¿Regular algo que nace privado y vive descentralizado?

La norma y el músculo

Una institución puede tener competencias sobre el papel y muy poca capacidad en la práctica.

Puede recibir denuncias.

Puede pedir informes.

Puede imponer sanciones.

Puede publicar guías.

Pero para auditar un sistema complejo necesita algo más.

Personal técnico.

Presupuesto.

Acceso a documentación.

Capacidad de reproducir pruebas.

Herramientas forenses.

Conocimiento sectorial.

Independencia frente a quienes desarrollan la tecnología.

Y tiempo.

Ese último recurso suele olvidarse.

Una empresa puede modificar un producto varias veces mientras el regulador prepara una inspección.

Puede cambiar el modelo, los datos, la interfaz, los permisos y los proveedores.

Puede retirar una función y reintroducirla bajo otro nombre.

La regulación trabaja con procedimientos.

La industria trabaja con iteraciones.

No es una crítica automática a la ley.

Es una diferencia de velocidad que debe reconocerse antes de prometer protección.

Lo que el ciudadano cree que existe

Desde fuera parece que alguien debe estar controlando todo esto.

Hay ministerios.

Hay agencias.

Hay reglamentos.

Hay comités.

Hay grupos de expertos.

Hay informes.

La existencia de esas estructuras produce una sensación lógica:

si el sistema está permitido, alguien lo habrá revisado.

Pero muchas tecnologías no funcionan así.

El regulador puede actuar después.

Puede depender de información entregada por la propia empresa.

Puede no tener acceso a los datos de entrenamiento.

Puede no conocer el comportamiento exacto del sistema en cada contexto.

Puede evaluar documentación sin poder reproducir completamente el producto.

Puede estar obligado a priorizar los casos más graves y dejar fuera miles de usos menores.

Por eso una agencia no debería medirse solo por su existencia.

Debería medirse por lo que puede investigar de verdad.

Regular el producto o regular la organización

Una inteligencia artificial no es un objeto estable.

No es una máquina que sale de fábrica y permanece igual durante diez años.

Puede actualizarse.

Puede conectarse a herramientas nuevas.

Puede recibir más permisos.

Puede utilizarse en contextos no previstos.

Puede ser modificada por terceros.

Puede combinarse con otros sistemas.

Puede funcionar de manera distinta según los datos y las instrucciones que reciba.

Eso vuelve difícil regularla como si fuera un producto cerrado.

Quizás una parte de la regulación deba mirar menos la pieza concreta y más a la organización que la desarrolla, integra o despliega.

Cómo gestiona riesgos.

Cómo registra cambios.

Cómo investiga incidentes.

Cómo limita permisos.

Cómo separa prueba y producción.

Cómo documenta decisiones.

Cómo responde cuando aparece un daño.

No porque los sistemas de gestión sean suficientes.

También pueden convertirse en burocracia.

Pero permiten seguir el ciclo de vida de algo que cambia continuamente.

Lo privado no significa ilegítimo

Que una tecnología nazca en una empresa privada no la vuelve automáticamente sospechosa.

Gran parte de la innovación ocurre allí.

Hay conocimiento, inversión, talento y capacidad de ejecución que el sector público no siempre puede reunir.

El problema no es que exista iniciativa privada.

El problema aparece cuando unas pocas organizaciones concentran al mismo tiempo:

infraestructura,

modelos,

datos,

capacidad de cómputo,

talento,

acceso comercial,

y buena parte del conocimiento necesario para auditarlas.

En ese escenario, el regulador puede terminar dependiendo del regulado para entender qué está regulando.

La asimetría deja de ser solo económica.

También es epistemológica.

Uno sabe cómo funciona el sistema.

El otro debe pedirle que se lo explique.

La auditoría sin acceso

Auditar desde fuera tiene límites.

Se pueden probar entradas y observar salidas.

Se pueden documentar fallos.

Se pueden comparar resultados.

Se pueden hacer pruebas de seguridad.

Todo eso sirve.

Pero no equivale a tener acceso completo a:

datos de entrenamiento,

pesos,

arquitectura,

registros internos,

cambios de versión,

criterios de filtrado,

incidentes previos,

y decisiones de diseño.

