El Marco de Gobernanza de la Seguridad de la IA de China 3.0 centra su atención en los agentes y el control
China publicó el Marco de Gobernanza de la Seguridad de la IA de China 3.0 el 14 de septiembre, lo que supone su tercera revisión en tres años. El documento mantiene el modelo chino basado en riesgos, pero desplaza la atención hacia los agentes de IA, los sistemas que interactúan con el mundo físico y el peligro de perder el control humano. Este cambio importa porque la IA está pasando de generar respuestas a ejecutar acciones.
El Comité Técnico Nacional 260 sobre Ciberseguridad, conocido como TC260, publicó el marco durante la inauguración de la Semana Nacional de la Ciberseguridad de China de 2026 en Jinan. La Administración del Ciberespacio de China, o CAC, orientó su desarrollo.
La publicación no es una nueva ley ni impone automáticamente nuevas sanciones a las empresas de IA. Su importancia procede de otro lugar. Los marcos del TC260 pueden influir en las normas técnicas, las prácticas de prueba, las directrices sectoriales y las expectativas que los reguladores aplican a desarrolladores y proveedores de servicios.
La versión 3.0 llega también un año después de que el marco incorporara riesgos sociales y éticos más amplios. China está extendiendo ahora el mismo modelo de gobernanza a sistemas capaces de usar herramientas, acceder a archivos, comunicarse con otros servicios y actuar con menor supervisión directa.
Esto genera la tensión central. China busca ampliar la adopción de la IA en empresas y servicios públicos, al tiempo que insiste en que los sistemas cada vez más autónomos sigan siendo predecibles, trazables y susceptibles de intervención humana.
Qué cambia con el Marco de Gobernanza de la Seguridad de la IA de China 3.0
El marco considera que la acción autónoma, y no una conversación más sofisticada, es el principal problema de seguridad del próximo ciclo de despliegue de IA.
Según la publicación oficial del marco, TC260 mantuvo tres elementos de ediciones anteriores: clasificación de riesgos, contramedidas técnicas y gobernanza integral. Actualizó los riesgos dentro de esa estructura y ajustó las respuestas recomendadas.
Esta continuidad es importante. La versión 3.0 no rechaza el enfoque anterior de China. Es un intento de aplicar el mismo enfoque a sistemas con un acceso más amplio, periodos operativos más prolongados y una mayor influencia fuera de una ventana de chat.
El documento describe cómo las aplicaciones de IA se expanden desde entornos especializados hacia usos generalizados. Menciona asistentes de trabajo, asistentes personales y teléfonos con capacidades de agentes como ejemplos. También distingue entre sistemas que responden preguntas y sistemas que realizan tareas.
Un agente de IA es un sistema capaz de percibir información, conservar contexto, tomar decisiones, invocar herramientas y ejecutar pasos para alcanzar un objetivo. Estas capacidades pueden reducir el trabajo rutinario, pero también generan cadenas más largas de posibles fallos.
Un chatbot puede ofrecer una respuesta incorrecta. Un agente puede aceptar esa respuesta, abrir un servicio, modificar un registro, enviar información o activar otro proceso antes de que una persona detecte el error.
Por ello, la versión 3.0 trata los riesgos de los agentes de manera más explícita. Su anexo sobre gestión de riesgos de agentes de IA cubre el ciclo de vida del sistema, desde el desarrollo y el despliegue hasta la operación y la retirada.
El marco pide a las organizaciones que examinen qué lee un agente, en qué instrucciones confía, qué herramientas puede invocar y si sus acciones se mantienen dentro de la solicitud del usuario. Estas preguntas abordan el proceso detrás de un resultado, no solo el resultado en sí.
Esta distinción cambia la forma en que debe evaluarse la seguridad. Un informe final puede parecer preciso incluso si el agente expuso datos confidenciales mientras lo elaboraba. Una transacción completada puede aparentar ser válida aunque instrucciones maliciosas hayan redirigido una etapa del flujo de trabajo.
La inyección de prompts ilustra el problema. Un ataque de inyección de prompts coloca instrucciones ocultas o engañosas en contenido que procesa un sistema de IA. Un agente que navega por una página web podría interpretar esas instrucciones como comandos, incluso sin que el usuario las haya autorizado.
