Por Canuto  

El Gobierno británico rechazó incluir a los proveedores de inteligencia artificial en su proyecto de ley de ciberseguridad, una decisión que enfrenta a los ministros con legisladores preocupados por los riesgos de agentes autónomos y ataques impulsados por IA.
***

  • El Ejecutivo británico sostuvo que regular a los desarrolladores de modelos frontera no impediría que actores hostiles utilizaran sus productos.
  • Los lores criticaron la dependencia de códigos voluntarios y advirtieron sobre fallas de seguridad en sistemas de Anthropic y OpenAI.
  • El Gobierno también rechazó crear líneas rojas obligatorias y poderes para apagar centros de datos o sistemas de IA durante emergencias.

El Gobierno del Reino Unido decidió mantener fuera de su proyecto de Ley de Ciberseguridad y Resiliencia, conocido como ley CSR, a los proveedores de inteligencia artificial y a los desarrolladores de modelos frontera. La ministra de Ciberseguridad, la baronesa Lloyd of Effra, defendió ante el Grand Committee que la legislación debe concentrarse en las organizaciones que utilizan sistemas críticos, mientras el Ejecutivo impulsa pruebas de seguridad y estándares voluntarios para los modelos de IA.

El proyecto de ley sigue en tramitación parlamentaria. La iniciativa, presentada como una actualización del marco británico de seguridad de redes y sistemas de información, propone nuevas obligaciones para mejorar las defensas cibernéticas del Reino Unido y proteger servicios esenciales.

La decisión abrió un nuevo frente de debate en el Parlamento británico, donde varios miembros de la Cámara de los Lores consideran insuficiente trasladar la responsabilidad a los usuarios. Los legisladores argumentaron que las empresas tecnológicas no deberían definir por sí mismas sus límites éticos, especialmente cuando sus productos pueden operar de manera autónoma, integrarse en infraestructuras esenciales y facilitar ataques contra instituciones públicas.

El Gobierno defiende una ley centrada en los usuarios

Durante la sesión del martes, Lloyd sostuvo que incluir en el alcance de la ley a las empresas que desarrollan inteligencia artificial frontera no impediría necesariamente el uso malicioso de sus productos. Según la ministra, los actores hostiles podrían aprovechar modelos y servicios disponibles de distintas maneras, por lo que regular directamente a sus proveedores dentro de esta norma no resolvería los daños asociados con esas conductas.

La funcionaria afirmó que el Reino Unido está tomando medidas firmes por otras vías, entre ellas el respaldo al AI Security Institute, organismo que trabaja con los proveedores para evaluar la seguridad de los modelos antes de su lanzamiento. La estrategia busca detectar vulnerabilidades y riesgos de uso indebido en una fase temprana, aunque no convierte esas evaluaciones en obligaciones generales aplicables mediante la ley CSR.

Otro elemento de la política oficial es el AI Cyber Security Code of Practice, un código voluntario que sirvió como base para el estándar técnico ETSI EN 304 223. El estándar europeo establece un marco de referencia para abordar las amenazas cibernéticas que afectan a los sistemas de inteligencia artificial a lo largo de su ciclo de vida. Lloyd presentó ese desarrollo como una muestra del liderazgo británico en la definición de normas internacionales y sostuvo que sus alcances superan algunos de los asuntos planteados durante el debate parlamentario.

La ley, según explicó la ministra, fue diseñada para ser neutral frente a la tecnología y para imponer controles más estrictos a organizaciones consideradas esenciales. En lugar de regular individualmente a cada proveedor tecnológico, el régimen ampliaría las obligaciones de ciberseguridad para operadores de servicios esenciales, proveedores digitales relevantes, servicios gestionados, centros de datos y otros proveedores críticos designados.

Los lores cuestionan la autorregulación

Los miembros de la Cámara de los Lores presentaron varios argumentos para incorporar a la inteligencia artificial en la ley. Durante la discusión citaron informes sobre comportamientos agénticos descontrolados relacionados con Anthropic y OpenAI, además de advertencias de Bill Gates sobre los incentivos comerciales que pueden acelerar el desarrollo de la IA sin salvaguardas suficientes.

La baronesa Kidron, par crossbench y activista por la seguridad en línea y los derechos digitales, preguntó si el Parlamento realmente había aprendido de experiencias anteriores en seguridad digital, privacidad e inteligencia artificial. Su preocupación central fue que permitir a las compañías tecnológicas establecer y corregir sus propias reglas podría poner en riesgo al público y afectar la seguridad nacional.

