En junio de 2024, el presidente Donald Trump firmó una orden ejecutiva (EO) que, bajo el pretexto de proteger la seguridad nacional, establece restricciones específicas sobre el uso y la distribución de modelos de inteligencia artificial en Estados Unidos. Si bien la medida busca "garantizar que los modelos críticos estén bajo control gubernamental", los expertos advierten que la política podría acentuar la exclusividad de los proveedores de IA y, paradójicamente, debilitar a los profesionales encargados de la defensa cibernética.
Un marco que favorece a los grandes jugadores
La EO establece que sólo los modelos de IA desarrollados por empresas que cumplan con criterios de "confianza y resiliencia" podrán ser empleados en infraestructuras críticas, como redes eléctricas, sistemas de transporte y plataformas financieras. Estos criterios incluyen auditorías de seguridad, certificaciones de privacidad y la obligación de compartir ciertos datos de entrenamiento con agencias federales.
Para los gigantes del sector, como OpenAI, Microsoft y Google, la normativa representa una oportunidad de consolidar su posición dominante. Al cumplir con los requisitos, sus modelos recibirán una especie de "sello oficial" que facilitará su adopción por parte de organismos públicos y corporaciones privadas. En contraste, startups y laboratorios académicos, que a menudo carecen de recursos para costear auditorías exhaustivas, podrían quedar excluidos del mercado estadounidense.
Brechas que ponen en riesgo a los ciberdefensores
Aunque la intención declarada es reforzar la seguridad, la EO presenta lagunas que podrían afectar negativamente a los equipos de ciberseguridad. En primer lugar, la normativa obliga a los proveedores a compartir datos de entrenamiento con el gobierno, pero no especifica mecanismos claros de control ni garantías de confidencialidad. Esto genera incertidumbre sobre la posible exposición de vulnerabilidades ocultas en los modelos, que los atacantes podrían explotar.
En segundo lugar, la exclusividad de los proveedores aprobados limita la diversidad de herramientas a disposición de los analistas de seguridad. La práctica de "defensa en profundidad" se basa precisamente en la variedad de soluciones para contrarrestar amenazas emergentes. Si sólo se permite el uso de un puñado de modelos, los equipos de respuesta ante incidentes perderán flexibilidad y capacidad de adaptación.
Repercusiones para la innovación y la competitividad global
A nivel internacional, la medida podría aislar a EE. UU. de la corriente de innovación abierta que caracteriza al ecosistema de IA. Países como la Unión Europea y China están impulsando marcos regulatorios que, aunque estrictos, fomentan la colaboración entre startups, universidades y grandes corporaciones. Al cerrar la puerta a los actores más pequeños, Estados Unidos corre el riesgo de perder talento y de quedar rezagado en la carrera por la supremacía tecnológica.
Además, la EO podría desencadenar respuestas de retaliação por parte de aliados que dependan de tecnologías estadounidenses. Si los socios estratégicos no pueden acceder a los mismos modelos, la interoperabilidad de sistemas críticos (por ejemplo, defensa aérea o gestión de crisis) se verá comprometida.
Qué pueden hacer los profesionales de ciberseguridad
Los equipos de seguridad deben anticiparse a los cambios y adoptar una estrategia proactiva:
- Diversificar herramientas: Mantener un portafolio que incluya soluciones de código abierto y de proveedores no estadounidenses, siempre que cumplan con estándares de seguridad.
- Auditar internamente: Implementar procesos de revisión de modelos propios, evaluando posibles sesgos y vulnerabilidades antes de su despliegue.
- Participar en la normativa: Involucrarse en los foros de consulta pública que el gobierno abre para afinar la EO, aportando la perspectiva de los defensores de la ciberseguridad.
- Formación continua: Capacitar al personal en técnicas de "prompt engineering" y detección de anomalías en salidas de IA, habilidades cada vez más críticas.
Conclusión
La orden ejecutiva de Trump representa un giro significativo en la política de IA de EE. UU., buscando centralizar el control sobre los modelos más poderosos. Sin embargo, al favorecer la exclusividad de unos pocos proveedores y al omitir salvaguardas claras para los datos de entrenamiento, la medida podría terminar perjudicando a quienes están en la primera línea de defensa contra ciberamenazas. La comunidad tecnológica y los reguladores deberán equilibrar la seguridad nacional con la necesidad de mantener un ecosistema diverso, innovador y resiliente.
En última instancia, la capacidad de los defensores cibernéticos para adaptarse a este nuevo marco determinará si la EO se traduce en una verdadera mejora de la seguridad o en una vulnerabilidad estructural para la infraestructura crítica de Estados Unidos.