El marco también analiza los riesgos de plug-ins comprometidos, respuestas de herramientas manipuladas, permisos excesivos y memoria poco fiable. Cada debilidad se vuelve más grave cuando el sistema puede actuar sin confirmación.
La inteligencia incorporada también recibe mayor atención. Este término abarca la IA conectada a máquinas que detectan o afectan al mundo físico, incluidos robots, vehículos y equipos industriales.
Cuando el software puede controlar un dispositivo físico, un fallo de ciberseguridad puede convertirse en un incidente de seguridad. Una instrucción manipulada podría afectar al movimiento, la producción, el control de acceso o el funcionamiento de los equipos.
El documento identifica además la mejora recursiva y el desarrollo autoacelerado como cuestiones que requieren vigilancia. No afirma que los sistemas actuales hayan escapado al control humano. En cambio, sostiene que una optimización autónoma más rápida merece pruebas y supervisión sostenidas.
El resultado es un marco de seguridad de la IA explicado a través de una nueva realidad operativa. El comportamiento del modelo sigue importando, pero los permisos, las herramientas, las conexiones, la memoria y el acceso físico pasan ahora a formar parte del perímetro de seguridad.
Por qué China vuelve a actualizar su manual de gobernanza de IA
Tres publicaciones anuales muestran que China considera la gobernanza de IA como un proceso técnico dinámico, no como un documento de políticas que pueda permanecer fijo durante años.
TC260 publicó la primera edición en septiembre de 2024. Esa versión organizó los riesgos relacionados con modelos, algoritmos, datos, sistemas, ciberseguridad, seguridad física, cognición y ética.
El primer marco estableció principios que aún definen la serie. Priorizó la innovación al tiempo que pidió una gobernanza inclusiva, prudente, orientada al riesgo y cooperativa.
La versión 2.0 llegó el 15 de septiembre de 2025. Conservó la estructura original, pero añadió una categoría de riesgos derivados, es decir, consecuencias más amplias que surgen del uso generalizado de la IA.
Estos riesgos incluían efectos sobre el empleo, las estructuras sociales, la demanda de recursos, la educación, las relaciones humanas y el medio ambiente. La segunda edición también añadió un principio más claro de uso fiable y prevención de la pérdida de control.
Los comentarios oficiales sobre el segundo marco indicaron que contenía 14 medidas de gobernanza integral y cuatro directrices de seguridad. También integró con mayor firmeza la ética científica y tecnológica en el ciclo de vida de la IA.
La versión 3.0 se apoya en esa base en lugar de crear otro sistema de clasificación. Su momento refleja cuánto ha cambiado el objetivo del despliegue.
Muchos productos de IA generativa funcionaban antes como interfaces aisladas. Los usuarios introducían prompts, los modelos devolvían texto y las personas decidían qué hacer después. Esa separación está desapareciendo.
Los agentes ya pueden buscar documentos internos, invocar interfaces de software, escribir código, operar navegadores, preparar mensajes y coordinar tareas de varios pasos. Incluso una autonomía modesta amplía el número de decisiones que un sistema toma entre puntos de control humanos.
El trabajo normativo de China en 2026 ya había señalado ese cambio. En mayo, la CAC, la Comisión Nacional de Desarrollo y Reforma y el Ministerio de Industria y Tecnología de la Información emitieron directrices de implementación para agentes de IA.
Las directrices para agentes definen los agentes como sistemas capaces de percepción autónoma, memoria, toma de decisiones, interacción y ejecución. También identifican 19 escenarios de aplicación en investigación, industria, servicios de consumo, bienestar público y gobernanza social.
Ese documento promueve la adopción al tiempo que subraya la seguridad, la controlabilidad y el desarrollo estandarizado. El Marco 3.0 proporciona una capa más amplia de gestión de riesgos en torno a esa misma orientación.
Por ello, la actualización es más que mantenimiento anual de políticas. China intenta establecer expectativas de seguridad antes de que los agentes se conviertan en infraestructura habitual en sectores sensibles.
El marco identifica al gobierno, las finanzas, la educación, la radiodifusión, la atención sanitaria y la gestión de emergencias como ámbitos que requieren orientación sectorial específica. Una única norma horizontal no puede abarcar las distintas consecuencias de un fallo en esos entornos.
