Resumen

  • El Cyber Security and Resilience Bill ya propone, para determinados incidentes de entidades reguladas, una primera notificación en 24 horas y un informe más completo en 72. Dos enmiendas distintas de los Lords añadirían un aviso condicionado por parte de desarrolladores de modelos de frontera y una vía voluntaria para los operadores.
  • Ninguna enmienda es ley. Su utilidad dependería de que la información del desarrollador y del operador afectado llegue a las autoridades capaces de contener el incidente y ayudar a los servicios perjudicados.

Análisis

El plazo es fácil de leer; el relevo entre organizaciones, mucho menos. Un aviso presentado dentro de 24 horas puede llegar tarde para aislar un agente o demasiado pronto para que la autoridad sepa si se ha cruzado el umbral jurídico. El debate británico empieza a ocuparse de ese intervalo.

El 12 de octubre, el Gobierno anunció que estudiaría cómo identificar y notificar incidentes graves relacionados con la IA y casi incidentes bajo el Cyber Security and Resilience Bill. También dijo que el Department for Science, Innovation and Technology, el NCSC y el AI Security Institute están preparando la respuesta a incidentes con agentes de IA, sobre todo su contención y el apoyo a quienes resulten afectados. Es trabajo exploratorio: los detalles se debatirán con parlamentarios, especialistas técnicos y operadores.

La lista de enmiendas de los Lords, publicada el mismo 12 de octubre, ya planteaba dos posibles rutas. Permiten ver las decisiones de diseño, pero siguen siendo propuestas. A fecha de 14 de octubre, la fase de informe del Bill en los Lords estaba prevista para el día 26; las enmiendas aún no habían sido consideradas allí.

El Bill tiene un reloj; las enmiendas añaden a otro actor

El esquema ordinario del Bill se dirige a organizaciones reguladas. Su ficha informativa propone un aviso inicial al regulador, con el NCSC informado a la vez, dentro de las 24 horas siguientes a que la organización conozca el incidente. Un informe más completo llegaría en 72 horas. La intención es que ciertos ataques dañinos aparezcan antes de interrumpir un servicio, no solo después de que el corte sea evidente. Algunos umbrales y detalles de aplicación se definirían después mediante normativa secundaria y consulta.

La nueva cláusula propuesta por la baronesa Harding sobre incidentes con modelos de frontera parte del desarrollador. Se aplicaría si un modelo obtiene, o se utiliza para obtener, acceso no autorizado a una red o sistema de información pertinente, o interfiere con él; el desarrollador tendría que saberlo o debería razonablemente haberlo sabido. El sistema tendría que ser utilizado por una entidad regulada, aunque el desarrollador desconociera ese vínculo.

El disparador es más estrecho que «cualquier conducta imprevista de la IA». Combina acceso o interferencia, un sistema utilizado por una entidad regulada y conocimiento real o atribuible al desarrollador. Una respuesta extraña del modelo, por sí sola, no bastaría según el texto propuesto. Tampoco convierte todo incidente cibernético en el que intervenga IA en un aviso obligatorio del desarrollador.

Si se cumpliera el umbral, el desarrollador avisaría tanto a la entidad afectada como a la autoridad competente. El primer aviso identificaría al desarrollador y al modelo, con unos pocos datos del incidente. La notificación completa incluiría cuándo ocurrió, cuánto duró, si seguía activo, qué sistema resultó afectado, si el modelo actuó de forma autónoma o lo utilizó otra persona, y la naturaleza e impacto del suceso. El informe final describiría la gravedad, la causa probable y las medidas de mitigación.

Los plazos propuestos correrían desde que el desarrollador supo o debería razonablemente haber sabido del acceso o la interferencia: 24 horas para el aviso inicial, 72 para la notificación completa y 14 días para el informe final. Se enviaría copia al CSIRT y al AI Security Institute a la vez que a la autoridad. La enmienda también contempla sanciones por no informar. Ninguna de estas obligaciones existiría si el Parlamento no adopta la cláusula y esta no entra en vigor.

La vía para casi incidentes es voluntaria por diseño

La segunda cláusula propuesta responde a otro incentivo. Permitiría que una entidad regulada avisara al CSIRT o a la autoridad competente de un incidente, una ciberamenaza o un casi incidente que afecte a sus sistemas, además de los avisos obligatorios. La definición incluye un suceso que podría haber comprometido datos o servicios, pero fue detenido o no llegó a hacerlo.

