1. Cada una de las Partes velará por que, dentro de su jurisdicción, todos los clústeres de chips contemplados (CCC), tal y como se definen en el artículo II (es decir, un conjunto de chips con una capacidad superior a 16 equivalentes a H100) [nótese que el costo de 16 H100 asciende a unos 500 000 dólares en 2025 y que rara vez son propiedad de particulares], se encuentren en instalaciones declaradas a la AISI y que estos chips de IA estén sujetos a la supervisión de la misma.
   1. Las partes procurarán no ubicar los chips de IA junto con hardware informático no auxiliar y ajeno a la IA en tales instalaciones declaradas.
   2. Estas instalaciones deberán ser accesibles para su inspección física. Esto puede incluir, por ejemplo, que los equipos de verificación puedan llegar a cualquier CCC desde al menos un aeropuerto con servicio internacional regular en un plazo de 12 horas.
   3. Las Partes no alojarán chips de IA en tantas ubicaciones diferentes que a la AISI le resulte inviable supervisarlas todas. Si la AISI lo solicita, las Partes deberán consolidar sus chips de IA en menos instalaciones supervisadas.
2. Los chips de IA no supervisados que no formen parte de un CCC (es decir, que tengan una capacidad inferior a 16 equivalentes a H100) podrán permanecer fuera de las instalaciones declaradas a la AISI, siempre que dichas existencias no sean agregadas ni se conecten en red para cumplir la definición de CCC, no se roten entre sitios para eludir la supervisión y no se utilicen para entrenamiento prohibido. Las Partes harán esfuerzos razonables para supervisar la venta y la agregación de chips de IA a fin de garantizar que se detecten y supervisen los CCC de nueva creación.
3. En un plazo de 120 días contados a partir de la entrada en vigor del Tratado, cada una de las Partes deberá localizar, inventariar y consolidar todos los CCC en instalaciones declaradas a la AISI. Las Partes se abstendrán de desagregar, ocultar o reasignar chips para eludir este requisito o para que un conjunto de chips que se habría clasificado como CCC deje de clasificarse como tal.
4. La AISI supervisará el proceso de consolidación nacional, entre otras cosas, mediante inspecciones in situ, verificación de documentos e inventarios, acompañamiento de las autoridades nacionales durante las transferencias y las inspecciones, e intercambio de información con las Partes en virtud del artículo X. La AISI podrá exigir registros de la cadena de custodia para las transferencias y podrá realizar inspecciones por denuncia, tal como se describe en el artículo X. Las Partes proporcionarán acceso oportuno a las instalaciones, los centros de transporte y los registros pertinentes. Las protecciones e incentivos para los denunciantes previstos en el artículo X se aplicarán al proceso de consolidación, y la AISI mantendrá canales de denuncia protegidos.
5. En un plazo de 120 días contados a partir de la entrada en vigor del Tratado, las Partes deberán presentar a la AISI un registro de sus CCC. El registro deberá incluir la ubicación, el tipo, la cantidad, los identificadores de serie u otros identificadores únicos, cuando estén disponibles, y las interconexiones asociadas de todos los chips de IA de los CCC. Cada una de las Partes deberá proporcionar a la AISI un registro actualizado y preciso a más tardar cada 90 días.
6. Las Partes deberán notificar a la AISI cualquier transferencia prevista de chips de IA, ya sea nacional o internacional, con un mínimo de 14 días de antelación a la fecha prevista para la transferencia. No se procederá con ninguna transferencia a menos que se conceda a la AISI la oportunidad de observarla. En el caso de las transferencias internacionales, tanto la Parte emisora como la receptora deberán coordinarse con la AISI en cuanto a la ruta, la custodia y la recepción. Las transferencias de emergencia realizadas por motivos de seguridad se notificarán tan pronto como sea posible, con una verificación a posteriori.
7. Los chips de IA rotos, defectuosos, sobrantes o fuera de servicio seguirán siendo tratados como chips funcionales hasta que la AISI certifique su destrucción. Las partes no destruirán chips de IA sin la supervisión de la AISI. La destrucción o la inutilización permanente se llevarán a cabo bajo la supervisión de la AISI, utilizando métodos aprobados por esta, y se registrarán en un certificado de destrucción [los detalles deberán explicarse en un anexo]. Se prohíbe la recuperación o la reventa de componentes de dicho hardware, salvo que la AISI lo autorice expresamente.

Notas

Analizaremos el objetivo que persigue este artículo, por qué creemos que es importante, por qué creemos que es factible, por qué se ha elegido el límite de 16 H100 y diversas consideraciones adicionales.

