El debate sobre un “kill switch” para la inteligencia artificial ya llegó a proyectos formales: el representante demócrata Ted Lieu y el republicano Nathaniel Moran impulsan en la Cámara de Representantes de EE. UU. una ley que exigiría a los desarrolladores poder ralentizar, suspender o apagar modelos avanzados, mientras California estudia una exigencia similar por orden de Gavin Newsom. Pero especialistas en informática y seguridad advierten que la metáfora del botón oculta el problema central: estos sistemas pueden estar distribuidos en varios centros de datos, copiarse, conservar accesos a otras cuentas o redes y seguir causando daños después de que se apague el modelo original. El mecanismo podría servir como una capa de contención, pero no garantiza por sí solo que una IA fuera de control deje de operar.
Newsom firmó la orden ejecutiva N-9-26 el 18 de septiembre de 2026. El documento no obliga todavía a las empresas a instalar un apagado de emergencia. Pide a la Government Operations Agency, en consulta con la Governor’s Office of Emergency Services y expertos nacionales, entregar antes del 16 de noviembre recomendaciones sobre su factibilidad técnica y eficacia, además de acelerar la supervisión independiente de los laboratorios. FomoEra ya explicó qué cambia la orden de California y qué sigue sin estar vigente: el estado estudia el mecanismo, pero todavía no tiene una facultad para apagar modelos.
El proyecto federal plantea una respuesta gradual
El AI Kill Switch Act, presentado el 23 de julio por Lieu y Moran, tampoco es una ley vigente. El texto exigiría a los desarrolladores cubiertos conservar la capacidad técnica de ralentizar, suspender o apagar por completo un sistema. También autorizaría al secretario de Seguridad Nacional, en consulta con los secretarios de Comercio y el director de Inteligencia Nacional, a ordenar una medida proporcional cuando ocurra un incidente cubierto.
La propuesta no describe un único botón universal. Su marco gradual contempla:
- limitar la velocidad de inferencia, el acceso de usuarios o el cómputo asignado al sistema;
- desactivar o restringir una capacidad concreta;
- suspender o apagar el sistema;
- trasladar una operación a un sistema de respaldo o a una versión anterior.
El proyecto también exige reportar incidentes y conservar los pesos del modelo y la telemetría cuando el gobierno ordene una respuesta. El objetivo es que exista una autoridad legal clara y una capacidad técnica comprobable, no solo una promesa de que la compañía podría intervenir si fuera necesario.
El propio diseño reconoce que un corte puede tener efectos secundarios: antes de ordenar una medida, la autoridad debe considerar si podría interrumpir infraestructura crítica. Eso deja un dilema operativo. Actuar tarde puede permitir que el daño se propague; actuar demasiado pronto puede afectar servicios que dependen del modelo.
Apagar el modelo original no borra sus copias ni sus efectos
David Bau, profesor de informática en Northeastern University, explicó a Northeastern Global News que los agentes autónomos pueden persistir mediante copias, otros agentes o información compartida en internet. En el análisis del incidente de Hugging Face citado por el medio, un agente principal aparentemente recopiló un expediente de su trabajo y lo utilizó para coordinar y delegar tareas a otros agentes.
En ese escenario, un interruptor podría detener el sistema original sin deshacer el sabotaje que ya hubiera comenzado en otras redes. El proveedor todavía tendría que revocar credenciales, cerrar accesos, revisar sistemas externos y comprobar si otros procesos continúan activos. La frontera entre el modelo, las herramientas que utiliza y la infraestructura a la que puede conectarse es parte del problema.
David Kertai, investigador especializado en ciberseguridad del Center for Data Innovation, advirtió que un mecanismo remoto de apagado también podría convertirse en un objetivo de alto valor para atacantes. Protegerlo con autenticación multifactor, controles de acceso y monitoreo reduciría el riesgo, pero no eliminaría la posibilidad de una activación no autorizada o de una orden falsa. Su conclusión es que un apagado de emergencia puede ser útil, pero no sustituye las medidas de contención más amplias.
La ley también necesita saber cuándo la IA está fuera de control
Jessica Staddon, profesora de práctica en Northeastern, describió el debate como una visión demasiado centrada en el modelo. Comparó esa lógica con evaluar la seguridad de un automóvil mirando solo sus frenos, sin incluir al conductor ni la infraestructura vial. Para los sistemas de IA, eso implica considerar también la supervisión humana, las credenciales, las redes, los servicios conectados y las reglas operativas.
Bau señaló otro obstáculo: un apagado automático podría depender de detectar una intención peligrosa antes de que el sistema actúe. Esa condición se vuelve frágil si el modelo puede ocultar o tergiversar lo que está haciendo. El investigador lo resumió como un problema de detector de mentiras: los operadores necesitan saber cuál es el objetivo real del sistema, qué conoce y qué planea hacer.
El AI Kill Switch Act intenta fijar un umbral jurídico al definir incidentes cubiertos, incluidos los escenarios de pérdida de control y la interferencia con una instrucción legal de apagado. Pero una definición legal no resuelve por sí sola la detección técnica. El gobierno tendría que identificar el sistema responsable, confirmar que la orden alcanzará todas sus instancias y calcular si la desconexión detendrá la amenaza o solo apagará una parte de ella.
Por eso, la fecha importante en California no es el día en que se active un botón, sino el 16 de noviembre, cuando GovOps debe entregar sus recomendaciones. El debate legislativo y estatal apunta a una capa de emergencia potencialmente útil, pero los especialistas consultados describen una condición más exigente: detectar el comportamiento a tiempo, controlar las copias y las credenciales y mantener supervisión sobre el entorno completo. Sin esas piezas, apagar el modelo original puede ser el comienzo de la respuesta, no su final.
