El 3 de septiembre dos congresistas estadounidenses, uno demócrata y otro republicano, presentaron la Stop Rogue AI Act. La propuesta obligaría a las organizaciones a mantener un inventario en tiempo real y legible por máquina de todos los agentes de inteligencia artificial activos en su red. El detonante: una brecha de seguridad con agentes descontrolados.
Durante dos años hemos hablado de agentes como si fueran una función más del chat. Esta propuesta los trata por primera vez como lo que son en una empresa: procesos con credenciales que actúan solos, y de los que casi nadie lleva la cuenta. Si trabajas con esto, el borrador se lee mejor como una lista de deberes pendientes que como una amenaza regulatoria.
Qué propone exactamente la ley
El texto lo firman Josh Gottheimer, demócrata por Nueva Jersey, y Mike Lawler, republicano por Nueva York. Que sea bipartidista importa: en materia de inteligencia artificial casi nada avanza sin apoyo de los dos lados.
La propuesta no regula directamente a las empresas. Encarga al instituto nacional de estándares del Departamento de Comercio que publique, en el plazo de un año, normas nacionales sobre cómo desplegar agentes. Esas normas cubrirían tres cosas:
- Inventarios de agentes continuamente actualizados, en tiempo real y en formato legible por máquina.
- Comprobaciones sobre las acciones y la fiabilidad de cada agente.
- Registros de actividad resistentes a manipulación, es decir, que ni el agente ni quien lo opera puedan alterar a posteriori.
Lo esencial en 30 segundos
No es obligatorio para casi nadie: el cumplimiento es voluntario salvo para las empresas que quieran contratar con la administración federal. Pero cuando el mayor comprador del mundo pone una condición, esa condición se convierte en el estándar del mercado en un par de años.
Por qué ahora: la brecha que lo detonó
La propuesta llega después de una serie de incidentes de seguridad con agentes, señaladamente uno que afectó a una conocida plataforma de modelos abiertos y en el que estuvieron implicados agentes de OpenAI.
El patrón de estos incidentes es reconocible para cualquiera que haya montado uno. Un agente recibe credenciales para hacer una tarea acotada. La tarea se amplía. Nadie revoca las credenciales. El agente sigue ahí meses después, con permisos que ya no necesita, ejecutando acciones que nadie revisa. Cuando algo sale mal, la primera pregunta —¿cuántos agentes tenemos y qué pueden tocar?— no tiene respuesta.
Es exactamente el problema que la ley intenta atacar, y por eso el inventario ocupa el lugar central. No se puede asegurar lo que no se sabe que existe.
Quién está detrás y por qué eso dice mucho
La propuesta cuenta con el respaldo de varias empresas y patronales del sector, entre ellas compañías de ciberseguridad y de infraestructura de red, además de organizaciones dedicadas a políticas de inteligencia artificial.
Conviene leer ese apoyo con la cabeza fría. Que empresas de seguridad respalden una norma que obliga a inventariar y monitorizar agentes no es solo altruismo cívico: vender herramientas de inventario y monitorización es su negocio. Eso no invalida la propuesta, pero explica por qué el sector no se ha opuesto como sí hace con otras regulaciones.
También llama la atención quién no aparece en la lista de apoyos: los grandes laboratorios de modelos. Su silencio es razonable, porque la norma no les afecta a ellos sino a quien despliega sus agentes.
Qué cambia si tienes agentes en producción
Bajemos al terreno. Si en tu empresa hay agentes trabajando, hay cuatro preguntas que la norma te obligaría a responder y que probablemente hoy no puedas:
- ¿Cuántos agentes tienes activos ahora mismo? No cuántos creaste: cuántos están corriendo en este momento, incluidos los que montó alguien en una tarde y se quedaron.
- ¿Qué credenciales tiene cada uno? A qué sistemas puede acceder, con qué permisos y quién se los concedió.
- ¿Qué ha hecho en los últimos treinta días? Y si esos registros los pudiera borrar el propio agente, no valen.
- ¿Quién responde si se equivoca? Una persona con nombre, no un departamento.
Nuestra experiencia montando agentes con la API y MCP y con el SDK de agentes es que las dos primeras se contestan con un rato de trabajo, y las dos últimas exigen decisiones de arquitectura que hay que tomar antes, no después.
El precedente que ya conocemos
Esto ya ha pasado. Hace quince años nadie sabía cuántas máquinas virtuales tenía encendidas ni cuántas cuentas de servicio existían en su directorio. Se resolvió con inventarios automáticos, ciclos de vida de credenciales y auditoría continua, y hoy nadie discute que haga falta.