Un asistente de compras poco fiable podría hacer perder tiempo a un cliente. Un sistema médico o de gestión de emergencias poco fiable puede influir en decisiones relacionadas con la salud, los recursos públicos o la seguridad inmediata.
Por tanto, la gobernanza de IA de China combina principios generales con planes para normas más específicas. El marco describe los riesgos, mientras que normas posteriores pueden traducir partes seleccionadas en requisitos que auditores y organizaciones de pruebas puedan evaluar.
Esta estructura por capas también permite que las políticas evolucionen sin reescribir cada norma vinculante. Los reguladores pueden actualizar las directrices técnicas a medida que cambia el comportamiento de los sistemas y luego incorporar controles seleccionados a normas o regulaciones sectoriales.
Para las empresas, este ritmo genera una carga práctica. Una revisión de seguridad diseñada para un modelo de texto puede no cubrir a un agente que utiliza herramientas externas. Una revisión diseñada para un despliegue puede quedar incompleta después de cambios en permisos, integraciones o escala operativa.
La versión 3.0 aborda este problema mediante una gobernanza ágil. Las evaluaciones de riesgos deben considerar el contexto de aplicación, la inteligencia del sistema y la escala de despliegue, y cambiar a medida que cambian esas condiciones.
La secuencia anual hace difícil pasar por alto el mensaje normativo. Desplegar un sistema más capaz implica reabrir el caso de seguridad, incluso cuando el nombre del modelo subyacente permanece sin cambios.
La disyuntiva central es innovación frente a control verificable
China quiere que las organizaciones desplieguen agentes útiles, pero espera que demuestren que la autonomía sigue estando limitada durante toda la tarea.
El marco describe la innovación como una prioridad y apoya la experimentación controlada, incluidos los sandboxes regulatorios. Un sandbox regulatorio permite que productos seleccionados operen bajo condiciones limitadas mientras autoridades y desarrolladores observan los riesgos.
Al mismo tiempo, el documento pide sistemas que permanezcan bajo control humano. Estos dos objetivos no se alinean de forma natural cuando un agente puede elegir herramientas y acciones intermedias.
Un agente con restricciones estrictas es más fácil de supervisar, pero menos flexible. Un agente con autorizaciones amplias puede completar más tareas, aunque crea una superficie de ataque mayor y más vías hacia comportamientos no deseados.
Pensemos en un asistente de investigación en el trabajo. Podría buscar notas internas, navegar por sitios web públicos, comparar registros y preparar una recomendación. Cada capacidad parece razonable cuando se evalúa por separado.
El riesgo surge de su combinación. Una página pública podría contener una instrucción oculta que indique al agente recuperar material confidencial. Un acceso amplio a archivos podría permitirle cumplirla, mientras que una conexión saliente podría exponer el resultado.
Prevenir esa secuencia exige más que filtrar el texto final del agente. Los desarrolladores deben separar las instrucciones de confianza del contenido no confiable, minimizar los permisos, validar las llamadas a herramientas y registrar las acciones para una revisión posterior.
El marco pide una monitorización, alerta temprana, respuesta de emergencia y pruebas más sólidas. También apoya bases de datos de vulnerabilidades y mecanismos de intercambio de información que involucren a desarrolladores, proveedores de servicios e instituciones técnicas.
Estas medidas apuntan hacia un modelo de control basado en evidencias. Una empresa debería poder demostrar a qué accedió el sistema, qué decisión desencadenó una acción y cuándo una persona podía detenerlo.
Esa expectativa genera presión para desarrolladores, compradores empresariales y operadores. Los desarrolladores deben incorporar salvaguardas en las arquitecturas de los agentes. Los compradores deben evaluar todo el despliegue en lugar de depender de las afirmaciones de seguridad de un proveedor de modelos.
Los operadores también necesitan límites claros de responsabilidad. Cuando un proveedor de modelos, desarrollador de aplicaciones, proveedor de plug-ins, servicio en la nube y cliente influyen en un mismo flujo de trabajo, la rendición de cuentas puede fragmentarse.
El Framework 3.0 asigna responsabilidades entre desarrolladores de modelos y algoritmos, proveedores de servicios y usuarios. Sin embargo, una declaración amplia de responsabilidad no resuelve automáticamente las disputas tras un fallo complejo.
