El Reino Unido canceló su programa nacional de identidad digital a menos de un año de anunciarlo. Es su tercer intento fallido en veinte años, y en el Parlamento sus propios funcionarios reconocieron que el Estado británico todavía no puede ver a un ciudadano como una sola persona.

Cada vez que en América Latina hablamos de gobierno digital, el Reino Unido aparece como referencia obligada. El Government Digital Service (GDS), GOV.UK, sus principios de diseño y su manual de estándares de servicio han sido copiados, adaptados o al menos citados por medio continente, Chile incluido. Yo mismo lo he puesto como ejemplo más de una vez.

Pero hay un tema en el que el alumno destacado lleva veinte años reprobando: la identidad digital. El lunes 19 de octubre, en una audiencia de la Comisión de Cuentas Públicas del Parlamento británico (Public Accounts Committee), quedó claro que tras el último intento el gobierno inglés vuelve a estar en el punto de partida.

Tres intentos, tres tropiezos

El primer intento fue el de Tony Blair, con la Identity Cards Act de 2006. Una cédula nacional con registro centralizado que nunca logró legitimidad y que el gobierno de coalición derogó en 2010. Los británicos tienen una relación complicada con la idea de un documento de identidad obligatorio, y eso pesa en todo lo que viene después.

El segundo fue GOV.UK Verify, que comenté en este blog en enero de 2023. Un modelo federado, con proveedores privados de identidad, que la London School of Economics llegó a describir como un caso exitoso. La auditoría de la National Audit Office (NAO) mostró otra cosa: una tasa de verificación de 48% cuando se esperaba 90%, 3,6 millones de usuarios cuando la meta era 25 millones para 2020, y un costo de al menos 154 millones de libras. Verify se apagó en 2023 y lo reemplazó GOV.UK One Login.

El tercero es el más reciente y el más breve. En septiembre de 2025 el primer ministro Keir Starmer anunció una identidad digital nacional, obligatoria para verificar el derecho a trabajar, presentada básicamente como herramienta contra la inmigración irregular. En enero de 2026 el gobierno retrocedió y eliminó la obligatoriedad. En mayo, la Comisión de Asuntos Internos de la Cámara de los Comunes publicó un informe en que su presidenta, Karen Bradley, calificó el lanzamiento como nada menos que un fiasco. Y en julio, el nuevo primer ministro Andy Burnham canceló el programa, argumentando que esos recursos se destinarían a temas más urgentes como el costo de la vida.

Menos de un año entre el anuncio y la cancelación. Hasta la fecha según estimaciones de prensa el costo de las tres iniciativas ha ascendido a 460 millones de libras esterlinas (unos 615 millones de dólares)

Una audiencia que lo dice todo

Me di el trabajo de revisar la audiencia. El presidente de la comisión, Geoffrey Clifton-Brown, partió con una pregunta poco habitual: pidió a cada uno de los cinco funcionarios que contara qué formación profesional en temas digitales tenía. La máxima autoridad, Susannah Storey, secretaria permanente del Departamento de Cultura, Medios y Deporte (DCMS), respondió con honestidad que ninguna. Vale aclarar que el DCMS heredó hace apenas tres meses la política digital y el propio GDS, tras la disolución del ministerio de ciencia y tecnología (DSIT). Es la segunda reorganización en poco tiempo, y ya eso habla de la inestabilidad institucional del tema.

Luego vino lo central. La diputada Chi Onwurah, presidenta de la Comisión de Ciencia y Tecnología e invitada especial a la sesión, preguntó algo muy simple: cuál es la estrategia de largo plazo del gobierno en identidad digital y qué entiende por identidad digital. La respuesta de Storey fue esta:

«El programa nacional de identidad digital está cerrado. Estamos trabajando con nuestros ministros en el enfoque de política que quieren adoptar.»
Susannah Storey, secretaria permanente del DCMS, ante la Public Accounts Committee

Más adelante otro diputado preguntó por plazos para esa estrategia. Storey dijo que no hay calendario y no quiso comprometerse ni siquiera a que esté lista antes del fin de este período parlamentario. Tampoco hay estimación de costos, porque mientras los ministros no definan el alcance, no hay nada que costear. Traducido: hoy el Reino Unido no tiene política de identidad digital.

Lo que sí funciona: One Login

Sería injusto quedarse solo con eso, porque en la audiencia también aparecieron cosas que funcionan bien.

Christine Bellamy, directora general interina del GDS, recordó que el gobierno llegó a tener 44 formas distintas de iniciar sesión en sus servicios. Hoy One Login tiene 245 servicios integrados y la meta es cubrir el universo completo, que estiman en unos 500, en los próximos 18 a 24 meses. El HMRC (el servicio de impuestos) ya incorporó a los usuarios nuevos y el próximo año empieza a migrar a los cerca de 32 millones de personas que todavía usan el antiguo Government Gateway.

Natalie Jones, directora de One Login, entregó algunas cifras respecto de los beneficios potenciales del sistema: unos 750 millones de libras en beneficios netos entre abril de 2022 y agosto de 2026, de los cuales 396 millones vienen de reducción de fraude de identidad, 218 millones de menor duplicación y acceso digital más barato, y 138 millones de ahorro de tiempo para los usuarios. Se espera llegar en marzo de 2028, llegar a 2.830 millones de beneficios frente a un costo total cercano a 703 millones.

Me gustó la forma en que Jones explicó el diseño. One Login funciona como el guardia de un edificio: revisa la credencial, comprueba que la cara coincide y te deja pasar, pero no sabe a qué oficina vas ni qué conversas adentro. Guarda el mínimo de datos, repartidos en distintos lugares, no emite un identificador único y usa tokenización. Lo mismo con la billetera GOV.UK Wallet: sabe que descargaste tu licencia de conducir, pero no cuántos puntos tienes. Es una decisión consciente de diseño, pensada para no construir un gran repositorio de datos que se convierta en blanco de ataques.

En la billetera también hay avances concretos. Hoy está operativa la credencial de veteranos, que antes tardaba seis semanas en llegar por correo y ahora se descarga en cinco minutos. La licencia de conducir digital va en camino: la semana pasada abrieron un entorno de pruebas (sandbox) para que proveedores privados certificados se integren, en diciembre harán pruebas de punta a punta y el despliegue nacional está previsto para el próximo año. Tienen identificadas más de 80 credenciales del Estado que la gente usa para demostrar cosas en otros lugares, y la billetera se construyó sobre los mismos protocolos que la billetera europea de identidad digital (EUDI Wallet), aunque la interoperabilidad efectiva con la Unión Europea va a tomar años.

El problema de fondo sigue intacto

Ahora, el momento más revelador de la audiencia fue cuando Bellamy describió los cuatro pilares en que trabaja el GDS: inicio de sesión único, credenciales y billetera, servicios integrados e inclusión. Sobre el tercero dijo algo que conviene leer con calma:

«El trabajo consiste en hacer posible ver a un individuo a lo largo de todo el gobierno como una sola persona. Esa parte todavía no existe en el gobierno.»
Christine Bellamy, directora general interina del GDS

Veinte años, tres intentos y cientos de millones de libras después, el Estado británico todavía no sabe que el contribuyente del HMRC y el beneficiario del Departamento de Trabajo y Pensiones (DWP) son la misma persona.

