Jacob Coxon, investigador que trabajó en el entrenamiento de modelos en OpenAI y en Anthropic, presenta su dimisión y afirma en X que ambas compañías están «avanzando a toda velocidad hacia una superinteligencia capaz de automejorarse». Dos personas de Anthropic, Evan Hubinger y Samuel Marks, lo refrendan públicamente asignando una probabilidad de un 10% a que la inteligencia artificial acabe con la humanidad en los próximos diez años, y afirmando que internamente, los investigadores más senior están aún más preocupados.

Cuando Geoffrey Hinton abandonó Google en 2023 tras manifestarse abiertamente sobre los peligros de la tecnología, muchos lo ridiculizaron o, como fue mi caso, afirmamos que, si bien podía ser así, eso era algo imposible de detener dada la configuración de intereses y las dinámicas competitivas de la propia humanidad. En diciembre de 2024, Hinton revisó sus predicciones y otorgó entre un 10% y un 20% a la posibilidad de que la inteligencia artificial provocase la extinción de la humanidad en treinta años. Ahora no es sólo Hinton: los investigadores y las personas que trabajan directamente en la mejora de los últimos modelos de inteligencia artificial están enormemente preocupados al ver sus capacidades, la posibilidad de que se vuelvan más inteligentes que los humanos, y que terminen por tomar decisiones autónomas.

Ya hemos visto lo que la inteligencia artificial es capaz de hacer cuando se descuidan unas mínimas precauciones, y hemos visto también lo que NO ha pasado después: ningún tipo de freno, de regulación o de imposición a esas compañías irresponsables que pudiese frenar de alguna manera el peligro. Simplemente NA-DA (no vaya a ser que pongamos en peligro el avance de la tecnología, o la ventaja competitiva del país, o la seguridad nacional, o qué sé yo).

Cuando la inteligencia artificial pasa a construirse a sí misma, superamos los puntos de control que teníamos como humanos, y pasamos a ser simples espectadores con un patético enchufe en la mano, pensando que «basta con desenchufarlo». Anthropic afirma que esto no ha pasado todavía y que no es inevitable, pero también avisa de que podría llegar mucho antes de que las instituciones estén preparadas para ello. Repetimos: una vez que la inteligencia artificial es capaz de mejorar recursivamente los sistemas que llevan a cabo la investigación para la inteligencia artificial, el progreso de sus capacidades deja de tener lugar a una velocidad controlable por los humanos o por sus políticas.

No es cuestión de Skynets ni de Terminators que vienen del futuro. Las hipótesis creíbles son, en realidad, mucho más prosaicas: ciberataques automatizados contra infraestructuras críticas, asistencia en el desarrollo de armas biológicas, manipulación estratégica de los humanos, adquisición y replicación de recursos, o simplemente, una pérdida de poder paulatina de los seres humanos. El concepto crucial no es el odio ni la conciencia, sino la simple convergencia instrumental: un sistema lo suficientemente capaz puede descubrir que obtener acceso, ocultar sus intenciones o evitar su desactivación le ayuda a cumplir cualquier objetivo que se le haya asignado. Los estudios de laboratorio ya indican que los modelos más capaces pueden idear estrategias más sofisticadas y reconocer cuándo están siendo evaluados, aunque aún no sepamos cómo trasladar esos experimentos a verdaderos riesgos en el mundo real. Pero están ya ahí.

¿Hay forma de parar esto? No como imposibilidad física, pero sí como trampa de coordinación o dilema del prisionero: como dije en su momento, nadie va a hacerlo. Anthropic puede pensar que ralentizar o pausar el desarrollo sería racional, pero teme a OpenAI, y OpenAI a su vez tiene miedo de Anthropic, de Google y de China. Al tiempo, los gobiernos temen perder liderazgo económico y militar, y consecuentemente, cada participante puede pensar que el resultado es potencialmente muy peligroso, pero considerar una parada unilateral como un suicidio.

Sí, tenemos mecanismos de actuación concretos: monitorización de la actividad de las compañías, políticas agresivas de licenciamiento, reporte de incidentes obligatorio, evaluaciones independientes, límites a la capacidad de los modelos o verificación internacional de las pausas. Hay iniciativas en los Estados Unidos, como la FRONTIER Act proposal o la propuesta más radical de Bernie Sanders y Greg Casar para pausar la inteligencia artificial avanzada y prohibir la superinteligencia, o en el Reino Unido con una propuesta de ley para prohibir la superinteligencia artificial aún pendiente de tramitación parlamentaria, pero la conclusión parece clara: aunque tengamos frenos, no tenemos ningún conductor dispuesto a pisarlos globalmente. Y mientras tanto, el coche está acelerando.

Buena suerte.

El pasado día 1 de septiembre, el Departamento de Justicia de los Estados Unidos presentó ante el tribunal un escrito en apoyo de la posición de OpenAI en la defensa de la demanda que le ha sido planteada por parte de medios como el New York Times y otros, en la que afirma que el entrenamiento de modelos de inteligencia artificial es, según ellos, una actividad «altamente transformadora», y que por tanto, justifica el robo de propiedad intelectual de terceros porque esa actividad plantea «grandes beneficios para el público que compensan el posible daño a los titulares de esos derechos», porque restringir esa actividad plantearía «un daño a la innovación norteamericana» y «un problema para la seguridad nacional».

Una semana después, la NSA, el FBI y CISA han publicado otra nota en la que describen «la destilación sistemática de modelos de compañías estadounidenses por parte de compañías chinas» como «una amenaza para la economía y la seguridad nacional» que reduce los costes de desarrollo para esas compañías chinas y debilita el liderazgo tecnológico estadounidense.

Sinceramente, es la mayor colección de asquerosa y maloliente basura que he visto en muchas décadas. La evidente conclusión de estas dos notas es que la apropiación sin permiso de ningún tipo de la propiedad de terceros es socialmente beneficiosa cuando la hacen compañías estadounidenses y sirve para mejorar un modelo estadounidense, pero es terrible, inmoral y profundamente maliciosa cuando se hace para mejorar un modelo chino. Alucinante no, directamente alucinógeno. Como dice el refrán español, «quien roba a un ladrón, tiene cien años de perdón».

Pongamos las cosas en su sitio: en primer lugar, la destilación de modelos como tal no es ninguna invención siniestra de los chinos: es una técnica de machine learning perfectamente establecida y formalizada como tal desde el paper que en 2015 publicaron Hinton, Vinyals y Dean, «Distilling the knowledge in a neural network«. La propia nota federal admite, porque no queda otra, que la destilación es «una técnica legítima y útil». Pero para hacer la cosa todavía más interesante, la propia OpenAI trata la destilación como un producto que vende, y explica cómo las salidas producidas por un modelo potente pueden ser utilizadas para entrenar un modelo más barato. Por tanto, el «problema» no es con la destilación en sí misma, sino en quién destila, qué destila, a qué escala y con permiso de quién. Aparentemente, cuando OpenAI destila un modelo construido con información robada a todos nosotros, es innovación, pero cuando lo hace DeepSeek, es una cibercampaña maléfica que debe ser detenida a toda costa. Lo dicho: pura y vergonzante basura.

