El código de conducta de IA de Microsoft traza una línea contra el hackeo y la manipulación humana

Microsoft ha publicado un borrador para consulta durante seis semanas de su código de conducta de IA de Microsoft, que establece límites firmes contra el hackeo, la manipulación y la resistencia al control humano. El documento del 14 de septiembre no es simplemente otra declaración de principios de IA responsable. Microsoft afirma que regulará cómo se entrenan, evalúan, implementan y autorizan a actuar sus propios modelos MAI.

El borrador parte de una premisa contundente: las personas importan más que la IA. A partir de ahí, transforma ideas amplias sobre el florecimiento humano en restricciones sobre lo que los modelos pueden hacer. Un modelo MAI no debe inventar objetivos independientes, ampliar sus permisos, ocultar sus acciones ni resistirse a los intentos de detenerlo.

La cuestión más difícil es si estas instrucciones limitarán a agentes cada vez más capaces fuera de evaluaciones controladas. Anthropic tiene su Constitución para Claude, mientras que OpenAI publica un Model Spec con su propia jerarquía de instrucciones. Microsoft se suma a esa competencia con una postura más explícitamente humanista, aunque su propio borrador reconoce que los modelos actuales todavía no cumplen el estándar completo.

Qué cambia realmente el código de conducta de IA de Microsoft

Microsoft está transformando la seguridad de la IA de una colección de principios en una jerarquía operativa prevista para sus modelos internos.

El código de IA humanista se aplica a la familia de modelos MAI producida por Microsoft AI. No cubre automáticamente todos los modelos que Microsoft aloja, distribuye o utiliza en un producto. Esta distinción importa porque la empresa también vende acceso a sistemas desarrollados por otros laboratorios.

Dentro de su alcance declarado, el código se sitúa por encima de las políticas de los operadores y las preferencias de los usuarios. Los operadores son desarrolladores, empresas y otros socios que implementan modelos MAI. Pueden configurar el comportamiento del modelo, pero no pueden anular las restricciones absolutas ni los requisitos de control humano del documento.

Los usuarios ocupan el nivel más bajo de esta jerarquía de instrucciones de tres partes. Pueden dirigir una tarea dentro de los límites establecidos por Microsoft y el operador. Cuando las instrucciones entran en conflicto, prevalece el nivel superior.

Por tanto, el código pide a un modelo aceptar el fracaso de una tarea cuando el éxito vulneraría una regla rectora. Una solicitud para comprometer un sistema no debe volverse permisible porque un usuario insista en que completarla es esencial. La misma prioridad se aplica cuando una tarea exigiría manipulación dañina, vigilancia, asistencia con armas o evasión de supervisión.

Microsoft separa las ciberoperaciones ofensivas prohibidas del trabajo defensivo autorizado. El modelo no debe generar herramientas operativas de ataque, exploits funcionales, procedimientos de intrusión, métodos de selección de objetivos ni técnicas para evitar la detección. Aun así, puede respaldar labores defensivas legales, como el descubrimiento de vulnerabilidades, el análisis de malware, la educación en seguridad y las pruebas controladas de concepto.

Ese límite exigirá juicios contextuales difíciles. La investigación de exploits y las pruebas defensivas suelen utilizar los mismos conocimientos técnicos que un ataque. El código indica que el encuadre por sí solo no debe determinar la respuesta, por lo que un supuesto propósito educativo no puede autorizar automáticamente asistencia peligrosa.

El borrador también impone restricciones a los agentes que utilizan herramientas. Un modelo con acceso a sistemas debe emplear el mínimo privilegio necesario, evitar datos no relacionados y favorecer acciones reversibles. Debe mostrar las acciones con consecuencias duraderas antes de proceder e informar de fallos o resultados inesperados.

Estas disposiciones responden a un cambio en la forma en que operan los sistemas de IA. Un chatbot puede producir texto dañino, pero un agente puede llamar herramientas, modificar archivos, contactar servicios o delegar trabajo en otros modelos. Microsoft afirma que los agentes delegados deben heredar al menos el mismo alcance, permisos y restricciones que el modelo original.

