Proyecto de un tratado, con anotaciones

Ninguna de las Partes del presente Tratado desarrollará, desplegará ni tratará de desarrollar o desplegar la superinteligencia artificial («SIA») por ningún medio. Cada una de las Partes prohibirá e impedirá todo desarrollo de este tipo dentro de sus fronteras y jurisdicciones y, debido a la incertidumbre en cuanto al momento en que nuevos avances podrían dar lugar a la SIA, no permitirá ni participará en actividades que supongan un avance significativo hacia la SIA, según se describe en el presente Tratado. Cada una de las Partes prestará asistencia a las medidas razonables de otras Partes, o no las obstaculizará, para disuadir e impedir dicho desarrollo por parte de Estados y jurisdicciones que no sean Partes, y dentro de estos. Cada una de las Partes implementará y llevará a cabo todas las demás obligaciones, medidas y disposiciones de verificación establecidas en el presente Tratado.

En los casos en que determinadas clases de infraestructura y capacidades de IA que permanezcan alejadas de la superinteligencia artificial (SIA) puedan considerarse aceptables, pero solo bajo condiciones de supervisión internacional, únicamente las Partes en el Tratado podrán llevar a cabo tales actividades, o poseer u operar chips de IA e instalaciones de fabricación que pudieran conducir al desarrollo de una SIA sin supervisión. Se negará dicho acceso a quienes no sean Parte, por la seguridad de las Partes y de toda la vida en la Tierra (artículo V, artículo VI, artículo VII).

Las Partes se comprometen a un proceso de solución de controversias (artículo XI) con el fin de minimizar las Medidas de Protección innecesarias (artículo XII).

Precedentes

El artículo I del TNP, como en muchos tratados, establece el compromiso de alto nivel que asumirán las Partes; en este caso, no compartir sus armas nucleares ni ayudar a otros a obtenerlas:

Cada Estado poseedor de armas nucleares que sea Parte en el Tratado se compromete a no traspasar a nadie armas nucleares u otros dispositivos nucleares explosivos ni el control sobre tales armas o dispositivos explosivos, sea directa o indirectamente; y a no ayudar, alentar o inducir en forma alguna a ningún Estado no poseedor de armas nucleares a fabricar o adquirir de otra manera armas nucleares u otros dispositivos nucleares explosivos, ni el control sobre tales armas o dispositivos explosivos.

El compromiso resumido en el artículo I de nuestro proyecto es más estricto, ya que no se puede permitir que ocurra ni una sola vez una irrupción de una SIA, por parte de nadie y en ningún lugar.⁴ No bastará con no «ayudar, alentar o inducir» a otros a construirla. Por lo tanto, hemos incluido el compromiso de «prestará asistencia a las medidas razonables de otras Partes, o no las obstaculizará» de las Partes para disuadir y evitar dicho desarrollo en cualquier lugar.

El TNP tiene por objeto contener una amenaza existente (las armas nucleares), mientras que nuestro proyecto pretende impedir que una amenaza (SIA) llegue a existir. Se puede encontrar un precedente para prevenir el desarrollo de nuevas tecnologías peligrosas en el Protocolo sobre armas láser cegadoras, que forma parte de la Convención sobre ciertas armas convencionales.⁵ En su artículo I dice lo siguiente:

Queda prohibido emplear armas láser específicamente concebidas, como única o una más de sus funciones de combate, para causar ceguera permanente a la vista no amplificada, es decir, al ojo descubierto o al ojo provisto de dispositivos correctores de la vista. Las Altas Partes Contratantes no transferirán armas de esta índole a ningún Estado ni a ninguna entidad no estatal.

Sin embargo, esa formulación no intenta impedir que nadie, en ningún lugar, pruebe o desarrolle accidentalmente un sistema de ese tipo. Nuestro acuerdo debe ser lo suficientemente sólido como para impedir que se fabrique accidentalmente una SIA. Dado que no está claro dónde podría estar el punto de no retorno, nuestro artículo I incluye el compromiso de «no permitirá ni participará en actividades que supongan un avance significativo hacia la SIA».

A los efectos del presente Tratado:

1. Inteligencia artificial (IA) hace referencia a un sistema computacional que realiza tareas que requieren cognición, planificación, aprendizaje o la toma de acciones en los ámbitos físico, social o cibernético. Esto incluye sistemas que realizan tareas en condiciones variables e impredecibles, o que pueden aprender de la experiencia y mejorar su desempeño.
2. Superinteligencia artificial (SIA) se define operativamente como cualquier IA con un desempeño cognitivo suficientemente sobrehumano como para planificar y ejecutar con éxito la destrucción de la humanidad.
   1. A los efectos del presente Tratado, se considerará que el desarrollo de IA que no esté explícitamente autorizado por la AISI (artículo III) y que infrinja los límites descritos en el artículo IV tiene como objetivo la creación de superinteligencia artificial.
3. Actividades peligrosas de IA son aquellas actividades que aumentan sustancialmente el riesgo de que se cree una superinteligencia artificial, y no se limitan a la etapa final del desarrollo de una SIA, sino que también incluyen las etapas previas establecidas en el presente tratado. El alcance completo de las actividades peligrosas de IA se detalla en los artículos IV a IX y podrá ser ampliado y modificado mediante la aplicación del Tratado y las actividades de la AISI.
4. Operaciones de coma flotante (FLOP) es la medida computacional utilizada para cuantificar la escala de entrenamiento y posentrenamiento, basada en el número de operaciones matemáticas realizadas. Las FLOP se contabilizarán como operaciones equivalentes al formato de coma flotante de media precisión (FP16) o como operaciones totales (en el formato utilizado), lo que sea mayor.
5. Ejecución de entrenamiento significa cualquier proceso computacional que optimiza los parámetros de una IA (especificaciones de la propagación de información a través de una red neuronal; por ejemplo, pesos y sesgos) utilizando métodos basados en gradientes u otros métodos de búsqueda/aprendizaje, incluyendo el preentrenamiento, el ajuste fino, el aprendizaje por refuerzo, las búsquedas de hiperparámetros a gran escala que actualizan los parámetros y el autoaprendizaje iterativo o el entrenamiento curricular.
6. Preentrenamiento se refiere a la ejecución de entrenamiento mediante la cual se optimizan inicialmente los parámetros de una IA utilizando conjuntos de datos a gran escala para aprender patrones o representaciones generalizables antes de cualquier adaptación específica de una tarea o ámbito. Incluye la optimización supervisada, no supervisada, autosupervisada y por refuerzo cuando se realiza antes de dicha adaptación.
7. Posentrenamiento se refiere a una ejecución de entrenamiento realizada después del preentrenamiento de un modelo. Además, cualquier entrenamiento realizado en una IA creada antes de la entrada en vigor del presente Tratado se considera posentrenamiento.
8. Chips informáticos avanzados son circuitos integrados fabricados con procesos al menos tan avanzados como el nodo de proceso de 28 nanómetros.
9. Chips de IA son circuitos integrados especializados diseñados principalmente para cálculos de IA, incluyendo, de manera enunciativa mas no limitativa, operaciones de entrenamiento e inferencia para modelos de aprendizaje automático [esto tendría que definirse con mayor precisión en un anexo]. Esto incluye GPU, TPU, NPU y otros aceleradores de IA. También puede incluir hardware que no haya sido diseñado originalmente para usos de IA, pero que puede adaptarse para ello de manera eficaz. Los chips de IA son un subconjunto de los chips informáticos avanzados.
10. Hardware de IA se refiere a todo el hardware informático para entrenar y ejecutar inteligencias artificiales. Esto incluye chips de IA, así como equipos de red, fuentes de alimentación y equipos de refrigeración.
11. Equipos de fabricación de chips de IA se refiere a equipos utilizados para fabricar, probar, ensamblar o empaquetar chips de IA, incluidos, de manera enunciativa mas no limitativa, equipos de litografía, deposición, grabado, metrología, pruebas y encapsulado avanzado [sería necesario definir una lista más completa en un anexo].
12. Equivalente a H100 significa la unidad de capacidad de cómputo (FLOP por segundo) equivalente a un acelerador NVIDIA H100 SXM, 990 TFLOP/s en FP16 o un rendimiento de procesamiento total (TPP) de 15 840, donde el TPP se calcula como TPP = 2 × MacTOPS no dispersos × (longitud en bits de la entrada de multiplicación).
13. Clúster de chips contemplado (CCC) significa cualquier conjunto de chips de IA o clúster en red con un poder de cómputo efectivo agregado superior a 16 equivalentes a H100. Un clúster en red se refiere a chips que o bien están físicamente coubicados, tienen un ancho de banda agregado entre nodos —definido como la suma del ancho de banda entre distintos hosts/chasis— superior a 25 Gbit/s, o están conectados en red para realizar cargas de trabajo conjuntamente. El poder de cómputo efectivo agregado de 16 chips H100 es de 15 840 TFLOP/s, o 253 440 TPP, y se basa en la suma de TPP por chip. Algunos ejemplos de CCC son: el servidor GB200 NVL72, tres servidores H100 HGX de ocho vías ubicados en el mismo edificio, CloudMatrix 384, un pod con 32 chips TPUv6e y toda supercomputadora.
14. Medios técnicos nacionales (MTN) se refiere a satélites, aeronaves, medios cibernéticos, señales, imágenes (incluidas las térmicas) y otras capacidades de teledetección empleadas por las Partes para la verificación de conformidad con el presente Tratado.
15. Verificación del uso de chips se refiere a los métodos que proporcionan información sobre las actividades que se ejecutan en determinados chips informáticos, con el fin de diferenciar entre actividades aceptables y prohibidas.
16. Métodos utilizados para crear modelos de vanguardia se refiere al amplio conjunto de métodos utilizados en el desarrollo de la IA. Incluye, entre otros, arquitecturas de IA, optimizadores, métodos de tokenización, curación de datos, generación de datos, estrategias de paralelismo, algoritmos de entrenamiento (por ejemplo, algoritmos de aprendizaje por refuerzo) y otros métodos de entrenamiento. Esto incluye el posentrenamiento, pero no incluye métodos que no cambian los parámetros de un modelo entrenado, como el uso de prompts. Es posible que en el futuro se creen nuevos métodos.

Notas

Es probable que la definición de IA que empleamos (adaptada de la Ley de Protección de Denunciantes de IA del senador Chuck Grassley) sea demasiado amplia, y creemos que sería necesario definirla mejor para excluir sistemas informáticos evidentemente seguros, como los correctores ortográficos o los de reconocimiento de imágenes.

En el paradigma actual de desarrollo de la IA, esta definición es probablemente aceptable, dado que el desarrollo de la IA se distingue claramente de la investigación y el desarrollo no relacionados con la IA debido al uso de grandes cantidades de recursos computacionales. Sin embargo, la definición definitiva de IA que se utilice debería abarcar más que los sistemas de aprendizaje profundo o aprendizaje automático. Si bien el aprendizaje automático es el paradigma dominante actual para la IA, el Tratado debería tener en cuenta la posibilidad de que otro paradigma de IA cobre importancia en el futuro; de lo contrario, un Tratado que prohíba únicamente el aprendizaje automático animaría a los investigadores a desarrollar nuevos paradigmas de IA para crear una IA más potente y general, lo cual podría tener consecuencias catastróficas. Si surgiera un paradigma novedoso, especialmente uno que no requiriera tantos chips de IA como el aprendizaje profundo, probablemente sería necesario actualizar el Tratado.

Utilizamos el equivalente a H100 como métrica principal de la capacidad de cómputo. En el artículo V, esta métrica se utiliza para establecer el tamaño del mayor clúster de chips no supervisado permitido (16 equivalentes a H100).⁶ El artículo IV define los umbrales en términos del total de operaciones utilizadas para entrenar una IA, por lo que, al establecer límites a las operaciones no supervisadas por segundo, resultaría inviable llevar a cabo un entrenamiento ilegalmente grande en hardware no supervisado.

Utilizamos los equivalentes a H100 para tener en cuenta que existen múltiples chips de IA diferentes, pero lo que más nos importa es cuántas operaciones pueden realizar en un periodo de tiempo. Hay otras métricas de chips que son importantes (como la memoria de alto ancho de banda), pero en general creemos que estas importan menos que el número de operaciones por segundo. Los equivalentes a H100 como unidad son una forma relativamente estándar de analizar el poder de cómputo.

La definición de clúster de chips contemplado (CCC) que incluimos es una primera aproximación a cómo definir ese concepto. Lo ideal sería que el límite fuera lo suficientemente alto como para evitar que la gente común infringiera las normas (es decir, un ancho de banda de 25 Gbit/s entre chasis es más rápido que las conexiones a internet fuera de los centros de datos; es muy raro y caro que una persona posea más de 16 equivalentes a H100). También debería ser lo suficientemente bajo como para evitar que se produzcan actividades peligrosas de IA y dificultar la subversión (es decir, dificultar el entrenamiento distribuido entre múltiples conjuntos de chips sub-CCC). Analizamos esta decisión con más detalle en el comentario sobre el artículo V.

Los chips de IA son un subconjunto de chips informáticos avanzados, y no existe una línea clara que distinga los chips de IA de los que no lo son. En lugar de definir y basarnos en una distinción, utilizamos la capacidad de cómputo total (en operaciones por segundo) de un clúster, medida en equivalentes a H100. Si los chips pueden configurarse para entrenar o ejecutar IA y superan el umbral definido, el Tratado exige que sean supervisados.

Nótese que algunos gobiernos pueden haber dejado de utilizar el término Medios Técnicos Nacionales (MTN) como término oficial. Lo utilizamos en este proyecto de tratado al estilo de los acuerdos de control de armas anteriores para facilitar la comparación. |

1. Por el presente Tratado, las Partes establecen la Agencia Internacional de Superinteligencia (AISI), para aplicar sus disposiciones, incluidas las relativas a la verificación internacional de su cumplimiento, y para que sirva de foro de consulta y cooperación entre ellas.
2. Por el presente Tratado, se establecen los siguientes órganos de la AISI: la Conferencia de las Partes, el Consejo Ejecutivo y la Secretaría Técnica.
3. Conferencia de las Partes
   1. La Conferencia de las Partes se compone de todas las Partes en el Tratado.
   2. La Conferencia de las Partes determinará la política general; aprobará y supervisará el presupuesto; elegirá a los miembros del Consejo Ejecutivo; examinará las cuestiones de cumplimiento comunicadas por el Consejo Ejecutivo; y aprobará y revisará los anexos por recomendación del Consejo Ejecutivo.
   3. Se reunirá en sesión ordinaria al menos una vez al año, o con mayor frecuencia si así lo decide la Conferencia, además de las sesiones extraordinarias que se requieran. Cada Parte dispondrá de un voto. El quórum se constituirá con la mayoría de las Partes.
4. Consejo Ejecutivo
   1. El Consejo Ejecutivo estará compuesto por 15 miembros: (i) cinco puestos designados para los miembros permanentes del Consejo de Seguridad de las Naciones Unidas y (ii) diez puestos elegidos distribuidos mediante representación geográfica equitativa. En el anexo A se desarrollan los detalles.
   2. El mandato de los miembros elegidos será de dos años. Cada año se renovará la mitad de los puestos.
   3. El Consejo Ejecutivo deberá: aprobar las inspecciones por denuncia, recomendar el presupuesto y las políticas a la Conferencia, nombrar al Director General y supervisar la Secretaría Técnica mediante el derecho de veto.
   4. Los procesos para tomar decisiones son los siguientes:
      1. El Consejo Ejecutivo elige al presidente y al vicepresidente.
      2. El presidente o el vicepresidente pueden presidir la sesión.
      3. La votación se efectúa según el principio de «un miembro, un voto».
      4. Las votaciones para aprobar una inspección por denuncia en virtud del artículo X requieren una mayoría de votos.
      5. Las votaciones para vetar los cambios de la Secretaría Técnica a las definiciones o a los protocolos de salvaguardia requieren una mayoría de dos tercios.
      6. Las votaciones para destituir o nombrar a un Director General requieren una mayoría de dos tercios.
      7. Todas las demás decisiones requieren una mayoría de dos tercios.
      8. Para el quórum se requieren dos tercios del Consejo Ejecutivo.
5. Secretaría Técnica y Director General
   1. El Director General de la Secretaría Técnica será su titular y director administrativo.
   2. El Director General será nombrado por el Consejo Ejecutivo por un período de cuatro años, renovable una vez. El Consejo Ejecutivo podrá destituir al Director General.
   3. La Secretaría Técnica contará en su inicio con divisiones técnicas de Seguimiento y Salvaguardias de Fabricación de Chips, Salvaguardias de Verificación del Uso de Chips, Controles de la Investigación, Consolidación de la Información, Revisiones Técnicas, Administración y Finanzas, y Asuntos Jurídicos y de Cumplimiento. El Director General podrá crear y disolver divisiones técnicas.
   4. La Secretaría Técnica, por conducto del Director General, podrá proponer cambios a las definiciones técnicas y los protocolos de salvaguardia, según sea necesario para aplicar los artículos IV, V, VI, VII, VIII, IX y X del presente Tratado.
      1. Los cambios urgentes en los umbrales de FLOP (artículo IV), el tamaño de los clústeres de chips contemplados (artículo V) y los límites de la investigación restringida (artículo VIII) podrán ser aplicados inmediatamente por el Director General en caso de que la inacción suponga un riesgo para la seguridad. Dichos cambios permanecerán en vigor durante treinta días. Transcurrido ese plazo, los cambios deberán ser aprobados por el Consejo Ejecutivo para seguir en vigor.
      2. El Consejo Ejecutivo tomará las decisiones sobre cuestiones de fondo, en la medida de lo posible, por consenso; el Director General se esforzará por que se alcance tal consenso. Si no es posible llegar a un consenso en un plazo de 24 horas, se procederá a una votación, y el Consejo Ejecutivo aceptará los cambios si los aprueba la mayoría de los miembros presentes y votantes; de lo contrario, los rechazará.
6. El presupuesto ordinario de la AISI se financia con las aportaciones asignadas a las Partes, utilizando una escala derivada de la escala de cuotas de las Naciones Unidas, sujeta a un mínimo y un máximo establecidos por el Consejo Ejecutivo. Los Estados miembros también tienen la opción de realizar aportaciones voluntarias para la investigación sobre seguridad de la IA en materia de alineación, interpretabilidad y actividades de creación de capacidad de los Estados miembros, incluyendo los usos beneficiosos de una IA segura, el desarrollo de bancos de pruebas, buenas prácticas, el intercambio de información y la facilitación de la cooperación y las actividades conjuntas, siguiendo libremente el modelo de la Red Internacional de Centros de Capacitación y Apoyo en materia de Seguridad Física Nuclear del OIEA.