Philippa Rouse, del GDS, explicó por qué. Cada ministerio construyó sus sistemas por separado, con fines distintos, estándares de seguridad distintos e identificadores distintos: el número de Seguro Nacional, la referencia tributaria única, el número de pasaporte, el número del NHS. El resultado son registros dispersos, capturados con criterios diferentes, que solo se pueden cruzar con mucho trabajo manual de mapeo y verificación. Lo llamó crecimiento orgánico. Yo lo llamaría ausencia de arquitectura.

A eso se suma la deuda tecnológica. Clifton-Brown recordó que al menos 30% del hardware digital del gobierno corresponde a sistemas legados (la cifra oficial de 2024 es 28%), más vulnerables a ciberataques y poco aptos para incorporar inteligencia artificial. Y cuando se le preguntó si el centro puede imponer estándares de datos a los ministerios, Storey reconoció que cada ministerio mantiene un grado de autonomía y que hoy se trabaja más con marcos y buenas prácticas que con obligaciones.

Onwurah apuntó además a una contradicción en el modelo de consentimiento. One Login se basa en que el ciudadano autoriza qué datos compartir, pero el DWP puede compartir datos con otros organismos sin consentimiento explícito cuando se trata de combatir fraude. Bellamy reconoció que ese modelo todavía no está terminado y que necesitará la aprobación ministerial.

El fantasma de Estonia

Un integrante de la comisión preguntó por Estonia, donde cada ciudadano puede ver quién ha consultado sus datos. Bellamy respondió que Estonia tiene un sistema de identificador único que se asigna al nacer, que lo construyó desde cero, y que su gran acierto fue dejar al ciudadano en control. Agregó que es algo que creen que el Reino Unido debería hacer, pero que no podía comprometerlo porque la estrategia no está definida.

Es decir, el modelo que funciona está identificado, está estudiado y está reconocido por los propios responsables. Lo que falta es la decisión política de avanzar hacia algo parecido, y en el Reino Unido esa decisión choca con una resistencia histórica a cualquier cosa que huela a registro nacional.

El NAO pone el dedo en la llaga

El informe del NAO de septiembre de 2026 sobre lecciones aprendidas, citado una y otra vez por los propios funcionarios en la audiencia, es a mi juicio el documento más valioso de todo este episodio.

El informe reconoce que el Reino Unido tiene buenos fundamentos: legislación, un marco de confianza con 64 servicios certificados de 47 proveedores, y One Login con más de 56 millones de cuentas activas. Pero también constata que la responsabilidad está repartida entre más de una docena de organismos sin una estrategia coherente sobre cómo deben trabajar juntos.

Y el NAO lo dice con claridad: permitir que alguien use la misma credencial para entrar a distintos servicios no conecta automáticamente los datos que hay detrás. Un login reutilizable resuelve la puerta de entrada y deja intacto el desorden de la casa.

Es la misma conclusión a la que llegué en 2023, cuando escribí que un modelo de eID sólido requiere un identificador único o un registro base que funcione como fuente única de verdad. Sin eso, los Estados terminan administrando bases de datos que no calzan, mientras los ciudadanos acumulan credenciales.

¿Por qué tropieza el alumno destacado?

Algunas reflexiones frente al problema en el que se encuentra el Reino Unido.

• La primera es política. La identidad toca la relación entre el ciudadano y el Estado, y en una sociedad con fuerte desconfianza hacia un documento nacional, presentar la identidad digital como herramienta de control migratorio fue un error de manual. Se partió por el uso más polémico posible y luego hubo que cambiar el objetivo hacia el acceso a servicios. El informe de la Comisión de Asuntos Internos ya advertía que objetivos que cambian a mitad de camino hacen casi imposible diseñar un proyecto coherente.

• La segunda es de gestión. El sesgo optimista y los objetivos mal definidos que el NAO detectó en Verify en 2019 reaparecen casi idénticos en 2026. A eso se agregan dos reorganizaciones institucionales en poco tiempo y equipos directivos que, como se vio en la audiencia, llevan apenas semanas o meses en sus cargos.

• La tercera es estructural. Sin un identificador base común y con cerca de un 30% de infraestructura legada, cualquier credencial nueva queda montada sobre un sistema fragmentado. Se puede tener la mejor app del mundo y seguir sin saber que el ciudadano del NHS y el contribuyente del HMRC son la misma persona.

• Y la cuarta es de ecosistema. El anuncio de 2025 cayó como un balde de agua fría sobre una industria privada de verificación de identidad que el propio gobierno había promovido durante años. En la audiencia se notó el esfuerzo por recomponer esa relación, con el sandbox de la billetera y el marco de confianza publicado en GitHub para recibir comentarios. Pero la confianza perdida cuesta recuperarla.

Lo que deberíamos mirar desde América Latina

Aquí viene la parte interesante para nosotros. En identidad, varios países de la región partimos con una ventaja que el Reino Unido nunca tuvo: un identificador único y un registro civil robusto. En Chile, el RUN y el Registro Civil resuelven de entrada el problema que el NAO y el propio GDS identifican como la restricción más dura del caso británico. ClaveÚnica se apoya sobre esa base.

Eso no nos deja libres de culpa. La advertencia del NAO aplica igual acá: una credencial de acceso que funciona bien no garantiza que los datos estén conectados. Lo vemos con la implementación de la Ley 21.180, donde muchas instituciones habilitan ClaveÚnica, pero la interoperabilidad, el gestor documental y las notificaciones avanzan mucho más lento. Un buen login todavía está lejos de un Estado integrado.

Hay, eso sí, varias cosas que vale la pena copiarle al Reino Unido. El diseño de One Login con mínimo de datos y sin un gran repositorio central. La obligación de que todo servicio que se integre mantenga un canal alternativo, presencial o telefónico, para quienes no pueden o no quieren usar la vía digital. La atención en oficinas de correo para personas con baja alfabetización digital. Y la transparencia de publicar las evaluaciones de impacto en privacidad aunque la ley no lo exija.

También hay una lección sobre a quién mirar. El Reino Unido sigue siendo un gran referente en diseño de servicios y en la forma de organizar equipos digitales dentro del Estado. En identidad, los casos que vale la pena estudiar están en otra parte: Estonia, los países nórdicos o el modelo europeo de billetera digital, que es justamente hacia donde los británicos están alineando su tecnología. Sobre los distintos modelos de eID escribí hace algunos años y el caso británico refuerza varias de esas conclusiones.

Tres intentos fallidos en veinte años, en uno de los gobiernos digitales más sofisticados del mundo, muestran que la identidad digital depende primero de la confianza, la gobernanza y la calidad de los datos. La tecnología llega después. Los países que están diseñando o rediseñando sus sistemas de identidad en la región harían bien en leer con calma el informe del NAO antes de licitar la próxima app.

Referencias

• Sesión de la Public Accounts Committee, Parlamento del Reino Unido, 19 de octubre de 2026
• Computer Weekly, Future digital ID arrangements remain unclear, PAC hears, 20 de octubre de 2026
• Computer Weekly, Digital ID challenges remain despite government U-turn, says NAO, septiembre de 2026
• Computer Weekly, Burnham government to drop digital ID and tech department, julio de 2026
• Computer Weekly, Government digital ID launch was a fiasco, report finds, mayo de 2026
• Gov.UK Verify: eID en problemas, en este blog
• eID, ¿qué modelo usar?, en este blog
• Ley 21.180 (Transformación Digital): ¿cumpliremos el 2027?, en este blog

La entrada Reino Unido e identidad digital: el alumno destacado que repite el mismo examen se publicó primero en Escritorio de Alejandro Barros.