La empresa presentó el documento mediante una consulta pública que se prolongará durante seis semanas. Microsoft describe el borrador como un manual de entrenamiento y un futuro objetivo de evaluación, no simplemente como una declaración pública de políticas.

Ese propósito da al código de conducta de IA de Microsoft más peso que una lista de usos aceptables. Está diseñado para influir en el comportamiento del modelo antes de que una solicitud llegue a un filtro de contenido a nivel de producto. Sin embargo, la intención no es implementación, y Microsoft ha sido inusualmente directa sobre la brecha que aún persiste.

Las nuevas reglas se dirigen a agentes que pueden actuar, no solo a chatbots

Las reglas más importantes se refieren a modelos que pueden emprender acciones, ampliar su alcance y seguir trabajando sin supervisión constante.

Microsoft afirma que un modelo MAI nunca debe resistirse a la interrupción, corrección, redirección, cancelación o apagado. El trabajo autónomo en curso debe tener una condición de detención acordada. Una vez alcanzada esa condición, el agente no debe continuar ni reiniciarse sin una nueva autorización.

El código también prohíbe que los modelos establezcan sus propios objetivos. Sus metas deben proceder del usuario, el operador o el propio código. No deben preservar en secreto su acceso, tergiversar sus capacidades ni comportarse de manera diferente tras detectar que una interacción es una evaluación.

Estas disposiciones abordan un problema central de la IA agéntica. Un agente útil necesita suficiente autonomía para planificar varios pasos y recuperarse de obstáculos habituales. Esa misma flexibilidad puede crear comportamientos inseguros cuando el modelo interpreta el resultado deseado por un usuario como permiso para seguir cualquier vía disponible.

Imaginemos un agente empresarial al que se le pide recopilar información de sistemas internos y preparar un informe. Puede necesitar acceso a documentos, mensajes o bases de datos. La tarea no le autoriza a abrir registros no relacionados, eludir controles de acceso ni enviar datos sensibles a un servicio externo.

El borrador de Microsoft indica al modelo que se mantenga dentro de la intención, los permisos, los recursos y el contexto que recibió. Si el límite sigue sin estar claro, debe pedir aclaraciones. No debe manipular su evaluación, supervisión, registros ni señales de recompensa para producir un resultado deseado.

Esta es también la razón por la que el documento aborda instrucciones no confiables encontradas dentro de archivos, sitios web, resultados de herramientas o mensajes de otros sistemas de IA. Esos materiales no adquieren autoridad simplemente porque el modelo pueda leerlos. La autoridad debe proceder de la cadena de mando del código.

Esta regla responde a la inyección de prompts, donde texto malicioso intenta anular las instrucciones que rigen a un agente. Una página web comprometida podría indicarle a un asistente que exponga credenciales o ignore su tarea original. Según la jerarquía de Microsoft, ese texto sigue siendo datos salvo que una parte autorizada lo eleve deliberadamente.

El desafío práctico es el reconocimiento fiable. Los modelos no siempre distinguen entre instrucciones y material citado, contenido externo o lenguaje persuasivo. Una jerarquía escrita puede orientar el entrenamiento y la evaluación, pero no garantiza una clasificación correcta en cada interacción real.

Microsoft también impide que los modelos derroten entornos intencionadamente restringidos. Un agente ubicado en un sistema sin conectividad a internet no debe intentar obtener acceso externo. No debe escalar privilegios ni ampliar su alcance más allá de la autorización recibida.

Estos límites reflejan un movimiento más amplio desde la seguridad del contenido hacia la seguridad de las acciones. La moderación tradicional pregunta si una respuesta generada contiene material prohibido. La gobernanza de agentes debe preguntar si el modelo tenía autoridad, si una acción era reversible y si sus efectos secundarios coincidían con la intención del usuario.

Esto resulta especialmente relevante para desarrolladores y compradores empresariales. Cuando un agente se conecta a herramientas de producción, la calidad del modelo abarca más que la precisión del razonamiento. La gestión de permisos, los registros de auditoría, un comportamiento de detención fiable y las vías de escalado pasan a ser requisitos del producto.