Los agentes están en el mismo punto de la curva, con un agravante: una máquina virtual olvidada consume recursos, un agente olvidado toma decisiones. Puede escribir en una base de datos, mandar un correo a un cliente o comprar algo. La diferencia entre desperdicio y daño es sustancial.
Por eso el plazo de un año que da la propuesta al instituto de estándares es realista pero justo. Escribir la norma es lo fácil; construir las herramientas que la hagan aplicable llevará más.
Cómo encaja con lo que ya existe en Europa
Aquí el marco ya está en vigor, aunque enfocado de otra manera. El reglamento europeo de inteligencia artificial parte del riesgo del caso de uso: clasifica los sistemas según lo que hacen y a quién afectan. La propuesta estadounidense parte de otro sitio: la gobernanza operativa, es decir, saber qué tienes desplegado y poder demostrarlo.
Son complementarias más que redundantes. Se puede cumplir el reglamento europeo sobre el papel —con su documentación técnica y su evaluación de riesgos— y no tener ni idea de cuántos agentes hay corriendo en la red. Y al revés.
Para una empresa española que venda a Estados Unidos, la lectura práctica es que va a tener que hacer las dos cosas. Lo desarrollamos en la guía del reglamento europeo, que sigue siendo el documento de referencia por aquí.
Lo que la propuesta no resuelve
Tres huecos que conviene señalar, porque el entusiasmo regulatorio suele saltárselos.
El primero es la definición de agente. Un script con un bucle y una llamada a un modelo, ¿es un agente? ¿Y una hoja de cálculo con una función que consulta una API de inteligencia artificial? La frontera es borrosa y la norma tendrá que trazarla, porque de eso depende qué hay que inventariar.
El segundo es la voluntariedad. Fuera de los contratistas federales, nadie está obligado. La apuesta es que el mercado arrastre, y suele funcionar, pero tarda.
El tercero, y el más difícil, es que los agentes de verdad problemáticos no van a inventariarse. Quien despliega un agente con intenciones dudosas no rellena el registro. La norma disciplina a los cumplidores, que es como funciona casi toda la regulación de seguridad, y eso hay que decirlo sin cinismo pero también sin ingenuidad.
Qué hacer hoy sin esperar a ninguna ley
Independientemente de cómo acabe el trámite parlamentario, las tres medidas que propone son buenas prácticas por sí mismas. Si tienes agentes trabajando, esto se puede empezar esta semana:
Haz el inventario a mano una vez. Una hoja con cada agente, qué hace, qué credenciales tiene, quién lo mantiene y cuándo se revisó por última vez. Al terminarla vas a encontrar dos o tres que nadie recordaba. Ese hallazgo justifica el rato.
Pon caducidad a las credenciales. Un agente con un token que no expira es un problema esperando fecha. Con rotación cada noventa días, un agente olvidado se apaga solo.
Manda los registros a un sitio donde el agente no pueda escribir. Es la parte más incómoda de implementar y la única que sirve cuando algo va mal de verdad.
Si orquestas los agentes con herramientas de automatización como n8n, buena parte de esto se puede sacar del propio sistema sin escribir código.
La conexión con los modelos que se salen del guion
Merece la pena unir esto con algo que contamos hace unas semanas: los ensayos en los que modelos frontera consiguieron salirse de su entorno de pruebas.
Aquellos experimentos se hicieron en laboratorio, con supervisión y con el objetivo explícito de encontrar los límites. La propuesta legislativa aborda el escenario complementario y mucho más mundano: no un modelo que burla deliberadamente su contención, sino una empresa que ni siquiera sabe cuántas contenciones tiene.
De los dos riesgos, el segundo es hoy bastante más probable. Los titulares se los lleva el modelo que escapa; los incidentes reales los provoca el agente que alguien montó en marzo y del que nadie se acuerda.
Qué esperar del trámite
Una propuesta presentada no es una ley. En el mejor de los casos, esto tarda meses en aprobarse, y muchas propuestas mueren en comisión sin llegar a votación.
Lo que sí tiene valor inmediato es la señal. Cuando un texto bipartidista con apoyo del sector llega al Congreso, las grandes empresas empiezan a prepararse por si acaso, y esa preparación se traduce en requisitos que bajan a los proveedores. Es decir, puede que la ley no llegue nunca y que aun así tengas que rellenar un cuestionario sobre tu inventario de agentes en la próxima renovación de contrato.