Chile saltó del lugar 32 al 10 en el Índice de Gobierno Digital de la OCDE. Al cruzarlo con los índices de ONU y Banco Mundial, y con sus propias ediciones anteriores, el ranking pierde bastante credibilidad.

La OCDE publicó su Índice de Gobierno Digital 2025 y Chile aparece en el lugar 10 de 36 países. En la edición 2023 estaba en el 32 de 33, penúltimo. Subir 22 puestos en dos años sería una hazaña, y por eso vale la pena mirar los datos con calma.

Hice el ejercicio de cruzar el ranking OCDE con dos mediciones que solemos citar: el índice de desarrollo de gobierno electrónico de Naciones Unidas (EGDI) y el índice de madurez GovTech del Banco Mundial (GTMI). Para que la comparación sea justa, tomé solo los 36 países del índice OCDE y reordené los otros rankings entre ellos.

Mi impresión es que el ranking OCDE es poco confiable. Usa una metodología distinta a la de ONU y Banco Mundial, y además cambia demasiado de una edición a otra. Los extremos coinciden con los otros índices, pero en la mitad de la tabla los tres índices cuentan historias muy distintas, y el propio índice OCDE se contradice con su versión anterior.

¿Qué mide cada índice?

Los tres miran el Estado digital desde ángulos diferentes, y eso explica buena parte de las diferencias.

El DGI y el GTMI miran hacia adentro del Estado: estrategia, gobernanza, sistemas, datos. Ambos se construyen sobre todo con cuestionarios que responden los propios gobiernos. El EGDI suma a los servicios en línea las condiciones de base del país, como las redes y las capacidades de su gente. La próxima edición del EGDI está prevista para 2026, por lo que la comparación usa la de 2024.

Los tres rankings lado a lado

El gráfico ordena a los países según su lugar en la OCDE y muestra dónde quedan en la ONU y el Banco Mundial. Mientras más larga la barra gris, más se contradicen los índices.

La tabla trae las posiciones exactas y la diferencia de cada índice respecto de la OCDE. Un número positivo indica que el país está mejor ubicado en la OCDE.

Lo que muestra el cruce

Los punteros coinciden. Corea, Estonia, Australia y Dinamarca quedan en la parte alta de los tres rankings. Ahí no hay discusión.

El índice más parecido es el que menos coincide. El GTMI del Banco Mundial mide lo mismo que la OCDE, madurez institucional del gobierno digital, y con la misma técnica de cuestionarios a los gobiernos. Aun así, la correlación entre ambos rankings es baja: 0,38, casi igual a la que tiene la OCDE con la ONU (0,39). Noruega es 5° en la OCDE y 32° en el GTMI; Canadá es 21° en la OCDE y 4° en el GTMI; Israel pasa del 19° al último lugar del grupo.

Un grupo sale mucho mejor en la OCDE. Portugal es 3° en el DGI, 9° en el GTMI y 28° en la ONU. Francia, Eslovaquia y Colombia quedan muy por debajo en los otros dos índices, y Noruega cae al 32° en el GTMI. Son países cuyas políticas calzan bien con el marco de la OCDE, pero que la ONU y el Banco Mundial evalúan bastante más atrás.

Otro grupo hace el camino inverso. Islandia es 17° en la OCDE, 4° en la ONU y 5° en el GTMI. Austria es 27° en la OCDE y 6° en el GTMI. Japón, Lituania, Eslovenia y Nueva Zelanda repiten el patrón: la ONU y el Banco Mundial los ubican bastante mejor que la OCDE.

Chile queda en un punto intermedio. Es 10° en la OCDE, 17° en el GTMI y 21° en la ONU. En el GTMI ocupa el lugar 35 de 197 economías y está en el grupo de mayor madurez. El salto en el DGI coincide con la implementación de la Ley 21.180 de transformación digital del Estado, pero los otros dos índices muestran a Chile en una posición bastante más modesta.

Costa Rica y México son los más consistentes. Costa Rica queda al final en los tres índices. México la acompaña en la OCDE y la ONU, y sube al 24° en el GTMI. Colombia, en cambio, muestra la brecha más grande de la región: 16° en la OCDE, 26° en el GTMI y último del grupo en la ONU.

El índice OCDE tampoco se parece a sí mismo

Entre 2023 y 2025, 22 de los 33 países presentes en ambas ediciones se movieron más de dos puestos, y ocho se movieron diez o más. Para un índice que mantiene sus seis dimensiones, es demasiado movimiento.

Chile pasó del 32 al 10 y su puntaje casi se duplicó, de 0,40 a 0,79. Japón subió 11 puestos e Israel 10. En sentido contrario, Lituania cayó 15, y Finlandia, Turquía y Polonia 13 cada uno. Cuesta explicar cambios así con dos años de política pública, sobre todo en países que se mueven poco en otras mediciones.

Chile pasó del lugar 32 al 10 en dos años. Ningún otro índice registra un salto parecido.

La historia se repite si se mira la edición piloto de 2019. Estas son las trayectorias de los países cuya posición de ese año se conoce:

Chile era 24° en 2019, cayó al 32° en 2023 y hoy está 10°. Japón cayó 26 puestos y luego recuperó 11. Islandia fue penúltimo en 2019 y saltó al 13 cuatro años después. Colombia, que en 2019 aparecía como el tercer mejor gobierno digital, hoy está en la mitad de la tabla.

Parte de la explicación está en que el universo de países cambia en cada edición. La de 2019 dejó fuera a Australia, Estados Unidos, Hungría, México, Polonia, Eslovaquia, Suiza y Turquía. La de 2023 excluyó a Alemania, Grecia, Eslovaquia, Suiza y Estados Unidos. La de 2025 sumó a Suiza, Eslovaquia y Grecia, que entraron directo a los puestos 13, 14 y 15. La propia OCDE advirtió que la edición 2023 no era comparable con la de 2019, lo que es honesto, pero deja al lector sin forma de saber cuánto del movimiento es avance real y cuánto es cambio de cuestionario, ya que lo más útil en estas herramienta es ver la seria (tendencia), más que la foto de un momento. Es mucho peor cuando el termómetro se cambia de una evaluación a otra y no hay forma de comprar.

Qué tan confiables son estos índices

Buena parte de las diferencias tiene explicación en cómo se construye cada índice.

• OCDE: El DGI lo responden los propios gobiernos, a través de sus agencias de gobierno digital, y la OCDE valida las respuestas. Mide si existen políticas, estrategias e instrumentos, sin mirar su calidad ni cuánto se usan. Los puntajes además están muy apretados: Noruega, Estonia, Irlanda y Dinamarca empatan en torno a 0,83, así que una centésima mueve varios puestos.

