Sam Altman testifica en el Senado de EE.UU.: el momento que cambia la conversación regulatoria de IA

Ayer, 16 de mayo, Sam Altman, CEO de OpenAI, compareció ante el Subcomité de Privacidad, Tecnología y Ley del Senado de Estados Unidos. La parte que rompió la pauta histórica de la industria tecnológica: pidió expresamente que se regule la inteligencia artificial. Pidió un sistema de licencias para modelos de frontera, estándares de seguridad obligatorios, auditorías independientes y, en sus palabras, "una agencia federal o internacional con autoridad real".

El gesto contrasta con dos décadas de líderes de Silicon Valley resistiendo cualquier marco regulatorio. Para empresas que están construyendo sobre IA, sean usuarias o proveedoras, esto no es un episodio aislado de Washington. Es la señal más clara hasta ahora de que el marco regulatorio está por endurecerse en múltiples jurisdicciones, y que la ventana de operar sin compliance estructurado se está cerrando.

Qué pidió Altman exactamente

La sesión duró cerca de tres horas. Las propuestas concretas que Altman puso sobre la mesa.

• Sistema de licencias para empresas que entrenen modelos por encima de cierto umbral de capacidades. Una licencia que se otorga, se mantiene y se puede revocar si la empresa incumple estándares.
• Estándares de seguridad obligatorios definidos por una autoridad técnica, con pruebas que cualquier modelo de frontera deba pasar antes de su despliegue público.
• Auditorías independientes por terceros con acceso técnico real al modelo, no solo a su comportamiento externo.
• Etiquetado claro de contenido generado por IA, especialmente en contextos electorales y mediáticos.
• Cooperación internacional, con un cuerpo análogo a OIEA pero para modelos de IA avanzada.

Es importante notar que estas propuestas, vistas con criterio competitivo, también consolidan la posición de OpenAI. Cualquier régimen de licencias eleva la barrera para nuevos entrantes y deja a los incumbentes con ventaja. La conversación es más matizada que "el bueno pidió regulación".

Lo que ya está en marcha en otras jurisdicciones

La testificación de Altman llega en un momento donde varios procesos regulatorios ya estaban avanzando en paralelo.

Unión Europea. El AI Act está en negociación final entre Comisión, Parlamento y Consejo. Probablemente entre en vigor en 2024 con un periodo de gracia. Define cuatro categorías de riesgo (inaceptable, alto, limitado, mínimo) con obligaciones distintas. Los modelos de propósito general, incluyendo los modelos generativos, ya se incorporaron al texto en discusión.

Reino Unido. En marzo publicó un libro blanco con un enfoque más liviano, distribuyendo la regulación entre reguladores sectoriales existentes (CMA, ICO, FCA) en lugar de crear una nueva agencia. Apuesta por flexibilidad para atraer inversión.

China. Adelantó borrador de regulaciones para servicios de IA generativa con énfasis en alineación con valores socialistas, registro de algoritmos y responsabilidad del proveedor sobre el contenido generado.

Estados Unidos. Sin marco federal aún, pero la AI Bill of Rights de octubre 2022 marca dirección. Es probable que en los próximos meses surjan executive orders y propuestas legislativas concretas tras la audiencia de ayer.

México. Sin marco específico, aunque el Senado mexicano ha celebrado mesas de discusión y la Estrategia Digital Nacional menciona IA. La LFPDPPP aplica en lo relevante a datos personales procesados con IA.

Qué significa para una empresa mediana mexicana

La pregunta práctica: ¿qué tiene que hacer hoy una empresa que despliega IA generativa, sin perderse en discusiones que se van a resolver en años?

El error es esperar al texto regulatorio definitivo para empezar a actuar. El compliance retroactivo es caro, lento y muchas veces obliga a rediseñar productos. El acierto es construir sobre principios que ya están consolidados en todas las regulaciones que se vienen, y que casi seguro van a estar en cualquier marco mexicano futuro.

Inventario de sistemas de IA. Lista de todos los sistemas, propios o de terceros, que usan IA generativa en tu organización. Para cada uno: caso de uso, datos que procesa, modelo que usa, decisiones que toma o asiste, riesgo asociado. Sin este inventario, cualquier conversación regulatoria es a ciegas.

Clasificación por riesgo. No todos los usos son iguales. Asistir a un equipo de marketing a redactar correos es bajo riesgo. Decidir si se aprueba un crédito o se contrata a una persona es alto riesgo. Aplicar a tu inventario un esquema simple de tres niveles te ordena por dónde empezar.

Documentación mínima por caso. Para cada uso de riesgo medio o alto: descripción del propósito, descripción del modelo, datos de entrenamiento conocidos, datos de inferencia, métricas de desempeño, sesgos identificados, mecanismos de revisión humana, política de retención. Es la base de cualquier auditoría futura.

Política interna de uso de IA. Documento corto, accesible para toda la organización, que defina qué se puede hacer con IA generativa, qué información no se puede compartir con modelos externos, cómo se etiqueta contenido generado, qué procesos requieren revisión humana antes de publicar o decidir.

Mecanismo de respuesta a derechos. Si un titular de datos pide acceso, rectificación o supresión de información que está en o salió de un modelo, ¿quién en tu empresa atiende? ¿En qué plazo? ¿Con qué proceso?

El timing práctico

Una empresa mediana puede correr este orden básico de compliance de IA en 60 a 90 días, sin contratar área dedicada. Si esperas a que el AI Act europeo entre en vigor, o a que México publique su propia ley, vas a tener menos tiempo, vas a hacerlo bajo presión, y probablemente vas a pagar consultoría más cara en condiciones menos favorables.

Las empresas que vemos avanzando con menos fricción son las que están construyendo este marco como inversión en madurez operativa, no como cumplimiento defensivo. Cuando el marco regulatorio llegue, ya tienen 80 por ciento del trabajo hecho.

Qué viene en los próximos seis meses

Tres apuestas razonables para cerrar 2023.

El AI Act europeo va a aprobarse en versión cercana a la actual. La Casa Blanca probablemente publique una orden ejecutiva sobre IA antes de fin de año. En México y América Latina la conversación va a moverse de mesas a borradores legislativos. Y los compradores corporativos, sobre todo en sectores regulados, van a empezar a pedir documentación de IA en los procesos de adquisición.

---

¿Quieres preparar tu compliance IA antes de que sea reactivo? Conversemos. En ALCA tenemos un marco de gobernanza de IA que se implementa en 60 días con tu equipo. Agenda una llamada de 30 minutos y revisamos por dónde empezar.