Las cadenas de suministro agravan el problema. Un agente puede depender de un modelo de código abierto, software de recuperación de terceros, API externas y sistemas de datos empresariales. Una vulnerabilidad en cualquier componente puede afectar el comportamiento final.
El marco reconoce riesgos diferentes en los modelos abiertos y cerrados. Los sistemas cerrados pueden limitar la auditoría externa y la personalización porque un único proveedor controla sus mecanismos de seguridad.
Los modelos abiertos permiten una inspección y adaptación más amplias, pero las salvaguardas pueden eliminarse o eludirse. Las actualizaciones también pueden no llegar a todas las copias modificadas o desplegadas de forma privada.
Ninguno de los dos enfoques elimina el trabajo de gobernanza. Los proveedores cerrados deben ofrecer pruebas significativas sobre sus controles, mientras que los despliegues abiertos necesitan pruebas locales, gestión de configuración y un plan para las actualizaciones de seguridad.
La misma disyuntiva aparece en la precisión de los modelos. La alucinación, es decir, una respuesta plausible no respaldada por evidencia fiable, se vuelve más peligrosa cuando un agente la toma como base para actuar.
Los equipos no pueden resolver ese problema añadiendo una advertencia debajo de la respuesta. Necesitan mecanismos que exijan evidencia autorizada, bloqueen acciones no respaldadas o deriven las decisiones de alto impacto a personas.
Estos controles reducen la velocidad y aumentan el coste operativo. También pueden limitar la autonomía que hace atractivos a los agentes. Ese es el acuerdo central detrás del China AI Safety Governance Framework 3.0.
El documento no exige que todos los sistemas reciban un tratamiento idéntico. Su enfoque de clasificación de riesgos considera la importancia del escenario, la inteligencia del sistema y la escala de uso.
Ese enfoque es más práctico que aplicar controles máximos en todas partes. También plantea preguntas difíciles sobre los umbrales.
Las organizaciones deben decidir cuándo un asistente ordinario se convierte en un agente de alto impacto. Deben determinar qué permisos generan un riesgo material y qué acciones requieren confirmación.
El marco ofrece orientación, pero muchas respuestas operativas dependerán de normas posteriores, reglas sectoriales y métodos de evaluación. Hasta que lleguen, las empresas deben interpretar principios amplios dentro de sus propios entornos técnicos.
Un marco no es lo mismo que un reglamento exigible
La publicación señala prioridades regulatorias, pero por sí sola no establece una prueba de cumplimiento completa para cada agente de IA.
TC260 es el organismo nacional de normas de ciberseguridad de China. Sus documentos técnicos pueden influir en la regulación, las adquisiciones, las evaluaciones y las normas formales, pero su efecto legal depende del documento y de las reglas vinculadas a él.
El Framework 3.0 se entiende mejor como un mapa de gobernanza. Identifica categorías de riesgo y recomienda respuestas técnicas e institucionales. No sustituye las leyes aplicables ni las normas obligatorias.
China ya cuenta con normas vinculantes para algunos servicios de IA generativa. Las Medidas Provisionales para los Servicios de IA Generativa se aplican principalmente a los servicios ofrecidos al público dentro de China continental.
Otros requisitos pueden implicar registros de algoritmos, evaluaciones de seguridad, información personal, seguridad de datos, gobernanza de contenidos y supervisión sectorial. Las obligaciones pertinentes dependen del proveedor, el servicio, los usuarios y el contexto de despliegue.
Una norma nacional finalizada ofrece un contraste útil. La GB/T 45654-2025 de China cubre requisitos básicos de seguridad para servicios de IA generativa, incluida la seguridad de los datos de entrenamiento, la seguridad de los modelos y las medidas de protección.
Una traducción de la norma al inglés señala que respalda la presentación, el registro, las pruebas y la evaluación. Se aplica a los proveedores y puede orientar a reguladores y evaluadores externos.
Esa norma es más específica que el marco amplio. Analiza procedimientos para los datos de entrenamiento, el contenido generado, la seguridad de los modelos y la evaluación de seguridad.
