El permiso de Trump para IA de frontera no tiene formulario

A lo largo de 2025 y 2026, la administración del presidente Donald Trump prometió una regulación más ligera para la IA y luego restringió los principales modelos de frontera sin crear una licencia, umbral publicado ni mecanismo de apelación. El AI Security Institute determinó que los modelos de pesos abiertos ahora van apenas de cuatro a siete meses detrás de las fronteras cerradas en capacidad cibernética, frente a seis a diez meses durante la mayor parte de 2025. El interruptor de emergencia de Washington siguió intacto mientras se reducía la brecha de capacidades.

Los funcionarios de Trump persiguieron dos diseños a la vez. En inteligencia artificial, favorecieron la velocidad, la escala nacional y el alivio frente a reglas estatales fragmentadas. En ciberseguridad, preservaron la capacidad del Poder Ejecutivo para actuar antes de revelar lo que sabía. Durante la primera administración de Trump, reglas interinstitucionales permitían a los funcionarios decidir si divulgaban o retenían fallas de seguridad, y las fallas retenidas se revisaban anualmente. El proceso tenía un ciclo de revisión, pero el gobierno conservaba discreción porque la publicación podía destruir el valor de la capacidad bajo revisión.

De 2025 a 2026, los funcionarios convergieron en una supervisión ejecutiva activada por incidentes, en vez de una desregulación duradera o un régimen transparente de licencias. El acceso ordinario siguió siendo amplio hasta que el desempeño cibernético o la exposición a la seguridad nacional provocaban presión de la Casa Blanca, condiciones de contratación, controles de exportación o restricciones a modelos. El control se centralizó sin umbrales estables, reglas de evidencia ni apelación.

Un plan de bajo control dejó intacto el interruptor de emergencia

El Plan de Acción de IA de la administración contenía más de 90 recomendaciones y buscaba revertir medidas de la era Biden sobre sesgo y amenazas de ciberseguridad. Los entornos de pruebas regulatorios, la uniformidad federal y una postura de “probar primero” abordaban cómo Estados Unidos podía acelerar la adopción mientras avanzaban sus competidores. Una autoridad federal permanente para revisar modelos respondería una pregunta distinta: ¿cuándo puede el gobierno negar permiso de despliegue? El plan no creó una.

Más tarde, la Casa Blanca exploró un grupo de trabajo sobre IA que podría examinar procedimientos de supervisión, incluida la evaluación previa al lanzamiento. Una propuesta de orden sobre ciberseguridad habría instruido a las agencias a asociarse con empresas de IA sin exigir pruebas gubernamentales antes del lanzamiento. Los funcionarios consideraron una revisión institucional, pero ninguna propuesta describió un sistema operativo con umbrales publicados, un evaluador final y una vía rutinaria de aprobación.

Las agencias del Ejecutivo pueden atender una exposición específica sin someter cada modelo a licencias previas. También pueden preservar la retórica favorable a la innovación porque la mayoría de los desarrolladores nunca se topa con el interruptor. Una empresa que sí se topa con él debe averiguar qué preocupación desencadenó la acción, qué agencia es dueña del juicio y qué evidencia podría revertirlo.

Las evaluaciones cibernéticas cambiaron el costo de esperar

Palo Alto Networks reportó que tres semanas de análisis asistido por IA de frontera igualaron un año completo de pruebas manuales de penetración en sus pruebas, al tiempo que cubrían más terreno. Claude Mythos Preview de Anthropic alcanzó una tasa de éxito reportada de 73% en desafíos capture-the-flag de nivel experto que ningún modelo podía terminar antes de abril de 2025. Esos resultados no establecen una intrusión autónoma en el mundo real, pero muestran una marcada compresión del tiempo y el trabajo que antes requerían especialistas escasos.

Un benchmark puede medir el descubrimiento de vulnerabilidades, el uso de herramientas y la ejecución de múltiples pasos sin reproducir al defensor, la pila de monitoreo, las restricciones de acceso ni la incertidumbre operativa de una red activa. En la evaluación cibernética de GPT-5.5, el modelo se convirtió en el segundo en completar de principio a fin una simulación de ataque de varios pasos. La evaluación advirtió que su entorno carecía de defensores activos y herramientas defensivas. El éxito controlado es evidencia de capacidad, no prueba de una campaña de ataque.

