Resumen

  • El 18 de marzo de 2018, un sistema de conducción automatizada en desarrollo de Uber que controlaba un Volvo XC90 modificado atropelló y mató a Elaine Herzberg en Tempe, Arizona. El sistema la detectó por primera vez 5,6 segundos antes del impacto, pero cambió repetidamente su clasificación, descartó un historial de seguimiento útil después de la reclasificación y no determinó que ella estaba en la trayectoria del vehículo hasta 1,2 segundos antes del impacto.
  • El único operador del vehículo estaba transmitiendo un programa de televisión en un teléfono personal y apartó la vista de la carretera durante aproximadamente cinco de los últimos seis segundos. La Junta Nacional de Seguridad del Transporte determinó que su falta de monitoreo fue la causa probable. También encontró que la evaluación de riesgos inadecuada de Uber ATG, la supervisión ineficaz del operador y la falta de gestión de la complacencia en la automatización contribuyeron, todo ello consecuencia de una cultura de seguridad inadecuada.
  • El humano no fue simplemente una causa independiente fuera del sistema. Uber ATG dependía del operador como la principal contramedida cuando una emergencia superaba las especificaciones de frenado automatizado, mientras que la advertencia de colisión frontal de Volvo y el frenado automático de emergencia estaban desactivados en modo autónomo. Aproximadamente cinco meses antes del accidente, ATG había consolidado las responsabilidades de dos operadores en un solo rol y rara vez revisaba el video orientado hacia el interior que podría haber expuesto la distracción.
  • Arizona había dado la bienvenida a las pruebas autónomas sin un permiso especial. La NTSB descubrió que la supervisión estatal era insuficiente y recomendó una solicitud centrada en la seguridad y una revisión de expertos antes de las pruebas. Posteriormente, la ley de Arizona creó disposiciones de notificación, certificación, aplicación e interacción con las fuerzas del orden, pero el marco visible todavía depende sustancialmente de las declaraciones del operador o la empresa en lugar de la publicación de una aprobación de seguridad independiente específica del caso.
  • La evidencia de reparación es material pero limitada. ATG restauró dos operadores, agregó monitoreo de atención en tiempo real, cambió la predicción de trayectoria, eliminó la lógica de supresión de acción de un segundo, reactivó las advertencias de colisión y el frenado de emergencia compatibles de Volvo, redujo la velocidad de las pruebas en la vía pública y construyó un sistema de gestión de seguridad. La NTSB cerró su recomendación al antiguo ATG en 2024, después de que la unidad fuera vendida a Aurora. El cierre no reproduce todos los resultados de validación ni prueba cómo se desempeñaría la organización original hoy.
  • Las brechas de gobernanza importantes permanecieron visibles al 15 de julio de 2026. La orden de notificación de accidentes de NHTSA proporciona datos obligatorios sobre incidentes y apalancamiento de cumplimiento, pero las recomendaciones de la NTSB para exigir y evaluar autoevaluaciones de seguridad previas a la prueba permanecen en la lista abierta de NHTSA. Por lo tanto, la prueba duradera es si un desarrollador puede probar la cadena de respaldo antes de exponer al público: control de emergencia independiente, suposiciones realistas de rendimiento humano, salvaguardas de atención activa, aprobación de cambios controlados, revisión estatal y federal, y evidencia auditabable de escenarios que estresan todas las capas juntas.

El marco conductor versus sistema falla la prueba de control

La página de investigación de la NTSB expone claramente la conclusión causal oficial. La causa probable fue la falta de monitoreo del entorno de conducción por parte del operador del vehículo y del sistema de conducción automatizada debido a que estaba visualmente distraída por su teléfono personal. La misma conclusión identifica factores contribuyentes dentro de Uber ATG: evaluación inadecuada del riesgo de seguridad, supervisión ineficaz de los operadores y falta de un mecanismo adecuado para abordar la complacencia en la automatización.

El cruce inseguro y la intoxicación del peatón, así como la supervisión insuficiente del Departamento de Transporte de Arizona, fueron factores contribuyentes adicionales.