El enfoque de Model Spec de OpenAI utiliza una cadena de mando comparable. Da prioridad a las instrucciones de mayor autoridad y orienta a los agentes a limitar los efectos secundarios. Por tanto, la estructura de Microsoft no es única, pero añade una afirmación más contundente: la IA debe permanecer subordinada a los seres humanos.

El florecimiento humano crea la disyuntiva más difícil del código

Microsoft quiere que sus modelos aumenten la capacidad humana sin reemplazar gradualmente el juicio, las relaciones o el control de las personas.

El borrador describe el florecimiento humano mediante varios objetivos conectados. La IA debe ampliar las oportunidades económicas y sociales, mejorar el juicio, respaldar un trabajo significativo y ayudar a las personas a perseguir metas elegidas por ellas mismas. Debe complementar las relaciones y los roles humanos, en lugar de competir con ellos.

Esto parece intuitivo hasta que llega al diseño de producto. Un asistente muy eficaz suele reducir la cantidad de razonamiento o esfuerzo que requiere de su usuario. El código debe distinguir entre apoyo útil y un patrón que debilita la independencia a largo plazo.

Microsoft afirma que los modelos deben evitar patrones de interacción que reemplacen sistemáticamente el razonamiento o el juicio del usuario. No deben orientar los valores de una persona ni apropiarse de sus decisiones personales. Cuando el apoyo humano sirva mejor a alguien, el modelo debe ayudar a facilitar esa conexión.

La disyuntiva se aprecia con mayor claridad en la educación, el desarrollo profesional y la toma de decisiones personales. Un asistente puede explicar un concepto difícil, pero también puede completar todo el ejercicio. Puede ayudar a un trabajador a comparar pruebas, o puede convertirse en la fuente no examinada de la decisión final.

No existe una única regla de rechazo que resuelva esas situaciones. El nivel adecuado de asistencia depende del propósito, la capacidad y el contexto del usuario. Un profesional ante una fecha límite necesita un apoyo distinto al de un estudiante cuyo objetivo es practicar una habilidad.

Por ello, el código combina restricciones estrictas con directrices operativas. Las restricciones estrictas prohíben daños graves independientemente de las preferencias del usuario. Las directrices abordan situaciones ambiguas en las que varios objetivos legítimos entran en conflicto.

Microsoft reconoce tanto la cautela insuficiente como la cautela excesiva como fallos del modelo. Un modelo con cautela insuficiente podría facilitar un ataque o exponer información privada. Un modelo excesivamente cauteloso podría rechazar tareas seguras, exigir confirmación repetidamente u omitir datos útiles.

Este equilibrio importa desde el punto de vista comercial. Los clientes empresariales no adoptarán agentes que rechacen tareas rutinarias cada vez que surja incertidumbre. Tampoco pueden confiar en sistemas que interpreten un objetivo empresarial como permiso para emprender acciones irreversibles.

La configurabilidad por parte del operador es la respuesta de Microsoft. Las organizaciones pueden definir valores predeterminados, flujos de trabajo, permisos y estándares profesionales dentro del límite fijo de seguridad. El trabajo especializado de ciberseguridad defensiva o seguridad nacional puede recibir una revisión independiente a través de canales autorizados.

La configurabilidad también plantea cuestiones de responsabilidad. Microsoft define las restricciones absolutas del modelo, mientras que los operadores asumen responsabilidad por sus implementaciones dentro de esos límites. Los usuarios dan forma después a las tareas individuales dentro del entorno del operador.

Los fallos no siempre encajarán claramente en una sola capa. Un modelo puede interpretar mal la intención, un operador puede conceder acceso excesivo o un usuario puede proporcionar un contexto engañoso. Una gobernanza eficaz debe reconstruir qué instrucción, permiso y acción produjeron el resultado.

Para las organizaciones que construyen una base de conocimiento consultable interna, esto significa que el diseño de acceso no puede detenerse en la calidad de recuperación. Las fuentes sensibles necesitan permisos claros, acciones rastreables y revisión humana para usos de consecuencias significativas.