Esas salvedades limitan las afirmaciones sobre autonomía ofensiva inmediata, pero Palo Alto aun así comprimió un año de pruebas manuales en semanas. Por tanto, un funcionario de seguridad nacional enfrenta costos asimétricos: reaccionar de más ante una evaluación benigna impone costos visibles a una empresa, mientras que reaccionar de menos ante una capacidad que después escala puede producir pérdidas mucho mayores que el resultado promedio de una prueba. “En promedio, el modelo falló” ofrece poco consuelo cuando una sola cadena exitosa basta.

El CEO de Anthropic, Dario Amodei, pidió pruebas obligatorias de terceros que cubran riesgos cibernéticos, biológicos y de autonomía, con autoridad para bloquear o revocar despliegues peligrosos. Su propuesta situaba la decisión antes del lanzamiento y se la asignaba a un evaluador. La administración actuó en cambio mediante facultades que ya tenía. Ambos enfoques aceptan que algunas capacidades requieren autorización; difieren sobre quién define el umbral antes de que comience el conflicto.

Los agentes trasladaron el control por debajo del modelo

Un agente de IA combina la salida de un modelo con herramientas, credenciales y la posibilidad de alterar el mundo descrito en el prompt. Las empresas de software empresarial comenzaron a pasar de copilotos que ayudan a los usuarios a agentes que actúan por ellos. La capa de aplicación se convirtió en el lugar donde un modelo podía abrir una cuenta, gastar dinero, cambiar código o desplegar infraestructura.

Cloudflare permitió que los agentes crearan cuentas, iniciaran suscripciones de pago, registraran dominios y desplegaran aplicaciones en nombre de un usuario. OpenAI añadió sandboxing nativo y un harness dentro de distribución a su Agents SDK para despliegue y pruebas de largo horizonte. Microsoft presentó la Agent Control Specification para dar a los desarrolladores control granular y consistente sobre el comportamiento de los agentes. Cada empresa abordó el mismo hecho de ingeniería: las reglas a nivel de modelo no pueden gobernar una acción que solo la aplicación circundante tiene permiso de ejecutar.

Por ello, los operadores dividieron el problema de seguridad de los agentes en decisiones más pequeñas de autorización. El modelo puede proponer un comando; el sandbox decide dónde puede ejecutarse. La aplicación puede solicitar una compra; el sistema de pagos decide si la credencial puede autorizarla. El agente puede identificar una vulnerabilidad; el entorno de despliegue decide si puede conectarse al objetivo. La responsabilidad se ubica en esos límites porque ahí es donde una intención se convierte en un acto irreversible.

La revisión humana detecta errores y registra quién aceptó la responsabilidad, qué evidencia vio esa persona y qué acción cruzó el límite. Eliminar a la persona puede mejorar el rendimiento, pero el sistema circundante debe entonces asignar la responsabilidad en otro lugar.

Las instituciones crean umbrales; las vacantes crean discreción

OpenAI pidió a CAISI, en vez de a la NSA, que encabezara las evaluaciones obligatorias de riesgo cibernético de sistemas avanzados. La Casa Blanca discutió un grupo de trabajo de supervisión, mientras que la Casa Blanca y Anthropic habrían trabajado en un marco para evaluar la gravedad de las fallas de seguridad de IA. Los funcionarios y las empresas de modelos habían identificado la capa institucional faltante.

CAISI y NIST también revelaron las limitaciones de capacidad que dificultan la formalización. El director de CAISI, Chris Fall, renunció tras asumir la dirección del instituto federal de pruebas en abril, dejando al director de NIST, Arvind Raman, como director interino. NIST limitó el trabajo de la National Vulnerability Database a vulnerabilidades en el catálogo de vulnerabilidades explotadas conocidas de CISA, después de un rezago vinculado a una interrupción de financiamiento de 2024. Nombrar a un evaluador no puede hacer repetibles los umbrales sin personal, continuidad y capacidad suficiente para mantener la base de evidencia.