Tampoco el acceso total garantiza comprensión.

Un sistema puede ser tan complejo que disponer de los archivos no permita explicar cada comportamiento.

Por eso conviene evitar dos ficciones.

La primera: que basta con mirar desde fuera.

La segunda: que abrir todo resolvería automáticamente el problema.

La auditoría real necesita varias capas.

Pruebas externas.

Documentación interna.

Registros.

Responsables identificables.

Evaluadores independientes.

Y capacidad legal para exigir correcciones.

¿Puede una agencia ir por delante?

Probablemente no.

Tampoco hace falta que lo consiga en todo.

Ningún regulador puede saber antes que la industria cada uso, cada fallo y cada combinación posible.

La pregunta razonable es otra:

¿Puede detectar cuándo una empresa está ocultando riesgos?

¿Puede investigar un incidente sin depender por completo del investigado?

¿Puede ordenar una suspensión?

¿Puede exigir cambios?

¿Puede proteger a quien denuncia?

¿Puede coordinarse con otras autoridades?

¿Puede sancionar de manera suficiente para que incumplir no sea simplemente un coste asumible?

¿Puede publicar lo aprendido sin poner en riesgo más sistemas?

Eso sería músculo.

No omnisciencia.

El problema de las fronteras

Una regulación regional actúa dentro de una jurisdicción.

Internet no.

Un modelo puede desarrollarse en un país, alojarse en otro, ofrecerse desde un tercero y ser integrado por una empresa local.

Los datos pueden cruzar varias fronteras.

Los proveedores pueden cambiar.

Las responsabilidades pueden quedar repartidas.

Y una misma herramienta puede ser legal en un lugar, restringida en otro y completamente opaca en un tercero.

Eso no vuelve inútil la regulación local.

Pero limita su alcance.

Una región puede fijar condiciones de acceso a su mercado.

Puede exigir representantes legales.

Puede sancionar empresas con actividad económica dentro de su territorio.

Puede proteger a sus ciudadanos.

Lo que no puede hacer por sí sola es ordenar todo el ecosistema mundial.

Por eso la cooperación internacional no es una decoración diplomática.

Es una condición práctica.

La descentralización también puede ser una excusa

La palabra descentralizado suele sonar a libertad.

A veces lo es.

Distribuir infraestructura puede evitar dependencias excesivas y puntos únicos de control.

Pero también puede dificultar la responsabilidad.

Un sistema puede estar repartido entre múltiples actores y seguir concentrando decisiones en muy pocas manos.

Puede utilizar una arquitectura distribuida y depender de un proveedor dominante.

Puede presentarse como abierto y mantener cerrados los elementos decisivos.

Puede no tener una empresa claramente responsable y, precisamente por eso, dejar al perjudicado sin una ventanilla donde reclamar.

Descentralizar ejecución no equivale a descentralizar poder.

Y descentralizar poder no equivale a repartir responsabilidad de forma justa.

El riesgo de la regulación ornamental

Una norma puede ser exigente y aun así producir poco efecto.

Ocurre cuando se mide el cumplimiento por documentos y no por resultados.

Políticas internas.

Declaraciones.

Evaluaciones.

Formularios.

Comités.

Todo puede existir mientras el sistema sigue operando con permisos excesivos, datos mal controlados o supervisión humana simbólica.

La documentación es necesaria.

Permite reconstruir decisiones.

Obliga a declarar responsabilidades.

Facilita auditorías.

Pero cuando se convierte en fin, aparece el cumplimiento ornamental.

La empresa aprende a demostrar que cumple.

No necesariamente a reducir el riesgo.

Innovación contra protección

El debate suele presentarse como una elección.

Regular o innovar.

Proteger o competir.

Frenar o avanzar.

Es una oposición demasiado cómoda.

Una regulación mal diseñada puede bloquear a empresas pequeñas y dejar intactos a los actores capaces de pagar abogados, auditores y certificaciones.

También puede ocurrir lo contrario.

La ausencia de reglas puede favorecer a quien ya controla infraestructura, datos y mercado.

No regular no crea automáticamente libertad.

A veces consolida al más fuerte.

Por eso la pregunta no debería ser cuánta regulación queremos.