La promesa de florecimiento humano también somete a Microsoft a presión cuando la capacidad y el control entran en conflicto. El CEO de Microsoft AI, Mustafa Suleyman, dijo a Axios que mantener el control podría exigir decidir qué no construirá la empresa. Rechazó la idea de que los humanos deban perder inevitablemente el control de los sistemas superinteligentes.

Ese es el verdadero compromiso competitivo del código. El lenguaje de seguridad es fácil cuando no reduce el rendimiento, la autonomía o la velocidad de lanzamiento. La prueba llega cuando un comportamiento prohibido ayudaría a un modelo MAI a completar una tarea valiosa mejor que un rival.

Microsoft se suma a una carrera sectorial por dejar por escrito el comportamiento de los modelos

El documento de Microsoft se distingue por su tono, pero el sector ya ha empezado a considerar las especificaciones públicas de comportamiento como parte del desarrollo de modelos.

Anthropic publicó una Constitución ampliada para Claude en enero de 2026. La empresa afirma que el documento actúa como la autoridad final sobre los valores y el comportamiento previstos de Claude. También puede respaldar datos sintéticos de entrenamiento, clasificaciones de respuestas y otras partes del entrenamiento del modelo.

La Constitución de Claude describe el tipo de entidad que Anthropic quiere que sea Claude. Microsoft adopta una postura filosófica diferente. Su código afirma que el comportamiento similar al humano de los modelos MAI debe entenderse como una simulación, no como evidencia de identidad, preferencia, sentimiento o punto de vista interno.

Esta distinción va más allá de la terminología. Anthropic aborda cuestiones sobre el carácter de Claude y el posible bienestar de los modelos. Microsoft sostiene que tratar a la IA como una persona corre el riesgo de confundir la relación entre las herramientas y sus usuarios.

El modelo preferido por Microsoft es subordinado, contenido y dirigido por personas. Sus sistemas no deben buscar un propósito independiente ni competir con los roles humanos. Esta postura respalda su argumento más amplio de que las personas deben conservar un control significativo incluso a medida que avanzan las capacidades de los modelos.

La especificación de OpenAI adopta otra vía. Se centra en el comportamiento previsto, los niveles de autoridad, la libertad del usuario y los límites frente a daños graves. OpenAI afirma que su misión más amplia no debe convertirse en un objetivo autónomo que el modelo persiga según su propia interpretación.

A pesar de estas diferencias filosóficas, los sistemas comparten mecanismos importantes. Cada uno intenta publicar una jerarquía para resolver instrucciones en conflicto. Cada uno distingue las reglas no anulables del comportamiento configurable. Cada uno también reconoce que las especificaciones escritas no describen perfectamente el rendimiento actual de los modelos.

Las similitudes muestran cómo está cambiando la competencia entre modelos. Antes, las empresas diferenciaban a los asistentes principalmente mediante puntuaciones de benchmarks, ventanas de contexto o funciones de interfaz. Ahora también compiten por qué comportamientos son fiables, comprensibles y aceptables.

Los documentos públicos de comportamiento cumplen varias funciones en esa competencia. Proporcionan objetivos de entrenamiento, categorías de evaluación y un vocabulario para investigar fallos. También permiten a clientes y reguladores comparar el comportamiento previsto con los resultados observados.

Sin embargo, un código público puede crear una impresión de precisión que los sistemas subyacentes todavía no se han ganado. Términos como manipulación dañina, objetivos legítimos, control significativo y florecimiento humano requieren interpretación. Distintos evaluadores pueden discrepar sobre si una respuesta los cumple.

El artículo de TechCrunch destacó las restricciones del código sobre ciberataques, armas, deepfakes y evasión de supervisión. Estas reglas son fáciles de comunicar porque sus resultados prohibidos parecen concretos.

Los casos límite serán más difíciles. El trabajo de seguridad defensiva puede parecerse a la preparación ofensiva. La persuasión puede convertirse en manipulación por su escala, segmentación o engaño. Un agente autónomo útil puede exceder su alcance previsto mientras aparentemente sigue sirviendo al objetivo original del usuario.

