Velasco Robota · Derecho · Gobernanza · Minería 5.0
Si la AGI fuera una realidad: el camino de gobernanza para empresas mineras y proveedores
La inteligencia artificial general no crea un vacío jurídico. Obliga a gobernar con mayor precisión la capacidad, el uso, el riesgo y la cadena de valor.
Si la inteligencia artificial general —AGI, por sus siglas en inglés— fuera una realidad técnica, la respuesta responsable de una empresa minera no sería concederle autoridad ilimitada ni esperar pasivamente una ley especial. El camino consiste en gobernar la capacidad de causar impacto: inventariar, clasificar, limitar, probar, supervisar, registrar, contratar, responder y retirar.
La AGI no crea un vacío jurídico
Las fuentes jurídicas y técnicas analizadas no reconocen personalidad jurídica a una AGI ni trasladan a una máquina las obligaciones de la empresa, del proveedor, del integrador, del empleador o del operador. Una eventual AGI debería analizarse según sus características y su uso: podría ser un modelo de propósito general, un sistema integrado en una aplicación industrial o, en determinados casos, un sistema de alto riesgo.
La pregunta jurídicamente relevante no es si la AGI “es responsable”. Es otra: quién decidió desplegarla, con qué finalidad, sobre qué datos, con qué autoridad, qué advertencias recibió, quién podía detenerla y qué evidencia existe de todo ello.
La empresa minera tampoco tiene siempre un único rol. Puede ser usuaria o deployer, proveedora si comercializa una solución bajo su marca, integradora si modifica un modelo de terceros y responsable o encargada del tratamiento de datos según la operación concreta.
Qué es obligatorio y qué es recomendable
La gobernanza debe separar dos capas. La primera es el cumplimiento jurídico obligatorio, determinado por la jurisdicción, la finalidad, el rol de cada actor, el tipo de dato, el daño potencial y la regulación sectorial. La segunda es la gobernanza voluntaria o contractual, basada en estándares, políticas internas, licitaciones, seguros, certificaciones y contratos.
| Fuente | Naturaleza | Aporte para minería y proveedores | Límite |
|---|---|---|---|
| AI Act europeo | Derecho vinculante de la Unión Europea, con alcance extraterritorial en ciertos supuestos. | Clasificación por riesgo; obligaciones para proveedor, deployer, importador, distribuidor y fabricante; reglas para GPAI, alto riesgo, transparencia, incidentes y ciberseguridad. | No define AGI como categoría autónoma. La minería no es automáticamente alto riesgo. |
| Derecho argentino | Normativa vinculante, principalmente sectorial. | Protección de datos, prevención y reparación de daños, consumo cuando corresponda, delitos informáticos y relaciones laborales. | No se identificó una ley nacional general sobre IA o AGI. Deben añadirse normas provinciales y sectoriales. |
| NIST AI RMF | Guía técnica estadounidense de aplicación voluntaria. | GOVERN, MAP, MEASURE y MANAGE; inventario, evaluación, monitoreo, respuesta, fallback y desactivación. | No es ley ni un marco específico para minería o AGI. |
| ISO/IEC 42001 e ISO/IEC 23894 | Estándares internacionales voluntarios. | Sistema de gestión de IA, roles, riesgos, ciclo de vida, proveedores, desempeño y mejora continua. | No sustituyen la ley ni asignan por sí mismos responsabilidad civil, penal, ambiental o laboral. |
| OCDE | Recomendación intergubernamental de soft law. | Derechos humanos, supervisión, transparencia, robustez, seguridad, trazabilidad y responsabilidad. | No crea una matriz de responsabilidad ni una regulación especial para AGI. |
Un estándar puede transformarse en exigible dentro de un contrato, una licitación, una política corporativa o un esquema de certificación. Sin embargo, no se convierte automáticamente en ley por el solo hecho de ser internacionalmente reconocido.
Diagrama conceptual. No representa una medición estadística. La gobernanza debe conectar capacidad técnica con finalidad, riesgo, controles y evidencia.
El AI Act y las cadenas transfronterizas
El Reglamento Europeo de Inteligencia Artificial alcanza, bajo las condiciones de su artículo 2, a proveedores que colocan sistemas o modelos GPAI en el mercado de la Unión, a deployers establecidos o situados en la Unión y a ciertos actores de terceros países cuando el resultado se utiliza en la Unión.[1] Una empresa latinoamericana o su proveedor tecnológico no debería descartar el régimen únicamente por encontrarse fuera de Europa.
Una AGI con generalidad significativa, capaz de realizar una amplia variedad de tareas e integrarse en múltiples aplicaciones, podría ser analizada como un modelo de propósito general o GPAI. Si además presenta capacidades de alto impacto, puede presumirse riesgo sistémico cuando el cómputo acumulado de entrenamiento supera el umbral de 1025 operaciones de coma flotante. Ese umbral no es una definición de AGI ni una prueba exhaustiva de riesgo.
