EscucharEn marzo, drones iraníes atacaron tres instalaciones de Amazon Web Services en Bahréin y los Emiratos Árabes Unidos, impactando directamente en dos de ellas y casi alcanzando a la tercera. Era la primera vez que un centro de datos comercial se convertía en objetivo militar, pero casi nadie fuera de los círculos especializados se dio cuenta. Deberían haberlo hecho. Los servidores que almacenan los datos de un país y los chips que ejecutan los modelos de IA de los que depende cada vez más su economía ya no son una infraestructura secundaria. Son tan estratégicos como los puertos o las redes eléctricas, y están igual de expuestos.
Durante gran parte de la última década, los datos eran algo que las empresas extraían, y la IA era algo que las empresas vendían -ambos aspectos estaban regulados de forma marginal por la legislación sobre privacidad, si es que estaban regulados-. Este enfoque ya no funciona. La IA ahora está presente en las finanzas, la defensa, la atención sanitaria y la administración pública, y funciona gracias a dos elementos que la mayoría de los gobiernos no controlan realmente: los datos con los que se la entrena y la capacidad de cálculo que la procesa. Los países que ignoren esto verán cómo su futuro se decide en salas de directorio en las que no tienen ni voz ni voto.
Muchos gobiernos han tomado nota. Según informes, el gasto global en “IA soberana” superará los 100.000 millones de dólares este año. En los últimos meses, Canadá, Francia, Arabia Saudita y los Emiratos Árabes Unidos han puesto en marcha fondos nacionales de computación y asignaciones de GPU. La Unión Europea ha ido más allá, tratando la infraestructura de IA soberana casi como una doctrina, lo que ha supuesto respaldar a Gaia-X para desarrollar la infraestructura de datos europea y financiar proyectos como el nuevo centro de datos de Mistral AI en las afueras de París.
En los papeles, esto parece una diversificación sensata que se aleja de un puñado de empresas estadounidenses y chinas. En la práctica, se corre el riesgo de crear algo más frágil: un mosaico de fortalezas nacionales, cada una autosuficiente y ninguna capaz de comunicarse con las demás. Parte del problema radica en que la “soberanía de la IA” abarca al menos tres aspectos, y la mayoría de los gobiernos solo está trabajando en uno.
La residencia de los datos -mantener los datos de los ciudadanos dentro de las fronteras nacionales- es el más antiguo de las tres, el más fácil de legislar y el que, en realidad, más se aborda en las políticas. La soberanía informática -quién es propietario de los chips y los centros de datos que realizan el procesamiento- es más difícil: un país puede aislar sus datos, pero pierde el control si esos datos se procesan en una infraestructura que sea propiedad de terceros. La soberanía de la gobernanza -la capacidad de fijar las reglas que deben seguir los sistemas de IA, en lugar de importar cualquier estándar que establezca el país que acoge a los desarrolladores dominantes- es el aspecto del que casi nadie habla.
Un panorama regulatorio fragmentado no ayuda en absoluto a resolver esto. Aproximadamente 90 países hoy cuentan con algún tipo de estrategia nacional en materia de IA; al menos 33 han aprobado legislación vinculante. Pero las estrategias suelen chocar entre sí. La Ley de IA de la UE, cuyas principales disposiciones entraron en vigor el mes pasado, prevé sanciones de hasta 35 millones de euros (40,6 millones de dólares) o el 7% de la facturación anual global total del infractor. El Plan de Acción sobre IA de Estados Unidos adopta el enfoque contrario, considerando la desregulación en sí misma como una ventaja competitiva. El Plan de Acción Global de China para la Gobernanza de la IA ofrece cooperación en materia de gobernanza de la IA con las economías en desarrollo, pero en los términos que dicta China.
El Convenio Marco sobre IA del Consejo de Europa -el primer tratado internacional vinculante sobre IA- representa un avance real, pero su aplicación es modesta en comparación con la magnitud de lo que pretende regular. La coordinación más allá de ese marco apenas ha comenzado. El Panel Científico Internacional Independiente sobre IA de Naciones Unidas ha advertido sobre una “carrera hacia el abismo”, en la que las jurisdicciones compiten por ofrecer las reglas más permisivas en lugar de las más seguras. Las empresas que llevan a cabo implementaciones de IA de alto riesgo ya están buscando la jurisdicción más laxa.
Una verdadera soberanía en materia de IA requiere cuatro elementos, ninguno de los cuales es complicado en sí mismo. Para empezar, hay que situar la infraestructura de datos de la IA en la misma categoría jurídica que las redes eléctricas, con alguien que sea claramente responsable de la seguridad física y digital.
Por otra parte, los países que desarrollen una infraestructura informática soberana necesitan normas de interoperabilidad compartidas, no solo grandes iniciativas nacionales -el trabajo de Gaia-X sobre portabilidad de datos es un modelo útil-. Un hospital en Lagos o un ministerio en Varsovia deberían poder verificar que un sistema cumple con los requisitos básicos de seguridad, independientemente de la infraestructura en la que se ejecute.
La supervisión debe tener fuerza: derechos de auditoría, notificación obligatoria de incidentes y concesión de licencias para el puñado de modelos de vanguardia capaces de afectar a la infraestructura crítica o a la estabilidad financiera. Estos modelos deberían tratarse más como material nuclear que como software ordinario.
El mundo también necesita un mecanismo real para evitar que la soberanía en materia de IA se convierta en un eje más de desigualdad. Esa inversión de 100.000 millones de dólares en computación soberana se está produciendo casi en su totalidad en los países ricos. La computación regional mancomunada, financiada y gestionada conjuntamente por países más pequeños, ofrecería mejores resultados que si cada uno de ellos intentara actuar por su cuenta.
Nada de esto requiere de un gran tratado global. Los componentes de un marco de gobernanza -incluida la Ley de IA de la UE, el convenio del Consejo de Europa, Gaia-X y el panel científico de Naciones Unidas- ya existen. Sin embargo, falta el andamiaje que los conecte, y construirlo requiere de un trabajo deliberado. Cada año que se retrasa, la infraestructura se vuelve más grande, y más difícil de reconfigurar. Nadie que esté invirtiendo miles de millones de dólares en centros de datos y GPU va a quedarse de brazos cruzados a la espera de que la gobernanza se ponga al día.
Los ataques contra esas instalaciones de AWS en el Golfo enviaron un mensaje (más allá de si fue intencional o no): la infraestructura que sustenta una parte cada vez mayor de decisiones trascendentales -quién obtiene un préstamo, qué pacientes son seleccionados para recibir tratamiento, qué fábricas siguen funcionando- se encuentra en edificios que la mayoría de los gobiernos no controlan y no pueden proteger por completo. La soberanía de los datos, la soberanía informática y la soberanía de la gobernanza no son abstracciones de salas de conferencias. Son la condición previa para un futuro moldeado por los propios ciudadanos de cada país -y no por quienquiera que sea el propietario de los servidores.
---
Bijan Burnard es CEO de D-AI y Lattice Inc.