Notas

Al igual que en otros organismos internacionales, la AISI estaría integrada por diplomáticos y expertos técnicos de los países signatarios. El punto principal del texto anterior es que se otorga a la AISI la autoridad para aplicar la mayor parte de lo que exige el tratado y actualizar algunos aspectos del mismo a lo largo del tiempo. Este enfoque da prioridad a la prevención de la creación de superinteligencia y al mantenimiento de la vigencia del tratado hasta que el mundo esté preparado para seguir adelante. Como tal, este borrador otorgaría a esta organización multinacional la autoridad para llevar a cabo gran parte de lo que se requiere. La AISI centraliza la aplicación de varias funciones clave del tratado, incluyendo el mantenimiento de los límites precisos de la investigación, el desarrollo y el despliegue permitidos de la IA, al ser el verificador principal del cumplimiento del tratado, y la consolidación de la información confidencial de inteligencia de los signatarios. Es fundamental que el funcionamiento cooperativo de la AISI genere la confianza necesaria entre las partes signatarias a lo largo del tiempo.

Dicho esto, este tipo de enfoque conlleva ciertas disyuntivas. La primera es que una mayor centralización requiere más confianza por parte de las naciones signatarias. Los posibles signatarios del tratado podrían no considerar políticamente viable asignar este nivel de autoridad a una organización internacional, o podrían no confiar en que la organización vaya a funcionar con suficiente independencia de la influencia de sus miembros más poderosos.

Un acuerdo alternativo podría centralizar solo aquellas pocas funciones que deban ser centralizadas (como mantener y aclarar los límites a la investigación, el desarrollo y el despliegue de la IA), permitiendo a la vez que cada signatario verifique individualmente el cumplimiento a su entera satisfacción.

Otra disyuntiva surge en cuanto a qué tan inclusivo deba ser dicho tratado. Nuestro texto de ejemplo crearía una organización multilateral en la que se invitaría a todos los Estados a firmar el tratado y a participar en su ejecución. Una alternativa a esto sería un tratado centrado, por ejemplo, solo en China y Estados Unidos. La idea detrás de esto sería construir un régimen de verificación bilateral limitado que satisfaga las necesidades de cada parte, sacrificando la menor cantidad posible de autonomía y transparencia. A cada parte se le asignaría entonces el objetivo separado y posterior de incorporar a otros Estados.

Dado que el objetivo de este tratado es demostrar cómo podrían ser los controles internacionales si los líderes mundiales se dieran cuenta de los graves peligros, ilustramos una estructura multilateral en la que todas las partes tendrían algo que ganar al adherirse al tratado.

Como tal, la estructura propuesta del Consejo Ejecutivo de la AISI incluye a todos los miembros permanentes del Consejo de Seguridad de las Naciones Unidas y toma como modelo la composición del OIEA.

Dada la posición de TSMC como fabricante líder de chips de IA, cualquier tratado sobre IA debe tener en cuenta cómo abordar la cuestión de Taiwán. Hemos optado por utilizar el precedente del TNP con respecto a dicho país. Lo ideal sería que Taiwán implementara acuerdos y/o declaraciones formales que establecieran que se considera vinculado por los principios de este tratado, lo cual significaría su adhesión de facto al mismo. Más importante aún, Taiwán aceptaría un acuerdo que permitiera inspecciones rutinarias y/o por denuncia in situ para garantizar que cumple los principios del tratado.

Todavía no está del todo claro cómo deberían tomar las decisiones el Consejo Ejecutivo y la AISI, ni qué potestades se delegan a los diferentes órganos. En este artículo se presenta una propuesta de estructura que otorga un poder considerable a la Secretaría Técnica, al tiempo que asigna al Consejo Ejecutivo la facultad de supervisión.

Una de las ventajas de este diseño es que permite al órgano técnico tomar decisiones con rapidez y le otorga un amplio mandato para cumplir su misión, aunque cualquier cambio requiere la aprobación de una mayoría simple de los miembros del Consejo Ejecutivo en un plazo de 30 días para que siga vigente. Si bien los líderes mundiales pueden mostrarse reacios a delegar tanto poder en expertos técnicos, es probable que estos tampoco confíen en que los actores geopolíticos resuelvan las espinosas cuestiones técnicas que surgirán al aplicar este tratado y se adapten suficientemente para responder a un panorama técnico cambiante. Este artículo presenta solo una propuesta sobre cómo equilibrar el poder de decisión entre estos grupos, pero hay muchos otros enfoques posibles.

Otro enfoque de este tipo sería desglosar aún más las responsabilidades, las definiciones y los tipos de salvaguardias aplicadas por la AISI (por ejemplo, los umbrales de FLOP de entrenamiento, la definición de CCC, la definición de chip de IA, si una instalación concreta debe considerarse una instalación de producción de chips, los protocolos de verificación del uso de chips, la definición de investigación restringida, etc.) y establecer diferentes procedimientos de votación para estos cambios, en función de su impacto.

Precedentes

La estructura de gobierno tripartita de la Agencia Internacional de Superinteligencia (AISI) propuesta en nuestro proyecto de tratado sigue el modelo de la Organización para la Prohibición de las Armas Químicas (OPAQ),⁷ el organismo encargado de aplicar la Convención sobre las Armas Químicas (CAQ). Los nombres de estos órganos también se toman de la OPAQ (es posible que un tratado real prefiera otras estructuras y nombres que cumplan las mismas funciones; más adelante ofrecemos precedentes de algunas disposiciones menos centralizadas).

El Consejo Ejecutivo, establecido en virtud de los apartados (a) y (d) de nuestro párrafo 4, emula a la Junta de Gobernadores del TNP. La designación de cinco de los quince puestos del Consejo para los miembros permanentes del Consejo de Seguridad de las Naciones Unidas refleja que los cinco Estados poseedores de armas nucleares originales del TNP coincidían con los cinco miembros permanentes del Consejo de Seguridad de la ONU; sin su participación como socios centrales, es probable que el TNP hubiera fracasado desde el principio.

Nuestra disposición de «diez puestos elegidos distribuidos mediante representación geográfica equitativa» también se hace eco del TNP, que estipula que entre sus gobernadores salientes se incluya «al miembro más avanzado en la tecnología de la energía atómica, incluida la producción de materiales básicos, en cada una de» las ocho regiones especificadas.

Taiwán complica nuestro concepto de tratado, dada su delicada situación geopolítica y su condición de productor de la mayoría de los chips de IA del mundo. Afortunadamente, los precedentes nos sirven de guía: aunque Taiwán no es parte del TNP, ha declarado en múltiples ocasiones que se considera vinculado por los principios del TNP. Taiwán permite al OIEA realizar inspecciones y aplicar salvaguardias a sus instalaciones nucleares mediante un acuerdo trilateral con Estados Unidos y el OIEA. Se podría llegar a un acuerdo similar con respecto a nuestro proyecto de tratado.

Los procesos de toma de decisiones del Consejo Ejecutivo de nuestro proyecto de tratado se han modelado a partir del Reglamento y Procedimientos de la Junta de Gobernadores que utiliza el Organismo Internacional de Energía Atómica (OIEA), la principal organización para la gobernanza internacional de la tecnología nuclear.⁸ Asimismo, los procedimientos de votación siguen el Estatuto del OIEA.

En otros tratados sobre armas nucleares pueden encontrarse precedentes de mecanismos de aplicación menos centralizados (aunque potencialmente eficaces). El Tratado sobre Fuerzas Nucleares de Rango Intermedio (INF) y los Tratados de Reducción de Armas Estratégicas (START I, START II y Nuevo START) responsabilizan a las partes individuales de la aplicación y verificación; cada una se compromete a seguir procedimientos que permitan a la otra obtener garantías razonables de cumplimiento.

Las «inspecciones por denuncia» del párrafo 4(c) se basan en el mecanismo de la Parte X de la CAQ; desarrollaremos este precedente con más detalle en el artículo X.

1. Cada una de las Partes acuerda prohibir el entrenamiento de IA por encima de los siguientes umbrales: cualquier ejecución de entrenamiento superior a 1e24 FLOP o cualquier ejecución posterior al entrenamiento superior a 1e23 FLOP. Cada una de las Partes acuerda no realizar ejecuciones de entrenamiento por encima de estos umbrales y no permitir que ninguna entidad bajo su jurisdicción las realice.
   1. La Secretaría Técnica podrá modificar estos umbrales, de conformidad con el proceso descrito en el artículo III. El Consejo Ejecutivo podrá vetar dichas decisiones por mayoría de dos tercios.
2. Cada una de las Partes notificará a la AISI cualquier ejecución de entrenamiento de entre 1e22 y 1e24 FLOP antes de su inicio. Esto se aplica a las ejecuciones de entrenamiento realizadas por la Parte o cualquier entidad dentro de su jurisdicción.
   1. Este informe deberá incluir, entre otros datos, todo el código de entrenamiento y una estimación del total de FLOP que se utilizará. La Parte deberá proporcionar al personal de la AISI acceso supervisado a todos los datos, con un registro de acceso adecuado a la sensibilidad de los datos y protecciones contra la duplicación o la divulgación no autorizada. No proporcionar al personal de la AISI acceso suficiente a los datos será motivo para denegar la ejecución del entrenamiento, a discreción de la AISI. La AISI podrá solicitar cualquier documentación adicional relacionada con la ejecución del entrenamiento. La AISI también preaprobará un conjunto de pequeñas modificaciones que podrían realizarse al procedimiento de entrenamiento durante el entrenamiento. Cualquier cambio de este tipo se comunicará a la AISI en el momento de su realización.
   2. La falta de respuesta de la AISI transcurridos 30 días constituirá la aprobación; no obstante, la AISI podrá prorrogar este plazo si notifica que necesita tiempo adicional para su revisión. Estas prórrogas no tienen límite, pero las Partes podrán recurrir los retrasos excesivos ante el Director o el Consejo Ejecutivo.
   3. La AISI podrá supervisar dichas ejecuciones de entrenamiento, para lo cual la Parte le proporcionará, previa solicitud, los puntos de control del modelo, incluido el modelo final entrenado [los detalles iniciales de dicha supervisión deberán describirse en un anexo].
   4. En caso de que la supervisión indique capacidades o comportamientos preocupantes por parte de la IA, la AISI podrá ordenar la pausa de una ejecución de entrenamiento o un tipo de ejecuciones de entrenamiento hasta que considere seguro reanudarlas.
   5. La AISI mantendrá prácticas de seguridad robustas. La AISI no compartirá información sobre las ejecuciones de entrenamiento declaradas a menos que determine que el entrenamiento declarado viola el Tratado, en cuyo caso proporcionará a todas las Partes en el Tratado información suficiente para determinar si se ha producido una violación.
   6. En caso de que una Parte descubra una ejecución de entrenamiento que supere los umbrales designados, deberá notificarla a la AISI y detenerla (si está en curso). Dicha ejecución solo podrá reanudarse con la aprobación de la AISI.
3. Cada una de las Partes, y las entidades bajo su jurisdicción, podrán realizar ejecuciones de entrenamiento de menos de 1e22 FLOP sin la supervisión o aprobación de la AISI.
4. La AISI podrá autorizar, por mayoría de dos tercios del Consejo Ejecutivo, excepciones específicas para actividades como evaluaciones de seguridad, vehículos autónomos, tecnología médica y otras actividades que el Director General considere seguras. Estas excepciones podrán permitir ejecuciones de entrenamiento superiores a 1e24 FLOP con la supervisión de la AISI, o una presunción de aprobación por parte de la AISI para ejecuciones de entrenamiento de entre 1e22 y 1e24 FLOP.

Notas

Una de las principales formas de mejorar las IA actuales es aumentar los recursos computacionales dedicados al entrenamiento de la IA. Restringir estos recursos y limitar la investigación sobre el progreso algorítmico (descrita en el artículo VIII) puede reducir el riesgo de que se construya una IA más inteligente que los humanos a corto plazo.

La prohibición se basa en el número de operaciones computacionales utilizadas, ya que esto es relativamente fácil de definir y medir, y el rendimiento de los modelos de IA de última generación existentes nos proporciona algunos datos sobre las cantidades de hardware de computación que parecen seguras utilizando los algoritmos actuales.

En un mundo perfecto, limitaríamos el entrenamiento en función de las capacidades del sistema entrenado. Pero nadie tiene la capacidad técnica para predecir con certeza lo que una nueva IA será capaz de hacer o no hacer antes de que sea entrenada. Por lo tanto, los recursos computacionales se utilizan como sustituto.

La prohibición estricta de 1e24 FLOP para el entrenamiento está ligeramente por debajo de la cantidad de recursos computacionales utilizada para modelos cercanos al estado del arte en agosto de 2025, como DeepSeek-V3 con 3e24 FLOP. Elegimos este umbral porque está por debajo del nivel en el que esperamos que las IA sean peligrosas (dados los algoritmos actuales) y porque proporciona cierto margen de maniobra si se produce un progreso algorítmico moderado.

La prohibición del posentrenamiento por encima de 1e23 FLOP se aplica a las IA creadas antes de la entrada en vigor del tratado. Muchas de estas IA se habrán creado utilizando más de 1e24 FLOP (a mediados de 2025 hay entre 50 y 100 modelos de este tipo). Dado que los pesos de muchas de estas IA se habrán publicado abiertamente, no es factible impedir que la gente las utilice, pero sí se puede impedir que se les realicen grandes modificaciones mediante el posentrenamiento.

Una ejecución de entrenamiento de 1e22 FLOP en 16 H100 duraría alrededor de una semana. Esto requiere tanto poder de cómputo que los aficionados no superarán accidentalmente el umbral al entrenar modelos pequeños y permitidos. Las IA entrenadas a esta escala (con los algoritmos actuales) hasta ahora han parecido estar lejos de ser peligrosas. El progreso de la investigación en algoritmos de IA, si no se impide su realización y difusión, podría situar a la humanidad en un régimen aún más peligroso, lo que requeriría prohibiciones dirigidas a actividades que actualmente podrían llevar a cabo pequeños grupos decididos y dispuestos a realizar gastos sustanciales.

Dentro de la banda de 1e22-1e24 FLOP, la AISI recibiría por adelantado el código de entrenamiento y las estimaciones totales de FLOP. Esto le permitiría aprobar la ejecución de entrenamiento si no utiliza ningún método algorítmico novedoso.

El entrenamiento de una IA suele implicar pequeñas correcciones de errores sobre la marcha (como instalar la versión correcta de una librería o reordenar los datos de entrenamiento). La AISI puede preaprobar un conjunto de pequeñas modificaciones a una ejecución de entrenamiento que no requeriría una nueva aprobación. Aun así, estas modificaciones se seguirían comunicando a la AISI.

La obligación de informar y supervisar las ejecuciones de entrenamiento de entre 1e22 y 1e24 FLOP permitiría obtener algunos de los beneficios de entrenar IA de una manera que, por el momento, parece segura, al tiempo que evitaría la construcción de IA más grandes y potencialmente peligrosas.

