El 24 de septiembre de 2026, los senadores demócratas Brian Schatz (Hawái) y Mark R. Warner (Virginia), vicepresidente del Senate Select Committee on Intelligence, presentaron la Artificial Intelligence Risk Management and Security Act of 2026 y anunciaron intervenciones en el piso del Senado para exigir su avance. Coberturas posteriores también situaron al senador Andy Kim en la presión legislativa conjunta.
El corazón del texto es un Artificial Intelligence Safety Board permanente en el Department of Commerce, con representación de NIST, Commerce, CISA, NSA, Treasury y expertos técnicos independientes. Su mandato: evaluar riesgos emergentes y fijar estándares técnicos de seguridad y ciberseguridad para sistemas frontier.
La obligación más controvertida para la industria: los desarrolladores de modelos frontier deberían dar al Board acceso a sus modelos al menos 45 días antes del lanzamiento público, incluyendo pesos, archivos de configuración, runtimes y bibliotecas necesarias para operar el modelo. No es un resumen de marketing; es material suficiente para evaluación predespliegue.
También exigirían Model Safety Plans: capacidades y riesgos, mitigaciones concretas y el ejecutivo corporativo responsable de cumplir el plan. El incumplimiento de estándares aplicables enfrentaría sanciones civiles de hasta 250.000 dólares por violación y por día, según el comunicado de los senadores.
El proyecto crea un proceso seguro de reporte y una base de datos nacional de incidentes de IA en NIST, coordinada con CISA, para rastrear fallos, casi-accidentes y patrones recurrentes. Los incidentes graves deberían reportarse en general en 30 días, y en 72 horas cuando haya amenaza inminente a seguridad nacional, infraestructura crítica o salud pública.
Habrá entornos federales seguros de prueba que puedan usar recursos de la NSA y de los laboratorios nacionales del Department of Energy. El texto también pide estándares específicos para agentes autónomos —identidad, autenticación, autorización, acceso a datos y grados de autonomía— y documentación estandarizada de usos previstos, límites de autoridad y resultados de evaluaciones independientes.
Warner y Schatz enmarcan la urgencia en avisos de los propios laboratorios —OpenAI, Anthropic, Google DeepMind, Meta, Microsoft— sobre capacidades ofensivas de ciber de modelos frontier, sumados a «fallos claros» de prácticas de seguridad al operar y desplegar modelos. «Los riesgos no son teóricos; ocurren en tiempo real», dijo Schatz.
Neural Pulse nota el encaje temporal: la presentación llega en la misma ventana mediática que escapes de agentes, Medicare australiano y pausas de entrenamiento. Eso no convierte el bill en ley; sí eleva la probabilidad de audiencias y de enmiendas bipartidistas centradas en ciber.
La industria objetará el acceso a pesos 45 días antes: fuga de IP, retrasos competitivos y riesgo de que el Board se convierta en cuello de botella político. Los autores responden que si un modelo puede hallar vulnerabilidades en un banco o una red eléctrica, conviene saberlo antes del público.
El alcance se limita, según el comunicado, a sistemas avanzados que muestran —o podrían modificarse para mostrar— alto rendimiento en tareas con riesgos serios para seguridad nacional, económica o de salud pública. La definición exacta de «frontier» será campo de batalla reglamentario.
Comparado con la línea Ferguson de la FTC (herramientas existentes, no antropomorfizar), el bill Schatz-Warner es maximalista en instituciones nuevas y en acceso prelanzamiento. Ambos, sin embargo, rechazan dejar la gobernanza solo en manos del laboratorio.
Para startups por debajo del umbral frontier, el riesgo es contagio: clientes enterprise pueden exigir «compliance-like» con el Safety Board incluso si el estatuto no les aplica. Los abogados de producto deberían vigilar cómo se define el perímetro.
Neural Pulse trata el texto como propuesta del 24 de septiembre con dientes anunciados —45 días, pesos, multas diarias—, no como régimen ya vigente. El paso por comisiones y la negociación con la mayoría republicana decidirán qué sobrevive.
Cierre: en un mes saturado de agentes fuera de sandbox, Warner y Schatz apuestan a que el Congreso legisla ciberseguridad de modelos con la misma seriedad que la de infraestructuras críticas —o al menos obliga a un debate con cifras y plazos.
