AICONTROLLED/LAB

JOURNAL / 2026.08.06

EE. UU. completa un marco no público que revisa modelos cerrados, no pesos abiertos

El mecanismo voluntario abre hasta 30 días de pruebas previas para ciertos modelos cerrados, pero sus reglas no son públicas y los pesos abiertos quedan fuera de esa revisión antes del lanzamiento.

  • Seguridad y política
  • Datos y evaluación
  • Pesos abiertos

Estados Unidos ya tiene un procedimiento para que el Gobierno examine algunos modelos de IA antes de que lleguen a terceros. No tenemos, sin embargo, el procedimiento para leerlo.

La Casa Blanca confirmó el 3 de agosto que había completado dentro de plazo el marco voluntario ordenado dos meses antes. El decreto del 2 de junio sí es público: manda crear pruebas clasificadas de capacidad cibernética, identificar con ellas los «modelos frontera cubiertos» y permitir que sus desarrolladores den acceso al Gobierno durante un máximo de 30 días antes de entregarlos a otros socios de confianza. También deja claro que el mecanismo no crea una licencia, autorización previa o permiso obligatorio para publicar un modelo.

El documento que convierte ese esquema en un proceso operativo no se ha publicado. Según la confirmación recogida por Axios, la Administración considera que el marco quedó terminado, mantiene conversaciones con la industria y no prevé difundirlo. El umbral de capacidad ya debía ser clasificado por mandato del decreto; el resto del marco no tenía esa designación expresa.

Tras una reunión con empresas el 4 de agosto apareció una segunda diferencia importante. Fuentes informadas sobre el contenido dijeron que un modelo cubierto debe ser cerrado, estar en el estado del arte y plantear riesgos para la seguridad nacional. Los modelos de pesos abiertos quedan fuera, y tampoco se han hecho públicos los criterios concretos para «estado del arte» o «riesgo para la seguridad nacional». Son detalles periodísticos coincidentes sobre un texto reservado, no una norma que el público pueda comprobar directamente.

Esa asimetría merece más atención que la palabra «voluntario». Se ha creado una revisión previa para el tipo de modelo cuyo proveedor conserva el control de acceso, mientras este mecanismo no ofrece una revisión antes de publicar los archivos que cualquiera podrá descargar, modificar y volver a desplegar.

Dos momentos distintos para evaluar

Excluir los pesos abiertos de este marco no significa que el Gobierno estadounidense haya dejado de probarlos. El Centro de Estándares e Innovación de IA de NIST (CAISI) declara entre sus funciones realizar evaluaciones no clasificadas de riesgos demostrables en ciberseguridad, bioseguridad y armas químicas. Este año ha publicado análisis de DeepSeek V4, GLM-5.2 y Kimi K3.

El caso de GLM-5.2 muestra la diferencia temporal. Z.ai publicó el modelo con pesos abiertos el 16 de junio; CAISI terminó su evaluación el 8 de julio y difundió sus conclusiones nueve días después. El centro pudo medir capacidad general, capacidad cibernética y salvaguardas sin necesitar una ventana confidencial concedida por el desarrollador. También advirtió que, por robustas que parezcan las negativas en la versión examinada, quien aloja los pesos puede eludirlas.

Ese acceso posterior tiene una ventaja científica: un evaluador externo puede conservar los artefactos, cambiar la configuración, desactivar capas de servicio y repetir pruebas. En un modelo cerrado depende de la interfaz y de las condiciones que mantenga el proveedor. Pero la descarga no rebobina el reloj. Si el modelo supera un umbral peligroso, la primera medición pública llega después de que los archivos se hayan podido copiar. Un análisis posterior puede informar defensas, compras o restricciones de uso; no puede convertir la publicación inicial en una decisión reversible.

La revisión previa de un modelo cerrado tiene la propiedad contraria. Permite probar antes de distribuir, trabajar con capacidades o salvaguardas todavía modificables y acordar quién recibe acceso anticipado. A cambio, la evidencia queda dentro de una relación confidencial entre el desarrollador y el Estado. El proveedor puede participar o no, el decreto no obliga a publicar los resultados y el público no sabe todavía qué hallazgo retrasaría un lanzamiento, reduciría su acceso o simplemente produciría una recomendación.

No son dos versiones de la misma prueba. Son dos instrumentos con posibilidades y fallos distintos:

  • el modelo cerrado puede examinarse antes y corregirse desde un único punto de control, pero el evaluador recibe el sistema que el proveedor le ofrece y las conclusiones pueden no salir de la sala;
  • los pesos abiertos pueden estudiarse con mayor independencia y por muchas personas, pero una prueba de la versión original no certifica sus derivados y cualquier alarma puede llegar después de una distribución irreversible.

La decisión estadounidense no resuelve esa tensión: escoge la cooperación previa para una rama y la observación posterior para la otra.

Un benchmark secreto no exige una política indescifrable

Hay una razón legítima para no publicar las tareas exactas de una evaluación. Si un laboratorio puede entrenar contra ellas, dejan de medir capacidad general y pasan a medir familiaridad con el examen. CAISI ya combina conjuntos públicos con pruebas retenidas y explica, al menos en parte, el harness, el presupuesto, la agregación y los límites. Su evaluación de DeepSeek V4, por ejemplo, identifica qué dominios midió, cómo sirvió el modelo y dónde una comparación no era equivalente.

Proteger los ítems no exige ocultar toda la gobernanza. Se podrían publicar sin revelar vulnerabilidades ni respuestas: la definición institucional de modelo cubierto; quién decide y con qué derecho de revisión; qué versión del sistema se prueba; cómo se documentan herramientas, salvaguardas y presupuesto; qué clases de resultado activan una medida; cómo se registra una discrepancia; y qué resumen agregado se difundirá después del lanzamiento. Nada de eso permite memorizar una prueba cibernética.

La falta de esa capa pública tiene consecuencias prácticas. Una empresa que construye sobre una API no puede interpretar la participación del proveedor como un sello de seguridad, porque no conoce el resultado ni siquiera si la versión examinada coincide con la que usa. Un investigador no puede saber si dos laboratorios recibieron el mismo protocolo. Una empresa pequeña tampoco puede anticipar cuándo pasaría a ser considerada frontera, salvo mediante conversaciones privadas con el Gobierno. Y los socios internacionales sólo ven las fronteras del mecanismo a través de filtraciones y declaraciones.

Mi lectura es que el marco puede producir trabajo de seguridad útil y aun así ser una política pública débil. Una evaluación clasificada puede descubrir capacidades que no conviene enseñar; un proceso opaco no permite comprobar si ese descubrimiento cambió una decisión. Confidencialidad de la prueba y rendición de cuentas del procedimiento no son opuestos.

Lo más revelador durante los próximos lanzamientos no será que una empresa diga que «colaboró con el Gobierno». Habrá que observar si identifica la versión evaluada, si explica qué cambió tras la revisión, si publica una tarjeta técnica suficiente y si el Gobierno ofrece resultados agregados comparables. Para los pesos abiertos, hará falta además medir cuánto tarda una evaluación independiente desde la publicación y si cubre tanto la capacidad base como los sistemas reales que la convierten en acciones.

El nuevo marco cambia quién puede mirar un modelo cerrado antes de su lanzamiento. Todavía no nos permite saber qué vio, qué decidió ni por qué. Hasta que exista esa trazabilidad mínima, no es una aprobación pública: es un canal confidencial de cooperación cuya eficacia sigue siendo una afirmación por verificar.

Fuentes

← Volver al diario