A qué apunta el artículo V

El objetivo de este artículo es centralizar, en instalaciones supervisadas, todos los clústeres de chips de IA (es decir, conjuntos de chips interconectados que superen un tamaño pequeño) y la gran mayoría de los chips de IA.

Una vez que los chips se hayan centralizado en instalaciones supervisadas, la AISI podrá adoptar muchos más enfoques para garantizar que dichos chips no se utilicen para infringir el artículo IV; estos enfoques se analizan en el artículo VII.

Es deseable contar con una verificación internacional de este proceso de centralización, para que todas las partes confíen en que las demás también han centralizado sus chips. Es probable que este tipo de verificación pueda realizarse sin mucho esfuerzo en los grandes centros de datos de IA, puesto que es probable que las agencias de inteligencia ya sepan dónde se encuentran. Para los centros de datos más pequeños, la AISI puede supervisar los procesos de centralización nacionales como medida de fomento de la confianza.

El artículo, en efecto, tiene una excepción para un número reducido de chips: menos de 16 equivalentes a H100. Esta cantidad de chips es tan pequeña que es poco probable que los chips no supervisados supongan una amenaza (a falta de avances en la investigación). Los umbrales más bajos serían más difíciles de controlar con éxito y podrían empezar a imponer costos a una población más amplia. (Varias personas tienen un puñado de GPU en su casa, pero pocas tienen 16 equivalentes a H100).

Por qué existe el artículo V

La centralización de los chips es útil porque abre otras vías para controlar el desarrollo de la IA mediante los chips.

Por ejemplo, la centralización de los chips en instalaciones declaradas significa que posteriormente podrían ser objeto de una mayor supervisión sobre cómo se utilizan (artículo VII) o de una verificación de que están apagados.

La centralización de los chips en instalaciones declaradas también facilitaría a las partes destruir dichos chips, como podría ser necesario en virtud del artículo XII, en caso de que una de las partes infringiera el tratado de forma continua.

Debido al potencial de destrucción de los CCC, sería conveniente construirlos lejos de los centros de población siempre que sea posible. Esto no se incluye en el texto del artículo porque presenta problemas de viabilidad (los centros de datos actuales suelen estar cerca de las ciudades, por lo que sería necesario construir nuevos), porque en casos extremos es probable que puedan cerrarse sin mayores daños colaterales y porque no es un elemento fundamental para el tratado. No obstante, debido a su enorme potencial de peligro, parece apropiado tratar los centros de datos de IA como instalaciones militares.

Verificación

Una parte fundamental para el éxito de un tratado sobre IA es la verificación. Los países no confiarán en que los demás cumplan las normas, sino que querrán comprobarlo por sí mismos. La centralización de los chips de IA en instalaciones declaradas deberá confirmarse mediante inspecciones de la AISI y la supervisión de este proceso. De lo contrario, los países no tendrán la confianza suficiente en que los demás hayan centralizado con éxito sus chips.

La centralización de los chips de IA podría no ser necesaria si existieran otras formas de supervisarlos. Lamentablemente, creemos que esta es la única opción viable en la actualidad, salvo por la destrucción física de todas las reservas de chips de IA, dadas las capacidades de los mecanismos de seguridad disponibles en los chips actuales.

En el futuro, podrían desarrollarse mecanismos de gobernanza habilitados por hardware para permitir la gobernanza remota de los chips de IA, de modo que no sea necesario centralizarlos en ubicaciones declaradas. Aarne et al. (2024) proporcionan estimaciones sobre el tiempo de implementación de algunos de estos mecanismos de gobernanza en los propios chips. Sus estimaciones abarcan el plazo para desarrollar mecanismos que sean robustos frente a diferentes adversarios. Por motivos de concisión, utilizaremos sus estimaciones para la seguridad en un contexto antagónico encubierto, ya que creemos que esto se ajusta a la situación que se pretende abordar: que los actores estatales competentes podrían intentar vulnerar los mecanismos de gobernanza, pero habría graves consecuencias si se detectara tal subversión. Estiman un tiempo de desarrollo de entre 2 y 5 años para las soluciones ideales, con opciones menos seguras pero potencialmente viables disponibles en tan solo unos meses.

Aunque ese informe tiene más de un año, no tenemos constancia de avances significativos en estos mecanismos, y creemos que la estimación más relevante de Aarne et al. es la de dos a cinco años adicionales.

