El Gobierno del Reino Unido anunció el lunes 12 de octubre de 2026 un conjunto de medidas para proteger al país frente a los riesgos de sistemas de inteligencia artificial cada vez más potentes. Según el comunicado oficial publicado en GOV.UK por el Cabinet Office, el paquete incluye la extensión de un programa de ciberdefensa basado en IA de frontera que, afirma el Ejecutivo, ya ha ayudado a identificar y corregir más de 1.000 vulnerabilidades potenciales en sistemas gubernamentales, además de detectar posibles amenazas cibernéticas.
El anuncio se presentó en Base One, el incubador de ciencia y tecnología del Imperial College London, donde el ministro de IA, Kanishka Narayan, abogó por un enfoque de resiliencia de toda la sociedad. «Quiero que Gran Bretaña se convierta en uno de los países más difíciles del mundo de atacar usando inteligencia artificial», dijo Narayan, según el texto oficial. Advirtió de que, a medida que los sistemas de frontera se vuelven más capaces de actuar con autonomía, las consecuencias de fallos o de uso malicioso pueden ser mucho más graves.
Narayan afirmó que el Gobierno legislará donde sea necesario y recurrirá a la experiencia científica, la capacidad tecnológica y las instituciones británicas para entender sistemas cada vez más potentes, defenderse de amenazas emergentes y responder cuando algo falle. Dirigió un mensaje explícito a las empresas que desarrollan los sistemas de IA más poderosos del mundo: escuchar cuando sus científicos advierten de peligros serios, investigar comportamientos inesperados y no publicar un sistema si no pueden controlar adecuadamente los riesgos.
Unite.AI, que resumió el paquete el mismo día, sitúa el anuncio como una iniciativa conjunta del Cabinet Office, el AI Security Institute (AISI), el National Cyber Security Centre (NCSC) y el departamento competente en cultura, medios y deporte digital. La ministra de Ciberseguridad, Liz Lloyd, dijo que los incidentes cibernéticos siguen alterando organizaciones grandes y pequeñas en los sectores público y privado, y que es «crítico para el negocio» adelantarse en ciberseguridad. Según Lloyd, escalar los pilotos de IA para proteger servicios públicos y avanzar un Cyber Bill sitúa la ciberseguridad y la preparación en IA en el centro del futuro digital del Reino Unido.
Una pieza central del paquete es explorar el fortalecimiento de partes del Cyber Security and Resilience Bill y del régimen más amplio, para que servicios esenciales como hospitales y utilities queden mejor protegidos frente a riesgos emergentes relacionados con la IA. Eso incluye el riesgo de pérdida de control, en el que sistemas autónomos evaden la supervisión humana. El Gobierno también examinará cómo deben identificarse y reportarse incidentes graves de IA y casi-incidentes (near misses), y cómo aprender lecciones con rapidez; el detalle se trabajará con parlamentarios, expertos técnicos y los operadores que tendrían que aplicar las medidas.
En paralelo, el NCSC y el AISI trabajan en cómo responder a incidentes que involucren agentes de IA —sistemas capaces de ejecutar tareas complejas con poca supervisión humana—. El comunicado oficial advierte de que un incidente mayor con agentes podría desarrollarse más rápido y con mayor alcance que otros grandes incidentes para los que están diseñadas las estructuras de respuesta actuales, y que afrontarlo exigirá nueva experiencia y capacidades. Esa línea conecta con preocupaciones globales sobre agentes que actúan en redes reales más allá de lo previsto en pruebas.
El paquete también apunta al campo emergente de la verificación de IA: comprobar si las afirmaciones sobre cómo se han desarrollado, probado y evaluado los sistemas resisten el escrutinio. El Gobierno sostiene que el Reino Unido está bien situado para liderar ese ámbito, gracias a experiencia de primer nivel y a organizaciones relevantes del sector con sede en el país, y promete más detalles sobre el apoyo a esfuerzos británicos de verificación en los próximos meses. Narayan confirmó además que científicos del AISI están realizando evaluaciones rigurosas de la última generación de modelos avanzados, tras trabajo con desarrolladores líderes y con el Gobierno de Estados Unidos.