Anthropic enfrentó la diferencia práctica. Una fuente dijo que la empresa recibió 90 minutos para cumplir y ninguna preocupación detallada antes de que el Departamento de Comercio impusiera controles de exportación sobre sus modelos. Un evaluador formal podría haber llegado a la misma decisión de fondo, pero habría tenido que identificar el umbral, documentar la evidencia, especificar el remedio y proporcionar una vía para reconsideración.

En cambio, los funcionarios llenan esos campos faltantes mediante negociación. Un laboratorio de frontera puede negociar porque controla un modelo escaso, mientras que el gobierno puede escalar porque controla las compras públicas, los permisos de exportación y las facultades de seguridad nacional. La decisión puede llegar más rápido que un proceso de licencias. También obliga a las partes inmediatas con mayor claridad que a la siguiente empresa con un modelo ligeramente distinto y la misma capacidad subyacente.

Los pesos abiertos eliminan la tranquilidad de una ventaja permanente

El AI Security Institute determinó que los modelos recientes de pesos abiertos estaban cerrando la brecha de capacidad cibernética con los modelos cerrados de frontera. También dijo que los modelos abiertos que probó estaban en gran medida sin obstáculos por salvaguardas, aunque advirtió que el tamaño futuro de la brecha sigue siendo incierto.

Esa incertidumbre opera en ambos sentidos. Los proveedores cerrados pueden imponer controles de cuenta, monitorear el uso de API, retirar el acceso y añadir salvaguardas a nivel de modelo. Las versiones de pesos abiertos reducen la capacidad del proveedor para aplicar esos controles después de la distribución. El rezago medido no garantiza que los sistemas abiertos alcanzarán cada capacidad de los modelos cerrados conforme a un calendario; las evaluaciones, los avances de entrenamiento y las decisiones de lanzamiento pueden mover la distancia en cualquier dirección.

CAISI determinó que DeepSeek V4 Pro estaba unos ocho meses detrás de los principales modelos estadounidenses y lo calificó como el modelo chino de IA más capaz hasta la fecha. También se esperaba que la Casa Blanca extendiera su marco de supervisión a los modelos abiertos una vez que alcanzaran capacidades de frontera. Los funcionarios aún deben definir qué cruza la línea: los pesos de un modelo, el desempeño medido, la ausencia de salvaguardas, la identidad del usuario o la infraestructura conectada al modelo.

Las restricciones de acceso se debilitan como herramientas de contención cuando una capacidad comparable se difunde más allá de las cuentas de un proveedor. El gobierno puede responder bajando en la pila tecnológica. Funcionarios estadounidenses propusieron controles globales de exportación de chips de IA que exigirían aprobación de Comercio para envíos de Nvidia y AMD a cada país. Cuando una clave de API no puede contener la capacidad, el Estado recurre al envío de aceleradores que la hizo posible.

La controlabilidad se volvió parte del producto

Los laboratorios de frontera antes vendían la calidad del modelo como su principal diferenciador. El despliegue de agentes añadió diseño de sandbox, alcance de credenciales, registros de auditoría, aprobación de acciones y revocación. La especificación de control de Microsoft y el harness de agentes de OpenAI empaquetan esos controles junto con la capacidad. Sus productos deben identificar qué puede hacer el modelo, qué actor puede detenerlo, dónde se ubica ese límite y qué registro permanece.

Las compras federales añaden otra superficie de control. Un borrador de directrices de la GSA endureció los términos de contratos civiles de IA al exigir a los proveedores permitir cualquier uso gubernamental lícito de sus modelos. Las agencias de seguridad nacional consideraron por separado reglas destinadas a evitar depender de un solo proveedor. El gobierno actúa como comprador en vez de como otorgante de licencias, pero un comprador suficientemente grande puede convertir la elegibilidad contractual en un requisito operativo.

Los proveedores que retienen controles de identidad, registros, límites de despliegue y acceso a evaluaciones pueden demostrar acceso condicionado con mayor facilidad que los proveedores que liberan pesos sin control posterior. Esa ventaja crea dependencia: los mecanismos que tranquilizan a compradores empresariales y funcionarios de seguridad también dan al Poder Ejecutivo una palanca directa sobre los clientes, despliegues y mercados del proveedor.

El permiso no escrito es la clave de API que sigue funcionando después de una llamada de 90 minutos, la cláusula de contratación que sobrevive la revisión y el envío de chips que Comercio permite salir del muelle.