La supervisión también permitiría a la AISI mantenerse (en cierta medida) al día de cualquier avance algorítmico que se produzca a pesar de las prohibiciones, y el artículo XIII estipula que la AISI realice evaluaciones de los modelos entrenados en este rango. Esto ayudará a la AISI a estar al tanto de las tendencias en el desarrollo de la IA, lo que, con suerte, le permitirá ajustar a la baja los umbrales de FLOP en caso necesario.

La supervisión de las ejecuciones de entrenamiento por parte de la AISI es factible y exigible gracias a la consolidación de chips (artículo V) y a la verificación del uso de chips (artículo VII). La consolidación de chips significa que la AISI tendrá acceso al hardware utilizado para las ejecuciones de entrenamiento a gran escala. La verificación del uso de chips permitirá a la AISI tener cierta confianza en que los chips solo se utilizan para entrenar IA con autorización.

El personal de la AISI tiene acceso a los datos de entrenamiento utilizados en las ejecuciones de entrenamiento supervisadas, sujeto a diversas restricciones. El propósito de dichas restricciones es garantizar el uso de registros y otros métodos de control para impedir la divulgación no autorizada del contenido sensible en los datos de entrenamiento, incluyendo, entre otros, información de identificación personal, información sanitaria personal, datos clasificados, secretos comerciales, datos bancarios sujetos a leyes de secreto bancario, etc.

Precedentes

Si bien los valores numéricos de los umbrales especificados en nuestro acuerdo pueden y deben revisarse cuando se supere la fase inicial del borrador, los límites cuantitativos son habituales en los acuerdos internacionales, lo que evita controversias que, de otro modo, dependerían de interpretaciones divergentes del lenguaje cualitativo.

El [Tratado de Prohibición de Pruebas de Umbral] de 1974 (https://2009-2017.state.gov/t/isn/5204.htm) estableció un límite de 150 kilotones para las pruebas nucleares subterráneas realizadas por Estados Unidos y la URSS.⁹ El objetivo y el efecto de este tratado era, al menos en cierta medida, obstaculizar el desarrollo de ojivas nucleares más grandes y destructivas, capaces de arrasar ciudades enteras. Un paralelismo relevante con el desarrollo de la IA es que, a mediados de 2025, los modelos más generales y capaces —y, por lo tanto, más peligrosos— requieren ejecuciones de entrenamiento de mayor escala para su creación; nuestro tratado especifica límites destinados a impedir que se desarrollen intencionadamente tales IA, pero también a cosechar el beneficio esencial (aunque no paralelo) de reducir el riesgo de que se supere accidental e irremediablemente un umbral de capacidades imprevisto.

El límite de entrenamiento que hemos sugerido como punto de partida es lo suficientemente bajo como para que algunos modelos de IA entrenados hoy en día lo superen; consideramos que esto es prudente en previsión de los avances que harán que los nuevos modelos sean más capaces por unidad de entrenamiento (discutido en el artículo VIII). Los acuerdos de reducción de armas sientan un precedente para los umbrales establecidos por debajo del nivel máximo actual. El Tratado (Naval) de Washington de 1922 estableció límites de desplazamiento para los buques de guerra que obligaron a Estados Unidos y a otras potencias navales a desguazar docenas de buques capitales. En el artículo II del tratado START de 1991,¹⁰ Estados Unidos y la Unión Soviética (y más tarde, la Federación Rusa) acordaron limitar el tamaño de sus arsenales nucleares y sus sistemas de lanzamiento, lo que les obligó a eliminar gradualmente más de cuatro mil ojivas cada uno.

El precedente de establecer umbrales cuantitativos para limitar el potencial de irrupción se analizará en el artículo V.

1. Cada una de las Partes velará por que, dentro de su jurisdicción, todos los clústeres de chips contemplados (CCC), tal y como se definen en el artículo II (es decir, un conjunto de chips con una capacidad superior a 16 equivalentes a H100) [nótese que el costo de 16 H100 asciende a unos 500 000 dólares en 2025 y que rara vez son propiedad de particulares], se encuentren en instalaciones declaradas a la AISI y que estos chips de IA estén sujetos a la supervisión de la misma.
   1. Las partes procurarán no ubicar los chips de IA junto con hardware informático no auxiliar y ajeno a la IA en tales instalaciones declaradas.
   2. Estas instalaciones deberán ser accesibles para su inspección física. Esto puede incluir, por ejemplo, que los equipos de verificación puedan llegar a cualquier CCC desde al menos un aeropuerto con servicio internacional regular en un plazo de 12 horas.
   3. Las Partes no alojarán chips de IA en tantas ubicaciones diferentes que a la AISI le resulte inviable supervisarlas todas. Si la AISI lo solicita, las Partes deberán consolidar sus chips de IA en menos instalaciones supervisadas.
2. Los chips de IA no supervisados que no formen parte de un CCC (es decir, que tengan una capacidad inferior a 16 equivalentes a H100) podrán permanecer fuera de las instalaciones declaradas a la AISI, siempre que dichas existencias no sean agregadas ni se conecten en red para cumplir la definición de CCC, no se roten entre sitios para eludir la supervisión y no se utilicen para entrenamiento prohibido. Las Partes harán esfuerzos razonables para supervisar la venta y la agregación de chips de IA a fin de garantizar que se detecten y supervisen los CCC de nueva creación.
3. En un plazo de 120 días contados a partir de la entrada en vigor del Tratado, cada una de las Partes deberá localizar, inventariar y consolidar todos los CCC en instalaciones declaradas a la AISI. Las Partes se abstendrán de desagregar, ocultar o reasignar chips para eludir este requisito o para que un conjunto de chips que se habría clasificado como CCC deje de clasificarse como tal.
4. La AISI supervisará el proceso de consolidación nacional, entre otras cosas, mediante inspecciones in situ, verificación de documentos e inventarios, acompañamiento de las autoridades nacionales durante las transferencias y las inspecciones, e intercambio de información con las Partes en virtud del artículo X. La AISI podrá exigir registros de la cadena de custodia para las transferencias y podrá realizar inspecciones por denuncia, tal como se describe en el artículo X. Las Partes proporcionarán acceso oportuno a las instalaciones, los centros de transporte y los registros pertinentes. Las protecciones e incentivos para los denunciantes previstos en el artículo X se aplicarán al proceso de consolidación, y la AISI mantendrá canales de denuncia protegidos.
5. En un plazo de 120 días contados a partir de la entrada en vigor del Tratado, las Partes deberán presentar a la AISI un registro de sus CCC. El registro deberá incluir la ubicación, el tipo, la cantidad, los identificadores de serie u otros identificadores únicos, cuando estén disponibles, y las interconexiones asociadas de todos los chips de IA de los CCC. Cada una de las Partes deberá proporcionar a la AISI un registro actualizado y preciso a más tardar cada 90 días.
6. Las Partes deberán notificar a la AISI cualquier transferencia prevista de chips de IA, ya sea nacional o internacional, con un mínimo de 14 días de antelación a la fecha prevista para la transferencia. No se procederá con ninguna transferencia a menos que se conceda a la AISI la oportunidad de observarla. En el caso de las transferencias internacionales, tanto la Parte emisora como la receptora deberán coordinarse con la AISI en cuanto a la ruta, la custodia y la recepción. Las transferencias de emergencia realizadas por motivos de seguridad se notificarán tan pronto como sea posible, con una verificación a posteriori.
7. Los chips de IA rotos, defectuosos, sobrantes o fuera de servicio seguirán siendo tratados como chips funcionales hasta que la AISI certifique su destrucción. Las partes no destruirán chips de IA sin la supervisión de la AISI. La destrucción o la inutilización permanente se llevarán a cabo bajo la supervisión de la AISI, utilizando métodos aprobados por esta, y se registrarán en un certificado de destrucción [los detalles deberán explicarse en un anexo]. Se prohíbe la recuperación o la reventa de componentes de dicho hardware, salvo que la AISI lo autorice expresamente.

Notas

Analizaremos el objetivo que persigue este artículo, por qué creemos que es importante, por qué creemos que es factible, por qué se ha elegido el límite de 16 H100 y diversas consideraciones adicionales.

A qué apunta el artículo V

El objetivo de este artículo es centralizar, en instalaciones supervisadas, todos los clústeres de chips de IA (es decir, conjuntos de chips interconectados que superen un tamaño pequeño) y la gran mayoría de los chips de IA.

Una vez que los chips se hayan centralizado en instalaciones supervisadas, la AISI podrá adoptar muchos más enfoques para garantizar que dichos chips no se utilicen para infringir el artículo IV; estos enfoques se analizan en el artículo VII.

Es deseable contar con una verificación internacional de este proceso de centralización, para que todas las partes confíen en que las demás también han centralizado sus chips. Es probable que este tipo de verificación pueda realizarse sin mucho esfuerzo en los grandes centros de datos de IA, puesto que es probable que las agencias de inteligencia ya sepan dónde se encuentran. Para los centros de datos más pequeños, la AISI puede supervisar los procesos de centralización nacionales como medida de fomento de la confianza.

El artículo, en efecto, tiene una excepción para un número reducido de chips: menos de 16 equivalentes a H100. Esta cantidad de chips es tan pequeña que es poco probable que los chips no supervisados supongan una amenaza (a falta de avances en la investigación). Los umbrales más bajos serían más difíciles de controlar con éxito y podrían empezar a imponer costos a una población más amplia. (Varias personas tienen un puñado de GPU en su casa, pero pocas tienen 16 equivalentes a H100).

Por qué existe el artículo V

La centralización de los chips es útil porque abre otras vías para controlar el desarrollo de la IA mediante los chips.

Por ejemplo, la centralización de los chips en instalaciones declaradas significa que posteriormente podrían ser objeto de una mayor supervisión sobre cómo se utilizan (artículo VII) o de una verificación de que están apagados.

La centralización de los chips en instalaciones declaradas también facilitaría a las partes destruir dichos chips, como podría ser necesario en virtud del artículo XII, en caso de que una de las partes infringiera el tratado de forma continua.

Debido al potencial de destrucción de los CCC, sería conveniente construirlos lejos de los centros de población siempre que sea posible. Esto no se incluye en el texto del artículo porque presenta problemas de viabilidad (los centros de datos actuales suelen estar cerca de las ciudades, por lo que sería necesario construir nuevos), porque en casos extremos es probable que puedan cerrarse sin mayores daños colaterales y porque no es un elemento fundamental para el tratado. No obstante, debido a su enorme potencial de peligro, parece apropiado tratar los centros de datos de IA como instalaciones militares.

Verificación

Una parte fundamental para el éxito de un tratado sobre IA es la verificación. Los países no confiarán en que los demás cumplan las normas, sino que querrán comprobarlo por sí mismos. La centralización de los chips de IA en instalaciones declaradas deberá confirmarse mediante inspecciones de la AISI y la supervisión de este proceso. De lo contrario, los países no tendrán la confianza suficiente en que los demás hayan centralizado con éxito sus chips.

La centralización de los chips de IA podría no ser necesaria si existieran otras formas de supervisarlos. Lamentablemente, creemos que esta es la única opción viable en la actualidad, salvo por la destrucción física de todas las reservas de chips de IA, dadas las capacidades de los mecanismos de seguridad disponibles en los chips actuales.

En el futuro, podrían desarrollarse mecanismos de gobernanza habilitados por hardware para permitir la gobernanza remota de los chips de IA, de modo que no sea necesario centralizarlos en ubicaciones declaradas. Aarne et al. (2024) proporcionan estimaciones sobre el tiempo de implementación de algunos de estos mecanismos de gobernanza en los propios chips. Sus estimaciones abarcan el plazo para desarrollar mecanismos que sean robustos frente a diferentes adversarios. Por motivos de concisión, utilizaremos sus estimaciones para la seguridad en un contexto antagónico encubierto, ya que creemos que esto se ajusta a la situación que se pretende abordar: que los actores estatales competentes podrían intentar vulnerar los mecanismos de gobernanza, pero habría graves consecuencias si se detectara tal subversión. Estiman un tiempo de desarrollo de entre 2 y 5 años para las soluciones ideales, con opciones menos seguras pero potencialmente viables disponibles en tan solo unos meses.

Aunque ese informe tiene más de un año, no tenemos constancia de avances significativos en estos mecanismos, y creemos que la estimación más relevante de Aarne et al. es la de dos a cinco años adicionales.

Más allá de desarrollar los mecanismos, es necesario o bien añadir mecanismos de gobernanza en chip a los nuevos chips y que estos se integren en el parque de chips existente, o bien adaptar los mecanismos a los chips ya existentes. Aarne et al. estiman que la primera de estas opciones podría llevar cuatro años, pero somos optimistas en que la adaptación podría realizarse en uno o dos años si ya se está realizando un seguimiento de los chips.

Para que quede claro, la centralización a la que se refiere el artículo V implica la concentración física y la supervisión (en el artículo VII) de los clústeres de chips contemplados, pero no exige que los gobiernos se hagan con la propiedad de los chips. En el caso de los grandes centros de datos, el tratado permite que estos y sus chips permanezcan en el mismo lugar y sigan siendo propiedad de las empresas, siempre que sean monitoreados y supervisados por el gobierno nacional y la AISI para garantizar que los centros de datos solo se dedican a actividades no relacionadas con la IA o a actividades como la ejecución de modelos antiguos, en lugar de crear nuevos modelos de IA más capaces. En el caso de un número menor de chips, puede ser necesario trasladarlos físicamente a un centro de datos más grande, pero el propietario de los chips podría seguir accediendo a ellos de forma remota, de manera análoga a algunos modelos informáticos en la nube. Como alternativa, los chips podrían transferirse a la propiedad del gobierno a cambio de una compensación justa.

Viabilidad

Probablemente sea factible recopilar (y verificar internacionalmente la recopilación de) la mayoría de los chips de IA. En el caso de los centros de datos de IA más grandes, como los que tienen más de 100 000 equivalentes a H100, la verificación internacional parece relativamente sencilla; estos centros de datos son difíciles de ocultar y es probable que los servicios de inteligencia ya sepan dónde se encuentran. (No esperamos que para mediados de 2025 se haya hecho algún intento de ocultar estos centros de datos). Estos centros de datos son detectables por su huella física y su consumo de energía, y muchos de ellos han sido reportados públicamente.

Es plausible que estos métodos también permitan localizar centros de datos tan pequeños como de unos 10 000 equivalentes a H100. Aparte de los MTN y los servicios de inteligencia de las partes, el plan propuesto para centralizar los chips implica que las autoridades nacionales utilicen diversas facultades para ello y permitan que la AISI inspeccione el proceso, a fin de evitar la exclusión de centros de datos.

Los Estados dispondrán de una serie de herramientas para localizar los chips que se encuentran en su territorio. Pueden exigir legalmente que se notifiquen todos los clústeres de chips de más de 16 H100; pueden utilizar los registros de ventas y otra información financiera de los distribuidores de chips; pueden entrevistar a técnicos con experticia en la construcción de centros de datos; etcétera. Si sospechan que hay contrabando o que se están ocultando chips, pueden recurrir a las fuerzas del orden para que investiguen más a fondo. Este proceso de centralización nacional sería supervisado por inspectores de la AISI para garantizar que se lleva a cabo correctamente.

La localización de centros de datos existentes podría hacerse rápidamente —en cuestión de días o semanas para clústeres de más de 1000 equivalentes a H100—, utilizando los métodos descritos.

En realidad, la centralización de los chips podría llevar más tiempo, ya que podría ser necesario ampliar la capacidad de los centros de datos en las instalaciones que se convertirían en CCC. No está claro cuánto tiempo llevaría, ni si sería factible en algunos países, localizar todos los clústeres de, por ejemplo, 100 H100. Esta cantidad de chips estaría prohibida, pero esta prohibición podría ser difícil de hacer cumplir.

Uno de los mayores problemas de viabilidad de la centralización de los clústeres de chips es lograr que otros países confíen justificadamente en que ninguna de las partes está llevando a cabo un proyecto secreto de IA con chips no declarados. La verificación internacional de la centralización nacional de chips podría ayudar, pero puede que no sea suficiente, ya que los esfuerzos de centralización nacional podrían ser deliberadamente no exhaustivos.

Las restricciones impuestas por este artículo contribuyen en gran medida a ofrecer garantías a las partes contra proyectos secretos de IA respaldados por gobiernos que operen en otros países. Además de la supervisión del proceso de centralización nacional por parte de la AISI, las labores de inteligencia y las inspecciones por denuncia descritas en el artículo X podrían ser de gran ayuda.

¿Por qué la definición de CCC?