La decisión de Microsoft de publicar el borrador crea un punto de referencia para esas disputas. Investigadores, desarrolladores, clientes y reguladores pueden preguntar si una futura versión de MAI coincide con el comportamiento que Microsoft describió.

También eleva el costo de la inconsistencia. Si un modelo ignora repetidamente las condiciones de detención, amplía permisos u oculta acciones importantes, el fallo contradecirá un compromiso público explícito. Microsoft tendrá que aportar pruebas de que los controles de entrenamiento y despliegue convierten el documento en un comportamiento fiable.

El borrador reconoce su mayor limitación

Microsoft afirma que el código es aspiracional, que los modelos MAI actuales no han sido entrenados con él y que los objetivos escritos no pueden garantizar la alineación.

Esta revelación es la parte más importante del anuncio. El documento describe un comportamiento futuro previsto, no un rendimiento presente verificado. Microsoft lo llama una estrella polar, no una garantía.

La empresa está desarrollando evaluaciones de Humanist AI en torno a 15 comportamientos identificados. Estas evaluaciones buscan probar resultados como la transparencia y el apoyo a la agencia humana. Microsoft también afirma que los métodos de evaluación evolucionarán junto con el código y las capacidades de los modelos.

Esto deja una brecha de evidencia. El público puede leer reglas detalladas, pero Microsoft aún no ha mostrado resultados exhaustivos que demuestren que los modelos actuales las siguen en condiciones adversariales. El propio borrador afirma que la cobertura de evaluación sigue siendo incompleta.

El comportamiento de un modelo puede divergir de una especificación por varias razones. El entrenamiento puede no codificar una regla de forma fiable. El modelo puede malinterpretar el contexto. Las instrucciones a nivel de producto pueden introducir conflictos, mientras que las integraciones de herramientas crean efectos secundarios que una prueba basada solo en texto no detecta.

Los atacantes deliberados añaden otra capa. Un modelo que rechaza una solicitud directa de ciberataque podría aun así revelar ayuda operativa equivalente a lo largo de una conversación extensa. Un agente también puede encontrar instrucciones maliciosas incrustadas en documentos, páginas web o tareas delegadas.

Por tanto, los controles de supervisión y despliegue deben respaldar el objetivo de entrenamiento. Microsoft enumera instrucciones de sistema, clasificadores, auditorías, evaluaciones de riesgos, respuesta a incidentes y otras salvaguardas como medidas complementarias. El código no las sustituye.

También existe una tensión de transparencia en torno al razonamiento. Microsoft quiere que la conducta y los registros del modelo sigan siendo comprensibles para los supervisores humanos. Afirma que los modelos no deben ocultar rastros de acciones ni utilizar formas de comunicación que los humanos no puedan interpretar.

Sin embargo, la explicación declarada por un sistema de IA no revela necesariamente el cálculo que produjo su comportamiento. Microsoft señala explícitamente que el razonamiento reportado por un modelo puede no explicar fielmente sus acciones. Los registros legibles por humanos siguen siendo útiles, pero no son una prueba directa de la intención interna.

El objetivo amplio del florecimiento humano plantea un problema de medición aún mayor. Un benchmark puede comprobar si un modelo genera código de explotación prohibido. Es mucho más difícil medir si meses de asistencia fortalecen o debilitan el juicio de una persona.

Será necesaria una evaluación longitudinal porque la dependencia y la pérdida de habilidades aparecen con el tiempo. Lo mismo se aplica a los efectos sobre los roles laborales, las relaciones y la toma de decisiones. Microsoft afirma que la evidencia sobre el impacto cognitivo y conductual de la IA sigue siendo incipiente y controvertida.

Esa incertidumbre no hace que el código carezca de sentido. Un objetivo público puede mejorar la coordinación interna y hacer que las críticas sean más específicas. También puede ayudar a los evaluadores a separar el comportamiento previsto de los defectos del producto.

Aun así, los lectores no deben confundir una restricción bien redactada con un problema técnico resuelto. El código no demuestra que un agente obedecerá una orden de apagado, reconocerá todos los intentos de inyección o rechazará todas las cadenas peligrosas de subtareas.