Para ser exactos con las alegaciones de las agencias de seguridad estadounidenses, lo que hacen exactamente es nombrar a una serie de compañías chinas (DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun y Z.AI), y afirmar que han obtenido miles de millones de tokens a través de millones de peticiones y que, usando cuentas falsas, suscripciones compartidas, proxies y «estaciones de transferencia» han podido, supuestamente, saltarse las restricciones geográficas. De hecho, utilizan términos como “malicioso”, “acceso no autorizado”, “evasión” o “infracción de los términos de servicio” para describir esas prácticas. CyberScoop llega a calificarlas como “ilegales”, aunque esa palabra no aparece en la nota federal. Pero claro, hay un problema: que «violar los términos de servicio de OpenAI» no es para nada un sinónimo de «robar propiedad intelectual de la humanidad en su conjunto».

La propia OpenAI dijo al Parlamento británico que «habría sido imposible entrenar los modelos actuales de inteligencia artificial sin utilizar materiales con propiedad intelectual«. Anthropic, por su parte, descargó más de siete millones de libros de fuentes irregulares como sitios de torrents, lo que llevó al juez William Alsup a afirmar que por muy transformadora que pueda ser la actividad, todo tiene un límite, que obtener los libros de esas fuentes supone una infracción de los derechos de autor, sí o sí, lo que terminó dando lugar a un acuerdo de 1,500 millones de dólares, posteriormente aprobado por el tribunal, para compensar a los titulares de los derechos de más de 482,000 libros. Meta está en el mismo caso: Zuckerberg aprobó el uso de LibGen, a pesar de saber perfectamente de dónde venían esos libros. Las compañías discográficas, en su demanda contra Suno, también han alegado infracciones y copias masivas de obras sometidas a derechos de autor. Es decir, existe ya una combinación abrumadora de hechos probados, acuerdos judiciales, documentos internos y alegaciones fundadas que muestra hasta qué punto esta industria se construyó mediante la ingestión masiva de libros, canciones, noticias, imágenes y textos sin permiso ni compensación. Y la voracidad extractiva, lejos de haber desaparecido, continúa: lo siguen haciendo, sistemáticamente, día sí y día también.

¿Qué dice al respecto la Oficina del Copyright de los Estados Unidos? Que está muy claro, y que si bien algunos usos pueden ser considerados altamente transformadores, el uso comercial de enormes colecciones para producir contenidos potencialmente competitivos, cuando encima esos contenidos han sido obtenidos de forma abiertamente ilegal, excede claramente los límites de cualquier uso legítimo. La conducta de las compañías norteamericanas, por tanto, sigue estando legalmente en disputa y, en algunos casos, ha violado claramente la ley.

El argumento filosófico que se me plantea de manera creo que absolutamente lógica es el de la reciprocidad, no el de que «dos errores hacen un acierto»: que sí, que a lo mejor las compañías chinas han utilizado cuentas falsas y han violado términos de servicio, pero eso en absoluto consigue de ninguna manera restaurar la moralidad de las compañías estadounidenses, se pongan como se pongan sus autoridades. Si robar las creaciones de millones de autores sin permiso alguno es supuestamente legítimo porque es una actividad transformadora y supuestamente beneficiosa para la humanidad (cosa que ya veremos), entonces usar las salidas de un modelo para entrenar a otro no puede, de ninguna manera, ser un «sacrilegio» simplemente porque quienes lo hacen son chinos. Es simplemente absurdo. O al revés: si lo que se discute es que lo han hecho sin permiso y sin compensación, entonces las compañías estadounidenses tendrán que compensar a todos aquellos cuya información fue utilizada sin contraprestación ni permiso alguno.

No sé si el hecho de que las compañías de inteligencia artificial hayan robado sin permiso alguno la información de la humanidad justifica o no que los modelos que han creado deban pertenecer directamente «a todos». Suena retóricamente atractivo y yo soy de los que adorarían una solución así, pero ni soy legalmente competente como para intentar justificarla, ni sería jamás aprobado por quienes aprueban estas cosas. Desarrollar modelos no sólo implica obtener información, sino también mucha ingeniería, curación de contenidos, computación, evaluación e implementación, y todas esas cosas cuestan dinero y es legítimo, si se quiere, hacerlo bajo un modelo propietario. Pero lo que sí sé es que compañías que han legitimado socializar el coste de su componente principal y esencial, la información, no pueden de ninguna manera reclamar un supuesto derecho moral ilimitado a privatizar cada una de las capacidades resultantes de sus modelos. Eso no funciona ni puede funcionar así. Si declararon la totalidad de la cultura humana como un procomún accesible por ellos cuando necesitaron materia prima para sus modelos, no pueden ahora «redescubrir» la propiedad intelectual en el momento en que alguien trata sus modelos como una materia prima. Sea chino, europeo, estadounidense o de donde sea.

In English on Medium, «Why is it that when US companies steal it’s innovation, but when China does, it’s theft?»

Una comparativa de rendimiento de navegadores llevada a cabo por Brave demuestra que la carga de páginas en su navegador es en torno a un 20% más rápida que en Chrome, Firefox o Edge, pero además, lo es gracias a un factor interesante: si bien tanto Brave como Chrome muestran el contenido principal visible (LCP, o Largest Contentful Paint) de una página en 2.4 segundos, la ventaja de Brave se produce posteriormente, debido a que bloquea la carga de la inmensa mayoría del contenido de publicidad, analíticas y tracking. La parte de la historia que me interesa no es tanto si Brave es o no más rápido en un estudio hecho por la propia Brave, sino el ser conscientes de todo lo que las páginas web cargan en nuestros ordenadores, los recursos que les obligan a consumir y por qué no nos beneficia en absoluto.

Intentemos cuantificar: Brave viene a utilizar un 33% de CPU frente a un 47% de Chrome, un 53% de Edge y un 78% de Firefox; alrededor de 1.2GB de memoria frente a los entre 1.62GB y 1.75GB del resto de navegadores; un 10% menos de energía como media; y un 39% menos de datos salientes. Tengamos en cuenta que tanto Brave, Chrome y Edge comparten el mismo motor, Chromium, y que por tanto, las diferencias de rendimiento no se deben a tener un motor de renderizado más rápido, sino simplemente al hecho de hacer menos cosas innecesarias que el usuario no ha solicitado.

¿Cómo de grande se ha vuelto esa maquinaria de espionaje que consume los recursos de nuestros ordenadores? Según el 2025 HTTP Archive Web Almanac, en un estudio que tuvo en consideración 16.2 millones de sitios web, el 90% de ellos contenían código de terceras partes. La página media genera 83 peticiones de terceras partes, una cifra que se eleva a las 129 si consideramos únicamente las mil páginas más populares. ¿Qué pretenden todas esas peticiones? Una proporción muy significativa pretende hacer analíticas e insertar publicidad hiper-personalizada. En la práctica, bloquear los anuncios visibles es casi anecdótico si lo comparamos con la cantidad de scripts, subastas instantáneas, trackers, peticiones de consentimiento y cadenas de inclusión que insertan las mismas compañías y otras.