Este artículo y la definición correspondiente de CCC establecen un límite de 16 equivalentes a H100. Este umbral pretende cumplir varios criterios:

• La supervisión de clústeres de chips de más de 16 H100 funciona bien con los umbrales de FLOP de entrenamiento del artículo IV. El entrenamiento con 16 H100 (precisión FP8, utilización del 50 %; parámetros realistas pero optimistas) tardaría 7,3 días en llegar a 1022 FLOP y 2 años en llegar a 1024 FLOP. Por lo tanto, sería factible que las personas utilizaran chips no declarados para alcanzar el umbral mínimo, pero sería algo poco práctico que alcanzaran el umbral de entrenamiento prohibido.
• Es verosímil que este umbral sea suficiente para impedir el avance de las capacidades de la IA, si se combina con las prohibiciones a la investigación en IA del artículo VIII. El artículo IV establece restricciones al entrenamiento: se prohíbe el entrenamiento a gran escala y se permite el entrenamiento a escala media, aunque sujeto a supervisión. Probablemente sea aceptable —es decir, que plantea un riesgo mínimo— permitir el entrenamiento a pequeña escala, como el que se puede realizar con 16 H100 en un plazo realista.
• Este umbral tiene consecuencias limitadas para los aficionados y la gente común. Muy pocas personas poseen más de 16 H100. A mediados de 2025, 16 chips H100 cuestan alrededor de 500 000 dólares; no son un artículo de consumo habitual. Nadie va a superar el umbral por error por tener unas cuantas consolas de videojuegos antiguas abandonadas en casa.
• Reunir chips de IA se vuelve más difícil a medida que disminuye el número de chips permitidos. Encontrar centros de datos con 100 000 chips es fácil; con 10 000, probablemente también sea relativamente fácil; con 1 000, no está claro; y con 100, puede ser bastante difícil. Este umbral se elige en parte por la inviabilidad de hacer cumplir un umbral más bajo; incluso 16 H100 podrían ser un umbral difícil de hacer cumplir.
• Es posible que haya que revisar esta definición y bajar el umbral (por ejemplo, a 8 equivalentes a H100). En este tratado, la AISI se encargaría de evaluar esta definición y modificarla según fuera necesario.

Otras consideraciones

Este artículo pide a las partes que intenten no ubicar chips de IA junto con chips no auxiliares y ajenos a la IA. Se sugiere esto porque la coubicación podría dificultar la verificación del uso de los chips (artículo VII) y requeriría que estos chips que no son de IA también estuvieran sujetos a cierta supervisión para implementar eficazmente la verificación del uso de los chips de IA. Sin embargo, no es estrictamente necesario y puede que no sea deseable. Por ejemplo, en la actualidad los chips de IA suelen coubicarse con chips que no son de IA, y el inconveniente de cambiar esto podría superar al de supervisar también los chips que no son de IA.

En consonancia con acuerdos anteriores, este artículo exige que los inspectores puedan acceder rápidamente a los CCC para su verificación. En este caso, es probable que se supervisen continuamente muchas de estas instalaciones (artículo VII), y el acceso a los aeropuertos podría ser beneficioso.

Existe cierto riesgo de que ciudadanos particulares puedan construir un CCC no supervisado a partir de chips «sueltos» equivalentes a H100. Para combatir esto, el tratado establece que las Partes harán «esfuerzos razonables» para supervisar las ventas de chips (que superen el equivalente a 1 H100) y detectar la formación de nuevos CCC. Se podrían adoptar medidas más estrictas, como exigir que todos esos chips y ventas se registren y rastreen formalmente. Nuestro borrador no llega a ese extremo, tanto porque no esperamos que haya tantos chips «sueltos» equivalentes a H100 sin contabilizar después de que se cataloguen todos los chips de los CCC, como porque otros mecanismos (como la protección de los denunciantes) ayudan a detectar los CCC de nueva creación.

Alternativas

En lugar de exigir inmediatamente la centralización de los pequeños clústeres (por ejemplo, de 100 H100), el tratado podría aplicar un enfoque por etapas. Por ejemplo, durante los primeros 10 días deberían centralizarse y declararse todos los centros de datos con más de 100 000 chips equivalentes a H100; en los 30 días siguientes, aquellos con más de 10 000, y así sucesivamente.

Este enfoque por etapas podría corresponder mejor a la verificabilidad internacional de la detección de estos clústeres a medida que los servicios de inteligencia intensifican sus esfuerzos de detección. Es decir: al principio, es probable que los servicios de inteligencia sepan dónde se encuentran los centros de datos más grandes, pero no los de tamaño medio (si no los habían buscado previamente). Por lo tanto, al principio solo se declararían los centros de datos grandes y, a medida que los servicios de inteligencia continúan tratando de localizar los chips, el umbral bajaría.

Este enfoque podría ajustarse mejor a la forma en que la verificabilidad y la exigibilidad han influido en lo acordado en anteriores acuerdos internacionales. Por ejemplo, el Tratado de Prohibición Parcial de Ensayos Nucleares de 1963 no prohibió los ensayos subterráneos de armas nucleares, debido a la dificultad de detectar dichos ensayos. El equipo de gobernanza técnica de MIRI tiene previsto publicar un informe con un enfoque por etapas como este.

Una desventaja del enfoque por etapas es que podría facilitar que los Estados oculten chips y establezcan centros de datos secretos.

Precedentes

La declaración de los activos pertinentes suele ser un primer paso en los tratados restrictivos. Los signatarios del Tratado Naval de Washington de 1922 proporcionaron inventarios de buques capitales y su tonelaje, y se comprometieron a notificarse mutuamente la sustitución de estos buques. El tratado START I de 1991 incluía un acuerdo clasificado sobre el intercambio de coordenadas y diagramas de emplazamientos (en el artículo VIII), que detallaba el intercambio de datos sobre la ubicación de todas las armas estratégicas declaradas. El párrafo 3 del artículo V de nuestro proyecto exige que las partes localicen, inventaríen y consoliden los clústeres de chips contemplados en un plazo de 120 días.

La consolidación de activos para facilitar la verificación del cumplimiento suele ser otro paso en los tratados restrictivos. El artículo III del START I prohibía que los misiles balísticos intercontinentales se ubicaran junto a instalaciones de lanzamiento espacial, lo que facilitaba la vigilancia. El párrafo 1.1 de nuestro artículo V compromete a las partes a «no ubicar los chips de IA junto con hardware informático no auxiliar y ajeno a la IA» por la misma razón.

La historia demuestra que la consolidación también limita el potencial de ruptura, al facilitar el ataque a las concentraciones de activos problemáticos en caso de una crisis de confianza. En el PAIC de 2016¹¹ (también conocido como el acuerdo nuclear con Irán), Irán acordó mantener sus centrifugadoras de enriquecimiento de uranio operativas en solo dos emplazamientos designados (Natanz y Fordow), los cuales fueron atacados en operaciones de Israel y Estados Unidos en junio de 2025. Esto motiva una nota que acompaña a nuestro artículo V en la que sugerimos a las partes que ubiquen sus clústeres de chips contemplados (CCC) lejos de los centros de población.

La supervisión y las inspecciones son componentes comunes de los tratados anteriores en contextos de confianza limitada; por consiguiente, hemos redactado disposiciones al respecto cuando ha sido apropiado, en los párrafos 1, 4, 6 y 7 de este artículo. Algunos precedentes específicos son:

• La verificación del START I incluyó cientos de inspecciones in situ en los primeros años.
• La CAQ exige la declaración e inspección de todas las instalaciones de producción de armas químicas —se han declarado 97— y la mayoría de ellas han sido destruidas de forma verificable. (Al exigir la declaración de las instalaciones existentes, estos acuerdos también prohíben que se realicen determinadas actividades fuera de las instalaciones declaradas, de forma análoga a la prohibición de este artículo sobre los CCC no supervisados).
• Más de 700 instalaciones nucleares declaradas en todo el mundo son supervisadas por el OIEA como parte del TNP.

Al igual que en el párrafo 3 de este artículo, numerosos acuerdos de control de armamentos estipulan que las partes no deben interferir con los MTN de las demás en el contexto de la verificación de los tratados. Entre ellos se encuentran SALT I,¹² el ABM,¹³ el INF,¹⁴ y el START I.

Como precedente de Estados parte que restringen las industrias de su sector privado para cumplir los compromisos de un tratado (como tendría que ocurrir con la IA), está la legislación que adoptó Estados Unidos tras ratificar la CAQ: la Ley de aplicación de la Convención sobre las Armas Químicas de 1998 y la normativa del Departamento de Comercio garantizaron su cumplimiento por parte de las entidades estadounidenses. Del mismo modo, el Congreso de Estados Unidos modificó la Ley de Aire Limpio tras la ratificación del Protocolo de Montreal para prohibir las sustancias que agotan la capa de ozono.

Las estrategias para implementar la centralización de chips en Estados Unidos podrían recurrir a la Cláusula de Expropiación de la Quinta Enmienda, según la cual el gobierno puede ejercer su poder de expropiación forzosa para adquirir propiedad privada con fines públicos, a cambio de una indemnización adecuada. |

1. La AISI supervisará las instalaciones de producción de chips de IA y los datos de entrada clave para su producción. Esta supervisión garantizará que todos los chips de IA recién producidos reciban seguimiento y supervisión de inmediato hasta su instalación en los CCC declarados y que no se establezcan cadenas de suministro sin supervisión.
   1. La AISI supervisará las instalaciones de producción de chips de IA que se determine que producen o podrían producir chips de IA y hardware relevante [las definiciones precisas de «instalaciones de producción de chips de IA», «chips de IA» y «hardware relevante» tendrían que detallarse en un anexo, al igual que los métodos de supervisión].
   2. La supervisión de los chips de IA recién producidos incluirá la supervisión de su producción, venta, transferencia e instalación. La supervisión de la producción de chips iniciará con la fabricación. El conjunto completo de actividades incluye la fabricación de memoria de alto ancho de banda (HBM), la fabricación de chips lógicos, las pruebas, el encapsulado y el ensamblaje [este conjunto de actividades tendría que especificarse en un anexo].
2. En las instalaciones donde el seguimiento y la supervisión de la AISI no sean factibles o no se hayan implementado, se detendrá la producción de chips de IA. La producción de chips de IA podrá continuar cuando la AISI declare que se han implementado medidas de seguimiento y supervisión aceptables.
3. En caso de que una instalación de producción de chips supervisada se desmantele o se reutilice, la AISI supervisará ese proceso y, si se lleva a cabo a satisfacción de esta, finalizará el requisito de supervisión.
4. Ninguna de las Partes venderá ni transferirá chips de IA ni equipos de fabricación de chips de IA, salvo con la autorización y el seguimiento de la AISI.
   1. La venta o transferencia de chips de IA dentro o entre las Partes en el Tratado se presumirá aprobada, y la AISI se encargará de darle seguimiento.
   2. La venta o transferencia de equipos de fabricación de chips de IA entre las Partes en el Tratado no tendrá presunción de aprobación. La aprobación de dicha transferencia se basará en una evaluación del riesgo de desvío o de retirada del Tratado por parte de la Parte receptora.
   3. La venta o transferencia de chips de IA y equipos de fabricación de chips de IA a Estados no Partes o entidades fuera de un Estado Parte tendrá una presunción de denegación.
5. Ninguna de las Partes venderá ni transferirá chips informáticos avanzados que no sean de IA ni equipos de fabricación de chips informáticos avanzados que no sean de IA a Estados no Parte ni a entidades fuera de un Estado Parte, salvo que la AISI lo autorice y le dé seguimiento.
6. La venta o transferencia de chips informáticos avanzados que no sean de IA, o de equipos para su fabricación, dentro de las Partes en el Tratado o entre ellas no está restringida en virtud del presente artículo.

Notas

La cadena de suministro de chips de IA es reducida y especializada, por lo que es factible supervisar la producción de chips. La gran mayoría de los chips de IA los diseña NVIDIA. Los chips lógicos más avanzados (el procesador principal) que se utilizan en los chips de IA los fabrica casi en su totalidad TSMC, que representa alrededor del 90 % de la cuota de mercado. La mayoría de los chips de IA se fabrican en versiones del nodo de proceso de cinco nanómetros de TSMC, un nodo que probablemente solo admiten dos o tres plantas de fabricación. Las máquinas de litografía EUV, un componente crítico en la fabricación de chips lógicos avanzados, las fabrica exclusivamente ASML. La memoria de alto ancho de banda (HBM), otro componente clave de los chips de IA, está dominada por dos o tres empresas. Esta cadena de suministro tan limitada sería relativamente fácil de supervisar si existiera la voluntad de hacerlo.

La supervisión de la producción de chips de IA tendría efectos de desbordamiento relativamente pequeños. Aunque para producir chips de IA se utilizan algunos de los mismos procesos que para otros chips (por ejemplo, los chips de los teléfonos inteligentes), los chips en sí son distintos y podrían diferenciarse mediante la supervisión. El diseño de los chips cambiaría con el tiempo, pero, hoy por hoy, los chips de IA actuales probablemente serían identificables por su gran capacidad de HBM, sus componentes especializados de multiplicación matricial y su capacidad de escalamiento horizontal e interconexión.

Las investigaciones futuras deberían centrarse en identificar las partes principales de la cadena de suministro de chips de IA que serían más adecuadas para la supervisión. Basándonos en los cuellos de botella existentes, una primera hipótesis es centrar la supervisión en la producción de HBM, la fabricación de matrices lógicas y los pasos posteriores (por ejemplo, el encapsulado, las pruebas y el ensamblaje de servidores), junto con la supervisión de insumos clave como las máquinas de litografía EUV.

Este artículo señala que las ventas de chips dentro de los Estados parte se presumirán aprobadas, pero no indica esta presunción para los equipos de fabricación de chips de IA. Podría ser aceptable permitir la venta generalizada de equipos de fabricación de chips dentro de los Estados parte, pero es probable que esto deba tratarse de forma más conservadora que la venta de chips en sí. Es probable que la venta de chips tenga un efecto a corto plazo, ya que el ciclo de vida de los chips de IA suele ser de solo unos pocos años. Por el contrario, la capacidad de fabricación de chips podría dar lugar a una producción significativa de chips durante muchos años, y sería especialmente preocupante que los países con una producción nacional madura de chips de IA se retiraran del tratado. Por lo tanto, sugerimos un enfoque más conservador para los equipos de fabricación de chips que para los propios chips.

Los párrafos 4 y 5 de este artículo permiten la venta de chips de IA y equipos de fabricación de chips a las partes en el tratado, pero no a quienes no son partes ni a otras entidades ajenas a estas. Es decir, las partes aceptan los riesgos de la fabricación y concentración de chips, pero solo cuando estos se someten a supervisión. Así, la capacidad de fabricar y poseer chips sin provocar una respuesta de protección por parte de otros Estados se convierte en un incentivo positivo para adherirse al tratado.

Por sí solo, esto no impide que terceros Estados accedan a chips de IA en los Estados parte de forma remota (es decir, computación en la nube o infraestructura como servicio), pero dichos chips estarían sujetos a la supervisión de la AISI para garantizar que no se utilizan en violación del artículo IV.

Las restricciones a los países no signatarios podrían ir más allá, si fuera necesario. Por ejemplo, se les podría prohibir el acceso remoto a los chips de IA (es decir, alquilar chips de IA en los países signatarios del tratado a través de la nube) o el acceso a modelos de IA a través de API.

Este artículo aprovecha el hecho de que los chips son un insumo altamente excluible para el desarrollo de la IA. Propone supervisar la producción de chips y garantizar que estos no se contrabandeen fuera de los países signatarios del tratado o a instalaciones no declaradas. Otro enfoque sería prohibir toda producción de nuevos chips de IA. Este enfoque supondría un menor riesgo de desvío de chips, pero tiene el costo de perder el valor que estos chips podrían haber producido en aplicaciones de IA no relacionadas con la investigación ni el desarrollo de la misma. Seguiría dependiendo de cierta supervisión de las instalaciones de producción de chips, por ejemplo, para garantizar que solo producen chips no destinados a la IA o que se retiran del servicio. El diseño actual del tratado propicia que la producción de chips continúe debido a los grandes beneficios que supone para el mundo poder utilizarlos. Sin embargo, para permitir que la producción de chips continúe de forma segura, sería necesario supervisar la cadena de suministro de chips y su uso (artículo VII). Creemos que ambas cosas son factibles, pero si una de ellas no lo fuera, la alternativa sería detener por completo la producción de chips.

Precedentes

Las disposiciones de los tratados para la supervisión de las instalaciones de producción no son nuevas. El artículo XI del Tratado INF de 1987 permitió, durante trece años, realizar inspecciones en las instalaciones designadas donde se habían producido anteriormente sistemas vectores nucleares de alcance intermedio. La Sección VII del protocolo de inspección adjunto permitía la vigilancia continua del perímetro y de los portales, que podía incluir el pesaje (y, en algunos casos, la inspección por rayos X) de cualquier vehículo que saliera de las instalaciones y fuera lo suficientemente grande como para transportar un misil.