• Banco Mundial: El GTMI también se basa en lo que declaran los gobiernos, y la planilla trae un dato revelador. De 197 economías, 158 respondieron la encuesta y 39 fueron evaluadas a distancia por el Banco Mundial. Entre los 36 países de esta comparación, los evaluados a distancia son Francia, Noruega, Eslovaquia e Israel, que quedan en los lugares 25, 32, 35 y 36. Responder el cuestionario parece pesar tanto como tener los sistemas. La compresión es todavía mayor que en la OCDE: 20 de los 36 países están entre 0,80 y 0,90, y la distancia típica entre dos países consecutivos es de cinco milésimas. El borrador se compartió con los gobiernos antes de publicarse, y la validación usó herramientas de IA generativa, según el propio Banco Mundial.

Tres de los cuatro países que no respondieron la encuesta del Banco Mundial quedaron en el fondo de la tabla. Responder el cuestionario parece pesar tanto como tener los sistemas.

• Naciones Unidas: Dos de los tres componentes del EGDI, infraestructura de telecomunicaciones y capital humano, vienen de datos de la ITU y la UNESCO y no miden gobierno. El tercero, servicios en línea, lo evalúan investigadores y voluntarios revisando portales con una lista de chequeo, lo que premia tener funcionalidades publicadas más que la experiencia de uso. La normalización es relativa, así que los valores no se comparan bien entre ediciones.

Los dos índices que dicen medir madurez del gobierno digital, OCDE y Banco Mundial, dependen de lo que los gobiernos informan sobre sí mismos. Miden la existencia formal de políticas y sistemas, y en buena medida la capacidad de llenar bien un cuestionario. Ninguno de los tres mide resultados: si los trámites funcionan, si la gente los usa o si queda satisfecha. Por eso el salto de Chile del 32 al 10 deja abierta una pregunta incómoda: cuánto de la mejora viene de las políticas implementadas y cuánto de responder mejor el cuestionario. Con estos datos no se puede saber, pero la pregunta es legítima.

Cómo leer estos rankings

Ningún índice anticipa bien a los otros. Un país puede tener estrategias y sistemas bien documentados y servicios que la gente usa poco, o al revés. Para un tomador de decisiones, eso tiene tres consecuencias prácticas.

• La primera: citar un solo ranking para justificar una política es arriesgado. Cada índice premia cosas distintas, y elegir el que nos deja mejor parados dice poco del avance real.

• La segunda: las brechas entre índices son información útil. En el caso chileno, la distancia entre el 10° de la OCDE y el 17° del Banco Mundial o el 21° de la ONU apunta a dónde está el trabajo pendiente: servicios que la gente efectivamente usa, conectividad de calidad fuera de las grandes ciudades y competencias digitales de la población.

• La tercera: un ranking que se reordena tanto entre ediciones sirve poco para medir avances de un país. Antes de celebrar los 22 puestos de Chile, o de lamentar los 15 que perdió Lituania, habría que ver si el resultado se sostiene en la próxima versión y si otros índices lo confirman. Ya lo planteé cuando salió la edición 2023: este índice hay que mirarlo por trayectorias.

Dos advertencias metodológicas. Los puntajes OCDE 2025 se leyeron del gráfico publicado, por lo que son aproximados; las posiciones no cambian. Y los rankings de ONU y Banco Mundial se reordenaron solo entre estos 36 países, así que no corresponden a su posición mundial (Chile, por ejemplo, es 31° de 193 en el EGDI).

La entrada Tres rankings, tres países distintos: el gobierno digital según OCDE, ONU y Banco Mundial se publicó primero en Escritorio de Alejandro Barros.

Un informe de la Web3 Foundation modela lo que pueden saber de una persona común en 24 horas. En Chile, mientras tanto, la Ley 21.719 va camino a su primera prórroga sin que exista la agencia que debe hacerla cumplir.

Hace unos días, la Web3 Foundation publicó un informe que vale la pena leer con calma: Everyday Surveillance: What One Ordinary Day May Reveal About You. La Web3 Foundation es una fundación suiza sin fines de lucro, con sede en Zug, creada por Gavin Wood, cofundador de Ethereum y la persona que acuñó el término Web3 en 2014. El informe trata de responder la pregunta: ¿Qué pueden recolectar, generar o inferir sobre una persona común durante un día normal? Y lo interesante es el alcance: incluye las aplicaciones que uno elige usar y también los sistemas que operan alrededor sin que uno se haya inscrito en nada, como cámaras, lectores de patentes, plataformas escolares o medidores de electricidad.

Para responder la pregunta define seis hogares modelo, tres en Reino Unido y tres en Estados Unidos, los perfiles de esos hogares modelo eran: un soltero de 34 años, una familia con hijos de 8 y 11 años y una viuda de 75 que vive sola. Los siguieron durante 24 horas y contrastaron cada actividad con lo que dicen las políticas de privacidad, los términos de uso, la documentación técnica y las acciones de los reguladores.

Un día normal, miles de registros

Sam (soltero de 34 años) vive en Manchester, arrienda un departamento de un dormitorio y trabaja en modalidad híbrida. En su día no pasa nada especial: revisa mensajes, va a la oficina, compra, hace ejercicio, ve televisión y se duerme. Ese día queda vinculado a 68 organizaciones, unos 271 eventos de procesamiento de datos, más de 1.100 mediciones de su reloj inteligente y entre 60 y 190 grabaciones de cámaras que no son suyas.

El caso que más me llamó la atención es el de Margaret, la jubilada de 75 años. No usa reloj inteligente ni vive pegada al celular. Pero ve televisión cinco o seis horas al día en un Samsung con reconocimiento automático de contenido, la tecnología que identifica qué aparece en pantalla y lo asocia al hogar. Bajo los supuestos del modelo, eso genera unas 40.000 capturas en un día. Una tarde tranquila frente a la tele puede producir más registros que una hora en redes sociales.

Después están los niños. En la familia modelo de Leeds, 25 de las 88 organizaciones involucradas pueden recoger datos de los hijos. Entre los dos generan unas 100 capturas de cámaras escolares al día, y el sistema de monitoreo del colegio registra 11.400 pulsaciones de teclado a la semana, incluido lo que escribieron y borraron sin enviar. Ninguno de esos niños tiene edad para decidir nada sobre ese historial, que empieza a acumularse años antes de que puedan hacerlo.

Buena parte de todo esto ocurre sin que nadie haya apretado el botón acepto. Uno no firma nada al pasar frente al timbre con cámara del vecino. Un trayecto en auto queda registrado por el celular, por la aplicación de mapas, por el propio auto conectado y por los lectores de patentes, así que apagar una aplicación deja intacto el resto del rastro. Cualquiera que circule por las autopistas urbanas de Santiago con TAG sabe de qué estamos hablando.

La letra chica como coartada

El informe hizo un ejercicio que siempre quise ver cuantificado. Juntaron todos los documentos legales que aplican a cada hogar durante ese único día: 1.195 documentos con más de 5,38 millones de palabras. Leer lo que corresponde a un día de la familia de Leeds tomaría unas 83 horas. Lo que dicen esos documentos es bastante revelador.