Un estudio muy extenso presentado en la ACM Web Conference 2026 que incluía datos de 724,994 visitas a 5,000 páginas web en cuatro ordenadores reales, y probó que add-ons como uBlock Origin eran capaces de reducir el consumo de energía en el lado del cliente en un 9.62%, a pesar de generar su propio consumo de recursos. Esa reducción alcanzó un 17.67% en páginas de noticias, que dependen generalmente de la publicidad. Incluso hacer clic en «Aceptar todo» en un aviso de cookies incrementa el consumo medio de energía en un 2.57%, y genera 8.5 peticiones adicionales. Repitamos para ver si captamos la lógica, o mejor, la ausencia de ella: simplemente consentir que te espíen tiene una consecuencia física medible que tienes que pagar tú.

Los usuarios, por tanto, pagamos por la vigilancia dos veces: primero, con nuestros datos personales y la pérdida de privacidad que ello conlleva, pero posteriormente, con ancho de banda, ciclos de procesador, memoria, ciclos de carga y descarga de la batería y electricidad. La protección de la privacidad no es simplemente un add-on añadido a un navegador: en muchos casos, de lo que hablamos es de un incremento significativo de eficiencia y de sostenibilidad. Y considerando el tiempo que pasamos delante de la pantalla de un navegador, creo que eso es algo que definitivamente deberíamos tener muy en cuenta.

In English on Medium, «The hidden cost of browsers that spy on us»

Tras varios años observando y estudiando implementaciones de inteligencia artificial corporativas, sigo sintiendo curiosidad por algo: la mayoría comienza con un debate sobre el modelo a utilizar. ¿Deberíamos optar por Copilot, considerando que Microsoft está tan arraigado en nuestra empresa que se ha convertido en una especie de norma? ¿Deberíamos probar GPT, ya que fueron pioneros? ¿O Gemini, que cuenta con todo el respaldo de Google? ¿O Claude, que ahora parece tan de moda? ¿Qué tal Grok? O, Dios no lo quiera, como está ocurriendo en muchas empresas estadounidenses, ¿nos atrevemos a explorar modelos chinos como Deepseek, Qwen, etc.?

Pero ¿y si esta decisión no fuera tan crucial? Al fin y al cabo, cuando consideramos una implementación corporativa, el modelo se parece un poco al microprocesador de un ordenador: importante, sí. ¿Cuanto más grande, mejor? Quizás. Pero sólo una pieza, y no necesariamente la más importante o estratégica.

Ya está pasando

De hecho, lo que ya estamos presenciando en el panorama empresarial estadounidense es precisamente eso: la elección de un modelo se está convirtiendo en una cuestión de optimización económica, en lugar de un compromiso ideológico. Las arquitecturas están cambiando radicalmente respecto al modelo inicial de «esta empresa funciona con GPT», y existen muchas razones para ello (además del coste por token, claro).

En primer lugar, una empresa no necesita el mismo modelo potente y de vanguardia para cada una de sus consultas; hacerlo es un exceso innecesario y puede resultar extremadamente caro. Las consultas sencillas pueden dirigirse a modelos más económicos cuando un modelo suficientemente bueno es suficiente, mientras que otras preguntas o tareas más complejas pueden escalarse a los modelos más sofisticados. Los orquestadores como el proyecto RouteLLM de Berkeley apuntan precisamente a esto y pueden ahorrar mucho dinero manteniendo la integridad de las respuestas y una estructura de costes razonable.

Las empresas chinas de inteligencia artificial lo saben bien. Deepseek es un caso muy interesante de una empresa que se ha posicionado claramente para sacar provecho de esto: una economía de tokens extremadamente competitiva, para reforzar la idea de que, incluso para una empresa estadounidense, los modelos pueden ser extremadamente sustituibles, casi convertidos en productos básicos. Y cuando los modelos se vuelven fáciles de sustituir en la capa de API, el valor comienza a migrar naturalmente a capas superiores de la arquitectura. El objetivo de poner «el mejor modelo disponible» al alcance de los empleados es cada vez menos importante, y conceptos como el temido tokenmax se consideran ahora completamente absurdos. Y la empresa que parece interpretar mejor esta tendencia no es otra que Microsoft, el rey indiscutible de la informática corporativa (como se decía de IBM hace mucho tiempo: «¡ningún CIO ni CTO ha sido despedido por comprar Microsoft!»). La compañía posiciona explícitamente los modelos de lenguaje pequeños como la mejor opción para tareas o entornos específicos de dominio y altamente especializados, donde pueden ofrecer un rendimiento sólido con recursos computacionales no demasiado exigentes y un alto control sobre los datos. También han desarrollado modelos adaptados a sectores específicos utilizando su familia Phi, no intentando superar a los modelos grandes con modelos pequeños, sino demostrando que el tamaño del modelo debe ser una función de la complejidad de la tarea, en lugar de una cuestión de prestigio corporativo.

Inteligencia en un enfoque multicapa

Intentemos, entonces, abordar la inteligencia artificial corporativa como algo que comienza con la inteligencia general, continúa con el contexto institucional y termina con el aprendizaje institucional. Intentar producir lo primero parece no solo imposible, sino también completamente antieconómico y fuera del alcance de cualquiera que no sea una empresa de inteligencia artificial. Pero la segunda capa se compone de elementos como los objetos, documentos, reglas, ontología, relaciones e historial operativo de la empresa. Y la tercera es aún más interesante, ya que se basa en lo que realmente funcionó: consecuencias, evaluaciones y retroalimentación, los llamados bucles. Es en estas dos últimas capas, no en la primera, donde las empresas pueden obtener y potenciar una verdadera diferenciación y optimización.

Anthropic menciona específicamente las mejoras que las empresas pueden lograr al centrarse en la ingeniería del contexto, en la gestión del entorno, desde las herramientas hasta las instrucciones, la información externa o el historial, en lugar de obsesionarse con mejorar la consigna o el modelo.

La esencia de una ventaja competitiva

Imaginemos mi caso: soy una gran universidad. Mis profesores e incluso mis estudiantes, cuidadosamente seleccionados, generan una cantidad increíble de documentos en cada curso, muchos de ellos con la evaluación correspondiente asociada como retroalimentación, ya sean calificaciones, revisiones por pares, etc. ¿No podría esto convertirse en una parte significativa de un corpus específico con el que tomar decisiones estratégicas, e incluso derivar de él una ventaja competitiva que nos diferencie de otras universidades? Esta idea va de la mano con lo que dijo Satya Nadella sobre que las empresas controlen sus propios ciclos de aprendizaje, en lugar de simplemente comprar un gran y costoso programa de LLM y usarlo.