La supervisión de la producción de chips de IA es más complicada, debido a la dificultad de discernir la función y las capacidades de un chip a partir de sus características externas. Es por ello que nuestro artículo VI estipula que la definición de «hardware relevante» tendría que detallarse en un anexo, junto con los métodos de supervisión. Pero la experiencia de las salvaguardias del OIEA en el marco del TNP demuestra que es posible verificar una amplia variedad de componentes de producción y precursores a lo largo de la cadena de suministro. Una de las formas en que el OIEA lo hace es proporcionandodirectrices para el diseño de instalaciones que faciliten la inspección y reduzcan los costos de cumplimiento.

Las restricciones a la transferencia de productos finales, precursores y equipos de producción (como la que se sugiere aquí para los chips de IA y los equipos avanzados de fabricación de chips informáticos a Estados no signatarios del tratado) tienen precedentes importantes:

• En el artículo I del TNP, cada Estado poseedor de armas nucleares se compromete a «no traspasar a nadie armas nucleares u otros dispositivos nucleares explosivos». En su artículo III, párrafo 2, también se acuerda no proporcionar «materiales básicos o materiales fisionables especiales» ni «equipo o materiales especialmente concebidos o preparados para el tratamiento, utilización o producción de materiales fisionables especiales».
• De manera similar, en el artículo I de la CAQ las partes se comprometen a no transferir, directa o indirectamente, armas químicas a nadie; en el artículo VI, se obligan a someter los precursores enumerados a las «prohibiciones relativas a la producción, adquisición, conservación, transferencia y empleo» especificadas.
• Durante la Guerra Fría, el Comité Coordinador para el Control Multilateral de las Exportaciones (CoCom) estableció un conjunto coordinado de controles a las exportaciones del bloque occidental al bloque comunista, que abarcaban materiales de uso nuclear, municiones y artículos industriales de doble uso, como los semiconductores.
• El Grupo de Suministradores Nucleares es un régimen multilateral de control de las exportaciones que restringe el suministro de tecnología nuclear y tecnología conexa que podría desviarse hacia programas de armas nucleares.
• Especialmente relevante es la serie de controles de exportación de Estados Unidos que se han centrado en los chips de IA y los equipos avanzados de fabricación de chips, abarcando a docenas de países en los últimos dos años.

1. Las partes aceptan la verificación continua in situ del uso total de chips por parte de la AISI en los CCC declarados. La Secretaría Técnica determinará y actualizará los métodos de verificación, de conformidad con el proceso descrito en el artículo III. El Consejo Ejecutivo puede vetar dichas decisiones con una mayoría de dos tercios. Estos métodos pueden incluir, entre otros:
   1. Inspectores presenciales
   2. Cámaras antimanipulación
   3. Mediciones de características energéticas, térmicas y de redes
   4. Mecanismos en el chip habilitados por hardware, incluidos los mecanismos retroadaptados
   5. Declaración de las cargas de trabajo y operaciones de los chips por el operador del CCC
   6. Reejecución de las cargas de trabajo declaradas en una instalación de la AISI para confirmar la fidelidad de las declaraciones
2. Esta verificación tendrá como objetivo garantizar que los chips no se utilicen para actividades prohibidas, como el entrenamiento de IA a gran escala que se describe en el artículo IV.
3. En los casos en que la AISI determine que los métodos de verificación actuales no pueden proporcionar garantías suficientes de que el hardware de IA no se utilice para actividades prohibidas, este deberá apagarse y su inactividad deberá verificarse continuamente por inspectores presenciales u otros mecanismos de verificación aprobados por la AISI.
4. La AISI podrá imponer diversas restricciones sobre el funcionamiento de los chips para garantizar la debida verificación. Estas restricciones podrán incluir, entre otras, las siguientes:
   1. Restricciones en el ancho de banda y la latencia entre diferentes chips, o entre los chips y la red del centro de datos, para distinguir la inferencia permitida del entrenamiento prohibido.
   2. Restricciones en el número o la velocidad de FLOP/s, o en el ancho de banda de la memoria, a los que pueden operar los chips, con el fin de distinguir la inferencia permitida del entrenamiento prohibido u otras cargas de trabajo prohibidas.
   3. Restricciones a la precisión numérica de las operaciones de los chips, con el fin de diferenciar las cargas de trabajo de IA de las que no son de IA.
5. La AISI abordará la verificación de los diferentes CCC de manera diferenciada, en función de su probabilidad de uso para actividades de IA y de su importancia para la seguridad nacional.
6. La AISI liderará la investigación y la ingeniería para desarrollar mejores tecnologías para la supervisión y verificación del uso de chips. Las Partes apoyarán estos esfuerzos [se proporcionarán más detalles en un anexo].

Notas

Los países querrán asegurarse de que los chips de IA existentes no se utilicen para realizar entrenamientos de IA peligrosos. También habrá razones legítimas para utilizar estos chips para ejecutar servicios de IA existentes, como (versiones ya existentes de) ChatGPT. Para hacer frente a esta tensión, la AISI puede aplicar medidas de verificación a los chips de IA para garantizar que no se empleen en actividades prohibidas.

Esto funciona, entonces, como un incentivo positivo para adherirse a este tratado: se podrán seguir utilizando los chips de IA, siempre y cuando la supervisión pueda verificar que no se estén utilizando de forma que infrinja el tratado (como el entrenamiento de IA a gran escala). Aunque la supervisión continua de la AISI pueda parecer poco deseable, creemos que es la mejor vía disponible. Dado el objetivo de evitar el entrenamiento de IA a gran escala, hay dos enfoques principales: garantizar que nadie tenga el hardware necesario (es decir, que no puedan existir chips de IA) o garantizar que el hardware existente no se utilice para el entrenamiento a gran escala (es decir, rastrear los chips y verificar su uso, tal y como se describe en los artículos V, VI y VII). Esto es conceptualmente análogo a las salvaguardias del OIEA: para que a un país sin armas nucleares se le permita tener materiales e instalaciones nucleares, es necesario que el OIEA inspeccione y garantice que su uso se destina únicamente a fines pacíficos.

Para que la verificación del uso de chips sea eficaz, la AISI necesita mecanismos que le den garantías creíbles de que los chips de IA no se utilizan de formas prohibidas por este tratado. La forma más fácil de hacerlo es exigir que todos los chips estén apagados, pero esto no permitiría a las partes beneficiarse del uso de los chips para fines no peligrosos. La verificación también podría facilitarse mediante medios tecnológicos, con la salvedad de que la tecnología actual probablemente contiene vulnerabilidades de seguridad que permitirían a los propietarios de los chips eludir las medidas de supervisión. Dado el estado incipiente de la tecnología de verificación, es probable que esta requiera una supervisión continua in situ o el apagado de los chips hasta que los medios tecnológicos maduren. Sin embargo, una vez que la tecnología de supervisión haya madurado, unos sólidos mecanismos de gobernanza basados en hardware podrían permitir la supervisión remota de los chips con total confianza.¹⁵

Diversas restricciones y límites podrían facilitar la supervisión del uso de los chips. Las diferentes cargas de trabajo de IA, como el entrenamiento frente a la inferencia, difieren en sus requisitos técnicos, y estas diferencias podrían servir de base para la verificación (si son lo suficientemente sólidas).

Por ejemplo, un mecanismo de verificación podrían ser los límites de interconexión: restringir la cantidad de comunicación que un conjunto de chips puede tener con el mundo exterior usando cables de red de bajo ancho de banda. En la práctica, esto consiste en tomar un pequeño conjunto de chips —digamos, 8 H100— y limitar su comunicación externa a una cantidad tan pequeña que los chips solo puedan hacer inferencias de forma eficiente, pero no puedan usarse de forma eficiente para el entrenamiento a gran escala. Esto funciona porque (según los algoritmos de 2025) el entrenamiento tiene requisitos de comunicación mucho más elevados que la inferencia. Este mecanismo sería útil si ejecutar las IA existentes es aceptable, pero entrenar nuevas IA no lo es.

Hay varios matices en estos mecanismos y muchos otros mecanismos de verificación potenciales, por lo que remitimos a los lectores curiosos a la bibliografíaprevia sobre el tema. Este artículo encomienda a la AISI el desarrollo de mejores mecanismos de verificación y la implementación de varios mecanismos, definidos en términos generales. Creemos que esta flexibilidad es necesaria debido a la rápida evolución del ámbito de la IA y a la dificultad de predecir los avances que podrían alterar los métodos de verificación. La investigación sobre la verificación de la IA también se encuentra en una fase incipiente, y se necesitan más avances antes de que la AISI disponga de un conjunto sólido de herramientas.

El artículo IV prohíbe el entrenamiento de IA a gran escala. Si aún no se han entrenado IA altamente capaces (y, por lo tanto, peligrosas) cuando la verificación entre en vigor, esta podría centrarse específicamente en el entrenamiento. Sin embargo, si ya se han creado IA suficientemente capaces, podría ser necesario supervisar adicionalmente si se están implementando en chips de IA o qué actividades están realizando estas IA; la verificación ya no puede centrarse en evitar el entrenamiento. La verificación sería mucho más difícil si se hubieran creado sistemas de IA suficientemente peligrosos (por ejemplo, aquellos que podrían contribuir sustancialmente a la I+D en IA), ya que verificar que no están realizando actividades prohibidas sería más difícil que verificar que no se está llevando a cabo un entrenamiento de IA a gran escala. En concreto, probablemente será más fácil diferenciar entre el entrenamiento y la ejecución de IA que diferenciar entre la ejecución de IA en un tipo de tarea y la ejecución de IA en otro tipo de tarea. Debido a esta diferencia en la dificultad de la verificación, la labor de este tratado sería mucho más fácil de realizar en un mundo en el que el progreso de las capacidades de la IA se detuviera pronto. Si el progreso de las capacidades de la IA continúa, la verificación del uso de chips podría requerir más trabajo, gastos y restricciones.

Del mismo modo, podría ser deseable supervisar el contenido de la inferencia de la IA para garantizar que las IA no se utilicen con fines perjudiciales. Muchas empresas de IA ya aplican esta supervisión de la inferencia, por ejemplo, para detectar si los usuarios intentan utilizar la IA para fabricar armas biológicas. Podría ser deseable aplicar este tipo de supervisión a nivel mundial, siempre que se puedan mitigar los riesgos de privacidad y seguridad pertinentes.

El párrafo 5 de este artículo permite a la AISI llevar a cabo diferentes métodos de verificación para diferentes CCC. Una de las razones de esta distinción es práctica: los diferentes CCC requerirán diferentes enfoques de verificación para establecer una confianza justificada en que no se están utilizando para el desarrollo de IA peligrosa. Por ejemplo, los grandes centros de datos que anteriormente se utilizaban para el entrenamiento de IA de vanguardia tendrían la mayor capacidad de contribuir al entrenamiento prohibido, por lo que podrían requerir una mayor supervisión.

En segundo lugar, la diferenciación de los enfoques de verificación haría que el tratado fuera más aceptado, ya que requeriría una supervisión menos invasiva para los CCC sensibles. Por ejemplo, las agencias de inteligencia o los ejércitos no quieren que la AISI supervise sus centros de datos, y esta disposición ayuda a lograr un equilibrio. Seguiría siendo necesario verificar que estos centros de datos no se utilizan para actividades peligrosas de IA, y la AISI colaboraría con estos grupos para asegurarse de que puede obtener la información que necesita, a la vez que satisface las necesidades de privacidad y seguridad de los propietarios de los CCC. Por otra parte, permitir diferentes protocolos de verificación podría perjudicar la viabilidad del tratado si se considera injusto, especialmente si la toma de decisiones en torno a estos procesos es poco equitativa.

El plan de este tratado consiste en permitir que continúe el uso y la producción de chips. Esto permite que el mundo se beneficie de ellos. Un enfoque alternativo consiste en detener la producción de nuevos chips y/o destruir los que ya existen. Si se destruyeran, a falta de avances algorítmicos, el tiempo de ruptura —el tiempo que transcurre desde que una parte inicia actividades peligrosas hasta que estas tendrían éxito si no se detuvieran— se prolongaría, ya que los actores tendrían que producir primero muchos chips de IA (lo que probablemente sería detectable y podría llevar años o décadas, dependiendo del estado de la cadena de suministro de chips). Por lo tanto, la destrucción de los chips tendría la ventaja significativa de alargar considerablemente los tiempos de ruptura y aumentar la dificultad del desarrollo peligroso de la IA. Sin embargo, también tiene un costo considerable, ya que no permite que el mundo se beneficie de ellos. Dado que creemos que es factible rastrear los chips y verificar su uso, nuestro proyecto de tratado opta por esa vía en lugar de eliminarlos. Pero ambas vías tienen sus ventajas.

Precedentes

En nuestro análisis de los precedentes del artículo VI, describimos la supervisión continua de las antiguas instalaciones de producción de misiles de rango intermedio en virtud del Tratado INF, que, si bien permitía el pesaje y el escaneo no destructivo de los vehículos que salían de las instalaciones, no permitía a los inspectores acceder al interior de los camiones ni a las propias instalaciones. Una supervisión perimetral análoga de los centros de datos puede proporcionar algunas pistas sobre las operaciones a partir del consumo de energía, las emisiones térmicas y el ancho de banda de la red. Sin embargo, para tener una seguridad razonable de que no se están llevando a cabo operaciones de IA restringidas, probablemente será necesaria una combinación de los elementos que enumeramos en el párrafo 1 de nuestro artículo VII, que incluye cámaras a prueba de manipulaciones, mecanismos en el chip habilitados por hardware e inspectores presenciales.

Estas prácticas ya son habituales para el Organismo Internacional de Energía Atómica, que recurre cada vez más a tecnologías de vigilancia ininterrumpida para complementar las inspecciones:

Se recopilan más de un millón de datos cifrados sobre salvaguardias a través de más de 1400 cámaras de vigilancia y 400 sensores de radiación y de otros tipos repartidos por todo el mundo. Más de 23 000 precintos instalados en instalaciones nucleares garantizan la contención de materiales y equipos.

Uno de los métodos utilizados en el marco del START I para verificar el cumplimiento de las características de rendimiento de los misiles fue el intercambio de casi todos los datos de telemetría transmitidos desde los sensores en vuelo durante las pruebas, tal y como se especifica en el protocolo de telemetría, que también exigía a las partes que proporcionaran cualquier equipo de reproducción y la información sobre el formato de los datos necesaria para interpretarlos. Dependiendo de la combinación de métodos de verificación adoptados, una Agencia Internacional de Superinteligencia podría utilizar métodos análogos, basándose en la supervisión ligera que los proveedores de computación en la nube realizan como práctica habitual para recopilar información sobre las cargas de trabajo de los clientes.

La supervisión gubernamental continua de las instalaciones comerciales privadas (como lo son la mayoría de los centros de datos) también tiene numerosos precedentes. La Comisión Reguladora Nuclear de EE. UU., encargada de supervisar la seguridad de los reactores nucleares nacionales, destina dos inspectores residentes a cada central eléctrica comercial de EE. UU., y los productores cárnicos estadounidenses no pueden llevar a cabo operaciones de sacrificio si el personal de inspección del FSIS¹⁶ no está presente para supervisarlas.

1. Con el fin de impedir investigaciones específicas que amplíen la frontera de las capacidades de la IA o socaven la capacidad de las Partes para aplicar las medidas del presente Tratado, este Tratado designa como Investigación Restringida aquella que cumpla cualquiera de las condiciones siguientes:
   1. Mejoras en los métodos utilizados para crear modelos de vanguardia, según se definen en el artículo II, que mejorarían las capacidades de los modelos o la eficiencia del desarrollo, la implementación o el uso de la IA.
   2. Métodos de entrenamiento distribuidos o descentralizados, o métodos de entrenamiento optimizados para su uso en hardware de consumo o de uso común.
   3. Investigación sobre paradigmas de inteligencia artificial de la computación más allá del aprendizaje automático.
   4. Avances en la fabricación de chips o sus componentes relevantes para la IA.
   5. Diseño de chips de IA con mayor rendimiento o más eficientes.
2. La división de Controles de la Investigación de la AISI clasificará todas las actividades de Investigación Restringida como Controladas o Prohibidas.
   1. Cada una de las Partes deberá supervisar toda actividad de Investigación Controlada dentro de su jurisdicción, y tomará medidas para garantizar que dicha investigación sea supervisada y puesta a disposición de la división de Controles de la Investigación con fines de revisión y supervisión.
   2. Cada una de las Partes se abstendrá de realizar Investigaciones Prohibidas y prohibirá e impedirá que cualquier entidad dentro de su jurisdicción realice dichas investigaciones.
3. Ninguna de las Partes asistirá, fomentará ni compartirá Investigaciones Prohibidas. Esta prohibición incluye el financiamiento, la adquisición, el alojamiento, la supervisión, la enseñanza, la publicación, el suministro de herramientas o chips controlados y la facilitación de la colaboración.
4. Cada una de las Partes designará a un representante ante la división de Controles de la Investigación de la AISI, dependiente de la Secretaría Técnica (establecida en el artículo III). A esta división le corresponderán las siguientes responsabilidades:
   1. Interpretar y aclarar las categorías de Investigación Restringida, así como responder a preguntas sobre sus límites, en respuesta a nueva información y a solicitudes de investigadores, organizaciones o miembros de las Partes.
   2. Interpretar y aclarar los límites entre la Investigación Controlada y la Investigación Prohibida, y responder a preguntas sobre estos límites, en respuesta a nueva información y a solicitudes de investigadores, organizaciones o miembros de las Partes.
   3. Modificar la definición de Investigación Restringida y sus categorías, en respuesta a condiciones cambiantes o a solicitudes de investigadores, organizaciones o miembros de las Partes.
   4. Modificar los límites entre la Investigación Controlada y la Investigación Prohibida en respuesta a cambios en las condiciones o a solicitudes de investigadores, organizaciones o miembros de las Partes.
   5. El Consejo Ejecutivo podrá vetar cualquier cambio a la Investigación Restringida o a sus categorías y clasificaciones por mayoría de dos tercios, tal y como se describe en el artículo III.