Más allá de desarrollar los mecanismos, es necesario o bien añadir mecanismos de gobernanza en chip a los nuevos chips y que estos se integren en el parque de chips existente, o bien adaptar los mecanismos a los chips ya existentes. Aarne et al. estiman que la primera de estas opciones podría llevar cuatro años, pero somos optimistas en que la adaptación podría realizarse en uno o dos años si ya se está realizando un seguimiento de los chips.

Para que quede claro, la centralización a la que se refiere el artículo V implica la concentración física y la supervisión (en el artículo VII) de los clústeres de chips contemplados, pero no exige que los gobiernos se hagan con la propiedad de los chips. En el caso de los grandes centros de datos, el tratado permite que estos y sus chips permanezcan en el mismo lugar y sigan siendo propiedad de las empresas, siempre que sean monitoreados y supervisados por el gobierno nacional y la AISI para garantizar que los centros de datos solo se dedican a actividades no relacionadas con la IA o a actividades como la ejecución de modelos antiguos, en lugar de crear nuevos modelos de IA más capaces. En el caso de un número menor de chips, puede ser necesario trasladarlos físicamente a un centro de datos más grande, pero el propietario de los chips podría seguir accediendo a ellos de forma remota, de manera análoga a algunos modelos informáticos en la nube. Como alternativa, los chips podrían transferirse a la propiedad del gobierno a cambio de una compensación justa.

Viabilidad

Probablemente sea factible recopilar (y verificar internacionalmente la recopilación de) la mayoría de los chips de IA. En el caso de los centros de datos de IA más grandes, como los que tienen más de 100 000 equivalentes a H100, la verificación internacional parece relativamente sencilla; estos centros de datos son difíciles de ocultar y es probable que los servicios de inteligencia ya sepan dónde se encuentran. (No esperamos que para mediados de 2025 se haya hecho algún intento de ocultar estos centros de datos). Estos centros de datos son detectables por su huella física y su consumo de energía, y muchos de ellos han sido reportados públicamente.

Es plausible que estos métodos también permitan localizar centros de datos tan pequeños como de unos 10 000 equivalentes a H100. Aparte de los MTN y los servicios de inteligencia de las partes, el plan propuesto para centralizar los chips implica que las autoridades nacionales utilicen diversas facultades para ello y permitan que la AISI inspeccione el proceso, a fin de evitar la exclusión de centros de datos.

Los Estados dispondrán de una serie de herramientas para localizar los chips que se encuentran en su territorio. Pueden exigir legalmente que se notifiquen todos los clústeres de chips de más de 16 H100; pueden utilizar los registros de ventas y otra información financiera de los distribuidores de chips; pueden entrevistar a técnicos con experticia en la construcción de centros de datos; etcétera. Si sospechan que hay contrabando o que se están ocultando chips, pueden recurrir a las fuerzas del orden para que investiguen más a fondo. Este proceso de centralización nacional sería supervisado por inspectores de la AISI para garantizar que se lleva a cabo correctamente.

La localización de centros de datos existentes podría hacerse rápidamente —en cuestión de días o semanas para clústeres de más de 1000 equivalentes a H100—, utilizando los métodos descritos.

En realidad, la centralización de los chips podría llevar más tiempo, ya que podría ser necesario ampliar la capacidad de los centros de datos en las instalaciones que se convertirían en CCC. No está claro cuánto tiempo llevaría, ni si sería factible en algunos países, localizar todos los clústeres de, por ejemplo, 100 H100. Esta cantidad de chips estaría prohibida, pero esta prohibición podría ser difícil de hacer cumplir.

Uno de los mayores problemas de viabilidad de la centralización de los clústeres de chips es lograr que otros países confíen justificadamente en que ninguna de las partes está llevando a cabo un proyecto secreto de IA con chips no declarados. La verificación internacional de la centralización nacional de chips podría ayudar, pero puede que no sea suficiente, ya que los esfuerzos de centralización nacional podrían ser deliberadamente no exhaustivos.

Las restricciones impuestas por este artículo contribuyen en gran medida a ofrecer garantías a las partes contra proyectos secretos de IA respaldados por gobiernos que operen en otros países. Además de la supervisión del proceso de centralización nacional por parte de la AISI, las labores de inteligencia y las inspecciones por denuncia descritas en el artículo X podrían ser de gran ayuda.

¿Por qué la definición de CCC?

