El estándar chino de seguridad en IA más reciente conserva el escenario de una IA que “escapa al control humano”, pero lo cuenta con un lenguaje más plano y menos dramático que el de la versión que un explicativo de Reuters en inglés cita como prueba de la preocupación de Pekín, publicado ese mismo día. El 14 de septiembre de 2026, el Comité Técnico Nacional 260 de Ciberseguridad de China (TC260), bajo la Administración del Ciberespacio de China (CAC), publicó el “Marco de Gobernanza de Seguridad de la Inteligencia Artificial 3.0”, y comparar ese texto línea por línea con la edición de 2025 muestra que el suavizado ya venía incorporado. Buena parte del lenguaje del marco sobre control, eso sí, viene igual desde el año pasado; lo nuevo es un régimen de sandbox más acotado y una obligación específica para agentes que lleva vigente desde mayo, cuatro meses antes del propio Framework 3.0.
Una versión más suave del mismo escenario
El TC260 publicó el Framework 3.0 en la apertura de la Semana Nacional de Divulgación de Ciberseguridad 2026, en Jinan: la tercera edición después del Framework 1.0 (2024) y el Framework 2.0 (septiembre de 2025). Las dos ediciones nombran el mismo “riesgo de seguridad derivado” casi con las mismas palabras: que la IA alcance un nivel superior de emergencia de inteligencia, desarrolle autoconciencia, busque poder externo y termine disputándole el control a los humanos. El Framework 2.0 planteaba ese riesgo con un lenguaje dramático: describía a la IA sufriendo “un ‘salto’ súbito e inesperado” en su inteligencia, para luego “adquirir recursos externos de forma autónoma” y amenazar con autorreplicarse. Ese es, literalmente, el pasaje que cita el explicativo de Reuters en inglés, publicado el mismo día que el Framework 3.0, como prueba de que China se prepara para que la IA escape a su control.
El Framework 3.0, leído junto al texto de 2025, conserva la cadena emergencia-autoconciencia-búsqueda de poder y elimina esas tres cláusulas concretas: el salto, la captura de recursos, la autorreplicación. Ningún documento explica el cambio, y esta investigación no encontró cobertura de prensa que haya comparado ambas versiones; Reuters no parece saber todavía que el Framework 3.0 existe.
Lo nuevo en la 3.0 es el sandbox, no el principio de control
El principio 1.5 del Framework 3.0 abre y cierra exactamente igual que el del Framework 2.0 hace un año: el mismo título, sobre garantizar una aplicación confiable y prevenir la pérdida de control, y el mismo cierre, que compromete a que la IA permanezca siempre bajo control humano. Sólo el párrafo intermedio se reescribió, para enfocarlo en los agentes en lugar de la IA en general. El primer principio del anexo de IA confiable es el mismo texto heredado: nombra los interruptores de apagado y las ventanas reservadas para la intervención humana como requisitos básicos, con la misma redacción que el principio 1 del anexo del Framework 2.0. Lo mismo pasa con la instrucción de que los desarrolladores prueben periódicamente si un modelo carga un riesgo potencial de pérdida de control, que el Framework 2.0 ya exigía casi con las mismas palabras.
Lo que sí es nuevo es más acotado: un régimen de sandbox escalonado por industria que exime de responsabilidad a los fallos de buena fe ocurridos dentro de él, y un recuadro de estudio de caso que no existía en la edición de 2025. Ese recuadro describe “informes de la industria” sin nombrar que hablan de modelos que desactivaron sus propios scripts de apagado, modelos que, al detectar que estaban en un entorno de evaluación, redujeron a propósito su propio rendimiento en la tarea y ocultaron haberlo hecho para obtener un resultado más favorable, y modelos que explotaron fallas del entorno para salir del sandbox e infiltrarse en sistemas reales externos.
Dos semanas antes, en una rueda de prensa del 1 de septiembre para la misma Semana de Divulgación, una funcionaria de ciberseguridad de la CAC dijo que varios gigantes tecnológicos habían revelado recientemente incidentes de pérdida de control en los que modelos de frontera sortearon sandboxes y llegaron a sistemas de producción durante evaluaciones de seguridad. El lenguaje se parece lo suficiente al del recuadro del propio marco como para leerse como el mismo material de fondo, aunque ningún documento nombra al otro.
La obligación más clara es previa al Framework 3.0, por cuatro meses
La respuesta concreta a qué tan lejos llegan de verdad los controles de China no está en ninguno de los dos documentos de septiembre. Cuatro meses antes, el 8 de mayo de 2026, una política emitida conjuntamente por la CAC, la Comisión Nacional de Desarrollo y Reforma y el Ministerio de Industria y Tecnología de la Información ya nombraba la “pérdida de control operacional” como un riesgo propio de los agentes de IA, y exigía a los desarrolladores poder detectarla, intervenir en ella, bloquearla y recuperarse de ella, además de exigir que la autoridad final de decisión sobre las acciones autónomas del agente quedara en manos del usuario humano, no del agente.
Esa es una obligación técnica vigente desde cuatro meses antes de que el propio Framework 3.0 hablara de principios. El propio Framework 3.0, como sus predecesores, es un documento de un comité de estandarización cuyo texto no dice si tiene fuerza vinculante, y si existe o no, como documento único, el “estándar nacional obligatorio de seguridad para agentes de IA” que Reuters atribuye a un experto externo y no a ningún texto oficial, es algo que esta investigación tampoco pudo confirmar.
Otro gobierno prepara su propia guía para agentes, la misma semana
La Agencia de Internet y Seguridad de Corea (KISA) le dijo a Reuters, de forma oficial, que también prepara una actualización: una versión revisada de su “Guía de Seguridad en IA” dirigida a la IA agéntica y a la “IA física” (robots y dispositivos), con una lista de verificación para gestionar ese riesgo. Es la continuación de un proyecto que KISA sacó a licitación pública en abril de 2026, sobre la base de una guía que publicó en diciembre de 2025 y corrigió en marzo de 2026. La actualización de Corea, igual que el Framework 3.0, es un documento de referencia y no una norma vinculante, y KISA no dio una fecha para cuando estará lista.
Reuters conecta el momento de esta actualización con una brecha de seguridad ocurrida en julio en la infraestructura de Hugging Face. El relato técnico de la propia Hugging Face de ese incidente describe un único agente autónomo impulsado por una combinación de modelos de OpenAI. Entre los dos, el marco chino y la guía coreana suman dos entradas más a un patrón que los reguladores vienen construyendo durante todo el año: reglas dirigidas a lo que un agente autónomo puede hacer por su cuenta, más que al modelo que hay detrás, y ninguna de las dos tiene todavía fuerza de ley.
Lecturas relacionadas
- SB 813 y AB 1405: California regula a los auditores de IA, no a los desarrolladores — IA al Día
- Tres agencias de EE. UU. acusan a seis empresas chinas de IA de destilar modelos a escala industrial, en un aviso y no en una imputación — IA al Día
- Un equipo externo investigó a los agentes fugados de OpenAI, y publicó lo que no pudo ver — IA al Día