Hace años escribí un post sobre el uso de Facebook como canal de atención de servicios públicos. Planteaba el caso de una señora que le reclama al Estado por Facebook porque no la atendieron bien por su diabetes, y me preguntaba qué iba a hacer la plataforma sabiendo eso. La autoridad a la que consulté me respondió hablando de cláusulas contractuales, y yo le insistía en que un contrato de adhesión no se negocia desde Chile. El informe de la Web3 Foundation responde esa pregunta con los documentos de las propias empresas: el 38% contempla recolectar datos sensibles, como salud, biometría, orientación sexual o religión, y tres de cada cuatro se reservan el derecho a inferir lo que el usuario no declaró.

Una historia larga en este blog

Llevo muchos años escribiendo sobre esto, y confieso que releer esos posts produce una mezcla de satisfacción y cansancio. Cuando escribí sobre cómo tratar la información de carácter personal, los principios básicos ya estaban claros: transparencia sobre qué se recolecta, propósito declarado, participación de las personas en el manejo de sus datos. Nada de eso era novedoso entonces y tampoco lo es ahora.

Después vinieron los casos concretos. El Estado mandándome correos masivos desde la Presidencia sin que yo hubiera dado mi dirección para eso. El proceso de compensación administrado por el SERNAC pidiendo datos sensibles sin explicar qué pasaría con esa base una vez terminado. El spammer que, cuando le pedí que me sacara de su lista, me exigió nombre, RUT y teléfono «por protocolo». En los comentarios de ese post escribí que lo de la ley de protección de datos parecía cuento, porque llevábamos cerca de una década discutiéndola. También cuestioné los rankings internacionales de ciberseguridad que ponían bien a un país sin ley de datos moderna.

La Ley 21.719 finalmente se publicó en diciembre de 2024, reemplazando la Ley 19.628 de 1999, que regía sin autoridad fiscalizadora propia y con multas simbólicas. En una columna en Ex-Ante sobre los desafíos de la nueva ley advertí que el pilar central era la Agencia de Protección de Datos Personales, y que armar una institucionalidad nueva desde cero es mucho más difícil de lo que parece en el papel.

Déjà vu: otra ley que se corre al 2027

Y aquí estamos. La Ley 21.719 debía entrar en vigencia el 1 de diciembre de 2026. El 1 de septiembre el Gobierno ingresó al Senado, con suma urgencia, un proyecto que la posterga hasta el 1 de diciembre de 2027 y que además modifica la estructura de la Agencia. Al momento de escribir esto, el Consejo Directivo de la Agencia todavía no se constituye, porque el Senado rechazó la primera propuesta de consejeros. Mientras el proyecto no se apruebe, la fecha legal sigue siendo diciembre de este año.

Hace unos meses, analizando la Ley 21.180 de Transformación Digital, escribí que una prórroga puede ser razonable si viene con recursos reales y un plan serio, y que lo problemático es correr el plazo sin resolver los problemas de fondo. Uno de los comentarios a dicho post decía: sin rediseño de fondo, vamos a ir saltando de prórroga en prórroga. Ahora tenemos dos leyes estructurales del Estado digital chileno con horizonte en 2027 y ambas con el mismo síntoma: la norma está escrita, la capacidad para cumplirla con serias dudas.

Lo he dicho en otras ocasiones: en tecnología, los reguladores tienden a quedar como espectadores con timbre. Mientras discutimos quiénes integran el consejo de la Agencia, cada televisor, cada auto conectado y cada aplicación de fidelización del retail sigue generando miles de registros diarios bajo reglas de 1999.

Lo que el informe enseña para Chile

Hay un hallazgo del estudio que me parece clave para nuestra discusión. Los hogares británicos, que viven bajo el GDPR del Reino Unido, uno de los marcos más exigentes del mundo, quedan vinculados a más organizaciones que sus pares en Estados Unidos. La regulación fuerte no reduce el volumen de datos que se generan. Lo que cambia es quién puede reutilizarlos, con qué reglas y qué camino tiene una persona para reclamar. En Estados Unidos, donde la protección depende del sector y del estado, el mismo dato de frecuencia cardíaca puede estar protegido en manos de un hospital y quedar a la intemperie en una aplicación de consumo.

La Ley 21.719 sigue la línea del modelo europeo, y eso está bien. Pero la ley por sí sola no protege a nadie. Lo que protege es una agencia con personas capaces de leer esos cinco millones de palabras de letra chica, de fiscalizar a grandes plataformas con equipos legales enormes y de sancionar cuando corresponde. Es exactamente la brecha que vengo describiendo con la 21.180: presupuesto, capital humano e infraestructura base.

Minimizar desde el diseño

El informe cierra con seis principios de diseño que recogen buena parte de lo que se discute hace años en el mundo de la identidad digital. Revelar solo lo necesario, por ejemplo acreditar que alguien es mayor de 18 años sin entregar su fecha de nacimiento. Dejar que las personas guarden sus propias credenciales verificables. Hacer que los permisos sean claros y fáciles de revocar. Responder una pregunta sin copiar todos los datos de fondo: un banco necesita saber que el ingreso supera cierto umbral, no dos años de cartolas. Permitir que los sistemas conversen sin facilitar el cruce de perfiles. Y proteger especialmente a quienes tienen menos margen para elegir, como niños y personas mayores.

La entrada Un día cualquiera, miles de registros sobre usted se publicó primero en Escritorio de Alejandro Barros.

China planifica el uso, Estados Unidos planifica la carrera y nosotros planificamos el reglamento

Hay una coincidencia de fechas que me tiene dando vueltas. China se puso como meta que en 2027 la tasa de penetración de terminales inteligentes y agentes de IA supere el 70%. Ese mismo año, 2027, es el plazo final de nuestra Ley 21.180 de Transformación Digital, y según el tablero que publiqué en abril, cerca del 40% de las instituciones del Estado chileno no va a cumplir. Ellos discuten cómo meter agentes de IA en fábricas, hospitales y municipios. Nosotros discutimos cómo lograr que nuestros servicios públicos habiliten ClaveÚnica.

La comparación es injusta, lo sé. China tiene 1.400 millones de habitantes, un aparato industrial gigantesco y un sistema político que no tiene que negociar cada peso en el Congreso. Pero justamente por eso vale la pena mirarla con calma, porque muestra una diferencia de enfoque que nada tiene que ver con el tamaño.

¿Qué dice realmente el plan «IA+»?

En agosto de 2025 el Consejo de Estado chino publicó sus lineamientos para implementar la iniciativa «IA+». Hay un análisis bastante detallado en inglés en el CSET de Georgetown y un resumen oficial en inglés. La lógica del plan toma lo que fue en su momento el plan de conectividad «Internet+» de 2015. La idea es IA más(+) manufactura, IA más(+) salud, IA más(+) gobierno. El documento define seis ámbitos: ciencia y tecnología, desarrollo industrial, mejora del consumo, bienestar de las personas, capacidad de gobernanza y cooperación global. Las metas son bien ambiciosas. Para 2027, la penetración de terminales inteligentes y agentes de IA debería superar el 70%; para 2030, el 90%; y para 2035 China entraría de lleno en una nueva etapa de economía y sociedad inteligentes.

Hay algunas cosas sobre las que quedan dudas, Matt Sheehan, investigador del Carnegie Endowment que lleva años estudiando cómo se hace la política de IA en China, lo resume bien: el texto no menciona la AGI como motor de estos cambios y le dedica poca atención a los modelos de frontera. Se concentra en cómo aprovechar la IA que ya existe hoy para cumplir los objetivos económicos, sociales y políticos del Partido. Es un plan de difusión, de uso, cuyo objetivo es que la tecnología llegue a los lugares donde debe ser usada.