Este artículo y la definición correspondiente de CCC establecen un límite de 16 equivalentes a H100. Este umbral pretende cumplir varios criterios:

• La supervisión de clústeres de chips de más de 16 H100 funciona bien con los umbrales de FLOP de entrenamiento del artículo IV. El entrenamiento con 16 H100 (precisión FP8, utilización del 50 %; parámetros realistas pero optimistas) tardaría 7,3 días en llegar a 1022 FLOP y 2 años en llegar a 1024 FLOP. Por lo tanto, sería factible que las personas utilizaran chips no declarados para alcanzar el umbral mínimo, pero sería algo poco práctico que alcanzaran el umbral de entrenamiento prohibido.
• Es verosímil que este umbral sea suficiente para impedir el avance de las capacidades de la IA, si se combina con las prohibiciones a la investigación en IA del artículo VIII. El artículo IV establece restricciones al entrenamiento: se prohíbe el entrenamiento a gran escala y se permite el entrenamiento a escala media, aunque sujeto a supervisión. Probablemente sea aceptable —es decir, que plantea un riesgo mínimo— permitir el entrenamiento a pequeña escala, como el que se puede realizar con 16 H100 en un plazo realista.
• Este umbral tiene consecuencias limitadas para los aficionados y la gente común. Muy pocas personas poseen más de 16 H100. A mediados de 2025, 16 chips H100 cuestan alrededor de 500 000 dólares; no son un artículo de consumo habitual. Nadie va a superar el umbral por error por tener unas cuantas consolas de videojuegos antiguas abandonadas en casa.
• Reunir chips de IA se vuelve más difícil a medida que disminuye el número de chips permitidos. Encontrar centros de datos con 100 000 chips es fácil; con 10 000, probablemente también sea relativamente fácil; con 1 000, no está claro; y con 100, puede ser bastante difícil. Este umbral se elige en parte por la inviabilidad de hacer cumplir un umbral más bajo; incluso 16 H100 podrían ser un umbral difícil de hacer cumplir.
• Es posible que haya que revisar esta definición y bajar el umbral (por ejemplo, a 8 equivalentes a H100). En este tratado, la AISI se encargaría de evaluar esta definición y modificarla según fuera necesario.

Otras consideraciones

Este artículo pide a las partes que intenten no ubicar chips de IA junto con chips no auxiliares y ajenos a la IA. Se sugiere esto porque la coubicación podría dificultar la verificación del uso de los chips (artículo VII) y requeriría que estos chips que no son de IA también estuvieran sujetos a cierta supervisión para implementar eficazmente la verificación del uso de los chips de IA. Sin embargo, no es estrictamente necesario y puede que no sea deseable. Por ejemplo, en la actualidad los chips de IA suelen coubicarse con chips que no son de IA, y el inconveniente de cambiar esto podría superar al de supervisar también los chips que no son de IA.

En consonancia con acuerdos anteriores, este artículo exige que los inspectores puedan acceder rápidamente a los CCC para su verificación. En este caso, es probable que se supervisen continuamente muchas de estas instalaciones (artículo VII), y el acceso a los aeropuertos podría ser beneficioso.

Existe cierto riesgo de que ciudadanos particulares puedan construir un CCC no supervisado a partir de chips «sueltos» equivalentes a H100. Para combatir esto, el tratado establece que las Partes harán «esfuerzos razonables» para supervisar las ventas de chips (que superen el equivalente a 1 H100) y detectar la formación de nuevos CCC. Se podrían adoptar medidas más estrictas, como exigir que todos esos chips y ventas se registren y rastreen formalmente. Nuestro borrador no llega a ese extremo, tanto porque no esperamos que haya tantos chips «sueltos» equivalentes a H100 sin contabilizar después de que se cataloguen todos los chips de los CCC, como porque otros mecanismos (como la protección de los denunciantes) ayudan a detectar los CCC de nueva creación.

Alternativas

En lugar de exigir inmediatamente la centralización de los pequeños clústeres (por ejemplo, de 100 H100), el tratado podría aplicar un enfoque por etapas. Por ejemplo, durante los primeros 10 días deberían centralizarse y declararse todos los centros de datos con más de 100 000 chips equivalentes a H100; en los 30 días siguientes, aquellos con más de 10 000, y así sucesivamente.

Este enfoque por etapas podría corresponder mejor a la verificabilidad internacional de la detección de estos clústeres a medida que los servicios de inteligencia intensifican sus esfuerzos de detección. Es decir: al principio, es probable que los servicios de inteligencia sepan dónde se encuentran los centros de datos más grandes, pero no los de tamaño medio (si no los habían buscado previamente). Por lo tanto, al principio solo se declararían los centros de datos grandes y, a medida que los servicios de inteligencia continúan tratando de localizar los chips, el umbral bajaría.