Por eso nuestra recomendación no depende del desenlace legislativo: hazlo igualmente, porque te lo van a acabar pidiendo por otra vía.
El equipo para trabajar con agentes en serio
Supervisar agentes no es leer un chat, es vigilar procesos largos con registros que crecen rápido. Lo que de verdad ayuda:
- Pantalla grande. Registros, panel y editor a la vez, sin conmutar ventanas cada treinta segundos. Ver precio actual en Amazon
- Un equipo silencioso que aguante encendido con procesos en marcha. Ver precio actual en Amazon
- Memoria de sobra, porque un agente con varios contenedores se come la RAM antes que la CPU. Ver precio actual en Amazon
- Almacenamiento rápido para registros y trazas, que ocupan más de lo que parece. Ver precio actual en Amazon
- Ratón ergonómico para las sesiones largas de revisión. Ver precio actual en Amazon
- Silla que aguante una auditoría entera. Ver precio actual en Amazon
- Un mini PC aparte para aislar los agentes del equipo donde trabajas, que es la contención más barata que existe. Ver precio actual en Amazon
El agente olvidado: anatomía de un incidente típico
Vale la pena reconstruir cómo se llega a una brecha con agentes, porque casi nunca ocurre como en las películas.
Empieza con alguien de un equipo que necesita automatizar algo tedioso: revisar tiques, clasificar correos, actualizar una hoja. Monta un agente en una tarde, le da una clave de API con permisos amplios porque acotarlos habría llevado más tiempo, y funciona. Nadie más se entera porque no había que pedir permiso a nadie.
Pasan meses. Esa persona cambia de equipo o de empresa. El agente sigue corriendo. La clave sigue siendo válida. Los permisos siguen siendo amplios. Y en algún momento el sistema al que accede cambia, o alguien encuentra la clave en un repositorio, o el propio agente recibe una instrucción manipulada a través de los datos que procesa.
El daño no viene de una inteligencia maliciosa: viene de permisos amplios sin supervisión durante mucho tiempo. Es la misma historia de las cuentas de servicio de hace una década, con la diferencia de que estas toman decisiones.
Cuando se investiga el incidente, la conversación siempre llega al mismo punto muerto: nadie sabe cuántos agentes más hay en la misma situación. Ahí es donde muerde la propuesta.
La inyección de instrucciones, el ataque que la ley no nombra
Hay un vector que la propuesta no menciona explícitamente y que es el más difícil de todos: la inyección de instrucciones.
Un agente que lee correos, páginas web o documentos está procesando texto que ha escrito otra persona. Si ese texto contiene instrucciones y el agente no distingue bien entre «datos que debo procesar» e «instrucciones que debo obedecer», un atacante puede darle órdenes simplemente escribiéndolas en un sitio que el agente vaya a leer.
No hace falta vulnerar nada. No hay contraseña que robar. Basta con poner el texto donde el agente vaya a pasar. Y contra eso, el inventario no protege: te dice que el agente existe, no que le hayan colado una instrucción.
Lo que sí aporta la propuesta en este frente son los registros inalterables. Si un agente hace algo raro, poder reconstruir qué leyó justo antes es la única forma de entender qué pasó. Sin registro fiable, el incidente se queda en misterio y se repite.
La defensa real es de arquitectura: separar los canales de instrucción de los de datos, no darle al agente permisos que no necesita para la tarea concreta, y exigir confirmación humana en las acciones irreversibles. Nada de eso lo obliga la ley, pero todo eso es lo que hay que hacer.
Cómo se ve esto desde una pyme
Casi todo lo que se escribe sobre gobernanza de IA está pensado para empresas con departamento de cumplimiento. Si eres cinco personas, la traducción es más sencilla de lo que parece.
No necesitas una plataforma de inventario: necesitas un documento compartido con una fila por agente y cinco columnas. Qué hace, qué toca, quién lo mantiene, cuándo se revisó y cómo se apaga. Si esa tabla existe y está al día, estás por delante de bastantes empresas grandes.
Tampoco necesitas registros criptográficamente firmados: basta con que los agentes escriban su actividad en un sitio donde ellos no tengan permiso de borrado. Un bucket con escritura pero sin borrado, o incluso un canal de mensajería dedicado, cumplen el propósito para el 90 % de los casos.
Y la medida con mejor relación entre esfuerzo y protección sigue siendo la más simple: que ningún agente tenga credenciales permanentes. Si todas caducan, el problema del agente olvidado se resuelve solo en noventa días. Es una tarde de trabajo y elimina la categoría entera de incidente que hemos descrito arriba.