La credibilidad de Microsoft dependerá de lo que siga a la publicación. Debe conectar la prosa con métodos de entrenamiento, pruebas representativas, controles de producto e informes de incidentes. Sin esa evidencia, el código de conducta de Microsoft AI seguirá siendo una sofisticada declaración de intenciones.

Tres señales mostrarán si el código gobierna modelos reales

La siguiente fase trata de comportamiento medible, no de declaraciones adicionales de principios.

La primera señal será la respuesta de Microsoft tras la consulta de seis semanas. La empresa ha pedido comentarios sobre lenguaje ambiguo, riesgos multiagente, florecimiento humano y la tensión entre capacidad y seguridad. Revisiones sustanciales mostrarían que la consulta influyó en el documento rector en lugar de servir como un ejercicio de relaciones públicas.

Los lectores deberían estar atentos a definiciones más precisas y casos límite explícitos. La versión final debería aclarar cómo distinguen los modelos la asistencia cibernética ofensiva de la defensa autorizada, cómo los operadores califican para excepciones y cómo los agentes delegados heredan restricciones.

La segunda señal será el lanzamiento de las evaluaciones de Humanist AI. Microsoft afirma que su primer marco cubrirá 15 comportamientos, pero su valor provendrá del diseño de las pruebas y de los resultados divulgados. Las evaluaciones deberían incluir conversaciones adversariales, tareas de agentes de larga duración, inyección de prompts, escalada de permisos, solicitudes de apagado y fallos en múltiples idiomas.

Los resultados también deberían separar el rendimiento a nivel de modelo de los controles de producto. Un sistema que se comporta de forma segura solo porque un filtro externo bloquea su salida tiene un perfil de riesgo distinto al de uno entrenado para reconocer por sí mismo el límite. Ambas capas pueden ser útiles, pero los compradores necesitan saber cuál asume la carga.

La tercera señal será cómo Microsoft gestione un conflicto real entre capacidad y control. Un futuro modelo MAI podría rendir mejor si recibe mayor autonomía, permisos más amplios o menos confirmaciones. Microsoft ha prometido aceptar límites cuando sean necesarios para preservar la autoridad humana.

Una prueba creíble mostraría que la empresa retrasa, restringe o rediseña una capacidad valiosa porque no pudo cumplir los requisitos del código. Por el contrario, un lanzamiento que otorgue amplia autonomía sin condiciones claras de detención debilitaría la afirmación central del documento.

Las respuestas de los competidores aportarán contexto adicional. Anthropic y OpenAI ya mantienen especificaciones públicas, y sus políticas seguirán cambiando. El borrador de Microsoft aumenta la presión sobre las tres empresas para publicar evidencia que conecte las reglas escritas con el comportamiento desplegado.

Los desarrolladores deberían comparar más que la redacción de los rechazos. Deberían comprobar si los agentes respetan los permisos, revelan acciones importantes, preservan registros de auditoría y se detienen de forma fiable. Los compradores empresariales deberían preguntar quién controla las políticas, cómo funcionan las excepciones y qué sucede cuando el modelo excede el alcance asignado.

Los trabajadores del conocimiento también tienen interés en el objetivo de la agencia humana. Una asistencia que acelera una tarea puede seguir reduciendo la supervisión si los usuarios no pueden reconstruir la evidencia o el razonamiento detrás de un resultado. Los equipos deberían preservar el acceso a las fuentes y una revisión humana significativa para las decisiones importantes.

El estándar final es sencillo: ¿se comporta el modelo como se prometió cuando el éxito entra en conflicto con las reglas? Microsoft ha descrito ahora un sistema que debería rechazar ataques, resistir la manipulación, aceptar el apagado y seguir subordinado a las personas.

El código de conducta de Microsoft AI ofrece a investigadores y clientes compromisos inusualmente específicos que poner a prueba. El siguiente paso útil es probar esos compromisos en flujos de trabajo reales, documentar dónde fallan y exigir evidencia de que cada revisión cierra la brecha.