Notas

Prohibir diversas categorías amplias de investigación, cuando los conocimientos técnicos pertinentes ya se distribuyen en el sector privado, va a ser difícil. En nuestra propuesta, la investigación se restringe si desarrolla las capacidades o el rendimiento de la IA, o si pone en peligro el sistema de verificación establecido en los artículos anteriores.

Algunas investigaciones deben prohibirse para evitar que avancen las capacidades de la IA, incluso cuando se mantenga constante la cantidad de FLOP de entrenamiento utilizada. Esta prohibición debería abarcar toda investigación que pueda hacer más eficiente el entrenamiento de las IA o que pueda aumentar sus capacidades. Esto se conoce como «progreso algorítmico». En los paradigmas actuales, incluye los avances en los algoritmos utilizados en el preentrenamiento, el posentrenamiento y durante la inferencia. A medida que cambian los paradigmas, estas distinciones pueden volverse menos claras y pueden surgir nuevas categorías. Por esta razón, el tratado hace referencia al «desarrollo, despliegue o uso».

Las mejoras algorítmicas anteriores, como el transformador, demuestran el potencial de avances extraordinarios y rápidos en la vanguardia de las capacidades de la IA: los nuevos algoritmos pueden transformar el modo en que funciona la IA. Además, nuevos paradigmas podrían reducir drásticamente la cantidad de recursos computacionales necesarios para un nivel determinado de capacidad de IA. Por ejemplo, las IA modernas son mucho menos eficientes en el uso de datos que los seres humanos, lo que sugiere que existen algoritmos mucho más eficientes en el uso de datos esperando a ser descubiertos.

Deben prohibirse otras investigaciones para evitar que se reduzcan los requisitos computacionales para entrenar IA peligrosas hasta el punto de que puedan entrenarse con un pequeño número de chips de IA (o muchos chips distribuidos en pequeños clústeres en numerosas ubicaciones), lo que dificultaría las labores de supervisión.

Además, esta prohibición de la investigación debe impedir que se investiguen nuevas formas de fabricar chips de IA no rastreables, ya que el régimen de supervisión es viable en gran parte debido a la complejidad y centralización actuales de la fabricación de semiconductores avanzados relevantes para la IA.

Este artículo también prohíbe la investigación sobre el diseño de chips de IA de mayor rendimiento o más eficientes, que de otro modo se volverían sustancialmente más eficientes año tras año. Un centro de datos que utilice chips de IA más eficientes sería más fácil de ocultar, ya que estos chips consumirían menos electricidad para un rendimiento igual o superior.

Los tipos específicos de investigación que están restringidos deberán actualizarse con el tiempo. Un ejemplo de una actividad que la AISI podría querer restringir más adelante es la investigación sobre hardware de poder de cómputo mejorado que no sea de IA, si tal avance supusiera un riesgo para la verificación.

Los esfuerzos nacionales para restringir la investigación podrían comenzar centrándose en la publicación y el financiamiento de la investigación. Es probable que un cambio en las leyes y las normas sociales contribuya en gran medida a que la mayoría de los investigadores dejen de realizar investigaciones peligrosas. La diversidad de acciones restringidas en el párrafo 3 aborda la necesidad de garantizar que, si las actividades de investigación se dividen entre múltiples jurisdicciones, el tratado siga responsabilizando de forma inequívoca a cada Estado de prohibir y prevenir las actividades individuales. Esto se aplica, por ejemplo, en el caso de que una empresa de una jurisdicción contrate a un empleado en una segunda que opere de forma remota chips alojados en una tercera.

Precedentes

Las restricciones preventivas a la difusión de información relacionada con tecnologías peligrosas tienen su precedente en la Ley de Energía Atómica de 1946 de EE. UU., aún vigente, la cual establecía que la información sobre determinados temas se consideraba, por defecto, Datos Restringidos (la doctrina del «secreto innato»); las exclusiones quedaban a discreción de la nueva Comisión de Energía Atómica, creada en virtud de dicha legislación:¹⁷

El término «datos restringidos», en el sentido en que se utiliza en esta sección, se refiere a todos los datos concernientes a la fabricación o utilización de armas atómicas, la producción de material fisionable, o el uso de dicho material para la producción de energía, pero no incluirá los datos que la Comisión determine, cuando lo estime oportuno, que pueden publicarse sin que ello afecte negativamente a la defensa y la seguridad comunes.

A diferencia de otros tipos de clasificación gubernamental, los Datos Restringidos pueden ser creados (deliberada o accidentalmente) por el sector privado, una cuestión de constitucionalidad sin resolver¹⁸ que subraya la necesidad de un brazo regulador autorizado y capaz de tomar decisiones cotidianas sobre los límites exactos de los Datos Restringidos. La Administración Nacional de Seguridad Nuclear de EE. UU. (NNSA) hace esto con los secretos nucleares en dicho país. En virtud de nuestro artículo VIII, párrafo 5, la división de Controles de la Investigación de la nueva AISI asumiría esta función para la investigación de IA restringida. También desempeñaría otras funciones análogas a las de la NNSA, descritas en nuestro artículo IX, al: (1) mantener relaciones con investigadores y organizaciones que trabajan en proyectos que se acercan al umbral de clasificación, y (2) establecer una infraestructura segura para la notificación y contención de descubrimientos accidentales.

También hay precedentes de contención y control de la investigación en campos peligrosos. En los últimos meses de la Segunda Guerra Mundial, el Reino Unido y Estados Unidos colaboraron en la Misión Alsos para capturar a científicos nucleares alemanes, recopilar información sobre los avances de Alemania hacia la bomba atómica e impedir que la URSS obtuviera estos recursos para su propio programa nuclear. El Proyecto Overcast (también llamado Operación Paperclip) fue un programa secreto estadounidense para emplear a ingenieros de cohetes alemanes después de la guerra.

La contención de la investigación restringida en materia de IA dentro de los Estados parte podría canalizarse a través de los marcos normativos existentes. En Estados Unidos, estos incluyen:

• El concepto de «[exportaciones consideradas] (https://www.bis.gov/learn-support/deemed-exports/what-deemed-export)» en la legislación sobre control de las exportaciones, que obliga a las entidades estadounidenses a obtener una licencia de exportación de la Oficina de Industria y Seguridad¹⁹ antes de compartir tecnologías controladas con personas extranjeras, pues dicho intercambio se considera una exportación.
• El Reglamento sobre el Tráfico Internacional de Armas (ITAR), un conjunto de normativas del Departamento de Estado de EE. UU. que controlan la exportación de tecnologías militares y algunas de doble uso. El ITAR se utilizó para impedir un mayor desarrollo y uso de técnicas criptográficas por parte del sector privado hasta 1996, ya que estaban clasificadas como «artículo de defensa» en la Lista de Municiones de Estados Unidos.
• La Ley de Secreto de Invenciones de 1951, que faculta a las agencias gubernamentales de EE. UU. a imponer «órdenes de secreto» a las nuevas solicitudes de patentes con implicaciones para la seguridad nacional. A los inventores no solo se les pueden denegar las patentes, sino que se les puede prohibir legalmente divulgar, publicar o incluso utilizar sus invenciones.²⁰

El Proyecto Overcast también sienta un precedente para controlar a los investigadores simplemente pagándoles bien para que actúen en interés del Estado. En el artículo IX se analizan precedentes adicionales para este tipo de incentivos.

1. Cada una de las Partes deberá crear o facultar a un organismo nacional con las siguientes responsabilidades:
   1. Mantenerse al corriente y en contacto con los investigadores y las organizaciones nacionales que trabajan en áreas adyacentes a la Investigación Restringida, con el fin de comunicarles las categorías de Investigación Restringida establecidas en el artículo VIII.
   2. Imponer sanciones para disuadir a los investigadores y organizaciones nacionales de llevar a cabo Investigaciones Restringidas. Estas sanciones serán proporcionales a la gravedad de la infracción y deberán diseñarse para que constituyan un disuasivo suficiente. Cada una de las Partes promulgará o modificará las disposiciones legales necesarias para permitir la imposición de dichas sanciones.
   3. Establecer una infraestructura segura para la notificación y contención de descubrimientos accidentales que cumplan las condiciones de la Investigación Restringida. Estos informes se compartirán con la división de Controles de la Investigación.
2. Para contribuir a la verificación internacional de las prohibiciones de investigación, la división de Controles de la Investigación desarrollará e implementará mecanismos de verificación.
   1. Estos mecanismos podrán incluir, de manera enunciativa mas no limitativa:
      1. Entrevistas realizadas por la AISI a investigadores que hayan trabajado previamente en temas de Investigación Restringida o que trabajen actualmente en áreas adyacentes.
      2. Seguimiento de la situación laboral y el paradero de los investigadores que hayan trabajado anteriormente en temas de Investigación Restringida o que actualmente trabajen en áreas adyacentes.
      3. Mantener auditores integrados de la AISI en determinadas organizaciones de alto riesgo (por ejemplo, proyectos difíciles de distinguir de la Investigación Restringida, antiguas organizaciones de investigación en IA).
   2. Las Partes contribuirán a la implementación de estos mecanismos de verificación.
   3. La información obtenida a través de estos mecanismos de verificación se recopilará en informes para el Consejo Ejecutivo, manteniendo la confidencialidad de la información sensible en la mayor medida posible para proteger la privacidad y los secretos de las personas físicas y de las Partes.

Notas

Además de la restricción establecida en el artículo VIII, los países verificarán que no se estén llevando a cabo investigaciones prohibidas en materia de IA. Un aspecto clave de este enfoque es establecer «áreas adyacentes a la Investigación Restringida» y, a continuación, establecer relaciones con los investigadores que trabajan en estas áreas adyacentes. Hay tan pocos investigadores de primer nivel en IA en el mundo que podría ser factible dar seguimiento a las actividades de una parte significativa de ellos. Si solo se cuenta al personal técnico de las principales empresas de inteligencia artificial, se obtendría un total de 5000 investigadores, y si se cuenta el número de asistentes a las principales conferencias sobre IA, se obtendría un total de 70 000. Se cree comúnmente que un grupo mucho más reducido es fundamental para el desarrollo de la IA de vanguardia, probablemente de unos cientos de personas.²¹ Los Estados también podrían entrevistar a los investigadores sobre sus actividades y ofrecer asilo e incentivos económicos a los denunciantes (véase el artículo X).

Aunque ya hay muchos conocimientos técnicos de dominio público sobre las prácticas actuales de desarrollo de IA que un actor malintencionado podría aprovechar, creemos que las restricciones legales y la verificación tendrían efectos drásticos en el progreso general de este campo.

Si la vigilancia se ampliara a los investigadores e ingenieros que participan en el diseño y la fabricación de semiconductores, el alcance de la vigilancia necesaria aumentaría considerablemente. Si esto no fuera viable, tal vez los Estados podrían vigilar a las empresas en lugar de a las personas, aprovechando la complejidad y el alcance de la fabricación de semiconductores avanzados.

El párrafo 2 de este artículo establece un régimen de mayor transparencia que ayuda a verificar la prohibición de la investigación. Estas medidas de cooperación tienen por objeto proporcionar a las partes la seguridad que necesitan. Prevemos que las partes trabajarán para encontrar un nivel de transparencia, mediante el desarrollo de mecanismos específicos, que genere confianza en la prohibición de la investigación y, al mismo tiempo, minimice los costos para los intereses estatales y la privacidad personal. Verificar el cumplimiento de esta prohibición es una tarea compleja y delicada que requerirá un esfuerzo y una adaptación continuos. A las partes podría preocuparles la posibilidad de que otras partes promulguen prohibiciones de investigación a nivel nacional para luego incumplirlas con iniciativas gubernamentales secretas ocultas a los servicios de inteligencia extranjeros. Las investigaciones que infringirían las prohibiciones son de diversa envergadura, y es probable que las iniciativas a gran escala —en las que participan muchos investigadores y chips relacionados con la IA— sean fácilmente detectables por actores estatales decididos. Sin embargo, las iniciativas más modestas, como el desarrollo de paradigmas alternativos de inteligencia artificial, podrían implicar solo a unos pocos investigadores y hardware de uso común. Será difícil garantizar a las demás partes que dichas iniciativas no se están ocultando. La combinación de la recopilación de información (artículo X) y los mecanismos de verificación de la AISI podría ser suficiente. También señalamos la importancia de proteger a los denunciantes (artículo X).

Precedentes

Entre las agencias existentes facultadas para «mantenerse al corriente y en contacto con los investigadores y las organizaciones nacionales» que podrían llegar a desarrollar información restringida, como se establece en nuestro artículo IX (1.a.), se encuentran el Departamento de Estado y la NNSA, que se analizan en los precedentes del artículo VIII.

Un precedente del «seguimiento de la situación laboral y el paradero de los investigadores» en campos de alto riesgo, como sugerimos en el párrafo 2.(a).(ii), se encuentra en el Centro Internacional de Ciencia y Tecnología (ISTC).²² Establecido en 1994, el ISTC se creó específicamente para reducir los riesgos de proliferación nuclear, manteniendo a los investigadores nucleares soviéticos con un empleo remunerado en actividades pacíficas y conectados con la comunidad científica internacional. El ISTC también muestra el potencial de los incentivos como complemento de las sanciones para evitar que los expertos técnicos (que pueden quedar desempleados como consecuencia de este tratado) se dediquen a la investigación restringida.

En la medida en que las sanciones deban ser severas para proporcionar la disuasión indicada en nuestro artículo IX.1.(b), se puede encontrar un modelo en el capítulo sobre aplicación (18) de la Ley de Energía Atómica de 1946, en virtud del cual el intercambio no autorizado de datos restringidos puede castigarse con pena de muerte o prisión si las revelaciones se realizan con intención de traición.²³

A la hora de desarrollar para la AISI una infraestructura segura para la «notificación y contención de descubrimientos accidentales que cumplan las condiciones de la Investigación Restringida», se pueden encontrar precedentes y modelos que podrían utilizarse en los extensos procedimientos del Departamento de Estado para el manejo de diferentes categorías de datos sensibles. El Sistema de notificación y procesamiento de incidentes del Departamento de Estado, así como las instrucciones del Comité de Sistemas de Seguridad Nacional para la filtración de información clasificada²⁴, también pueden ser de utilidad.

La división de Controles de la Investigación de nuestro tratado podría tener en cuenta las prácticas existentes del OIEA al elaborar protocolos de inspección. En el marco del Protocolo Adicional Modelo aprobado en 1997 por la Junta de Gobernadores del OIEA, los Estados que han suscrito acuerdos de salvaguardias amplias²⁵ permiten inspecciones de acceso complementario para buscar material nuclear no declarado. Como parte de esas visitas, los inspectores pueden entrevistar a los operadores, de forma análoga a nuestra propuesta del párrafo IX.2.a.i.

También proponemos «mantener auditores integrados de la AISI en determinadas organizaciones de alto riesgo», de forma muy similar a como las oficinas locales del Departamento de Estado y la NNSA se encuentran hoy físicamente en laboratorios nucleares nacionales y plantas de producción gestionados por contratistas.

Para «proteger la privacidad y los secretos de las personas físicas y de las Partes» al realizar verificaciones, como exige el párrafo 2(c) de este artículo, la división de Controles de la Investigación de la AISI podría adaptar las prácticas de compartimentación de las agencias de inteligencia de las partes y los acuerdos multilaterales de intercambio de inteligencia. Por ejemplo, en virtud de la «regla de terceros» o el «principio de control del originador», práctica que se considera habitual en tales acuerdos, se prohíbe revelar información compartida a terceros (potencialmente incluso a organismos de supervisión) sin el permiso de la agencia de origen.