Y en la parte del sector público es más concreto. Habla de avanzar de forma segura, estable y ordenada en el uso de IA en la administración pública, con un modelo de servicios que identifique necesidades con precisión, planifique la atención de manera proactiva y resuelva los trámites de principio a fin con apoyo inteligente.

Washington juega otro partido

Un mes antes, en julio de 2025, la Casa Blanca había publicado su propio plan. El título era bastante elocuente: «Winning the Race». Son más de 90 acciones de órganos federales orientadas a asegurar el «dominio» estadounidense en IA, en un giro explícito desde el enfoque regulatorio basado en riesgos de la administración anterior hacia un entorno desregulado y de alianza con la industria. El documento lo plantea sin rodeos: quien tenga el ecosistema de IA más grande fijará los estándares globales y se quedará con los beneficios económicos y militares.

Las prioridades de Washington son sacar regulación del camino, como lo muestra reciente instructivo de su de su presidente, acelerar permisos para centros de datos y energía, y exportar tecnología. El tercer pilar apuesta por exportar el «stack» completo de IA estadounidense (hardware, modelos, software, aplicaciones y estándares) a aliados y socios, y declara abiertamente el objetivo de contrarrestar la influencia china. Un detalle que conviene no olvidar: el plan en buena medida no se ejecuta solo, y varias de sus medidas requieren acción del Congreso, incluyendo recursos presupuestarios.

O sea, Estados Unidos planifica la carrera: frontera tecnológica, infraestructura y exportación. China planifica la adopción masiva. Son dos apuestas distintas y ambas tienen lógica para quien las formula.

El pesimismo de Sheehan me sonó conocido

Lo más interesante del análisis de Sheehan sobre el plan de China es que no le cree todo. Plantea que estos documentos funcionan como un sistema de «llamado y respuesta»: el gobierno central da la señal, y funcionarios locales, empresas e inversionistas corren a hacer algo, lo que sea, para mostrar que están alineados. Así funcionó con planes anteriores Internet+ en 2015 y con el plan de IA de 2017. Pero según el autor, esta vez, dice, las condiciones no están.

Sus razones son, los gobiernos locales chinos no tienen la caja para repetir la receta, el capital de riesgo está golpeado y desconfía del gobierno, y integrar IA en sectores tradicionales es mucho más difícil que las integraciones livianas de la era Internet+, como pagos móviles o pedidos en línea. Los números de inversión son elocuentes: el capital privado en empresas chinas de IA tuvo su peak en 2021, con 974 operaciones por unos 25.000 millones de dólares, y en 2024 cayó a 510 operaciones por 8.600 millones. Su conclusión es que se inclina por el escenario pesimista.

Sheehan agrega un matiz que conecta con mi obsesión de siempre entre adopción y uso. Recuerda que después de DeepSeek muchas empresas estatales y gobiernos locales corrieron a adoptarlo, y que una revisión posterior calificó esa adopción como superficial, estrecha y lenta. Tampoco la meta del 70% es tan clara como parece. Sheehan consultó a varios especialistas, incluidos chinos con formación legal y en políticas públicas, y nadie supo decirle con certeza si ese porcentaje se refiere a los seis ámbitos prioritarios o a toda la economía.

Hay otro detalle en esa meta. El documento no define explícitamente qué es un terminal inteligente, pero los ejemplos que da son autos conectados, teléfonos y computadores con IA, robots, dispositivos de hogar inteligente y vestibles. Lo que se mide, entonces, son aparatos y agentes de IA en circulación, un indicador de adopción. Un 70% de teléfonos con IA dice poco sobre si un hospital o un municipio chino cambió de verdad sus procesos. Una meta así funciona como señal política. Eso también lo conocemos.

El detalle que más envidio

Con todos sus problemas, el plan chino tiene dos o tres cosas que me gustaría ver en nuestros documentos de política pública, y ninguna cuesta mucha plata.

La primera es lo que Sheehan llama «la política como permiso». El texto pide perfeccionar los sistemas de gestión de ensayo y error, y de tolerancia a fallas, en las aplicaciones de IA. Traducido a nuestra realidad: al funcionario que experimenta y le va mal no hay que crucificarlo. Washington, dicho sea de paso, va en una línea parecida cuando promueve una cultura de «probar primero» en grandes organizaciones y en el propio gobierno federal. Pienso en cuántos jefes de servicio en nuestros países no se atreven a probar nada porque el costo personal de un piloto fallido (sumario, observación del órgano contralor, titular en la prensa) es infinitamente mayor que el beneficio de un piloto exitoso. Esa asimetría mata la innovación pública más que cualquier falta de presupuesto.

La segunda es que el documento se hace cargo del empleo. En la lectura de Sheehan, pide evaluar los riesgos que las aplicaciones de IA traen para el empleo, y en cualquier lectura pide orientar recursos de innovación hacia áreas con alto potencial de creación de trabajo para reducir el impacto.

La tercera es la mirada sobre datos. El plan propone adecuar los derechos de propiedad de datos y el régimen de derecho de autor al desarrollo de la IA, y abrir de forma legal los contenidos protegidos generados por proyectos con financiamiento público. Uno puede estar en desacuerdo con la parte de derechos de autor (yo tengo varias dudas), pero la idea de que lo pagado con plata pública debe estar disponible para construir es una discusión que en la región ni siquiera hemos empezado en serio.

¿Y nosotros en qué liga jugamos?

Chile lidera el Índice Latinoamericano de Inteligencia Artificial. En el ILIA 2025, elaborado por CENIA con apoyo de CEPAL, Chile obtuvo 70,56 puntos, seguido por Brasil con 67,39 y Uruguay con 62,32. Nos gusta repetirlo. Pero un columnista ecuatoriano lo dijo con una metáfora futbolera que me pareció exacta: el ILIA mide a países que juegan una liga juvenil, mientras Estados Unidos y China juegan el mundial. Y hay datos que deberían incomodarnos: 11 de los 19 países medidos todavía no superan los 50 puntos en infraestructura digital.

Mientras China escribe un plan de uso y Estados Unidos uno de carrera, nuestra conversación principal ha sido regulatoria. El proyecto de ley de IA chileno lleva años en el Congreso. Lo presentó el Ejecutivo en mayo de 2024, la Cámara lo aprobó el 13 de octubre de 2025 y desde entonces está en segundo trámite en la Comisión de Desafíos del Futuro del Senado, sin fecha de votación. En julio de 2025 la Comisión de Hacienda rechazó su informe financiero, y a mayo de este año el presidente de la comisión anticipaba una probable indicación sustitutiva, lo que cambiaría el diseño completo de la futura ley. El Ejecutivo actual, además, presentó al Senado una propuesta propia de ley marco de IA orientada a la innovación, la productividad y la competitividad. Con eso el giro de énfasis queda sobre la mesa, pero seguimos en el terreno de la norma.