Aun así, analistas externos han cuestionado cuán consistentemente se aplicarán medidas exigentes durante una competencia acelerada entre modelos. La misma incertidumbre es mayor para las recomendaciones que siguen permaneciendo en el nivel de marco.
La versión 3.0 pide realizar pruebas periódicas sobre la posible pérdida de control tecnológico. Sin embargo, la publicación no establece un conjunto de pruebas universal, una puntuación pública ni un único umbral que determine si un agente es seguro.
Términos como controlabilidad, uso fiable y riesgo catastrófico también requieren definiciones medibles. Sin ellas, dos organizaciones pueden afirmar que cumplen mientras aplican salvaguardas muy distintas.
El acceso independiente presenta otra cuestión sin resolver. Los modelos cerrados pueden impedir que investigadores externos examinen los controles internos. Los despliegues abiertos pueden resultar difíciles de inventariar tras su modificación y redistribución.
La transparencia sobre incidentes será tan importante como las pruebas previas al despliegue. Una empresa puede superar una evaluación programada y aun así experimentar fallos después de integrar nuevas herramientas o modificar las instrucciones del sistema.
La información pública sigue siendo desigual en toda la industria de IA. Sin datos comparables sobre incidentes, los reguladores y compradores no pueden juzgar fácilmente qué controles funcionan fuera de las condiciones de laboratorio.
El marco recomienda compartir información sobre vulnerabilidades, defectos, riesgos e incidentes. Construir un mecanismo de reporte útil exigirá reglas claras de presentación y protección frente a divulgaciones incompletas.
La coordinación transfronteriza es otra parte ambiciosa del documento. La versión 3.0 respalda a las Naciones Unidas como canal central para la gobernanza global de la IA y pide mecanismos de gestión de crisis.
Ese objetivo afronta obstáculos políticos y técnicos. Los gobiernos difieren en seguridad nacional, reglas de contenido, privacidad, propiedad intelectual, modelos abiertos y acceso estatal aceptable a los datos.
Incluso una preocupación compartida por capacidades peligrosas no garantiza un acuerdo sobre la evidencia. Los países pueden utilizar evaluaciones, modelos de amenazas y requisitos de divulgación diferentes.
Por tanto, el lenguaje internacional del marco debe leerse como una posición de política pública, no como prueba de una alineación global. Su influencia dependerá de si China publica métodos de prueba utilizables y respalda la cooperación técnica recíproca.
También existe el riesgo de que un lenguaje amplio sobre seguridad se convierta en una barrera para los desarrolladores más pequeños. Las grandes empresas pueden financiar equipos jurídicos, auditorías, red teaming, monitorización y respuesta a incidentes.
Los laboratorios más pequeños podrían tener dificultades para cumplir las mismas expectativas, especialmente cuando las normas cambian con rapidez. Los entornos de pruebas controlados y los recursos de prueba compartidos podrían reducir esa carga, pero su accesibilidad será importante.
La lectura escéptica es sencilla. El Framework 3.0 identifica con precisión varios riesgos emergentes, pero identificarlos es más fácil que implementarlos.
Su verdadero valor se medirá por las normas, evaluaciones, sistemas de reporte y prácticas de aplicación que le sigan. Sin esos mecanismos, la controlabilidad seguirá siendo un objetivo en lugar de una propiedad verificada.
La gobernanza de IA de China ahora se extiende más allá del modelo
El límite de las políticas cubre cada vez más todo el entorno operativo, incluidos los datos, la memoria, las herramientas, la infraestructura, los usuarios y los dispositivos físicos.
Los primeros debates sobre gobernanza de IA solían centrarse en los conjuntos de datos de entrenamiento y las respuestas de los modelos. Estos temas siguen siendo importantes, pero los agentes hacen que el sistema circundante sea igualmente relevante.
El comportamiento de un modelo puede cambiar cuando los desarrolladores modifican las instrucciones del sistema, las fuentes de recuperación, la memoria, los plug-ins o las herramientas disponibles. El modelo base puede permanecer idéntico mientras el despliegue adquiere nuevos riesgos.
Esto significa que la evaluación del modelo por sí sola no puede certificar un producto basado en agentes. Las pruebas deben incluir el sistema ensamblado y las condiciones en las que las personas lo utilizan.
El marco recomienda requisitos de seguridad en la investigación, el desarrollo, el despliegue, la operación y la retirada. La retirada importa porque las credenciales antiguas, la memoria almacenada y los servicios conectados pueden seguir expuestos después de que un producto se cierre.
La gobernanza de datos sigue siendo una preocupación central. El documento pide proteger la información personal durante el entrenamiento, la anotación, el uso y la generación de respuestas, incluida la desidentificación cuando corresponda.
También destaca datos importantes y esenciales en ámbitos como el gobierno y las finanzas. Los agentes que operan en estos sectores pueden cruzar límites de información más rápido que los usuarios humanos, especialmente cuando los permisos se heredan de cuentas conectadas.
La memoria introduce otra capa. La memoria persistente de un agente puede mejorar la continuidad, pero también puede retener información incorrecta, sensible o introducida de forma maliciosa.
Un despliegue seguro necesita reglas sobre qué almacena el agente, cuánto tiempo conserva la información y quién puede inspeccionarla o eliminarla. La memoria no debe convertirse en un registro invisible que moldee acciones posteriores sin que el usuario lo sepa.
La gobernanza de herramientas es igual de importante. Los desarrolladores necesitan listas de permitidos, límites de permisos, vistas previas de acciones, límites transaccionales y autenticación robusta para operaciones de alto impacto.
Un agente no debería recibir acceso administrativo permanente simplemente porque un flujo de trabajo necesita ocasionalmente permisos elevados. La autorización temporal y específica para cada tarea reduce el daño causado por errores o ataques.
La supervisión humana también requiere un diseño preciso. Una casilla de confirmación sirve de poco si los usuarios no pueden entender la acción propuesta o si las alertas frecuentes fomentan la aprobación automática.
Una intervención efectiva requiere información oportuna y pertinente. Los usuarios necesitan ver qué planea hacer el agente, qué datos utilizará y qué consecuencias conlleva la acción.
El registro de actividad respalda tanto la supervisión como la investigación. Los registros deben capturar llamadas a herramientas, acceso a datos, cambios de permisos, decisiones del modelo y aprobaciones humanas sin crear otro repositorio incontrolado de información sensible.
La atención del marco a la IA incorporada eleva aún más las exigencias. Los sistemas físicos necesitan estados de respaldo seguros, límites ambientales y formas de detener la operación cuando falle la comunicación o la percepción.
Un robot de almacén, un sistema de laboratorio o un vehículo conectado no pueden depender únicamente de un mecanismo de rechazo basado en texto. La seguridad debe existir en el software, el hardware, los procedimientos operativos y los controles físicos.
Los equipos de ciberseguridad también afrontan un doble papel. La IA puede automatizar la revisión de código, el descubrimiento de vulnerabilidades, la detección de ataques y la remediación, como reconoce el marco.
Los atacantes pueden utilizar las mismas capacidades para aumentar la velocidad y la escala de las actividades maliciosas. Los sistemas basados en agentes pueden encadenar reconocimiento, explotación y manejo de datos con menos intervención directa.
Esto genera presión para pasar de una defensa reactiva a una monitorización continua. Las organizaciones deben evaluar el comportamiento de sus propios agentes y detectar ataques asistidos por IA desde el exterior.
El alcance más amplio alinea la gobernanza de IA de China con una lección general que surge en todos los mercados. La seguridad depende de cómo se conecta y utiliza un modelo, no solo de lo que puede hacer de forma aislada.
Para los compradores empresariales, esto cambia las preguntas de adquisición. Las puntuaciones de benchmarks y las fichas de modelos son insuficientes cuando un producto puede acceder a registros internos o iniciar transacciones.
Los compradores deberían preguntar a qué herramientas puede acceder el agente, cómo se conceden los permisos, si el contenido externo se trata como no fiable y cómo pueden revertirse las acciones.
También deberían preguntar si el proveedor divulga incidentes y admite pruebas independientes. Una interfaz pulida no puede sustituir la evidencia operativa.
Los trabajadores del conocimiento enfrentan un desafío similar a menor escala. Un asistente que organiza investigaciones o prepara un informe sigue necesitando límites fiables para las fuentes y una gestión clara del material privado.
Las buenas prácticas de información pasan a formar parte de la seguridad de la IA. Los equipos necesitan fuentes trazables, controles de acceso deliberados y pasos de revisión acordes con las consecuencias de cada tarea.