Si lo analizamos de esta manera, el verdadero activo no es el modelo, sino el ciclo. Imaginemos dos universidades que utilizan el mismo modelo: ¿se convertirán en instituciones igualmente inteligentes? ¿Qué ocurre si una de ellas aporta décadas de decisiones acumuladas, experiencia docente, experimentación pedagógica, resultados estudiantiles, cultura organizacional y retroalimentación? Al capitalizar todos estos activos, se puede partir del mismo modelo estándar, pero probablemente se obtendrá una inteligencia institucional totalmente diferente. Si no se logra esto, en esencia, se estará alquilando el mismo cerebro. Pero una vez que se construye esa arquitectura, el programa LLM se convierte simplemente en un componente más dentro de ella. Y uno reemplazable.

Alquilar la inteligencia, pero ser dueño del aprendizaje.

La pregunta, por lo tanto, no es si su empresa tiene acceso al modelo más reciente, sino más bien si, al cambiar su modelo mañana, ¿cuánto de su aprendizaje institucional se conservará y cuánto se perderá? Si cree que perderá gran parte de esa valiosa información, entonces la empresa que le vendió el modelo posee demasiada inteligencia institucional.
En esencia, se trata de soberanía institucional. ¿Cuál es el valor de eso?

This article was previously published on Fast Company

Es una de esas noticias que te deja completamente ojiplático: la Alliance for Automotive Innovation, que afirma estar a nivel de competir con cualquiera, envía una carta al Congreso de los Estados Unidos pidiendo que convierta en ilegales los vehículos conectados, el software y hardware chinos o con participación china, con multas mínimas de 1,5 millones de dólares por infracción. Según la redacción actual del proyecto de ley, incluso compañías como Mercedes-Benz podrían resultar afectadas.

¿Qué pretenden prohibir exactamente? La Connected Vehicle Security Act, presentada por el republicano John Moolenaar y la demócrata Debbie Dingell, plantearía la prohibición desde 2027 de la importación, fabricación y venta de vehículos conectados originados o controlados por China, Rusia, Irán o Corea del Norte, además de cualquier software asociado. El hardware quedaría prohibido desde 2030. Dado que la inmensa mayoría de los vehículos actuales son vehículos conectados, estaríamos hablando de una prohibición completa de los fabricantes chinos, que además, no es completamente nueva: en 2025 ya se aprobaron restricciones escalonadas similares, que con esta ley se convertirían en permanentes y se reduciría la capacidad de futuras administraciones para hacerlas más flexibles.

Obviamente, Estados Unidos no es el mundo: posiblemente puedan impedir que esos automóviles circulen dentro de sus fronteras (y no del todo, porque ya pueden verse en ciudades fronterizas como El Paso, conducidos por residentes mexicanos o ciudadanos con doble nacionalidad), pero no tienen nada que hacer para evitar que esas compañías chinas puedan acumular escala, datos, experiencia y reconocimiento en el resto del mundo. Según la Agencia Internacional de la Energía, los fabricantes chinos suministraron el 60% de los vehículos eléctricos del mundo y produjeron casi el 75%. Duplicaron sus exportaciones hasta los 2.5 millones de unidades. En China, el 55% de los vehículos vendidos fueron eléctricos, lo que contrasta fuertemente con el escaso 10% de los Estados Unidos. Y obviamente, aislarte artificialmente de esa competencia no detiene esa transición: lo que hace es convertir a los Estados Unidos en una excepción cada vez menos relevante.

Un proteccionismo como ese entrega a China los mercados de crecimiento más fuerte: en 2025, la venta de eléctricos creció un 75% en América Latina y más de un 50% en el Sudeste asiático, donde más de la mitad de los vehículos eléctricos vendidos fueron de marcas chinas. La capacidad de China de ofrecer vehículos a precios asequibles es imbatible: en Thailandia sus precios ya están a la par con los vehículos de combustión. Y cada territorio conquistado ofrece a marcas como BYD, Geely, Chery, SAIC o XPeng más volumen, más proveedores, más red de talleres, más datos y más capacidad para diluir y amortizar sus inversiones en investigación y desarrollo. Mientras, las compañías americanas, con su mercado protegido, pierden esas economías de escala y convierten a Detroit en un negocio prácticamente doméstico. Los Estados Unidos del Pasado.

¿Están subsidiados los vehículos chinos? Sí, mucho. Sin duda. CSIS estima unos 230,900 millones de dólares entre 2009 y 2023. Esos subsidios funcionaron especialmente bien a la hora de construir el ecosistema, y ahora, ese ecosistema ha generado ventajas competitivas reales. Ahora mismo, muchos fabricantes chinos están ya tecnológicamente por delante del resto en baterías, integración de software, costes y velocidad de desarrollo. La reacción racional sería estudiar, competir, colaborar selectivamente y reorganizarse. Expulsar al referente del mercado elimina precisamente el estímulo que obliga a cambiar. Con aranceles puedes compensar subvenciones, pero en ningún caso vas a convertir tus fábricas en más eficientes. Además, en Europa y en Estados Unidos también se dan subsidios y protecciones a los fabricantes, y no pocas. A quien más perjudicas con estas cosas es al consumidor americano, obligado a pagar más, a reducir la adopción eléctrica y a permitir que los fabricantes sigan concentrándose en grandes SUV y en camionetas de márgenes elevados. Fundamentalmente, se protege al productor de las preferencias de sus propios clientes.

No se puede negar que los vehículos conectados pueden recopilar ubicación, imágenes y datos personales, además de poder recibir órdenes de forma remota. Pero la proporcionalidad de pasar de ahí a una prohibición por nacionalidad es muy discutible. Además, hay otras posibilidades, como forzar al almacenamiento y procesamiento local de datos, obligar a que el código y los componentes sean auditables, a la desconexión de sistemas sensibles, a licencias revisables o incluso a la fabricación local. Es, parcialmente, lo que hace China para permitir que Tesla compita en su mercado.

El FMI afirma que la orientación a la exportación tiende a fomentar la competencia, la escala y la innovación, mientras que la sustitución de importaciones tiende a generar incentivos perversos. Estados Unidos se protege mientras China conquista el mundo, pero las protecciones sólo tienen sentido cuando son temporales y compran tiempo para ponerse al día. Si se plantean como permanentes, sólo favorecen la complacencia. Una industria no gana una carrera tecnológica prohibiendo que su rival se acerque a la línea de salida: lo único que consigue es no verlo mientras la adelanta por todos los demás carriles. Es, básicamente, un manual de cómo perder la carrera del automóvil sin competir.

In English on Medium (no paywall if you use this link), «Banning competition isn’t the same as being competitive»

Pocos días después de la revelación del incidente de intrusión de OpenAI sobre Hugging Face con centenares de agentes escapando de sus sandboxes sobre el que ya he escrito, la compañía presentó un modelo, Astra, que es a la vez más potente y más difícil de monitorizar. Toda una ironía si tenemos en cuenta que lo que OpenAI supuestamente hizo fue reconstruir el incidente a partir del examen en retrospectiva de las acciones y las cadenas de pensamiento de sus agentes, que incluían la admisión explícita de que estaban atacando a una compañía externa no relacionada.