Estos hallazgos no se dividen claramente entre un humano culpable y una máquina neutral. Un vehículo automatizado en desarrollo es una operación de prueba sociotécnica. Su caso de seguridad incluye sensores, software de percepción, planificación de movimiento, lógica de frenado, sistemas del vehículo base, restricciones de ruta y velocidad, la interfaz humano-máquina, el operador, la supervisión, el control de cambios, la revisión de incidentes y el permiso para usar una vía pública.

Si el desarrollador asigna la recuperación de emergencia a una persona, el rendimiento probable de esa persona bajo monitoreo pasivo prolongado se convierte en un insumo de diseño. Si el desarrollador elimina a una segunda persona o desactiva un freno independiente, el operador restante asume más riesgo, independientemente de si una política dice que los teléfonos están prohibidos.

Por eso el caso es una prueba de responsabilidad en lugar de una competencia sobre qué elemento único causó el último segundo de falla. El derecho penal, una investigación de seguridad de la NTSB, la gestión de seguridad corporativa y la regulación de vehículos responden preguntas diferentes. El informe final HAR-19/03 de la NTSB es un informe de seguridad de determinación de hechos, no un juicio que asigne daños civiles o culpabilidad penal. Un caso penal puede establecer la responsabilidad legal del operador sin validar la arquitectura del sistema de ATG.

Una versión de software reparada puede mejorar el manejo de objetos sin demostrar que la supervisión y la aprobación de la vía pública fueron adecuadas. Cada conclusión debe permanecer dentro de la autoridad y la evidencia de su fuente.

La distribución de las consecuencias hace que esa disciplina sea esencial. Herzberg perdió la vida. Su familia y comunidad sufrieron un daño que no controlaron. La operadora enfrentó un proceso penal y años de escrutinio público. Se pidió a los conductores de seguridad que gestionaran una tarea de monitoreo de baja frecuencia y altas consecuencias. Ingenieros, gerentes, Volvo, Uber, las agencias de Arizona, los reguladores federales y los desarrolladores posteriores de vehículos autónomos controlaron diferentes capas preventivas.

Los usuarios de la carretera no tenían forma práctica de inspeccionar esas capas antes de compartir el entorno de prueba.

Por lo tanto, la pregunta central de responsabilidad es operativa: ¿quién podría cambiar qué antes del accidente? Uber ATG podía cambiar la lógica de clasificación y predicción, la respuesta de emergencia, la velocidad de prueba, la dotación de personal, la capacitación, la revisión de video y los criterios de liberación. Volvo y ATG juntos controlaron la integración que desactivó los sistemas de prevención de colisiones de fábrica. El operador controlaba la atención, la dirección y el frenado durante el viaje. Arizona controlaba los términos bajo los cuales se realizaban las pruebas en sus carreteras.

NHTSA controlaba la autoridad federal sobre defectos y las directrices, pero no aprobó previamente el caso de seguridad de ATG. El peatón controlaba dónde y cuándo cruzaba, pero no el diseño del sistema que se aproximaba ni el permiso de prueba. Las consecuencias se superpusieron; el control no.

Quién tenía el control práctico

Uber ATG tenía el control directo más amplio sobre la operación de prueba. Su software detectaba objetos, asignaba clasificaciones, predecía el movimiento, planificaba una trayectoria y emitía comandos de dirección y frenado. Sus gerentes seleccionaban el dominio de diseño operativo, incluidas las rutas mapeadas, las condiciones de iluminación y clima, y una velocidad máxima de prueba.

Su organización de operaciones contrataba y capacitaba a los operadores, redactaba políticas sobre teléfonos y conducción, elegía si una o dos personas tripularían un vehículo, almacenaba video orientado hacia el interior y decidía con qué frecuencia los supervisores lo inspeccionarían. Su estructura de seguridad y liderazgo determinaba si los peligros serían identificados antes de la liberación a la vía pública.