Debería ser qué problema concreto intenta resolver, a quién obliga, quién puede cumplirla y qué efectos secundarios produce.

Una obligación que solo pueden asumir las grandes empresas puede aumentar la concentración que pretendía limitar.

¿Hace falta una capacidad pública?

Aquí aparece una pregunta que no conviene esquivar.

¿Puede el Estado regular seriamente una tecnología si carece de infraestructura propia para comprenderla?

No significa que deba construir un competidor comercial para cada empresa.

Pero quizás necesite:

laboratorios públicos,

capacidad de cómputo,

equipos técnicos permanentes,

acceso a datos de investigación,

programas de evaluación independiente,

entornos seguros de prueba,

y cooperación con universidades y organismos internacionales.

Sin una base técnica propia, el sector público corre el riesgo de elegir entre dos dependencias.

Creer a la empresa.

O contratar a otra empresa para que audite a la primera.

Eso no garantiza independencia.

Solo añade otra capa al contrato.

Quién vigila a la agencia

La autoridad también necesita límites.

Una agencia con capacidad técnica y poder de intervención puede proteger derechos.

También puede abusar de ese poder.

Puede actuar bajo presión política.

Puede favorecer a ciertos sectores.

Puede ocultar errores.

Puede utilizar criterios poco transparentes.

Puede convertirse en puerta giratoria entre regulador e industria.

Por eso la independencia no puede consistir solo en una declaración institucional.

Debe incluir:

criterios públicos,

conflictos de interés visibles,

decisiones recurribles,

auditorías externas,

protección frente a presiones políticas,

y obligación de explicar qué sabe y qué no sabe.

La agencia que exige trazabilidad debería ser trazable.

La promesa que conviene evitar

Ninguna ley va a garantizar que no ocurra un daño.

Ninguna agencia podrá inspeccionar todos los sistemas.

Ningún registro contendrá todo lo relevante.

Ningún sello eliminará el riesgo.

Prometerlo sería repetir el mismo problema que se intenta corregir.

La regulación puede reducir daños.

Puede elevar costes de incumplimiento.

Puede obligar a prevenir.

Puede facilitar reparación.

Puede crear responsabilidades.

Puede mejorar información pública.

Eso ya sería importante.

Pero proteger no es lo mismo que controlar por completo.

La pregunta que queda

Regular algo privado, global y cambiante no es imposible.

Pero exige reconocer qué puede hacer una norma y qué no.

La ley puede definir obligaciones.

No puede sustituir el conocimiento técnico.

Puede ordenar transparencia.

No puede garantizar comprensión.

Puede crear una autoridad.

No puede concederle independencia por decreto.

Puede sancionar a una empresa.

No puede eliminar la asimetría si el Estado sigue sin capacidad propia.

La pregunta central no es si existe regulación.

Es esta:

¿Tiene la sociedad capacidad real para saber qué está ocurriendo, intervenir cuando sea necesario y exigir reparación después?

Si la respuesta depende exclusivamente de quienes construyen y venden el sistema, la regulación todavía no ha alcanzado al objeto que pretende gobernar.

Nota de trabajo

Este borrador no debe publicarse como análisis jurídico ni como descripción factual cerrada de la AI Act, AESIA u otras autoridades.

Antes de publicar deben verificarse con fuentes oficiales y documentación actualizada:

• competencias reales de las autoridades españolas y europeas;
• recursos, estructura e independencia de AESIA;
• obligaciones de proveedores, implementadores e integradores;
• mecanismos de inspección, acceso, sanción y cooperación internacional;
• diferencias entre auditoría externa, acceso interno y evaluación de sistemas de propósito general;
• efectos regulatorios sobre grandes empresas, pymes y proyectos abiertos.

Los nombres institucionales concretos deben aparecer solo después de esa revisión.

Trazabilidad editorial provisional

Preguntas sobre capacidad institucional, diferencia entre norma y músculo, asimetría entre regulador y empresa, y necesidad de capacidad pública: Gustavo Rodríguez.

Material de base: conversación previa con ChatGPT recuperada en julio de 2026.

Selección, poda, reestructuración y redacción del borrador v1.0: ChatGPT.

Responsabilidad editorial final: Gustavo Rodríguez.