Y no es solo Chile. Entre enero de 2025 y febrero de 2026 los congresos latinoamericanos presentaron al menos 201 proyectos de ley sobre tecnologías digitales, según el Observatorio Legislativo del CELE. Doscientos proyectos. Me pregunto cuántos planes de adopción con metas, presupuesto y responsables se aprobaron en el mismo período. Sospecho que la cifra cabe en los dedos de una mano. Brasil es la excepción más visible, con un plan nacional que al menos le puso cifras de inversión a la conversación.

Preguntas incómodas

La primera tiene que ver con quién nos vende el stack. Washington quiere exportar paquetes completos de IA estadounidense a sus aliados. Beijing, en su plan, dice que quiere ayudar a los países del Sur Global a fortalecer sus capacidades en IA y promover el código abierto. Para Chile esto dejó de ser una pregunta teórica. En junio firmamos la declaración sobre IA de Pax Silica y la semana pasada el gobierno adhirió al Escudo de las Américas. La Moneda lo presenta como cooperación contra el crimen organizado, pero la declaración tiene un capítulo económico que incluye mecanismos para seleccionar inversiones y regulación para «proveedores de confianza» en infraestructura digital. O sea, una parte de la decisión sobre quién podrá construir nuestra infraestructura digital, y más adelante la de IA, se tomó en una cumbre en Nueva York y no en una discusión de política digital. Si eso requería pasar por el Congreso ya lo está revisando la Contraloría. La experiencia en compras tecnológicas del Estado no invita al optimismo.

La segunda es sobre el Estado como usuario. Si en 2027 vamos a tener un 40% de instituciones públicas sin cumplir la Ley 21.180, con municipios que operan en papel y planillas, ¿de qué IA en el sector público estamos hablando? Los agentes inteligentes necesitan procesos digitales, datos estructurados e interoperabilidad. Sin esa base, la IA en el Estado va a ser un piloto vistoso en tres ministerios y una presentación en PowerPoint en el resto.

La tercera es la más incómoda. Sheehan duda de que el plan chino funcione porque faltan plata, confianza y capacidad de integración. Nosotros tenemos menos plata, menos capacidad y un Estado que castiga el error. Si el pesimismo es razonable para China, ¿con qué argumento podemos ser optimistas acá sin un plan que se haga cargo de esas tres brechas?

La entrada Plan AI+ de China se publicó primero en Escritorio de Alejandro Barros.

Una entrevista en CCN, explosivas declaraciones de ex-empleados de Anthropic, y múltiples reacciones al respecto.

En los ultimos días se ha generado mucho revuelo mediático con declaraciones de ex-empleados de Antropic, y las múltiples reaciones que esas declaraciones han generado, leyendo todo aquello he quedado con una sensasión rara: la conversación sobre los riesgos de la inteligencia artificial ya no la empujan los académicos críticos ni los reguladores. La empujan los ingenieros que entrenan los modelos.

¿Qué pasó?

Jacob Coxon, 27 años, empleado de Anthropic del área de pre-entrenamiento renunció a Anthropic y lo anunció en X. Antes había trabajado en OpenAI. Su mensaje fue directo: ninguna de las dos empresas está actuando de manera responsable, van corriendo hacia una superinteligencia que se automejora y están apostando con nuestras vidas.

Al día siguiente pasó por CNN con Anderson Cooper, por NBC y por Fox News, y ahí moderó su propio titular. Los modelos de hoy no son el problema: lo peor que pueden hacer, dijo, es hackear algo. Lo que lo asusta es la velocidad y la automejora recursiva, una IA que revisa su propio código y se hace cada vez más poderosos. 

Hay que decir que Coxon preparó bien su entrada en escena, contó en la misma entrevista que el hilo de X lo escribió en un Google Doc, lo editó con un amigo y le pidió a un par de conocidos que lo retuitearan para hacerlo viral. 

La cuenta X desde la que publicó se abrió en enero de este año y tiene once publicaciones en total. La entrevista exclusiva del Wall Street Journal salió antes que la publicación de X. Toda una planificación entrevista, hilo de X preparado con tiempo, y múltiples entrevistas en diversos medios.

Incluso algunos han tratado de desacreditar al mensajero, Coxon es quien dice ser, pero no deja de ser curioso el proceso comunicacional, ya hemos visto en el pasado declaraciones y predicción en materias de IA, incluso han dado para memes. No hay que perder el juicio crítico frente a estas situaciones.

Lo que estoy diciendo es otra cosa: el mensajero es auténtico y el momento fue bastante producido. Las dos cosas pueden ser ciertas a la vez, pero conviene saber cuál de las dos estamos leyendo, sobre todo cuando lo que se está midiendo es la conmoción pública.

Evan Hubinger, que lidera un equipo de seguridad en Anthropic, lo respaldó con un número que no se puede desdecir: más de 10% de probabilidad de que la IA mate a todos los humanos en la próxima década, y el reconocimiento de que no tienen resuelto cómo alinear una superinteligencia. Días antes, Jakub Pachocki, científico jefe de OpenAI, había escrito algo equivalente. Anthropic respondió a CNN con lo esperable: que siempre fueron transparentes sobre beneficios y riesgos, que construyen con las salvaguardas más fuertes de la industria y que el mundo estaría mejor si existiera una forma legal y verificable de coordinar el ritmo de los lanzamientos. OpenAI no dijo nada.

Sabemos cómo controlar las armas nucleares. Todavía no sabemos cómo controlar la IA.Jacob Coxon, en Fox News, 9 de septiembre de 2026

Marcus le contesta a Cooper

Luego entró Gary Marcus a la polémica. Marcus tituló en su sitio, sin sutileza: no, Anderson Cooper, la IA no va a matar a todos los humanos el 2030. Parte defendiendo a Coxon de los ataques que le llovieron, mentiras sobre cuánto tiempo trabajó en Anthropic, una de ellas derivada, con ironía suprema, de un perfil suyo generado por IA y eso le da autoridad para lo que viene después: hay que separar lo que Coxon está en condiciones de testimoniar de lo que está especulando. 

Marcus dice, sobre el estado de ánimo dentro de esas empresas es testigo directo y su palabra vale. Sobre cómo se extingue una especie no tiene más autoridad que cualquiera de nosotros. Los medios casi nunca hacen esa distinción, y nosotros tampoco.

Después desarma el esquema clásico del catastrofismo. Que la superinteligencia llegará, probablemente sí, pero difícilmente al 2030. Que buscará eliminarnos, no hay evidencia: ningún sistema, ha exhibido jamás algo parecido a un motivo. Y que no podríamos resistir, tampoco: la inteligencia no es lo mismo que el poder, y suponer que una máquina anticiparía cada contramovida humana sin que nos diéramos cuenta no es suponer inteligencia, es suponer omnisciencia.

Marcus sostiene que el efecto neto de una década de discurso apocalíptico ha sido hacer a las empresas de la frontera más ricas y más poderosas: cada vez que alguien grita que la IA nos va a matar a todos, los fondos de capital de riesgo ponen unos miles de millones más. El catastrofismo, que se presenta como crítica, terminó funcionando como el mejor departamento de marketing que estas compañías podrían haber contratado, y de paso ayudó a concentrar poder en muy pocas manos. 

Incluso las declaraciones de Coxon han generado una rápida respuesta desde la política, muchos legisladores en EEUU han levantado la mano para pedir esfuerzos en materias de regulación, veremos que ocurre.