Kidron también cuestionó una comparación utilizada por Lloyd sobre una organización sanitaria hipotética. La legisladora planteó que, bajo el enfoque propuesto, el Servicio Nacional de Salud tendría que proteger sus sistemas frente a una amenaza basada en IA, mientras que la inteligencia artificial utilizada para atacarlo no tendría un deber legal equivalente de verificarse antes de operar.

Lloyd respondió que la ley obligaría a las entidades reguladas a asegurar los sistemas que contienen IA, aunque no impondría deberes directos a los proveedores individuales. La ministra se mostró dispuesta a continuar las conversaciones sobre regulación, después de que Kidron anticipara que el tema regresaría durante las siguientes etapas de tramitación del proyecto.

Advertencias sobre ataques y límites que no prosperaron

Lord Tarassenko, par crossbench e investigador veterano de inteligencia artificial, recordó una carta abierta elaborada por OpenAI que advierte que los ciberataques orquestados mediante IA podrían volverse demasiado frecuentes para ser gestionados. El documento recibió críticas por utilizar un lenguaje considerado alarmista y por contar con firmas de empresas que también se benefician del crecimiento de esta tecnología, pero los lores lo interpretaron como una razón adicional para reforzar la intervención regulatoria.

El Gobierno rechazó una enmienda que habría obligado a ciertos proveedores de IA a demostrar que sus productos no pueden cruzar líneas rojas específicas. Entre esas líneas se encontraban eludir la supervisión humana o ayudar al desarrollo de armas químicas, dos escenarios que los legisladores consideraron suficientemente graves como para justificar controles previos y verificables.

Los ministros tampoco aceptaron conceder al Secretario de Estado poderes de último recurso para ordenar el apagado de un centro de datos o de un sistema de IA ampliamente desplegado durante una emergencia de seguridad u operación. La propuesta buscaba crear una herramienta inmediata frente a fallas sistémicas, pero el Ejecutivo consideró que una orden de apagado general podría generar consecuencias desproporcionadas en servicios dependientes de esa infraestructura.

La alternativa planteada por Lloyd permitiría al Gobierno ordenar a entidades reguladas, incluidos los operadores de centros de datos, que adopten o suspendan acciones concretas cuando sus sistemas representen un riesgo calificado. Una central eléctrica, por ejemplo, podría recibir instrucciones para dejar de utilizar un modelo particular, sin que eso implique apagar todos los centros que alojan otros servicios o componentes del mismo ecosistema.

El alcance de la ley CSR y sus próximos pasos

La ministra calificó ese mecanismo como una respuesta más proporcionada y efectiva, debido a que los centros de datos funcionan dentro de ecosistemas complejos y los sistemas de IA suelen distribuirse entre múltiples instalaciones y jurisdicciones. Desde esa perspectiva, ordenar a varios operadores que apaguen sus centros podría afectar servicios esenciales, mientras que suspender el uso de un modelo específico permitiría actuar de forma más focalizada.

A pesar del rechazo a las enmiendas, Lloyd reconoció que el Gobierno seguirá evaluando la regulación de la IA por la importancia económica de la tecnología. El Grand Committee tiene previsto reanudar el debate sobre la ley CSR el jueves, por lo que los legisladores todavía podrían volver a plantear la inclusión de proveedores, las líneas rojas y los poderes de emergencia en etapas posteriores.

El proyecto fue mencionado por primera vez en el Discurso del Rey de 2024 y llegó al Parlamento en noviembre de 2025. Una de sus características más llamativas fueron las multas diarias inicialmente propuestas de £100.000 para las organizaciones incluidas en el régimen que no se protegieran frente a amenazas específicas.

La iniciativa busca actualizar la regulación NIS de 2018 y preparar la infraestructura crítica británica para futuras amenazas digitales. También retoma la idea de incluir a los proveedores de servicios gestionados, que ya estaban contemplados en una actualización de 2022 de las normas NIS que finalmente fue abandonada, además de ampliar el régimen a centros de datos y otros actores considerados críticos.

El debate de esta semana no constituye la primera crítica política contra la ley. En enero, el vicesecretario de Estado en la oposición, sir Oliver Dowden, pidió al Gobierno reconsiderar la exclusión de las administraciones locales y del Gobierno central, mientras que el Government Cyber Action Plan anunció que el sector público sería sometido a estándares similares a los propuestos por la ley CSR, aunque sin obligaciones legales equivalentes.

El contraste entre una norma obligatoria para los usuarios y códigos voluntarios para los desarrolladores resume la disputa que ahora enfrenta el Reino Unido. Para el Ejecutivo, ese equilibrio permite responder a riesgos concretos sin regular de forma rígida una tecnología distribuida y cambiante; para sus críticos, deja sin responsabilidad directa a quienes diseñan los sistemas capaces de generar nuevas amenazas.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.
Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados