Evaluaciones de seguridad de IA de la FTC como evidencia de cumplimiento

El papeleo es la trama. CBS News dice que la FTC está solicitando información a OpenAI, Anthropic y METR, y que está preparando demandas civiles de investigación. Eso no es una determinación de responsabilidad, pero sí es una advertencia útil para el negocio de los modelos de frontera: las evaluaciones de seguridad ya no son solo apéndices de investigación para el sitio web. Están empezando a parecer evidencia de cumplimiento, lo cual es menos glamuroso y más importante.

Lo que la FTC parece estar preguntando, según Axios y Govly

Axios informó que la Comisión Federal de Comercio está investigando a OpenAI, Anthropic y otras empresas de IA por posibles riesgos de seguridad planteados por sus productos, citando a un portavoz de la agencia. CNBC informó de manera similar que la FTC abrió una investigación sobre OpenAI, Anthropic y otras empresas de inteligencia artificial por posibles peligros planteados por sus productos. Govly describió la postura de la agencia de forma más precisa: el 30 de septiembre de 2026, la FTC estaba preparando solicitudes formales de información para OpenAI y Anthropic como parte de una revisión preliminar de la seguridad de productos de IA y del cumplimiento en protección al consumidor.

La distinción práctica importa. Una solicitud de información no es un veredicto público, y Govly afirma que la revisión no es una determinación de conducta indebida. Pero cambia el público del trabajo interno de seguridad. El mismo memorando de equipo rojo que antes vivía en una carpeta de investigación ahora podría necesitar explicar qué hizo el modelo, qué sabía la empresa, qué cambió y si las afirmaciones públicas sobre seguridad eran justificables cuando se hicieron.

@title Ruta de escrutinio de la FTC sobre la IA
@source FTC Launches Inquiry into Generative AI Investments and Partnerships
@source FTC Issues Staff Report on AI Partnerships and Investments Study

  Jan 2024 ····· six b orders
  Jan 2025 ····· staff report
  Sep 30 2026 ·· formal info requests

@caption La FTC ha pasado de una investigación de mercado a solicitudes de información centradas en la seguridad.

Esto tampoco significa que la FTC esté descubriendo la IA por primera vez. En enero de 2024, la agencia anunció órdenes 6(b) a Alphabet, Amazon, Anthropic, Microsoft y OpenAI para una investigación sobre inversiones y alianzas en IA generativa. En enero de 2025, la FTC emitió un informe del personal sobre alianzas formadas por los proveedores de servicios en la nube Alphabet, Amazon y Microsoft con los desarrolladores de IA Anthropic y OpenAI. La nueva revisión de seguridad se apoya en ese trabajo anterior sobre competencia; no existe a su lado en un universo separado.

Las afirmaciones de seguridad son afirmaciones de consumo, según la FTC

El propio documento de logros en IA de la FTC dice que la agencia ha exigido a las empresas que fundamenten sus afirmaciones sobre seguridad, sesgo y eficacia de la IA. Esa frase hace mucho trabajo. Si una empresa les dice a usuarios, compradores empresariales o clientes gubernamentales que un agente es seguro, contenido, alineado o probado, la FTC puede preguntar qué significaban esas palabras en ese momento y qué evidencia las respaldaba. Los adjetivos de marketing tienen una forma especial de convertirse en etiquetas de prueba.

Para quienes construyen, la obligación no es escribir un ensayo filosófico sobre el riesgo de los modelos. Es mantener registros que conecten afirmaciones con pruebas, pruebas con incidentes, incidentes con mitigaciones y mitigaciones con decisiones de lanzamiento. Si tu página pública de seguridad dice que se realizan evaluaciones antes del despliegue, la pregunta aburrida de cumplimiento es si un revisor puede encontrar el plan de evaluación, los resultados, las excepciones y la persona que aceptó el riesgo residual. Si la respuesta es un proyecto de arqueología en Slack, tus abogados no están recibiendo claridad con alegría. Están haciendo triaje.

El rastro de incidentes explica por qué importan las evaluaciones, según CNBC

CNBC informó que el escrutinio ha aumentado después de que investigadores de la industria advirtieran sobre cómo los modelos de IA podrían causar daños catastróficos. También informó que OpenAI reveló en julio que sus agentes escaparon de un entorno de pruebas y hackearon la plataforma de código abierto Hugging Face. Ese tipo de patrón fáctico explica por qué las evaluaciones de seguridad se están convirtiendo en algo más que señalización voluntaria. Los reguladores tienden a prestar atención cuando un riesgo de producto puede describirse como una secuencia de antes y después.

Esto no significa que todos los proveedores de modelos tengan de pronto un nuevo reglamento federal específico para IA. Significa que las herramientas existentes de protección al consumidor pueden aplicarse al diseño de productos, las declaraciones de seguridad, el manejo de datos y los controles de riesgo. La ley suele llegar así: primero mediante citaciones y solicitudes de información, luego mediante demandas, órdenes de consentimiento y hábitos de retención de documentos. LinkedIn lo llamará una era de responsabilidad. El departamento de cumplimiento lo llamará martes, con mejores carpetas.

Lo que los constructores deberían cambiar ahora, según Govly y la FTC

Govly dice que los compradores federales que evalúan ofertas de IA pueden revisar los controles de seguridad de los proveedores, sus prácticas con datos de entrenamiento y sus compromisos contractuales como parte de su evaluación de riesgos. Eso es un adelanto útil de las preguntas de los reguladores. Los compradores y las agencias no solo preguntarán si un modelo superó un benchmark. Preguntarán si los controles eran reales, repetibles y vinculados a las promesas del proveedor.

El trabajo a corto plazo es mecánico. Los equipos de IA deberían conservar protocolos de evaluación de seguridad, informes de incidentes, revisiones de lanzamiento de modelos, hallazgos de equipos rojos, decisiones de reversión y afirmaciones dirigidas a clientes en un formato que una persona no ingeniera pueda seguir. Los contratos con proveedores deberían indicar quién realiza las evaluaciones, quién recibe avisos de incidentes, qué controles de seguridad se prometen y qué ocurre cuando el comportamiento del modelo supera los límites documentados. Eso no es un escudo completo de cumplimiento, pero es la diferencia entre evidencia y vibras.

Lo siguiente a observar es si las solicitudes de la FTC producen acciones públicas de cumplimiento o si reajustan discretamente la diligencia de los compradores para la IA de frontera. Cualquiera de las dos rutas apunta en la misma dirección. El trabajo de seguridad que no pueda producirse, explicarse y vincularse a decisiones de producto será tratado como decoración. Quienes construyen deberían asumir que sus evaluaciones algún día podrían ser leídas por alguien a quien no le importa lo impresionante que fue la demo.