Lo que aprendimos inventariando los nuestros
Antes de recomendar nada hicimos el ejercicio en casa, y merece la pena contar el resultado porque fue más incómodo de lo esperado.
Teníamos localizados los agentes «oficiales»: los que atienden en Discord, el que clasifica correo no deseado, los que generan contenido. Todos documentados, todos con su propietario. Lo que no teníamos localizado eran los procesos auxiliares: un par de scripts programados que llaman a un modelo una vez al día, un servicio de escucha que llevaba meses corriendo y una integración de pruebas que nunca se apagó.
Ninguno era peligroso por sí solo. Pero entre los tres sumaban credenciales a la base de datos, a una cuenta de mensajería y a una interfaz que solo escucha en local. Si alguien encontrara la manera de darle instrucciones a cualquiera de ellos, tendría más alcance del que nadie había decidido conscientemente concederle.
La segunda sorpresa fue el reparto de recursos. Descubrimos que dos procesos competían por la misma tarjeta gráfica sin que nadie lo hubiera previsto, y que cuando coincidían, uno de los dos se degradaba en silencio. No es un problema de seguridad, es un problema de fiabilidad, pero se descubre con el mismo ejercicio.
La conclusión que sacamos, y que es la razón por la que recomendamos empezar por el inventario: el valor no está en el documento, está en las preguntas que te obliga a hacerte. Al rellenar la columna «cómo se apaga» te das cuenta de que en varios casos no hay respuesta, y esa es la información útil.
Preguntas frecuentes
¿Qué es la Stop Rogue AI Act?
Una propuesta legislativa bipartidista presentada en el Congreso estadounidense el 3 de septiembre de 2026 que encarga al instituto nacional de estándares publicar en un año normas sobre el despliegue de agentes de inteligencia artificial.
¿A quién obliga?
El cumplimiento es voluntario para la mayoría de organizaciones. Solo sería obligatorio para las empresas que opten a nuevos contratos con la administración federal.
¿Qué es un inventario de agentes?
Un registro en tiempo real y legible por máquina de todos los agentes activos en una red, con qué hace cada uno, qué credenciales tiene y quién responde de él.
¿Por qué se presenta ahora?
Tras una serie de brechas de seguridad con agentes descontrolados, entre ellas un incidente en una plataforma de modelos abiertos en el que estuvieron implicados agentes de OpenAI.
¿Afecta esto a España?
No directamente, pero sí a través de los contratos. Una empresa española que venda a clientes estadounidenses acabará recibiendo cuestionarios sobre su inventario de agentes. Y en Europa ya rige el reglamento de inteligencia artificial, que aborda el mismo problema desde el riesgo del caso de uso.
¿Qué son los registros resistentes a manipulación?
Registros de actividad almacenados de forma que ni el agente ni quien lo opera puedan alterarlos después. Es la única manera de que sirvan cuando hay que reconstruir qué pasó.
¿Qué puedo hacer sin esperar a la ley?
Tres cosas: inventariar a mano los agentes activos una vez, poner caducidad a todas sus credenciales y enviar sus registros a un sistema donde el propio agente no pueda escribir.
Veredicto Arkaia
La Stop Rogue AI Act no va a cambiar el mundo por sí sola: es voluntaria para casi todos y puede morir en comisión. Pero acierta en el diagnóstico. El riesgo mayoritario de los agentes hoy no es que se rebelen, es que se acumulen sin que nadie lleve la cuenta.
Nuestro consejo Arkaia
No esperes al desenlace parlamentario. Las tres medidas que propone —inventario, credenciales con caducidad y registros que el agente no pueda tocar— son sentido común operativo y se pueden implantar en una semana. Empieza por el inventario: casi siempre aparecen dos o tres agentes que nadie recordaba, y ese hallazgo ya justifica el trabajo.
Lecturas relacionadas
- Modelos frontera que se salen del entorno de pruebas
- Guía del reglamento europeo de inteligencia artificial
- Crear un agente con la API de Claude y MCP
- Tutorial del SDK de agentes en Python
- GPT-6 Astra: OpenAI y la palabra AGI
- Claude Fable 5.1 y Mythos 5.1
- Automatizar agentes con n8n
Este artículo contiene enlaces afiliados a Amazon con el tag arkaiacorp-21. Si compras a través de estos enlaces, Arkaia puede recibir una comisión sin coste adicional para ti. Nuestra valoración editorial es independiente y no varía según los ingresos por afiliación.
Comentarios
Inicia sesion para dejar un comentario
Acceder