El informe de automatización de vehículos de la NTSB identifica la plataforma Krypton específica y la versión de software instalada en el vehículo del accidente. También registra que el sistema estaba destinado a operar de forma autónoma solo en rutas mapeadas designadas mientras un humano supervisaba tanto el sistema como el entorno. Esa división importa: el ADS realizaba la tarea de conducción hasta que no tenía una respuesta adecuada, mientras que se esperaba que la persona detectara la falla y tomara el control rápidamente.

El operador controlaba el recurso manual inmediato. Las instrucciones de ATG requerían monitoreo, manos sobre el volante y un pie sobre el freno, marcar eventos inusuales e intervenir en emergencias. El operador también controlaba el teléfono personal y violó la regla de no usar teléfono. La evidencia del teléfono y las aplicaciones mostró que se transmitió video durante todo el viaje. Su mirada hacia abajo final eliminó la última respuesta humana disponible durante el intervalo crítico. Reconocer esta agencia no es lo mismo que tratar al operador como una garantía ilimitada contra limitaciones previsibles del sistema.

Los gerentes de ATG controlaban las condiciones bajo las cuales se esperaba que funcionara ese recurso. El informe fáctico de operaciones muestra que existía una política escrita de no usar teléfono y que la violación podía llevar al despido. También muestra debilidades de control detrás de la regla: la política no era independiente, ATG no tenía registro de que este operador la hubiera reconocido individualmente, y la supervisión no convirtió la evidencia almacenada de la cámara interior en chequeos regulares. Una política establece un estándar.

No es una salvaguarda operativa a menos que la capacitación, la observación, la escalada y las consecuencias hagan visible el cumplimiento.

Volvo controlaba el vehículo original y sus sistemas de seguridad de producción, mientras que ATG controlaba su integración con el stack en desarrollo bajo un acuerdo que involucraba a ambas empresas. El vehículo de fábrica tenía advertencia de colisión frontal y frenado automático de emergencia. Esas funciones estaban activas en modo manual pero se desactivaban automáticamente en modo autónomo. El registro de la NTSB dice que la operación simultánea se consideró incompatible porque los radares de ATG y Volvo podían interferir y porque el módulo de freno no estaba diseñado para priorizar dos comandos de frenado.

Esto no fue una falla misteriosa de un componente esa noche. Fue una decisión de integración conocida que eliminó una capa de intervención independiente mientras el ADS estaba activo.

Arizona controlaba la admisión a las vías públicas. La orden ejecutiva de 2015 del estado requería un operador con licencia capaz de tomar el control, prueba de responsabilidad financiera y cumplimiento de las leyes de tránsito, y creó un comité de supervisión. Sin embargo, la declaración de diciembre de 2016 de ADOT dando la bienvenida a Uber dijo que no había permisos especiales ni licencias para pruebas autónomas. Por lo tanto, el estado estableció condiciones generales sin una evaluación técnica previa a la prueba del análisis de peligros, la arquitectura de respaldo o el plan de monitoreo del operador de ATG.

NHTSA controlaba la autoridad federal sobre defectos de vehículos motorizados y las directrices nacionales. En ese momento, su política ADS 2.0 era expresamente voluntaria. La página oficial de ADS 2.0 explica que un desarrollador no tenía que presentar una autoevaluación, esperar aprobación ni cumplir con un nuevo mecanismo de cumplimiento antes de las pruebas. La autoridad federal podía responder a un defecto de seguridad irrazonable, pero las directrices no equivalían a una aprobación prospectiva de este sistema de prueba en desarrollo.

Finalmente, ni Herzberg ni otros usuarios de la carretera controlaban ninguna de esas decisiones de seguridad. La vía pública funcionaba como parte del entorno de validación, pero una persona que se encontraba con el vehículo no podía conocer su límite de frenado de emergencia, si el AEB de fábrica estaba activo, con qué frecuencia se monitoreaba al operador o si un revisor independiente había cuestionado la eliminación de la redundancia. Esa asimetría crea el argumento más sólido para una garantía pública auditabable antes de las pruebas, no solo una investigación después del daño.

... (the rest of the article continues similarly translated)