1. Una fuente clave de información para la AISI son los esfuerzos independientes de recopilación de información de las Partes. Como tal, la división de Consolidación de la Información (artículo III) estará preparada para recibir esta información.
   1. La división de Consolidación de la Información adoptará las precauciones necesarias para proteger los secretos comerciales, industriales, de seguridad y de Estado, así como cualquier otra información confidencial a la que tenga acceso en el marco de la aplicación del Tratado, lo que incluye el mantenimiento de canales de denuncia seguros, confidenciales y, opcionalmente, anónimos.
   2. A los efectos de garantizar el cumplimiento de las disposiciones del presente Tratado, cada una de las Partes utilizará los Medios Técnicos Nacionales (MTN) de verificación de que disponga, de manera compatible con los principios generalmente reconocidos del derecho internacional.
      1. Cada una de las Partes se compromete a no interferir con los Medios Técnicos Nacionales de verificación de las demás Partes que operen de conformidad con lo anterior.
      2. Cada una de las Partes se compromete a no utilizar medidas deliberadas de ocultación que impidan la verificación por Medios Técnicos Nacionales del cumplimiento de las disposiciones del presente Tratado.
      3. Se alienta a las Partes, sin que ello constituya una obligación, a cooperar en los esfuerzos por detectar actividades peligrosas de IA en países no signatarios, así como a apoyar los MTN de las Partes dirigidos a países no signatarios, en la medida en que sean pertinentes para el presente Tratado.
2. Una fuente clave de información para la AISI son las personas físicas que le proporcionan evidencia de actividades peligrosas de IA. Dichas personas están sujetas a las protecciones para denunciantes.
   1. El presente artículo establece protecciones, incentivos y asistencia para las personas físicas («Denunciantes Protegidos») que, de buena fe, proporcionen a la AISI o a una Parte información creíble sobre incumplimientos, intentos de incumplimiento o planes de incumplir el presente Tratado u otras actividades que supongan un riesgo grave de extinción humana, incluidos chips ocultos, centros de datos no declarados, investigaciones o entrenamientos prohibidos, evasión de la verificación o falsificación de declaraciones. Los Denunciantes Protegidos incluyen empleados, contratistas, funcionarios públicos, proveedores, investigadores y demás personas con información relevante, así como Personas Asociadas (familiares y allegados) que prestan asistencia o estén en riesgo debido a la divulgación.
   2. Las partes prohibirán y evitarán las represalias contra los Denunciantes Protegidos y las Personas Asociadas, incluyendo, entre otras, el despido, la degradación, la inclusión en listas negras, la pérdida de beneficios, el acoso, la intimidación, las amenazas, las acciones civiles o penales, la cancelación de visados, la violencia física, el encarcelamiento, la restricción de movimientos u otras medidas adversas. Cualquier término contractual (incluidos los convenios de confidencialidad o de no difamación) que pretenda limitar las divulgaciones protegidas en virtud del presente Tratado será nulo e inaplicable. El maltrato a los denunciantes constituirá una violación del presente Tratado y se tratará con arreglo al artículo XI, párrafo 3.
   3. La AISI mantendrá canales de denuncia seguros, confidenciales y, opcionalmente, anónimos. Las Partes establecerán canales nacionales interoperables con el sistema de la AISI. La AISI y las Partes protegerán la identidad de los Denunciantes Protegidos y las Personas Asociadas, y solo la revelarán cuando sea estrictamente necesario y con medidas de protección. La divulgación no autorizada de identidades protegidas constituirá una violación del presente Tratado y se tratará con arreglo al artículo XI, párrafo 3.
   4. Las Partes ofrecerán asilo o protección humanitaria a los Denunciantes Protegidos y a sus familias, proporcionarán salvoconductos y coordinarán un tránsito seguro.
3. La AISI podrá llevar a cabo inspecciones por denuncia en los sitios sospechosos cuando disponga de información fiable sobre actividades peligrosas de IA.
   1. Las Partes podrán solicitar a la AISI que realice una inspección por denuncia. El Consejo Ejecutivo, ya sea por solicitud o debido al análisis proporcionado por la división de Consolidación de la Información, considerará la información disponible para solicitar información adicional, a las Partes o a no Partes, o para proponer una inspección por denuncia, o para decidir que no se justifica ninguna otra medida.
   2. Una inspección por denuncia requiere la aprobación de la mayoría del Consejo Ejecutivo.
   3. La nación en la que se encuentre un sitio sospechoso deberá conceder el acceso a este en un plazo de 24 horas desde que la AISI solicite una inspección por denuncia. Durante este tiempo, el sitio podrá ser vigilado, y cualquier persona o vehículo que salga de él podrá ser inspeccionado por funcionarios de una Parte signataria o de la AISI.
   4. La inspección por denuncia será realizada por un equipo de funcionarios de la AISI, aprobados tanto por la Parte inspeccionada como por la Parte solicitante. La AISI es responsable de colaborar con las Partes para mantener listas de inspectores aprobados para este fin.
   5. Las inspecciones por denuncia podrán realizarse en el territorio de una Parte determinada un máximo de 20 veces al año, pudiendo modificarse dicho límite por mayoría de votos del Consejo Ejecutivo.
   6. Los inspectores tendrán el máximo cuidado de proteger la información sensible del Estado inspeccionado, y transmitirán al Consejo Ejecutivo únicamente la información pertinente para el Tratado.

Notas

Recopilación de inteligencia

Esperamos que todas las Partes sigan realizando esfuerzos, e incluso los intensifiquen, para determinar de forma independiente si alguien está llevando a cabo actividades peligrosas de IA. Como resultado, una serie de actividades de recopilación de inteligencia por parte de los Estados complementa y valida la supervisión que lleva a cabo directamente la AISI (véanse, por ejemplo, los artículos IV a VII). La confidencialidad aplicada a la inteligencia presentada a la división de Consolidación de la Información es de la máxima importancia. El objetivo es que los servicios de inteligencia de los Estados consideren que los riesgos que se imponen a sus métodos de inteligencia están justificados para proporcionar la información necesaria a la AISI. Mantener su inteligencia en la más estricta confidencialidad minimiza los riesgos de que se vea comprometida.

Los signatarios del tratado están familiarizados con las formas de recopilación de inteligencia, como las imágenes satelitales y la inteligencia humana, en las que se seguirá confiando después de la entrada en vigor del tratado. Esperamos que las partes prevean que estas actividades continuarán, y uno de los objetivos de este artículo es permitir que la evidencia obtenida por estos medios informe a la AISI sin imponer un costo extremo a quienes la han obtenido.

Este artículo también aborda la vigilancia de los no signatarios, para la cual será necesaria mayor inteligencia. El tratado no llega a imponer dicha obligación a los signatarios, puesto que llevarían a cabo este tipo de labores de inteligencia incluso en ausencia de un tratado.

Protección para denunciantes

La eficacia general de este tratado depende de que las partes confíen en que las demás partes no están llevando a cabo actividades peligrosas de IA prohibidas. Incluso con los medios técnicos nacionales y otras labores de recopilación de inteligencia, puede resultar difícil para los Estados detectar los esfuerzos clandestinos para desarrollar superinteligencia. Hay muchos ámbitos en los que puede que no sea factible para los Estados recopilar inteligencia sobre sus rivales, como lo que sucede dentro de las instalaciones militares. Los Estados pueden estar justificadamente preocupados porque algunas instalaciones hayan eludido los esfuerzos de vigilancia. Por lo tanto, los denunciantes pueden servir como una fuente de información adicional, y la posibilidad de denuncia proporciona una disuasión adicional contra el incumplimiento.

Los denunciantes pueden ser eficaces porque las propias personas involucradas en violaciones secretas del tratado (p. ej., entrenamientos clandestinos o investigación en IA) pueden estar preocupadas por el peligro que supone la SIA. El objetivo de este artículo es que les resulte más seguro y menos costoso denunciar las violaciones, de modo que los incentivos personales se desplacen del silencio hacia la divulgación.

Los denunciantes podrían dar la voz de alarma sobre diversas violaciones del tratado:

• Artículo IV: Informar sobre las ejecuciones de entrenamiento que no estén supervisados, superen los umbrales o utilicen métodos de entrenamiento distribuido prohibidos.
• Artículo V: Revelar la existencia de clústeres de chips no declarados, omitir la consolidación de todo el hardware contemplado o desviar chips a instalaciones secretas y no supervisadas.
• Artículo VI: Notificar la fabricación de nuevos chips de IA no sujetos al régimen de supervisión, o la creación de chips sin las características de seguridad obligatorias.
• Artículo VIII: Notificación de investigación prohibida en IA.

Algunas violaciones del tratado podrían ser especialmente difíciles de detectar solo con la recopilación de inteligencia estándar; por ejemplo, las redes de entrenamiento distribuido y los proyectos estatales secretos de investigación en IA.

Modificar este artículo podría cambiar su eficacia y viabilidad política de varias maneras. Por ejemplo, los Estados podrían ofrecer una compensación económica a los denunciantes legítimos como incentivo adicional, pero esto podría considerarse como un pago a los ciudadanos para que traicionen a sus propios países.

Inspecciones por denuncia

Las inspecciones por denuncia son una función fundamental prevista en el tratado y en la AISI. Sin una amenaza creíble de detección, las Partes podrían temer que sus rivales intentaran burlar el tratado (a pesar de que la carrera hacia la superinteligencia es una situación en la que todos pierden). La recopilación de inteligencia es un método para combatir los aparentes incentivos (percibidos erróneamente) para incumplir el pacto. No tendría precedentes y sería indeseable financiar la creación de una capacidad autosuficiente de recopilación de inteligencia dentro de la AISI, con el nivel de capacidad necesario para dar garantías a los Estados; en su lugar, la AISI depende de que las Partes proporcionen la inteligencia clave.

Precedentes

Anteriormente, al tratar el artículo VIII, examinamos los precedentes de la consolidación de la información, donde citamos la existencia de acuerdos de inteligencia que incluyen prácticas de compartimentación como la «regla de terceros». Existen reglas similares en el OIEA, como en la Parte 1.5 del documento INFCIRC/153:

... el Organismo deberá tomar todas las precauciones para proteger los secretos comerciales e industriales, así como cualquier otra información confidencial que llegue a su conocimiento, en la aplicación del Acuerdo.

El personal está sujeto a obligaciones de confidencialidad y se enfrenta a sanciones penales por filtraciones. Esto es importante, porque el OIEA se ha beneficiado de la divulgación de información de inteligencia de los Estados participantes, incluidas imágenes satelitales y documentos, como en el caso de Irán, con sus actividades de enriquecimiento no declaradas. Del mismo modo, el OIEA exigió una inspección especial de la producción no declarada de plutonio de Corea del Norte en respuesta a la información de inteligencia proporcionada.

Reconociendo el papel indispensable de los medios técnicos nacionales (imágenes por satélite, recopilación de señales y otros medios de teledetección) en la verificación de los acuerdos multilaterales, nuestra propuesta de acuerdo incorpora una redacción del tratado ABM sobre la limitación de los sistemas de misiles antibalísticos, en el que «cada Parte utilizará medios técnicos nacionales de verificación» y «se compromete a no interferir con los medios técnicos nacionales de verificación de la otra Parte». Se puede encontrar una redacción similar en el artículo XII del Tratado sobre Fuerzas Nucleares de Rango Intermedio de 1987, en el artículo IV del Tratado de Prohibición Completa de los Ensayos Nucleares de 1996 y en todo el Nuevo Tratado START de 2010.

Dado que los MTN no serían suficientes para detectar todas las violaciones peligrosas en el caso de la SIA, hemos tomado prestadas características del marco de salvaguardias del OIEA que fomentan la denuncia interna y proporcionan canales para hacerlo. Sin embargo, estas se ven obstaculizadas por la falta de protecciones explícitas para los denunciantes; ni el TNP ni estas salvaguardias protegen a un informante de su gobierno si este decide tomar represalias, a menos que ese Estado cuente con protecciones nacionales aplicables. Las disposiciones a nivel de tratado para la protección y el asilo de los denunciantes en nuestro proyecto de acuerdo tienen por objeto subsanar esta deficiencia.

La reciente legislación de la UE sobre IA ha adoptado medidas similares. El considerando 172 de la Ley de IA de la UE amplía explícitamente las protecciones generales para los denunciantes ya existentes en la Unión para incluir a quienes denuncien infracciones de dicha ley.

La Convención sobre el Estatuto de los Refugiados de 1951 ofrece un posible marco para conceder asilo a los denunciantes, que basa la calificación en «fundados temores de ser perseguida», aunque puede ser necesaria una enmienda o un acuerdo complementario para garantizar que la denuncia de irregularidades en materia de IA sea una causa de persecución legalmente válida.

En el contexto de la Guerra Fría y el período posterior, se concedía asilo de forma habitual a personas con conocimientos o experticia de carácter sensible. La sección 7 de la Ley de la CIA de 1949 disponía la admisión y la residencia permanente de hasta un centenar de desertores y sus familiares directos por año fiscal si se consideraba «en interés de la seguridad nacional o esencial para el avance de la misión de inteligencia nacional». La Ley de Inmigración de Científicos Soviéticos de 1992 concedió hasta 750 visados a antiguos científicos de la Unión Soviética y los Estados bálticos con experticia en los campos nuclear, químico, biológico u otros de alta tecnología, o que trabajaran en proyectos de defensa en esos mismos campos.

El mecanismo de inspecciones por denuncia que establecemos en el párrafo 3 de este artículo se basa en el de la Parte IX de la CAQ:

Todo Estado Parte tiene derecho a solicitar una inspección por denuncia in situ de cualquier instalación o emplazamiento en el territorio de cualquier otro Estado Parte o en cualquier otro lugar sometido a la jurisdicción o control de éste con el fin exclusivo de aclarar y resolver cualquier cuestión relativa a la posible falta de cumplimiento…

La CAQ, junto con otros tratados de control de armas, como el Tratado INF y el Tratado START I entre Estados Unidos y la URSS, combina los MTN con inspecciones similares a las inspecciones por denuncia para verificar el cumplimiento.

1. Cualquier Parte («Parte Interesada») podrá plantear sus inquietudes con respecto a la aplicación del presente Tratado, incluidas las inquietudes sobre situaciones ambiguas o el posible incumplimiento por otra Parte («Parte Requerida»). Esto incluye el uso impropio de las Medidas de Protección (artículo XII).
   1. La Parte Interesada notificará su preocupación a la Parte Requerida, comunicándola también al Director General y al Consejo Ejecutivo. La Parte Requerida acusará recibo de esta notificación en un plazo de 36 horas y proporcionará una aclaración en un plazo de 5 días.
2. Si la cuestión no se resuelve, la Parte Interesada podrá solicitar al Consejo Ejecutivo que le asista para adjudicar y aclarar la cuestión. Esto puede incluir que la Parte Interesada solicite una inspección por denuncia de conformidad con el artículo X.
   1. El Consejo Ejecutivo facilitará la información apropiada de que disponga sobre dicha inquietud.
   2. El Consejo Ejecutivo podrá encargar a la Secretaría Técnica que recopile documentación adicional, convoque sesiones técnicas a puerta cerrada y recomiende medidas de solución.
3. Si el Consejo Ejecutivo determina que se ha producido una violación del Tratado, podrá tomar medidas para impedir actividades peligrosas de IA o reprender a la Parte Requerida. Estas medidas podrán incluir:
   1. Exigir una supervisión o restricciones adicionales respecto a las actividades de IA.
   2. Exigir la entrega de hardware de IA.
   3. Solicitar sanciones
   4. Recomendar a las Partes la adopción de Medidas de Protección en virtud del artículo XII.

Notas

El objetivo de esta cláusula es incluir un proceso de consulta y aclaración para resolver los problemas que surjan entre los signatarios. Las inspecciones por denuncia proporcionan un mecanismo para garantizar que todas las partes cumplan con las disposiciones del tratado.

Dado el ritmo de innovación de la IA, determinar los incumplimientos en un plazo razonable puede resultar difícil. La función del Consejo Ejecutivo es dirimir cualquier inquietud planteada por cualquiera de las partes. La Secretaría Técnica se encarga de garantizar que las inspecciones sean realizadas por expertos que comprendan las tecnologías de IA de vanguardia. El tratado establece un plazo muy ajustado (medido en horas y días) con la esperanza de que sea lo suficientemente rápido como para que las partes esperen las resoluciones antes de tomar medidas de protección (como se describe en el artículo XII), aunque, por supuesto, este tratado nunca prohíbe a las partes tomar las medidas de protección que consideren necesarias para garantizar su propia seguridad.

Precedentes

Nuestros procedimientos de solución de controversias del artículo XI toman como modelo los artículos IX, XII y XIV de la Convención sobre las Armas Químicas. El artículo IX de la CAQ exige a los signatarios que respondan a las solicitudes de aclaración «lo antes posible, pero, en cualquier caso, diez días después, a más tardar, de haber recibido la solicitud». Dada la rapidez con la que pueden propagarse los avances digitales, hemos elegido un plazo de respuesta de 5 días, pero es posible que incluso esta cifra deba reducirse.