Este enfoque podría ajustarse mejor a la forma en que la verificabilidad y la exigibilidad han influido en lo acordado en anteriores acuerdos internacionales. Por ejemplo, el Tratado de Prohibición Parcial de Ensayos Nucleares de 1963 no prohibió los ensayos subterráneos de armas nucleares, debido a la dificultad de detectar dichos ensayos. El equipo de gobernanza técnica de MIRI tiene previsto publicar un informe con un enfoque por etapas como este.

Una desventaja del enfoque por etapas es que podría facilitar que los Estados oculten chips y establezcan centros de datos secretos.

Precedentes

La declaración de los activos pertinentes suele ser un primer paso en los tratados restrictivos. Los signatarios del Tratado Naval de Washington de 1922 proporcionaron inventarios de buques capitales y su tonelaje, y se comprometieron a notificarse mutuamente la sustitución de estos buques. El tratado START I de 1991 incluía un acuerdo clasificado sobre el intercambio de coordenadas y diagramas de emplazamientos (en el artículo VIII), que detallaba el intercambio de datos sobre la ubicación de todas las armas estratégicas declaradas. El párrafo 3 del artículo V de nuestro proyecto exige que las partes localicen, inventaríen y consoliden los clústeres de chips contemplados en un plazo de 120 días.

La consolidación de activos para facilitar la verificación del cumplimiento suele ser otro paso en los tratados restrictivos. El artículo III del START I prohibía que los misiles balísticos intercontinentales se ubicaran junto a instalaciones de lanzamiento espacial, lo que facilitaba la vigilancia. El párrafo 1.1 de nuestro artículo V compromete a las partes a «no ubicar los chips de IA junto con hardware informático no auxiliar y ajeno a la IA» por la misma razón.

La historia demuestra que la consolidación también limita el potencial de ruptura, al facilitar el ataque a las concentraciones de activos problemáticos en caso de una crisis de confianza. En el PAIC de 2016^* (también conocido como el acuerdo nuclear con Irán), Irán acordó mantener sus centrifugadoras de enriquecimiento de uranio operativas en solo dos emplazamientos designados (Natanz y Fordow), los cuales fueron atacados en operaciones de Israel y Estados Unidos en junio de 2025. Esto motiva una nota que acompaña a nuestro artículo V en la que sugerimos a las partes que ubiquen sus clústeres de chips contemplados (CCC) lejos de los centros de población.

La supervisión y las inspecciones son componentes comunes de los tratados anteriores en contextos de confianza limitada; por consiguiente, hemos redactado disposiciones al respecto cuando ha sido apropiado, en los párrafos 1, 4, 6 y 7 de este artículo. Algunos precedentes específicos son:

• La verificación del START I incluyó cientos de inspecciones in situ en los primeros años.
• La CAQ exige la declaración e inspección de todas las instalaciones de producción de armas químicas —se han declarado 97— y la mayoría de ellas han sido destruidas de forma verificable. (Al exigir la declaración de las instalaciones existentes, estos acuerdos también prohíben que se realicen determinadas actividades fuera de las instalaciones declaradas, de forma análoga a la prohibición de este artículo sobre los CCC no supervisados).
• Más de 700 instalaciones nucleares declaradas en todo el mundo son supervisadas por el OIEA como parte del TNP.

Al igual que en el párrafo 3 de este artículo, numerosos acuerdos de control de armamentos estipulan que las partes no deben interferir con los MTN de las demás en el contexto de la verificación de los tratados. Entre ellos se encuentran SALT I,^† el ABM,^‡ el INF,^§ y el START I.

Como precedente de Estados parte que restringen las industrias de su sector privado para cumplir los compromisos de un tratado (como tendría que ocurrir con la IA), está la legislación que adoptó Estados Unidos tras ratificar la CAQ: la Ley de aplicación de la Convención sobre las Armas Químicas de 1998 y la normativa del Departamento de Comercio garantizaron su cumplimiento por parte de las entidades estadounidenses. Del mismo modo, el Congreso de Estados Unidos modificó la Ley de Aire Limpio tras la ratificación del Protocolo de Montreal para prohibir las sustancias que agotan la capa de ozono.

Las estrategias para implementar la centralización de chips en Estados Unidos podrían recurrir a la Cláusula de Expropiación de la Quinta Enmienda, según la cual el gobierno puede ejercer su poder de expropiación forzosa para adquirir propiedad privada con fines públicos, a cambio de una indemnización adecuada. |