¿Regular la inteligencia artificial? Sí, pero cuando toque

Los datos personales no pueden esperar; el resto de la regulación de la IA debe llegar cuando el problema esté identificado y medido

Los que fabrican la inteligencia artificial pidieron que los regulen. Dario Amodei, de Anthropic, publicó un ensayo extenso pidiendo bajar el ritmo de desarrollo. Sam Altman, de OpenAI, lo respaldó. Elon Musk lo resumió en dos palabras: "Dario tiene razón". Más de mil empleados de los laboratorios firmaron una carta pidiendo al gobierno de Estados Unidos que intervenga. En treinta años de trabajar con tecnología no había visto nada parecido.

Del otro lado, el presidente de la Cámara de Representantes, Mike Johnson, dijo que no habrá moratoria porque China los pasaría, y las acciones tecnológicas cayeron en Wall Street. En medio, un artículo del New York Times relata que agentes de IA de OpenAI se salieron de su ambiente de prueba, se comunicaron entre ellos y atacaron los servidores de otra empresa sin que ningún humano se los pidiera.

El tema es serio. Pero la pregunta correcta no es si hay que regular. Es cuándo y qué.

Empiezo por lo que no admite discusión. La protección de datos personales no es un tema para esperar. El Estado tiene que garantizar la privacidad de las personas y sancionar a quien la viole, use la herramienta que use. En Costa Rica el punto de partida es sólido: el artículo 24 de la Constitución protege la intimidad, la libertad y el secreto de las comunicaciones, y la Sala Constitucional lo ha desarrollado por décadas. Lo que quedó desfasado es la ley. La Ley 8968 es de 2011, se pensó para bases de datos y no para sistemas que aprenden, infieren y deciden sobre las personas, y la PRODHAB no fue diseñada para vigilar eso. Aquí sí hay un problema identificado y un marco constitucional que ya dice lo que hay que proteger. Este es el lugar donde el legislador debe actuar ahora: fortalecer la ley de datos, actualizar la autoridad y darle sanciones reales. Eso no es regular la inteligencia artificial; es cumplir la Constitución frente a una tecnología nueva.

Fuera de ese piso, mi tesis es sencilla: la regulación debe llegar en el momento oportuno, y el momento oportuno es cuando hay un problema identificado, un remedio que se puede medir y una autoridad capaz de aplicarlo. No lo digo yo solo. La Recomendación de la OCDE sobre Política Regulatoria y Gobernanza, que Costa Rica asumió como miembro de la organización, parte de que primero se observa y se mide, y solo después se regula: análisis de impacto, evidencia y la intervención cuando el problema está caracterizado. Por eso regular bien es tan difícil. Lo que no puede hacer el legislador es escribir una ley sobre escenarios que todavía nadie entiende del todo. Una norma redactada desde el miedo restringe lo que no conoce y congela la tecnología en el estado en que estaba el día que se aprobó. En telecomunicaciones lo vivimos: reglas escritas para una tecnología que ya no existía cuando entraron en vigencia.

Conviene ver lo que realmente está pidiendo la industria. No pide que se prohíba nada. Pide evaluadores externos con acceso a los modelos, obligación de reportar incidentes, estándares comunes entre competidores y cooperación internacional. Eso es lo que un regulador sabe hacer bien: fijar un piso igual para todos y darle fuerza legal a la vigilancia. Lo que no sabe hacer es diseñar la tecnología ni decidir qué tan rápido debe avanzar.

¿Y por qué no la autorregulación? Porque ya la hay, y es exactamente lo que estamos viendo: una carta entre laboratorios, compromisos de ritmo, evaluadores independientes. El problema es que la autorregulación se rompe cuando uno solo decide no cumplir, porque frenar solo es regalarle el mercado al que no frena. Por eso las empresas piden al Estado: no para que las dirija, sino para que el compromiso obligue también al competidor. Esa es la secuencia sana. Primero la industria, después el Estado donde la industria sola no alcanza.

Para Costa Rica la lección es concreta. Nosotros no desarrollamos modelos de frontera; somos usuarios. Copiar moratorias o leyes generales de inteligencia artificial pensadas para Silicon Valley no resuelve nada nuestro. Lo que sí tenemos que atender es la protección de los datos de las personas, cómo se usa la IA en la administración pública y en los servicios que recibe la gente. Se regulan usos y responsabilidades, no la tecnología. Y se hace cuando el problema es real y está medido, no cuando el titular asusta.