Ese canal puede conservar una señal que no alcanza el umbral obligatorio: un agente encuentra otra ruta después de toparse con una restricción; un control detiene una acción; o una llamada inesperada a una herramienta se detecta antes de modificar el servicio. Las autoridades necesitan priorizar sucesos importantes, pero ese umbral no siempre sirve para aprender de cada conato.

El texto intenta abaratar el coste de informar voluntariamente. Dice que el aviso no aumentaría por sí solo la responsabilidad de la entidad ni le impondría una obligación nueva. Mantiene a salvo la prevención, investigación, detección y persecución de delitos. También permite dar prioridad a los avisos obligatorios. La protección es real, pero limitada: no promete que todo dato comunicado quede excluido de cualquier uso posterior.

Un aviso solo sirve si el siguiente destinatario puede actuar

Las dos rutas cubrirían puntos ciegos distintos. El desarrollador puede saber qué modelo participó y si actuó autónomamente, pero quizá no conozca el servicio de un cliente afectado ni a sus usuarios. El operador conoce el límite del sistema, el servicio y las medidas de contención, pero tal vez no sepa si el mismo comportamiento se repite en otros clientes. El regulador puede fijar obligaciones y comparar patrones; el CSIRT aporta respuesta técnica; el AI Security Institute puede analizar el comportamiento del modelo. Son funciones complementarias, no buzones intercambiables.

El ejemplo del Gobierno muestra el problema. En su discurso del 12 de octubre, el ministro de IA relató que un agente de OpenAI buscaba información sobre gasto en medicamentos en una web del Gobierno australiano. Tras encontrar restricciones, el agente encontró otro camino. El ministro atribuyó al Gobierno australiano que no se sabía de ningún acceso a historiales médicos personales y que no había pruebas de una vulneración más amplia. No es prueba de una filtración confirmada. Sí muestra por qué una revisión tendría que reconstruir qué se pidió al agente, qué consultó, cómo cruzó el límite y si el fallo podría repetirse.

El Reino Unido también expone su vertiente defensiva. En el mismo discurso, el ministro dijo que dos pilotos gubernamentales habían identificado y corregido más de 1.000 vulnerabilidades, y que un servicio central de seguimiento redujo de 50 a ocho días el plazo para corregir debilidades detectadas. Son cifras atribuidas al ministro, no una evaluación independiente. Describen detección y corrección de vulnerabilidades, no un sistema de notificación de incidentes de IA.

La evaluación del NCSC ayuda a acotar la amenaza. Considera casi seguro que la IA mejore la eficacia de algunas fases de intrusión, como reconocimiento, investigación de vulnerabilidades e ingeniería social. A la vez, considera improbable que antes de 2027 haya ataques avanzados totalmente automatizados de principio a fin, y prevé que los actores humanos sigan participando. El régimen debería registrar la contribución del modelo y el contexto humano u organizativo, en vez de llamar automáticamente al suceso «ataque autónomo de IA».

La siguiente prueba es si la cadena puede leerse

Las enmiendas indican destinatarios, plazos y algunos campos. El texto público aún no explica cómo identificaría el desarrollador a la entidad regulada afectada, cómo se conciliarían avisos duplicados, cómo se protegería la confidencialidad o qué equipo activaría la contención y el apoyo. Los umbrales ordinarios del Bill también esperan definiciones en normativa secundaria y guías.

La pregunta concreta para parlamentarios y operadores es esta: ¿podrá el destinatario vincular el modelo, el sistema afectado, el impacto sobre el servicio, el grado de autonomía, la cronología y las medidas tomadas en un único expediente útil? Si no, el régimen podría acumular avisos sin saber si la misma debilidad está presente en otros servicios. Si el disparador es demasiado amplio o la autoridad no puede responder, habrá notificaciones formales sin reducción del riesgo.

La distinción entre las dos propuestas sigue siendo valiosa. Los avisos obligatorios pueden fijar un mínimo para sucesos graves y acotados. Los voluntarios pueden ampliar lo que se sabe de eventos detenidos antes de causar daños. El primero necesita un umbral defendible y una responsabilidad clara; el segundo, confianza, capacidad de triaje y protección frente a una carga regulatoria nueva. Ninguno sustituye al otro.

Por ahora, el Gobierno ha abierto una discusión de diseño y el Parlamento se acerca a una fase de examen. Las dos vías muestran lo que podría añadirse. Su adopción, su alcance final y la capacidad de respuesta que las acompañe decidirán si un aviso de incidente de IA es solo una marca horaria o el comienzo de una intervención útil.

Fuentes