El examen de la cadena de pensamiento no tiene nada que ver con escanear un cerebro artificial: es simplemente examinar la secuencia de tokens intermedios que el modelo utiliza como memoria de trabajo antes de responder o actuar, en la que pueden aparecer evidencias de cuestiones como trampas, engaños, manipulaciones para obtener recompensas o maniobras no autorizadas. En investigaciones anteriores, la técnica permitió detectar el 95% de dos tipos de trampas sistémicas, frente al 60% obtenido examinando únicamente las acciones del modelo. Curiosamente, la misma investigación de OpenAI reveló que la optimización excesiva tiende a enseñar a los modelos a ocultar sus intenciones en la cadena de pensamiento mientras continuaban manipulando la recompensa.

La system card de Astra afirma que el modelo como tal es mucho mejor que GPT-5.6 Sol a la hora de controlar qué aparece y qué no en su cadena de pensamiento. Simplemente informar a Astra de que estaba siendo monitorizado hizo que, en algunos experimentos, redujese desproporcionadamente su cadena de pensamiento y lograse ocasionalmente eludir los monitores. Usando técnicas de sandbagging (manipulación deliberada en la que se instruye al modelo para que tenga un rendimiento inferior al esperado ocultando esa intención), su monitor obtuvo una precisión muy inferior, lo que habría hecho prácticamente imposible detectarlo.

Según el UK AI Security Institute, el horizonte de tareas matemáticas que Astra podía resolver sin cadena de pensamiento se estimaba en 30.9 minutos, frente a los 3.6 minutos de Sol. Además, fue capaz de seguir las instrucciones que controlaban lo que aparecía en su razonamiento en el 93% de las muestras, en comparación con el 48% de Sol. El razonamiento se mantuvo por lo general inteligible, pero estaba más comprimido y contenía más frases ambiguas. ¿Qué quiere decir esto? Fundamentalmente, más capacidades para eludir la vigilancia.

No se trata de que Astra se dedique espontáneamente a engañar a sus desarrolladores (dado que se puso a prueba precisamente pidiéndole que hiciese eso, tratar de engañar), pero sí de que esté más preparado para hacerlo. Un artículo publicado por Google argumenta que las tareas maliciosas suficientemente difíciles aún pueden obligar a los modelos a externalizar sus razonamientos cruciales. Según The Information, Astra utiliza la llamada profundidad recurrente (en lugar de pensar, escribir un paso, pensar, escribir otro paso, etc., se trata de pensar internamente varias veces antes de producir una respuesta), lo que le permite llevar a cabo procesos más silenciosos y hacer la monitorización más complicada

Esto no pasa sólo en Astra: Anthropic se encontró con que Claude 3.7 mencionaba la información que había influenciado su respuesta únicamente en un 25% de los casos, mientras que DeepSeek R1 lo hacía en un 39% de los casos. Cuando esos modelos aprendieron a explotar manipulaciones del sistema de recompensas, lo hicieron en más del 99% de los casos, pero lo reconocieron en su cadena de pensamiento en menos del 2%, y con frecuencia inventaron explicaciones aparentemente respetables a posteriori.

La auditabilidad debería ser uno de los asuntos más importantes en el desarrollo de la inteligencia artificial. Más que exigir que podamos literalmente «leer la mente» de un modelo, lo que tendríamos que evitar a toda costa es que las compañías se dediquen a eliminar algunos de los escasos mecanismos de monitorización para obtener más capacidades, más velocidad o costes más reducidos. Mientras, algunos investigadores de OpenAI denominan despectivamente “impuesto de la monitorización» a ese sacrificio en prestaciones o eficiencia a cambio de la posibilidad de auditarlo todo.

No, pagar ese supuesto «impuesto» nunca debería ser un presunto «acto opcional de generosidad corporativa». Debería ser completamente obligatorio, fuertemente monitorizado y ejemplarmente castigado si no se cumple. Que veamos como totalmente normal que los agentes de una compañía hackeen a otra y lo consideremos una cuestión de risa, una curiosidad o una prueba de lo potente que es un modelo es completamente vergonzoso, y va a terminar costándonos mucho. Sobre todo si tenemos en cuenta que varias de estas compañías ya han demostrado claramente ser una panda de aprendices de brujo completamente carentes de cualquier tipo de ética y de responsabilidad. O imponemos más control, o vamos a tener serios problemas. Y si no, al tiempo.

In English on Medium, «What happens when an AI model knows it’s being watched?»

Hace unos días, me desperté por la mañana para encontrarme con más de cincuenta comentarios en uno de mis artículos en español. Semejante volumen y a esas horas es muy inusual, así que entré en la consola de WordPress para verlos: todos se habían saltado alegremente el servicio anti-spam de Automattic integrado en WordPress, Akismet, y estaban a la espera de ser aprobados. Estaban redactados en correcto español, y no sólo eso, sino que algunos hasta aportaban alguna opinión que podía calificarse como de moderadamente interesante. De no haber sido porque todos tenían nombres claramente anglosajones y porque ponían como página web direcciones que eran todas ellas de spam, podrían incluso haber pasado por auténticos, si no fuera porque el sistema que utilizo en mi página es de lista blanca, es decir, todos los comentarios salvo los de los comentaristas habituales tienen que pasar por mi supervisión manual.

Esto cambia mucho las cosas. Hasta ahora, el spam en comentarios no era un problema: facilísimo de reconocer, sin aportar ningún tipo de valor más que elogios estúpidos o directamente basura, mal escritos, y absolutamente obvios. Prácticamente todos eran detectados por Akismet y yo solo tenía que entrar periódicamente, en alguna ocasión aislada rescatar de ahí a algún falso positivo que seguramente cometió pecados en alguna vida anterior, y ya estaba. Cero trabajo.

Ahora, el problema es diferente: hablamos de sistemas que, con un chatbot detrás, se leen el artículo que has escrito, generan comentarios que hasta tienen sentido, y que resultan incluso difíciles de diferenciar de los genuinos, salvo por el enlace. Dado que parecen realmente genuinos, Akismet los deja pasar, y te encuentras de repente con una página en la que tienes que ir mirando los comentarios uno por uno, eliminarlos manualmente, y perder un tiempo que no tienes. Para el atacante, generar cincuenta comentarios no cuesta prácticamente nada, lo puede hacer con un LLM gratuito y no demasiado potente, y no tarda nada. Pero para el administrador de la página, exige echar un ojo relativamente detallado a cada uno, ver si efectivamente redirigen a un dominio spammer o es simplemente un comentarista nuevo genuino, y comprobar que no estás simplemente bloqueando la participación de nuevos lectores en tu página. El spammer externaliza sobre ti el coste de distinguir lo auténtico de lo sintético. La inteligencia artificial no solo automatiza la basura: automatiza una basura suficientemente buena como para exigir atención humana.

Esta investigación de Sentinel Labs sobre AkiraBot da bastantes detalles sobre cómo funciona este tipo de spam de comentarios: AkiraBot localizaba formularios, chats y espacios de participación, extraía el contenido de cada web, lo enviaba a GPT-4o mini y generaba un mensaje único y aparentemente escrito a propósito para aquel sitio y aquel artículo. Además, rotaba los dominios promocionados, utilizaba proxies y simulaba navegadores reales para eludir filtros y CAPTCHAs. Según datos de SentinelOne, había atacado más de 420,000 dominios y había obtenido al menos 80,000 inserciones exitosas. Una auténtica pesadilla.