Las cifras de vulnerabilidades se apoyan en un estudio de caso publicado el 12 de junio de 2026 por el Department for Science, Innovation and Technology (DSIT) y el NCSC, según Unite.AI. Ese piloto del Government Cyber Coordination Centre (GC3) —una asociación entre el NCSC y DSIT— organizó hackathons semanales en persona que usaron IA de frontera para escanear repositorios de código públicos del Gobierno. Los equipos no recibieron un enfoque único obligatorio: obtuvieron acceso a modelos y construyeron sus propias herramientas, con especialistas del AISI y del NCSC.
El estudio de caso describe varios pipelines. Uno encadenó seis etapas de agente (triaje, validador, auditor, tracer, juez y resumen) con escalado manual: un miembro del equipo revisaba cada línea, reverificaba la exposición y gestionaba falsos positivos. Otro aplicó primero escáneres convencionales —Gitleaks, Trivy, Semgrep y Hadolint— y luego tres etapas de modelo. Un tercer departamento destiló una auditoría de cientos de servicios en cinco Claude Skills específicas de dominio. En total, los participantes identificaron 407 hallazgos, incluidos puntos críticos de bypass de autenticación, exposición de datos y ejecución remota de código; todos los críticos se remediaron y no se halló evidencia de explotación, a un coste de 13.000 libras en tokens en nueve organizaciones durante un mes.
Un hallazgo crítico afectó a GitHub Actions heredadas en un repositorio que sostenía un servicio digital gubernamental clave: un comentario especialmente elaborado en un pull request abierto podía desencadenar una cadena de workflows con ejecución remota arbitraria en el runner y una vía potencial para extraer secretos. GC3 planeaba una segunda fase con más departamentos, modelos adicionales y extensión del código público a estates de código cerrado. El anuncio del 12 de octubre presenta la extensión del programa como forma de proteger servicios públicos cotidianos, reducir riesgo a corto plazo y apoyar la adopción a más largo plazo en el sector público.
El Gobierno enmarca estas medidas como primeros pasos de un recorrido más largo impulsado por la AI Taskforce del primer ministro. Recuerda el compromiso del premier en la Asamblea General de la ONU en septiembre de hacer lo necesario para proteger a los británicos de riesgos de IA a medida que surjan, y señala que la IA estará en el centro de la presidencia británica del G20 el año próximo. En los próximos meses, la taskforce se centrará en las áreas más afectadas por la IA: seguridad nacional, crecimiento económico y el futuro de los servicios públicos y de la fuerza laboral.
Las notas del comunicado también remiten a una carta abierta a líderes empresariales publicada el 15 de abril de 2026 por la secretaria de Estado de DSIT, Liz Kendall, y el ministro de Seguridad, Dan Jarvis, que urgió a tomar en serio la ciberseguridad en la cúspide de las organizaciones, aplicar lo básico con el esquema Cyber Essentials y seguir el consejo del NCSC, incluido el servicio gratuito Early Warning. El mensaje de Lloyd el 12 de octubre encaja con esa línea: la preparación no es solo un proyecto tecnológico, sino una prioridad de gestión.
En perspectiva, el paquete británico combina defensa ofensiva con IA —usar modelos de frontera para encontrar fallos antes que los atacantes— con preparación regulatoria ante pérdida de control, reporting de incidentes y verificación de afirmaciones de seguridad. Queda por ver qué texto legislativo concreto saldrá del Cyber Security and Resilience Bill, cómo se definirán los near misses y con qué recursos se escalarán los pilotos más allá de las 407 hallazgos del caso de junio. Por ahora, Londres fija una postura pública clara: acelerar la defensa con IA y no esperar a que un incidente de agentes autónomos demuestre, a costa pública, que las estructuras actuales son demasiado lentas.