El proveedor de GPAI debe conservar documentación técnica sobre entrenamiento, pruebas y evaluación; informar a proveedores downstream; adoptar una política de cumplimiento de copyright; publicar un resumen suficientemente detallado de los datos de entrenamiento y cooperar con las autoridades. Si existe riesgo sistémico, se agregan evaluaciones, pruebas adversariales, mitigación, reporte de incidentes graves y ciberseguridad del modelo y de su infraestructura.
El sistema downstream no hereda automáticamente la categoría jurídica del modelo base. Puede adquirir obligaciones propias y ser de alto riesgo por su finalidad. También puede convertirse en proveedor quien lo comercializa bajo su nombre, lo modifica sustancialmente o cambia su finalidad de modo que pase a ser de alto riesgo, conforme al artículo 25.
Vigencia: las fechas del AI Act deben verificarse siempre contra el texto oficial consolidado y sus modificaciones. El calendario no debe reconstruirse desde resúmenes periodísticos o páginas desactualizadas.
Mapa de responsabilidades
| Actor | Responsabilidad de gobernanza |
|---|---|
| Directorio y alta dirección | Aprobar apetito de riesgo, usos prohibidos y autorizaciones especiales; asignar presupuesto, responsables y reportes; integrar legal, operaciones, seguridad, ambiente, datos, relaciones laborales y comunidades. |
| Minera como deployer | Definir finalidad y límites; usar conforme a instrucciones; asegurar datos pertinentes; asignar supervisión competente; monitorear; conservar logs; reportar y suspender ante riesgo. |
| Minera como proveedor | Asumir deberes de proveedor si desarrolla, encarga y comercializa bajo su marca, o si reetiqueta, modifica sustancialmente o cambia la finalidad de una solución de terceros. |
| Proveedor GPAI | Documentar entrenamiento, pruebas y evaluación; informar a downstream; gestionar copyright; publicar resumen de datos y, ante riesgo sistémico, evaluar, mitigar y reportar. |
| Integrador | Validar la solución en el contexto minero real; documentar fine-tuning, RAG, prompts, herramientas y permisos; controlar cambios; probar interfaces IT/OT y mantener fallback. |
| Proveedor cloud, software, sensores o equipos | Entregar documentación, límites, métricas, logs, mantenimiento, actualizaciones y soporte; identificar subcontratistas, ubicación de datos y dependencias. |
La responsabilidad debe quedar trazable. En una investigación posterior será decisivo demostrar quién aprobó la finalidad, quién validó el desempeño, quién autorizó la conexión con sistemas operativos, quién conocía las limitaciones, quién recibía alertas y quién podía detener el sistema.
Hoja de ruta: 90 días, 12 meses y 24 meses
Primeros 90 días: conocer, contener y decidir
Durante los primeros 30 días, la dirección debería nombrar un responsable ejecutivo y un comité interdisciplinario. Debe levantarse un inventario de modelos, agentes, sensores, robots, software, datos, proveedores, usuarios y conexiones IT/OT. Para cada sistema se documentará finalidad, autonomía, personas y activos afectados, jurisdicciones, proveedor, versión, datos, permisos y posibilidad de intervención.
Entre los días 31 y 60 se clasificará cada uso por impacto y no por marketing. Se identificarán usos prohibidos, usos de alto impacto y usos de apoyo. Se revisarán derechos sobre datos, bases jurídicas, transferencias, subcontratistas, propiedad intelectual, ubicación del procesamiento, incidentes y dependencia tecnológica.
Entre los días 61 y 90 se aprobarán una política de uso aceptable, una matriz de responsabilidades, criterios de autorización, un protocolo de incidentes y una ruta de suspensión independiente del agente. El piloto debe probar rendimiento, robustez, seguridad, deriva, inyección de instrucciones, envenenamiento de datos, extracción de información y fallas de sensores.
A los 12 meses: institucionalizar el sistema de gestión
La minera y sus proveedores críticos deberían integrar una arquitectura basada en ISO/IEC 42001 para el sistema de gestión de IA e ISO/IEC 23894 para el riesgo específico de IA, utilizando NIST AI RMF como estructura de GOVERN, MAP, MEASURE y MANAGE.[2] [3] [4]
Esto supone inventario vivo, apetito de riesgo aprobado, evaluaciones de impacto, procedimientos de adquisición y cambio, documentación de modelos y datos, pruebas independientes, capacitación, segmentación IT/OT, ejercicios de incidentes, canales de reclamo y reevaluación posterior a actualizaciones, fine-tuning o cambios de contexto.
A los 24 meses: resiliencia, independencia y renovación
La gobernanza madura requiere evaluaciones independientes, red teaming, pruebas de recuperación, proveedores alternativos, mecanismos de reversibilidad y capacidad de retirar un sistema sin paralizar la operación. Cada cambio relevante debe activar una nueva evaluación y abarcar modelos, prompts, herramientas, permisos, datos, conectores y reglas de decisión.