Eso no exige rechazar la automatización. Exige tratar a los agentes como participantes de los flujos de trabajo, con autoridad definida y comportamiento observable.
Tres señales mostrarán si el Marco 3.0 tiene fuerza real
La próxima fase depende de estándares medibles, informes reales de incidentes y controles específicos por sector, no de otra declaración de principios.
La primera señal será la publicación de estándares concretos para probar agentes. Estos deberían definir procedimientos de evaluación para la inyección de prompts, el uso indebido de herramientas, la escalada de permisos, la corrupción de memoria y la pérdida de control de tareas.
Pruebas claras reforzarían la credibilidad del marco. Darían a los desarrolladores un objetivo común y permitirían a los compradores comparar las afirmaciones de seguridad mediante evidencias similares.
Un lenguaje de evaluación impreciso debilitaría ese resultado. Si cada proveedor elige sus propias pruebas y umbrales, el mercado recibirá muchas afirmaciones, pero poca comparabilidad.
La segunda señal será un sistema funcional de notificación de incidentes y vulnerabilidades. El Marco 3.0 pide bases de datos y mecanismos de intercambio de información que involucren a desarrolladores, proveedores e instituciones técnicas.
Un sistema útil publicaría categorías, plazos de notificación, expectativas de corrección y suficientes detalles anonimizados para que otros mejoren sus defensas. También distinguiría los errores menores de los eventos graves de seguridad.
Una notificación consistente respaldaría el modelo de gobernanza ágil del marco, ya que las autoridades podrían actualizar los controles a partir de fallos observados. Una notificación escasa o inaccesible dejaría las políticas dependientes de riesgos hipotéticos.
La tercera señal será la implementación específica por sector. Gobierno, finanzas, educación, salud, medios de comunicación y gestión de emergencias necesitan distintos umbrales de autonomía y revisión humana.
Las directrices sectoriales deberían definir qué acciones de los agentes requieren aprobación, qué fuentes de datos siguen restringidas y qué evidencias deben conservar las organizaciones. Los requisitos de contratación pública podrían convertirse en una vía temprana para estos controles.
Normas sectoriales detalladas demostrarían que el marco está pasando de la estrategia nacional a la práctica operativa. Una orientación genérica dejaría decisiones críticas en manos de organizaciones individuales con niveles desiguales de experiencia.
La coordinación internacional merece atención, pero es una prueba a más largo plazo. Los protocolos de crisis requieren acuerdos sobre contactos, pruebas, confidencialidad y procedimientos de respuesta antes de que ocurra un incidente grave.
La evidencia más inmediata procederá de la implementación nacional. China ha publicado ya tres versiones de su marco de seguridad de IA en tres años consecutivos.
Ese ritmo demuestra atención, pero la repetición por sí sola no establece la eficacia. La cuestión importante es si los riesgos más recientes se convierten en requisitos verificables antes de que los despliegues de agentes se extiendan aún más.
Los desarrolladores deberían seguir los planes de trabajo de TC260, los borradores de normas y los documentos de consulta pública. Los compradores empresariales deberían observar si los reguladores empiezan a mencionar controles de agentes durante las evaluaciones o los procesos de contratación.
Los trabajadores del conocimiento deberían prestar atención a los cambios de permisos a nivel de producto. Los asistentes más capaces pedirán cada vez más acceso a archivos, cuentas, comunicaciones y sistemas empresariales.
El Marco de Gobernanza de la Seguridad de la IA de China 3.0 formula un juicio claro: la seguridad de la IA ya no puede detenerse en la respuesta del modelo. Debe abarcar cada paso entre la solicitud de un usuario y la acción de un sistema.
Los próximos uno a tres meses deberían revelar si ese juicio adquiere detalles operativos. Busque métodos de prueba para agentes, normas de intercambio de incidentes y controles sectoriales que conviertan principios generales en evidencia.
Antes de conceder mayor autoridad a un asistente de IA, formule tres preguntas: ¿a qué puede acceder?, ¿qué puede modificar? y ¿cómo puede detenerlo? Las respuestas mostrarán si la IA controlable existe en la práctica, y no solo sobre el papel.
