediticio y herramientas de análisis predictivo. El problema es que, en ausencia de marcos regulatorios locales con dientes, quedan expuestas a las reglas que impongan los proveedores de tecnología, casi siempre desde Estados Unidos o Europa.

El vacío es doble. Por un lado, los reguladores latinoamericanos rara vez cuentan con la capacidad técnica para evaluar estadísticamente los sistemas que sus propias empresas compran. Por otro, la falta de estándares predecibles deja a los equipos de tecnología local sin herramientas para seleccionar proveedores de manera informada. La recomendación de la RSS de que los reguladores proporcionen guías estadísticas claras para los procesos de procurement suena a utopía en economías donde la capacidad estatal es frágil.

Pero la trampa más peligrosa es otra. La región podría terminar copiando el modelo europeo sin entender sus limitaciones, como pasó con el GDPR cuando varios países latinoamericanos adoptaron leyes de protección de datos que copiaban el reglamento europeo al pie de la letra, sin adaptarlas a sus realidades institucionales. El riesgo de importar un modelo de regulación de IA que ya mostró fisuras en su lugar de origen es real. La pregunta clave para los CTOs y CEOs de la región no es si adoptar regulación, sino qué tipo de regulación y con qué herramientas de evaluación real.

Un cierre que incomoda

Lo que la RSS plantea incomoda porque toca un nervio estratégico. La regulación de la IA no es un problema legal: es un problema de medición. Y medir bien cuesta, requiere talento especializado y obliga a tomar decisiones incómodas sobre qué sistemas se despliegan y cuáles no. Mientras los gobiernos discuten quién debe regular, los sistemas de IA siguen aprendiendo, evolucionando y, en algunos casos, reproduciendo sesgos y errores que nadie detectó porque nadie miró los números con el rigor que exige la estadística.

Para un ejecutivo latinoamericano, la urgencia no es esperar a que la regulación llegue: es construir internamente la capacidad de evaluar la IA que ya está operando en sus procesos de negocio. Porque cuando el regulador finalmente golpee la puerta, lo que encontrará serán los datos, no las intenciones.