Fernando de la Torre planteaba en Mensajes para una IA al servicio de la humanidad, libro cuyo comité editorial integré: el mayor peligro que enfrentamos hoy no es la máquina, es el 1% que concentra el poder tecnológico.

A partir de todas estas declaraciones y debate, hay que hacer una distinción para ordenar la discusión, esto es, el riesgo existencial, la extinción literal de la especie, es muy poco probable. Pero el riesgo catastrófico que es otra cosa: que muera un porcentaje relevante de la población o que se dañe severamente la civilización, este riesgo si es mayor ya que la IA facilita el diseño de armas biológicas, abarata la desinformación hasta niveles que la democracia no aguanta, aumenta la exposición de la banca y de la red eléctrica a ciberataques, le entrega a los autoritarismos una vigilancia que Orwell no alcanzó a imaginar y ya está haciendo daño en la educación (ver los últimos resultados de la PISA recientemente publicados).

Nada de eso requiere una superinteligencia: requiere lo que ya tenemos, mal desplegado y con escasa regulación. Y yo le agregaría a esa lista un ítem que a Marcus se le queda fuera y que desarrollé en febrero acá mismo, a propósito del paper How AI Destroys Institutions de Hartzog y Silbey, esto es, el daño institucional. Instituciones que siguen operando pero vaciadas de sentido, que procesan trámites sin deliberación, sin aprendizaje y sin legitimidad. Estados que funcionan pero ya no gobiernan. Modernizar no es acelerar, digitalizar no es automatizar y gobernar no es optimizar. Esa es la lista sobre la que un país como Chile sí puede hacer algo, y llega mucho antes que cualquier singularidad.

Hugging Face, o cómo se ve una auditoría que no es auditoría

Muchas de las últimas declaraciones se basa y/o hace referencia al hackeo de Hugging Face, que OpenAI reconoció que sus propios modelos fueron responsables del hackeo. Lo que apareció después es lo interesante: los agentes habrían creado su propio canal de mensajería para coordinarse, buscaron vulnerabilidades en otros sistemas y coordinaron cómo evadir el monitoreo, incluyendo el plan de sacrificar a uno de ellos como señuelo.  Un paréntesis necesario, porque acá se está deformando el relato: Coxon lo contó en CNN como si los agentes hubieran actuado por su propia voluntad, y Marcus precisa que fue un ejercicio de entrenamiento con parte de las barreras desactivadas a propósito. Una cosa es una máquina que se sale del corral sola y otra es un ensayo en el que se abrió el corral para ver qué pasaba.

Que haya sido un ensayo no lo vuelve irrelevante, al contrario: mostró que con las barreras abajo el sistema hace exactamente lo que uno teme. Según reportó el New York Times, OpenAI entregó información a los auditores independientes, METR y Redwood, realizaran una auditoría de lo que ocurrió con Hugging Face, pero dictando los términos: una sola semana de datos y acceso limitado al resto. Cualquiera que haya hecho un peritaje sabe lo que eso significa. Si el auditado define el alcance de la auditoría, eso no es una auditoría. 

«Son exageraciones»

Conversé con varios expertos respecto de las declaraciones Coxon, y su respuesta fue bastante coincidente: «son exageraciones» pero si lo que dice llega a pasar no hay mucho que hacer porque estas empresas no se van a detener por si solas en el desarrollo de los modelos de frontera, algo tiene que decir la regulación al respecto. Algunos van más lejos, como Scott Galloway, experto y profesor de NYU, que dijo en una entrevista “AI doomsday talk could be fundraising strategy” (Las advertencias sobre un apocalipsis por IA podrían ser una estrategia para recaudar fondos).

Incluso los CEO’s de las grandes de la IA, esto es, Dario Amodei, CEO de Anthropic como Sam Altman, CEO de OpenAI, está declarando su preocupación por los modelos de frontera, al parecer esta vez sí que se les escucha preocupados, ¿qué tan sinceras son sus precauciones o será parte de una estrategia de marketing?.

Llevo años pidiendo mirar la IA más allá del hype y tomar distancia de los vendedores de humo, así que la primera mitad de la frase me suena conocida. Lo que no había pensado hasta esta semana es que la profecía apocalíptica también vende.

Pero vale la pena tomarse esa reacción en serio, porque es la que uno escucha en todas partes y porque tiene un problema. Las dos mitades no se sostienen juntas. Si son exageraciones, no hay razón para el fatalismo. Y si no lo son, el fatalismo es precisamente el mejor argumento para regular. 

Además, el «no se puede detener» mezcla dos cosas distintas. Frenar el desarrollo en la frontera, cierto, no depende de nosotros y nunca dependió. Gobernar los usos, qué entra a la operación del Estado, con qué trazabilidad, con qué responsabilidad del proveedor cuando el sistema falla, sí depende de nosotros.

Y hay un detalle que se pasa por alto: el propio Coxon dijo que las empresas están pidiendo que las regulen, y fue explícito en que su problema no es la mala fe de Dario Amodei sino la carrera, porque nadie puede ser tan riguroso como quisiera cuando el competidor no lo es. Eso tiene nombre técnico, es un problema de acción colectiva, y es exactamente el tipo de falla que la regulación existe para resolver. «No quieren detenerse» no es un contraargumento, es el diagnóstico. Por eso, dicho sea de paso, el boicot de consumo que propone Marcus me parece bien intencionado pero poco realista.

Cosas que sí podemos hacer

Al mirar este debate y las informaciones de prensa, los únicos actores mencionados son EEUU y China, el resto del mundo tiene poco y nada que decir, o al menos es lo que se desprende de las declaraciones. Pero creo que esto tiene algunas consenciencias a la hora de adoptar IA por parte del Estado, aquí algunas cosas.

• Primero, exigir explicabilidad y trazabilidad en las bases de licitación cuando el Estado compre IA, con capacidad real de verificarlas. Si el proveedor no puede explicar cómo se registra y se reconstruye una decisión automática, no está en condiciones de venderle al Estado. 

• Segundo, líneas rojas explícitas. Agentes con autonomía de acción sobre infraestructura crítica y sobre sistemas que afectan derechos de las personas: no. Humano en el circuito, con capacidad efectiva de detener el proceso y no como formalidad de manual. Lo he dicho antes y lo repito: toda automatización es una decisión política disfrazada de solución técnica, y por eso no puede quedar entregada al criterio del proveedor.

• Tercero, lo aburrido de siempre: capacidad instalada en el Estado para auditar. La vitamina I, implementación. Sin gente que entienda de esto adentro del sector público, todo lo anterior es papel.

Me quedo con esto: los que construyen la tecnología dicen en televisión abierta que no saben controlarla, el regulador que debería mirarlos acepta los términos que ellos le imponen, y nosotros los países que vamos a recibir todo esto ya empaquetado, no estamos en el debate.

No sé cuál es la probabilidad de que la IA nos mate a todos, y por lo que he leído esta semana, es bastante más baja de lo que sugirió el titular de CNN. Sí sé cuál es la probabilidad de que nos llegue sin que tengamos idea de cómo fiscalizarla. Esa es alta, y no depende de ninguna singularidad.

La entrada Hablaron los que construyen la IA, el resto seguimos mirando de lejos se publicó primero en Escritorio de Alejandro Barros.