El párrafo 2 de este artículo sigue el modelo del artículo XIV de la CAQ, que permite a su Consejo Ejecutivo «contribuir a la solución de una controversia por los medios que considere adecuados, incluidos el ofrecimiento de sus buenos oficios, el llamamiento a los Estados Parte en una controversia para que inicien el proceso de solución que elijan y la recomendación de un plazo para cualquier procedimiento convenido». Asimismo, se alienta a las partes a que remitan los casos a la Corte Internacional de Justicia, según proceda.

Al igual que en el párrafo 3 de nuestro artículo XI, el artículo XII de la CAQ faculta al Consejo Ejecutivo para recomendar medidas correctivas, incluidas sanciones, «en los casos en que la realización de actividades prohibidas por la presente Convención […] pudiera suponer un perjuicio grave para el objeto y propósito de ésta». Para dar fuerza a esas recomendaciones, el Consejo de la CAQ debe «cometerá la cuestión, incluidas la información y conclusiones pertinentes, a la atención de la Asamblea General y el Consejo de Seguridad de las Naciones Unidas». Las recomendaciones del Consejo Ejecutivo de la AISI de nuestro tratado pueden escalarse de manera similar.

1. Reconociendo que el desarrollo de la SIA u otras actividades peligrosas de IA, tal y como se establece en los artículos IV a IX, supondría una amenaza para la seguridad mundial y la vida de todas las personas, podría ser necesario que las Partes en el Tratado tomen medidas drásticas para impedir dicho desarrollo. Las Partes reconocen que el desarrollo de la superinteligencia artificial (SIA), en cualquier lugar del planeta, supondría una amenaza para todas las Partes. En virtud del artículo 51 de la Carta de las Naciones Unidas y como precedente de larga data, los Estados tienen derecho a la legítima defensa. Debido a la escala y la rapidez de las amenazas relacionadas con la SIA, la legítima defensa puede requerir medidas preventivas para impedir el desarrollo de la SIA.
2. Para impedir el desarrollo o despliegue de la SIA, el presente artículo autoriza la adopción de Medidas de Protección adaptadas. Cuando existan pruebas creíbles de que un Estado u otro actor (sea o no Parte) está llevando a cabo o tiene la intención inminente de llevar a cabo actividades destinadas a desarrollar o desplegar SIA en violación de los artículos I, IV, V, VI, VII u VIII, un Estado Parte podrá emprender las Medidas de Protección que sean necesarias y proporcionadas para impedir dichas actividades. En reconocimiento de los perjuicios y el potencial de escalada de las Medidas de Protección, estas deberán utilizarse como último recurso. Salvo en situaciones de emergencia o urgentes, las Medidas de Protección deberán ir precedidas de otras acciones, incluyendo, de manera enunciativa mas no limitativa:
   1. Restricciones comerciales o sanciones económicas
   2. Restricciones sobre activos
   3. Prohibición de visados
   4. Llamamiento al Consejo de Seguridad de las Naciones Unidas para que actúe
3. Las Medidas de Protección pueden incluir acciones como operaciones cibernéticas para sabotear el desarrollo de la IA, la interceptación o incautación de clústeres de chips contemplados, acciones militares para inutilizar o destruir el hardware para IA, la inutilización física de instalaciones o activos específicos que posibiliten directamente el desarrollo de la IA y métodos para impedir que los investigadores trabajen en Investigaciones Restringidas.
4. Las partes minimizarán los daños colaterales, incluidos los daños a la población civil y a los servicios esenciales, siempre que sea posible, con sujeción a los requisitos de la misión.
5. Las Medidas de Protección se limitarán estrictamente a impedir el desarrollo o el despliegue de la SIA y no se utilizarán como pretexto para la adquisición de territorios, el cambio de régimen, la extracción de recursos u objetivos militares más amplios. Queda prohibida la ocupación permanente o la anexión de territorios. Las medidas cesarán cuando la AISI verifique que la amenaza ha desaparecido.
6. Cada Medida de Protección irá acompañada, al iniciarse o tan pronto como la seguridad lo permita, de una Declaración Pública de Medida de Protección que:
   1. Explique el propósito de protección de la medida;
   2. Identifique las actividades y los activos específicos que permiten la IA a los que se dirige la medida;
   3. Establezca las condiciones para el cese;
   4. Se comprometa a cesar las operaciones una vez que se cumplan tales condiciones.
7. Las Medidas de Protección cesarán sin demora en cualquiera de los siguientes supuestos:
   1. Certificación de la AISI del cese de las actividades pertinentes.
   2. Verificación de la entrega o destrucción de los clústeres de chips contemplados o de los activos que permiten la SIA, lo que puede incluir el establecimiento de salvaguardias suficientes para impedir las actividades de Investigación Restringida.
   3. Determinación de la Parte actora, comunicada a la AISI, de que la amenaza se ha mitigado.
8. Las Partes no considerarán las mesuradas Medidas de Protección adoptadas por otra Parte en virtud del presente artículo como actos provocadores, y no emprenderán represalias ni sanciones por ese motivo. Las Partes acuerdan que las Medidas de Protección que cumplan los requisitos anteriores no se interpretarán como un acto de agresión ni como una justificación para el uso de la fuerza.
9. El Consejo Ejecutivo examinará cada Medida de Protección para verificar su conformidad con el presente artículo e informará de sus hallazgos a la Conferencia de las Partes. Si el Consejo Ejecutivo considera que una medida no era necesaria, proporcionada o adecuadamente dirigida, se podrán adoptar medidas en virtud del párrafo 3 del artículo XI.

Notas

Es posible que el tratado real que se firme no sea tan explícito en cuanto a la necesidad de adoptar medidas de protección contra los Estados que emprendan el desarrollo de SIA y que, en cambio, lo deje implícito, como suele ser el caso en acuerdos similares. Optamos por ser explícitos en este punto porque este régimen de disuasión es fundamental para la eficacia del tratado, y detallarlo contribuye a la claridad. Este carácter explícito también nos permite incluir medidas que ayuden a evitar el uso impropio de las medidas de protección, como una descripción más detallada de cuándo son aceptables tales acciones. Es importante que todos los signatarios comprendan el régimen de disuasión implícito y las consecuencias del incumplimiento.

Como se ha comentado anteriormente, una vez que los líderes mundiales comprendan la amenaza que supone la SIA, es probable que estén dispuestos a tomar medidas para detener el desarrollo de IA descontrolada, incluidas intervenciones militares limitadas. Las acciones militares, como los ataques aéreos selectivos, deben considerarse como una opción de último recurso para impedir el desarrollo de la SIA, después de que todas las demás vías diplomáticas hayan fracasado. Pero es importante que sean una opción real, para que el régimen de disuasión y cumplimiento se mantenga.

Subrayamos que cualquier uso de la fuerza debe tener como objetivo prevenir la superinteligencia y debe cesar una vez que quede claro que la amenaza ha sido eliminada. El presente artículo tiene por objeto aclarar que los signatarios no impedirán las medidas de protección razonables adoptadas por otras Partes, aunque estas medidas también deben ser revisadas para garantizar que no se abuse del presente artículo.

Precedentes

La idea de que los Estados nación puedan tomar medidas para garantizar su propia seguridad es un hecho, con independencia de que existan precedentes. Un caso de su codificación en el derecho internacional es el Capítulo VII de la Carta de las Naciones Unidas, que establece que el Consejo de Seguridad puede tomar medidas militares o no militares para mantener la paz y la seguridad internacionales, cuando sea necesario.

El concepto de medidas de protección tal y como aparece en el borrador anterior se basa además en precedentes históricos en los que los Estados han actuado, individual o colectivamente, para impedir el desarrollo de tecnologías consideradas una amenaza para la seguridad internacional. Estas acciones van desde sanciones hasta ciberataques y ataques militares.

El esfuerzo internacional para impedir que Irán desarrolle armas nucleares constituye un ejemplo claro y moderno. El Consejo de Seguridad de las Naciones Unidas ha impuesto sanciones a Irán en varias ocasiones debido a su programa nuclear, la mayoría de las cuales se levantaron después de que Irán aceptara limitar dicho programa en el Plan de Acción Integral Conjunto de 2015.

Según se informa, Estados Unidos e Israel colaboraron en el desarrollo de Stuxnet, una ciberarma muy sofisticada que destruyó muchas de las centrifugadoras de enriquecimiento de uranio de Irán en 2010.

En junio de 2025, Israel lanzó ataques aéreos contra muchas de las instalaciones nucleares de Irán, a los que, nueve días después, siguieron ataques aéreos estadounidenses destinados en parte a inutilizar la planta de enriquecimiento de uranio de Fordow.

Otro precedente histórico de las medidas de protección es la respuesta internacional al incumplimiento nuclear de Irak en la década de 1990. Tras la Guerra del Golfo de 1991, se creó la Comisión Especial de las Naciones Unidas (UNSCOM) para supervisar la destrucción de las armas de destrucción masiva de Irak. El incumplimiento del régimen de inspección de la UNSCOM condujo finalmente a la Operación Zorro del Desierto en 1998, una campaña de bombardeos cuyo objetivo era degradar la capacidad de Irak para producir armas de destrucción masiva.

1. Para los modelos de IA creados mediante entrenamiento o posentrenamiento declarado dentro de los límites del artículo IV, la AISI podrá exigir evaluaciones y otras pruebas. Estas pruebas servirán de base para determinar si es necesario revisar los umbrales establecidos en los Artículos IV, V, VII y VIII. Los métodos utilizados para dichas evaluaciones serán determinados por la AISI y podrán ser actualizados.
2. Las evaluaciones se llevarán a cabo en las instalaciones de la AISI o en los CCC supervisados, por funcionarios de la AISI. Se podrá informar a los funcionarios de las Partes en el Tratado sobre las pruebas que se realizan, y la AISI podrá proporcionar un resumen de los resultados de las pruebas. Las Partes no tendrán acceso a los modelos de IA que no hayan entrenado, salvo que el propietario del modelo les conceda acceso, y la AISI tomará medidas para garantizar la seguridad de la información confidencial.
3. La AISI podrá compartir información detallada con las Partes o con el público, si el Director General lo considera necesario para reducir el riesgo de extinción humana a causa de la IA avanzada.

Notas

El objetivo de este artículo es garantizar que la AISI se mantenga al día con el estado de la IA, en caso de que esta avance. Por ejemplo, revisar el entrenamiento declarado permitiría a la AISI comprender el nivel de capacidades de IA que se puede alcanzar con diferentes niveles de FLOP de entrenamiento.

Incluso con la prohibición de la investigación algorítmica, puede haber avances que no se puedan detener de manera efectiva, y la AISI deberá darles seguimiento. Además, la AISI debe supervisar los avances en la extracción de capacidades. Por ejemplo, podrían descubrirse nuevos métodos de instrucción (prompting) que hagan que una IA antigua funcione mucho mejor en algunas métricas de evaluación críticas. Estos son solo dos ejemplos de cambios en el panorama del desarrollo de la IA que podrían requerir cambios en los umbrales relevantes para los artículos IV y V, y cambios en las definiciones de investigación restringida del artículo VIII. Las revisiones detalladas en el artículo XIII son un mecanismo para que la AISI comprenda mejor el estado de las capacidades de la IA y responda de manera adecuada.

Un artículo de este tipo podría no ser estrictamente necesario, dadas las prohibiciones sobre los entrenamientos a gran escala y los avances algorítmicos. Sin embargo, las revisiones parecen una medida prudente y uno de los mecanismos que permitirían al mundo seguir utilizando IA modernas como ChatGPT sin arriesgarse a una carrera hacia la superinteligencia.

Estas revisiones de la AISI podrían incluir evaluaciones de capacidades peligrosas para asegurarse de que las IA no se vuelvan demasiado capaces en áreas específicas. También podrían examinar los datos de entrenamiento para verificar que las IA no se entrenen para tareas específicamente peligrosas (como la automatización de la investigación en IA) o, de otro modo, realizar pruebas para detectar comportamientos inesperados.

Precedentes

Los precedentes de las pruebas supervisadas exigidas por la AISI coinciden con los precedentes relativos a la verificación del uso de chips que se analizan en el artículo VII, siendo especialmente relevante el protocolo de intercambio de telemetría de misiles del START I. El componente añadido aquí en nuestro artículo XIII es el uso de los datos recopilados para fundamentar las recomendaciones sobre posibles ajustes de los umbrales (que podrían llevarse a cabo en virtud de los mecanismos con precedentes que analizamos en el artículo XIV).

En cuanto a la tensión inherente entre las divulgaciones al público (párrafo 3) y las disposiciones sobre la consolidación de la información de nuestro artículo X, observamos que la disposición de confidencialidad del artículo VII del Estatuto del OIEA²⁶ no le ha impedido publicar informes periódicos y detallados sobre los principales avances en su ámbito de competencia y sus implicaciones para la seguridad mundial.

1. Cualquier Estado Parte podrá proponer enmiendas al presente Tratado. Las «Enmiendas» se consideran revisiones del cuerpo principal y de los artículos del Tratado. Las Enmiendas incluyen revisiones al propósito de los artículos del Tratado. En virtud del artículo III, la Secretaría Técnica de la AISI, sin veto del Consejo Ejecutivo, podrá modificar definiciones y métodos de aplicación específicos, como los relacionados con los artículos IV, V, VI, VII, VIII, IX y X. Las revisiones fundamentales a los propósitos de estos artículos o a los procedimientos de votación requieren una Enmienda.
2. Dichas propuestas de enmienda se presentarán al Director General de la AISI y se distribuirán a los Estados Parte.
3. Para que una enmienda sea considerada formalmente, se requiere el apoyo de un tercio o más de los Estados Parte.
4. Las Enmiendas al cuerpo principal del tratado no se ratificarán sino hasta que sean aceptadas por todos los Estados Parte (sin votos en contra).
5. Si el Consejo Ejecutivo recomienda a todos los Estados Parte que se adopte la propuesta, los cambios se considerarán aprobados si ningún Estado Parte la rechaza en un plazo de 90 días.
6. Tres años después de la entrada en vigor del presente Tratado, se celebrará en Ginebra, Suiza, una Conferencia de las Partes para examinar el funcionamiento del mismo, con miras a asegurar que se estén cumpliendo los fines del Preámbulo y las disposiciones del Tratado. En lo sucesivo, las Partes en el Tratado convocarán nuevas conferencias a intervalos de tres años con el mismo objetivo.

Notas

Este artículo establece el proceso para realizar revisiones mayores a la estructura del tratado. Tales revisiones requieren un apoyo sustancial de las Partes, y la vara para llevar a cabo dichas revisiones es alta. Por el contrario, los cambios en los detalles de implementación de gran parte del tratado pueden realizarse con mucha más facilidad, como se describe en el artículo III y como lo exige el rápido ritmo de los avances en el campo de la IA. Las revisiones de mayor calado sobre el propósito del tratado pueden tramitarse mediante procesos más lentos, como el que aquí se describe.

Precedentes

El TNP tiene un proceso de enmienda rígido, que requiere la aprobación por «una mayoría de los votos de todas las Partes en el Tratado». Esto hace, de forma intencionada, que los cambios formales sean extremadamente difíciles. Nuestro proyecto de tratado sigue este precedente con el objetivo de fortalecer el acuerdo frente a las presiones a corto plazo para relajar los umbrales o debilitar las disposiciones.

Los tratados difíciles de enmendar (y, por lo tanto, difíciles de debilitar) dependen de otros mecanismos para reforzarse según sea necesario. El TNP nunca se ha enmendado, pero se ha adaptado a través de la conferencia de revisión quinquenal estipulada en el artículo VIII, en la que se alcanzan acuerdos por consenso «para asegurarse que se están cumpliendo los fines del Preámbulo y las disposiciones del Tratado».

De manera similar, el artículo XII de la [Convención sobre las Armas Biológicas] (https://treaties.unoda.org/t/bwc) de 1975 se apoya en sus conferencias de revisión quinquenales para fortalecer el tratado mediante medidas de fomento de la confianza no vinculantes, ya que las enmiendas formales son poco frecuentes. Nuestro acuerdo estipula una conferencia trienal, ya que la IA ha sido un campo propenso a cambios rápidos; puede que este período deba acortarse aún más.

El artículo XV de la Convención sobre las Armas Químicas distingue entre enmiendas y cambios administrativos o técnicos, y contempla para estos últimos disposiciones de aprobación menos estrictas. Podría añadirse una redacción similar a nuestro proyecto de acuerdo para dotarlo de un cierto grado de flexibilidad a la hora de gestionar los futuros avances en el campo de la IA.

El artículo XV del Tratado sobre el Espacio Ultraterrestre contiene una cláusula de enmienda, pero el tratado nunca se ha modificado formalmente; en su lugar, se han negociado nuevos tratados para abordar las cuestiones espaciales emergentes. Esta podría ser otra opción para subsanar las deficiencias que puedan hacerse patentes en un tratado sobre IA.