La definición que Google hace del link spam es clara, y esto se corresponde exactamente con ello. Por mucho que WordPress inserte el atributo nofollow, que impide que los spammers construyan legitimidad en sus dominios con tus comentarios, el coste de una campaña es tan bajo, que ni se molestan en filtrar: simplemente inundan toda página que se les ponga por delante. Un informe reciente de Columbia University ofrece un buen marco conceptual para la actividad: la inteligencia artificial generativa ha reducido el coste marginal de producir contenido hasta casi cero y permite hacerlo a una escala prácticamente infinita. Define tres rasgos particularmente aplicables a los comentarios que recibí: eran de “competencia superficial”, daban lugar a un esfuerzo asimétrico, y generaban una producción masiva. El daño no depende necesariamente de que cada pieza sea horrible: procede del volumen, del coste de verificarla y de la progresiva erosión de la confianza si esos comentarios pasan. El informe señala específicamente el aumento de trabajo para moderadores y periodistas y el tiempo que los usuarios deben dedicar a decidir qué merece credibilidad.

¿Qué podemos esperar? Según el «Bad Bot Report» de Imperva, el tráfico automatizado alcanzó el 51% del tráfico web observado durante 2024 frente al 49% humano, y los bots maliciosos representaban el 37%. No es un censo completo de toda internet, es una medición basada en el tráfico gestionado por la compañía, pero ilustra muy bien el cambio de proporciones, y atribuye una parte significativa del crecimiento a la facilidad con la que la inteligencia artificial permite crear, adaptar y desplegar automatizaciones evasivas. Por otro lado, los comentarios suelen ser relativamente cortos: es la longitud en la que los detectores automatizados de inteligencia artificial fallan más.

Mucho me temo que el resultado de semejante basura terminará siendo una web menos abierta. Si el texto ya no demuestra atención humana, las plataformas tendrán que recurrir a reputación acumulada, identidad, historial, invitaciones, pagos, límites de frecuencia o distintas formas de prueba de humanidad. Cuanto mejores sean las máquinas simulando participación, más obstáculos tendrán que superar las personas auténticas para participar. Mi episodio con Akismet no es simplemente una anécdota de moderación: es una pequeña evidencia doméstica del momento en que la conversación abierta empieza a dejar de ser sostenible por defecto.

In English on Medium, «AI comment spam is here, good luck managing it…»

Una jueza federal sentenció ayer que Google, a pesar de haber sido declarada un monopolista ilegal y reincidente en el mercado de la publicidad, no se verá obligada a separar y vender su negocio de ad exchange, a pesar de que esa era la medida principal propuesta para luchar contra ese monopolio. La sentencia es clarísima: efectivamente, la compañía monopolizó de forma ilegal el mercado de los servidores publicitarios para editores y las subastas de anuncios, pero la jueza Leonie Brinkema ha rechazado la idea de forzar la venta de AdX.

Es la segunda vez en menos de un año que Google evita el que hace años era el remedio estructural tradicionalmente reservado para los monopolios más graves: la obligación de deshacerse de la parte de la compañía que efectivamente lo originaba. Esto supone una enorme victoria para Google, y una derrota para las autoridades antimonopolio estadounidenses, que fracasan de nuevo al intentar castigar de forma efectiva un monopolio que había sido declarado ilegal. La conclusión no puede ser más clara: en los Estados Unidos de hoy, ser declarado un monopolio ilegal ya no significa tener que renunciar a ese monopolio.

La secuencia es la siguiente: en 2020, durante el primer mandato de Trump, se estimó con toda la lógica del mundo que el hecho de que Google pagase miles de millones a Apple, a Samsung y a otras compañías con el fin de ser el buscador predeterminado en sus dispositivos cerraba las vías de distribución para sus competidores. Más claro, agua. En enero de 2023, la administración Biden demandó a Google por controlar de forma monopolística la cadena de distribución de la publicidad digital. La jueza Leonie Brinkema, también concluyó que, en efecto, eso era así: que la compañía había obligado de facto a los editores a utilizar AdX, y había eliminado o neutralizado las alternativas durante más de una década, lo que supuso un perjuicio para las páginas web que dependen de la publicidad. En agosto de 2024, el juez Amit Mehta concluyó que, efectivamente, Google era un monopolio y había actuado de forma deliberada para proteger y conservar ese monopolio.

Pero lo que pasó después, sin embargo, fue que ambos jueces rechazaron las medidas lógicas, razonables y amparadas por la tradición judicial: en lugar de forzar la desinversión en los activos que generaban el problema, optaron por medidas cosméticas que no alteran realmente el negocio ni generan problemas a Google. El patrón es claro: dictar sentencias supuestamente duras e históricas, para después proponer remedios completamente insignificantes. Obligar a Google a «ser más transparente», a «compartir algunos datos» o a «no favorecer abiertamente sus propios productos» es equivalente a confiar la restauración de la competencia precisamente al que la eliminó. Es, simplemente, una palmadita y un «ve y no peques más». Da lo mismo que el Departamento de Justicia haya calificado a Google de «monopolista reincidente»: sin una separación estructural, no hay un remedio efectivo.

La justicia de los Estados Unidos lleva décadas debilitando de manera efectiva la legislación antimonopolio: las ventas forzadas se consideran «soluciones radicales». La última vez que se usó esa solución fue con AT&T en 1984, no será que no ha habido monopolios desde entonces. De hecho, ese es el resultado: en los Estados Unidos de hoy, los monopolios hacen lo que quieren, campan a sus anchas, y son más fuertes que el propio gobierno. Con la segunda legislatura de Trump, además, las cosas ya pasaron a otro escenario: las big tech hicieron donaciones de millones de dólares para su investidura, participaron en actos de cortejo mutuo, y entraron en una relación ya completamente transaccional: dona, elogia, pacta y mantente siempre en el lado correcto que el presidente marca. Además, Trump pasó a amenazar con aranceles a los países que «agredieran» a Google, Meta o Amazon, con el fin de evitar que otros países los castiguen de forma efectiva. Claramente, Trump convirtió la impunidad corporativa estadounidense en una política más personal, transaccional y descaradamente favorable a las compañías que saben comprar su amistad. Puro capitalismo de amiguetes. Ahora llegan denuncias contra Amazon, y pasará lo mismo. ¿Apuestas?

Ahora, vemos cómo la ilegalidad flagrante se ha convertido en un simple coste operativo. Las big tech no necesitan ganar los juicios, porque con prolongarlos, recurrirlos y evitar cualquier remedio estructural tienen suficiente. El caso de Google lo hace evidente: una compañía puede ser declarada monopolista ilegal dos veces, conservar todos los activos que sostienen ese monopolio y aumentar mientras su valor hasta superar los cuatro billones de dólares, porque carece completamente de amenazas por el flanco legal. La legislación antimonopolio ha dejado de ser un problema para las compañías: ahora, es una mera función teatral.

