Un vacío legal amenaza con dejar impunes los hackeos cometidos por agentes de IA, según un análisis en EEUU

Por Zendoric · 11 de septiembre de 2026.

Un análisis del America First Policy Institute (AFPI), think tank de orientación conservadora cercano a la Administración estadounidense, sostiene que podría resultar muy difícil responsabilizar a las empresas de IA cuando sus agentes autónomos —sistemas capaces de ejecutar tareas encadenadas sin supervisión humana constante, como escanear redes, explotar vulnerabilidades o exfiltrar datos— cometen ciberataques. Según recoge el boletín Tech Brief de The Washington Post, el instituto recomienda actualizar las leyes que rigen el ciberdelito para cubrir este escenario.

El mismo boletín apunta, sin entrar en detalle, a otros dos frentes regulatorios abiertos esta semana en Estados Unidos: un briefing a puerta cerrada que los demócratas de la Cámara de Representantes celebrarán la próxima semana sobre seguridad infantil y IA, y un paquete de leyes aprobado en California que refuerza la protección de menores en internet e introduce la figura de auditores independientes para sistemas de IA. Son piezas de un mismo rompecabezas: gobiernos y legisladores tratando de ponerse al día con una tecnología que ya actúa, literalmente, por su cuenta.

El dato de fondo importa más que el titular. La ciberseguridad ha sido durante meses el terreno donde mejor se mide el riesgo real de la IA a corto plazo: no como ranking de qué modelo hackea mejor en un benchmark, sino como capacidad que hay que gobernar. Que un think tank alineado con el poder ejecutivo estadounidense reconozca ahora un vacío de responsabilidad legal es una señal de que ese riesgo ha dejado de ser hipotético para los propios reguladores.

Nuestra lectura es que el debate se está desplazando, otra vez, de la pregunta de qué son capaces de hacer estos modelos a quién paga cuando algo sale mal. Ya lo vimos con las demandas por daños derivados de chatbots y con la presión regulatoria en torno a la protección de menores: la industria de la IA se está ordenando menos por lo que dicen los benchmarks y más por cómo responden los tribunales y el Congreso ante el primer incidente grave con nombre y apellidos. Un agente de IA que compromete una red no es un fallo de producto abstracto: es, potencialmente, un delito sin autor claro, y ese hueco legal es exactamente el tipo de laguna que atrae tanto a los ciberdelincuentes como a los abogados de las empresas que quieren blindarse antes de que ocurra el primer caso mediático.

A corto plazo, esto significa más presión para que el Congreso y los estados —California vuelve a ir por delante— legislen deprisa y de forma fragmentada, con el riesgo de que cada jurisdicción defina la responsabilidad de un modo distinto. A largo plazo, sin embargo, cerrar este tipo de vacíos es exactamente el trabajo de fontanería institucional que hace falta para que la IA agéntica se despliegue con confianza en sectores sensibles —salud, infraestructuras, finanzas— y termine liberando el tiempo humano en lugar de multiplicar el fraude. Gobernanza aburrida hoy, para no pagar factura mucho mayor mañana.