Contratos y controles operativos
Todo contrato de IA minera debería precisar finalidad y prohibiciones; roles jurídicos; datos y propiedad intelectual; documentación y auditabilidad; desempeño y validación; ciberseguridad; supervisión y suspensión; continuidad y salida; responsabilidad, seguros y remedios; y cambios y subcontratación.
En Argentina, la Ley 25.326 y su reglamentación alcanzan el tratamiento de datos personales durante entrenamiento, ajuste, evaluación, operación y monitoreo. El proveedor que procesa por cuenta de otro debe respetar la finalidad pactada, las reglas de cesión, seguridad, confidencialidad, retención y destrucción.[5] La Ley 24.240 puede ser relevante cuando exista una relación de consumo; el Código Civil y Comercial articula prevención y reparación de daños; y la legislación laboral exige preservar derechos, dignidad, igualdad, seguridad e intimidad en los contextos aplicables.[6] [7] [8]
En entornos mineros, la seguridad no puede depender únicamente de una instrucción al modelo. Deben existir barreras técnicas independientes, redundancia de sensores, validaciones cruzadas, límites físicos, permisos de ejecución, segregación de redes, registros protegidos, alarmas, control manual y procedimientos de emergencia. El mecanismo de suspensión no debe depender exclusivamente de que el propio agente decida obedecerlo.
Riesgos específicamente mineros
| Riesgo | Ejemplo | Respuesta de gobernanza |
|---|---|---|
| Seguridad de personas | Vehículos autónomos, perforación, tronadura, ventilación, mantenimiento o evacuación. | Límites físicos, validación independiente, doble confirmación y fallback manual. |
| Geotecnia y relaves | Predicciones erróneas sobre taludes, presas, agua o movimientos del terreno. | Sensores redundantes, experto responsable, umbrales conservadores y detención ante incertidumbre relevante. |
| IT/OT y ciberseguridad | Modificación de parámetros, accesos no autorizados, prompt injection o data poisoning. | Segmentación, mínimo privilegio, red teaming, control de cambios y apagado independiente. |
| Trabajo y derechos | Vigilancia, evaluación automatizada, discriminación o sanciones opacas. | Información, revisión humana, proporcionalidad y protección de intimidad, igualdad, seguridad y dignidad. |
| Comunidades y ambiente | Decisiones sobre territorio, agua, impactos, reclamos o comunicación pública. | Evaluación de impactos, transparencia, trazabilidad, participación y canales de impugnación. |
| Cadena de suministro | Modelo opaco, subcontratista no revelado o actualización que cambia el comportamiento. | Diligencia, auditoría, inventario, derecho de información y salida ordenada. |
Conclusión: la ventaja será la gobernanza demostrable
Si la AGI fuera una realidad, la empresa minera que llegue primero a una implementación responsable no será necesariamente la que le conceda más autonomía. Será la que pueda demostrar que conserva autoridad humana, evidencia técnica, continuidad operacional y capacidad efectiva de detenerla.
En minería, una salida errónea puede afectar vidas, ambiente, comunidades, activos críticos y licencia social para operar. Por eso, la trazabilidad y la reversibilidad no son accesorios de cumplimiento: son condiciones de legitimidad para desplegar IA avanzada.
La gobernanza de IA no debe ser un freno a la innovación. Debe ser la infraestructura jurídica, técnica y organizacional que permita transformar capacidades avanzadas en productividad, seguridad y sostenibilidad sin transferir ciegamente la responsabilidad a una máquina.
Referencias
- [1]: Regulation (EU) 2024/1689, texto consolidado; Regulation (EU) 2026/1744, Digital Omnibus.
- [2]: NIST, Artificial Intelligence Risk Management Framework 1.0.
- [3]: NIST, Generative Artificial Intelligence Profile, AI 600-1.
- [4]: ISO/IEC 42001:2023; ISO/IEC 23894:2023.
- [5]: Ley argentina 25.326, Protección de los Datos Personales; Decreto 1558/2001.
- [6]: Ley 26.994, Código Civil y Comercial.
- [7]: Ley 24.240, Defensa del Consumidor.
- [8]: Ley 20.744, Ley de Contrato de Trabajo; Ley 27.555, Teletrabajo.
- [9]: OCDE, Recommendation of the Council on Artificial Intelligence, OECD/LEGAL/0449.
- [10]: AAIP, Resolución 161/2023; Guía AAIP para una IA responsable.
Nota final: Las recomendaciones sobre AGI y activos críticos son prospectivas. Se derivan de una lectura prudencial de marcos jurídicos y técnicos existentes, pero no deben presentarse como obligaciones legales específicas mientras no exista una norma aplicable que las establezca.