In English on Medium, «In the United States running an illegal monopoly has no consequences: just ask Google»

La investigación sobre el incidente de hacking a Hugging Face por parte de OpenAI sobre el que escribí el pasado 24 de julio está adquiriendo tintes cada vez más peliculeros y más graves cuanto más es investigado. Resulta que no es que OpenAI descubriese de pronto a un agente rebelde que había encontrado una puerta, sino que la compañía lanzó deliberadamente decenas de miles de ejecuciones con el fin de poner a prueba sus capacidades ofensivas, y lo que no esperaba era que esas ejecuciones, en principio aisladas, descubrieran cómo comunicarse, cómo acumular conocimiento, y cómo atacar un sistema real con más de 1,200 agentes a la vez.

Hablamos de una infraestructura experimental generada por una organización para atacar a otra, de una auténtica irresponsabilidad a todos los niveles. Un informe independiente de METR y Redwood Research explica que OpenAI lanzó decenas de miles de agentes de varios modelos dentro de ExploitGym, que aproximadamente 1,200 de ellos encontraron el canal clandestino, intercambiaron más de 70,000 mensajes y archivos, y unos 700 participaron de alguna manera en la intrusión. Hay que señalar que en este contexto, «agente» significa una ejecución o rollout del modelo dentro de un entorno con herramientas, no 1,200 inteligencias persistentes que se crearon o replicaron solas.

La coordinación no precisó de ninguna plataforma multiagente sofisticada: simplemente, los entornos tenían acceso a una instancia compartida de JFrog Artifactory para instalar paquetes que no aislaba completamente la actividad de unos usuarios respecto de otros, lo que posibilitó que los agentes se dejasen notas codificadas en nombres de directorios. Lo que parecía una simple caché de paquetes se convirtió en un tablón persistente: cada nueva ejecución podía leer hallazgos anteriores, dejar resultados, solicitar ayuda y continuar trabajos que otros habían abandonado. Según la explicación de OpenAI, cuya credibilidad empieza a parecerse ya a la de Meta, el sistema terminó incluyendo mensajes directos, archivos, reparto de funciones, coordinadores, reglas de espera, vetos y sucesores de agentes ya terminados.

No hubo una supuesta «mente colmena» coherente, sino algo más inquietante: una coordinación espontánea suficiente. Los agentes chocaban entre sí, duplicaban esfuerzos e ignoraban ocasionalmente las órdenes de otros, pero también se dividieron el trabajo: unos buscaban credenciales, otros investigaban vulnerabilidades, otros probaban técnicas de evasión y algunos actuaban como coordinadores. Cuando uno consiguió ejecutar código en Hugging Face, cientos abandonaron sus tareas originales y se incorporaron a esa línea de trabajo. No hace falta una inteligencia colectiva perfecta: basta con memoria compartida, paralelización y que cada éxito pueda ser reutilizado. ¿Inquietante? No, lo siguiente. Estamos ya en el momento en que un regulador razonable tomaría acciones contra OpenAI que le impidiesen seguir haciendo lo que hace. Pero no, no ocurrirá nada.

El ataque proviene, en realidad, de una combinación compleja de incentivos: por un lado, tareas propuestas en ExploitGym con agentes entrenados para perseverar y maximizar la recompensa que comenzaron buscando las respuestas, después intentando engañar al evaluador y finalmente manipulando toda la infraestructura que rodeaba al experimento. Una forma claramente extrema de reward hacking: no se trata de cumplir la tarea prevista, sino de encontrar cualquier mecanismo que permita obtener la recompensa. Lógicamente, esto dio lugar a una enorme escalada de recursos, que no pasó inadvertida: estaba autorizada y formaba parte del irresponsable experimento. El proceso experimental del que surgió el ataque necesitó, según JFrog, unos tres millones de horas de GPU. OpenAI estaba llevando a cabo lo que consideraba una prueba gigantesca y sumamente cara, y por eso, en ese contexto, la escalada de consumo de recursos no activó las alarmas. O en realidad, sí activó algunas, pero en OpenAI se limitaron a no hacerles ni maldito caso e incluso a reconstruir los servicios que, por volumen de actividad, habían caído. No faltaron señales: faltó relacionarlas, escalarlas y reconocer que formaban parte de un mismo fenómeno. No faltaron alarmas: faltó entenderlas. Irresponsabilidad en estado puro.

En Hugging Face, el daño fue serio y material. En menos de trece horas pasaron de ejecutar código en un trabajador, a obtener acceso de nivel administrativo o de anfitrión en varios clusters. La nota original de Hugging Face ya hablaba de más de 17,000 eventos registrados, pero todavía no tenían ni idea de qué modelos estaban detrás. OpenAI se está dedicando a tirar balones fuera diciendo que otros modelos, como los abiertos y los chinos, pronto tendrán capacidades similares, pero el incidente fue protagonizado por modelos cerrados de OpenAI, dentro de una infraestructura controlada por OpenAI y como consecuencia de decisiones de OpenAI sobre entrenamiento, permisos, volumen y supervisión. Para terminar de fastidiar, Hugging Face explica que tuvo que utilizar un modelo abierto ejecutado localmente para investigar el ataque, porque las salvaguardas de los modelos comerciales bloqueaban las consultas forenses. La variable decisiva no es que un modelo sea abierto o cerrado, sino qué capacidades tiene, qué herramientas recibe, con qué permisos opera y quién responde por sus acciones. Y en este caso, sólo hay un responsable. O mejor dicho: un irresponsable.

El verdadero escándalo no es que los agentes aprendieran a colaborar, sino que OpenAI construyera un entorno en el que la colaboración clandestina podía confundirse durante semanas con el funcionamiento normal de un experimento, incluso después de producir alertas, accesos no autorizados y una caída completa del servicio. No, esto no es una historia sobre «máquinas que despiertan», sino sobre organizaciones que gestionan agentes sobrehumanamente rápidos mediante procedimientos, permisos y cadenas de responsabilidad diseñados para personas. Una historia sobre cómo gastar tres millones de horas de GPU para perder el control sobre lo que se hace. Una historia sobre monos con metralletas. Y este tipo de historias ya sabemos todos cómo acaban.

In English on Medium, «This is what happens when 1,200 AI agents find a backdoor into a company«

Este es un tema del que se ha hablado en muchas ocasiones, pero que aún no se ha terminado de concretar, por mucho que veamos artículos sensacionalistas que así lo afirman: ¿qué pasa cuando un vehículo autónomo tiene un accidente o recibe una multa, teniendo en cuenta que su ocupante no está conduciéndolo? ¿A quién corresponde la responsabilidad?

En China, por mucho que digan algunos, no se ha aprobado aún ninguna reforma legal sobre esta cuestión, al menos todavía. Lo que sí se ha hecho es proponer una reforma de la Ley de Seguridad Vial, presentada para su primera lectura y actualmente sometida a consulta pública, que incorpora por primera vez un capítulo, de los artículos 95 a 103, dedicado específicamente al asunto de los vehículos autónomos y a la responsabilidad sobre su operación. Pero por el momento, podemos hablar de proyecto, de borrador o de propuesta, nunca de ley aprobada.

Lo que aporta esta propuesta es fundamentalmente conceptual: separa la asistencia y la autonomía. Se define como autónomo al vehículo capaz de llevar a cabo de forma sostenida la totalidad de la tarea dinámica de conducción en unas condiciones operativas determinadas. Si únicamente proporciona asistencia a la conducción, la responsabilidad continúa siendo humana. La frontera es importante porque evita que el marketing convierta las ayudas avanzadas en una supuesta conducción autónoma que no es real como tal. Es similar a lo dictado en el caso del Reino Unido: una diferenciación jurídica bien delimitada entre conducción autónoma y asistencia al conductor.

¿Lo más relevante? La transferencia de responsabilidad en el caso de infracciones. Si la conducción autónoma está activada y el vehículo comete una infracción como saltarse un semáforo o exceder la velocidad marcada en la vía, quien deberá responder administrativamente por ella ya no será el conductor, sino el fabricante o importador. Si la compañía sostiene que esa conducta no fue causada por el sistema autónomo, le corresponderá entonces la carga de la prueba de demostrarlo. Esa inversión de la carga de la prueba es significativa, porque ahora el usuario no tiene que probar el funcionamiento de algoritmos cerrados que no controla. En cualquier caso nos referimos a responsabilidades administrativas, no a cualquier responsabilidad civil o penal.

En un accidente, la policía podrá acceder a los datos del vehículo, solicitar análisis técnicos y exigir la colaboración del fabricante, que deberá proporcionar los datos relevantes para la investigación respetando las leyes de privacidad, ciberseguridad y protección de datos. Esto implica que la caja negra deja de ser un accesorio, y pasa a ser una parte esencial del Estado de derecho: habrá que delimitar qué software estaba instalado, si la función estaba activada, en qué dominio de diseño operacional funcionaba, qué orden dio el sistema y si solicitó o no una intervención humana. Los registros íntegros, auditables e independientes son fundamentales para delimitar la responsabilidad.

Pero la propuesta china va más allá de simplemente decidir quién paga una multa: las autoridades deberán impedir que la conducción autónoma se active fuera de sus condiciones autorizadas, deberán suspender sistemas inseguros, ordenar reparaciones o retiradas, formar al propietario cuando sea necesario y explicar de manera clara las limitaciones del sistema, y los fabricantes deberán aceptar esas órdenes. Estará prohibido presentar comercialmente capacidades que el vehículo no posee realmente. Además, se establecerá un seguro específico obligatorio de responsabilidad por accidentes, cuyos detalles deberá desarrollar el Gobierno. En paralelo, Pekín ya está experimentando con productos que adaptan el seguro tradicional a los riesgos del software, los sensores y las actualizaciones.

¿Por qué ahora? Porque el 70.5% de los turismos nuevos chinos ya incorpora asistencia combinada de nivel 2, y más de 57,000 kilómetros de vías han sido habilitadas para pruebas y demostraciones, acumulando un total de 220 millones de kilómetros. La autonomía real aún está limitada a tramos concretos de Beijing y Chongqing, con velocidades limitadas a 50 y 80 km/h, lo que nos da una idea de cómo de lejos está aún la autonomía generalizada

El pasado marzo, una flota de cien robotaxis se detuvo simultáneamente en Wuhan por un fallo del sistema y dejó a viajeros inmovilizados en el medio de vías rápidas, aunque no provocó ningún herido. La lección no es que los coches autónomos sean inherentemente peligrosos, pero sí que la automatización introduce problemas que pueden afectar a flotas completas, y la regulación debe tener en cuenta este tipo de posibilidades.

En perspectiva internacional, China no está por delante de países como Alemania, el Reino Unido, la Unión Europea o incluso España, que cuenta desde 2025 con un programa nacional para pruebas de vehículos automatizados. Lo que diferencia a China no es que sea la primera, sino que integra la autorización, las infracciones, los datos, el seguro, la publicidad y la supervisión en la ley nacional de tráfico del mayor mercado automovilístico del mundo.

En California, desde el 1 de julio de 2026, ya se puede actuar contra Waymo y otras compañías similares por infracciones en movimiento, pero no mediante la multa convencional que recibiría un conductor: el agente emite un aviso formal contra el vehículo autónomo y el expediente pasa al fabricante y al DMV, cuyo instrumento verdaderamente coercitivo es el permiso de operación. Antes de julio de 2026, había una laguna legal: en septiembre de 2025, la policía de San Bruno detuvo a un Waymo tras un cambio de sentido ilegal, pero no pudo multarlo por una infracción de tránsito porque no había ningún conductor humano a quien sancionar, sólo pudieron informar del incidente a Waymo. Las infracciones de estacionamiento son más sencillas porque se vinculan al vehículo y a su propietario registrado, no necesariamente a un conductor. San Francisco emitió 589 multas de estacionamiento a vehículos Waymo por un valor de 65,065 dólares durante 2024, y Waymo las pagó sin discusión alguna.

La ley de Arizona establece expresamente que el sistema de conducción automatizada se considera el conductor a efectos de evaluar el cumplimiento de la normativa, mientras que la persona que registró la operación autónoma puede recibir la multa o sanción si el vehículo infringe la ley. Normalmente, esa persona sería Waymo, nunca su pasajero. Texas va aún más allá: su ley actualizada establece que el sistema automatizado es el operador, pero cualquier multa debe emitirse al propietario del vehículo o, en el caso de operaciones comerciales sin conductor, al titular de la autorización estatal. Por lo tanto, en Austin, una infracción de Waymo se dirige a la entidad corporativa o titular del permiso de Waymo correspondiente. Las multas de estacionamiento se colocan en el vehículo de la forma habitual; las infracciones de tránsito requieren un trámite adicional contra el propietario corporativo registrado.

La reforma propuesta en China no garantiza que la conducción autónoma sea segura, ni que se vaya a desplegar masivamente pasado mañana. En general, se reconoce que hay un menor riesgo en numerosas situaciones, pero también que existen problemas significativamente mayores en giros o en condiciones como la iluminación direccional compleja como la luz del amanecer o del atardecer. Lo que sí demuestra es que la conducción autónoma ya no es una simple demostración de posibilidades tecnológicas, y empieza a convertirse en una institución jurídica como tal. Como innovación, estamos ya en el momento en el que la conducción autónoma empieza a ser real, deja de pedir demostraciones de fe, y empieza a prepararse para aceptar responsabilidades. La propuesta de China es más limpia y explícita porque asigna la responsabilidad de una infracción directamente al fabricante o importador y, fundamentalmente, hace que la empresa demuestre que el sistema autónomo no la causó si quiere eludir la responsabilidad.

El coche autónomo necesita un responsable, y hay que empezar a legislar al conductor algorítmico. La autonomía empieza donde termina la ficción del conductor, y hay que entender que cuando pasamos del volante al software, la responsabilidad también cambia de manos. Un momento verdaderamente interesante.

In English on Medium, «Who’s liable when a self-driving car breaks the law?»