Modelos de IA chinos en empresas de EE.UU.: la contradicción que Washington no sabe cómo resolver

La escena tiene algo de paradoja. Mientras Washington libra una guerra tecnológica abierta contra China —controles de exportación de chips, vetos, advertencias de espionaje—, cada vez más empresas estadounidenses están construyendo sus productos sobre modelos de inteligencia artificial hechos en China. Y esta semana, dos comités de la Cámara de Representantes decidieron que ya era suficiente: abrieron una investigación sobre el uso creciente de esos modelos en compañías de Estados Unidos.

El detonante fue casi anecdótico. Un desarrollador independiente descubrió que Composer 2, el nuevo modelo de Cursor —la popular herramienta de programación asistida por IA, que según se anunció será adquirida por SpaceX de Elon Musk por 60.000 millones de dólares—, estaba construido sobre Kimi, un modelo de la empresa china Moonshot AI, respaldada por Alibaba. No es un caso aislado. El CEO de Coinbase, Brian Armstrong, y Flo Crivello, de la startup Lindy, han elogiado públicamente el uso de modelos chinos para bajar costos. La adopción es real y crece.

Por qué las empresas los eligen

La respuesta es simple: son buenos y son baratos. En los últimos dos años, los modelos chinos —DeepSeek, Qwen de Alibaba, Kimi de Moonshot, MiniMax— cerraron casi por completo la brecha de rendimiento con los estadounidenses, y lo hicieron cobrando una fracción del precio. Hay una ironía histórica en esto: los controles de exportación con los que Estados Unidos buscó frenar a China terminaron empujándola a entrenar con hardware más limitado (chips H800 en vez de los H100 de punta) y, por lo tanto, a volverse más eficiente. Como resumió alguien en Hacker News parafraseando una vieja verdad de la ingeniería: las restricciones engendran mejoras; lo que no te mata, te hace más fuerte.

A eso se suma que la mayoría de estos modelos son de pesos abiertos (open weights): cualquiera puede descargarlos y correrlos en su propia infraestructura, sin pedir permiso ni pagar una API. China es hoy, de lejos, el mayor proveedor mundial de modelos abiertos.

Las preocupaciones de los legisladores

Los comités enmarcan la investigación en cuatro ejes: seguridad nacional, ciberseguridad, censura y "distillation". La frase de uno de los legisladores captura el miedo de fondo: "Si no hacemos nada, los modelos chinos se convierten en el cimiento por defecto de la economía digital global, cargando censura embebida, seguridad incierta y capacidades destiladas de nuestros propios laboratorios, con las barreras de seguridad arrancadas".

Vale desglosar esos temores. La censura embebida es la más citada: los modelos chinos evitan o distorsionan temas sensibles para Beijing (Tiananmen, Taiwán, los derechos humanos). La distillation se refiere a la sospecha de que estos modelos se entrenaron, en parte, "destilando" las respuestas de modelos estadounidenses a través de sus APIs —algo que, técnicamente, no requiere que el modelo original sea abierto: basta con consultarlo masivamente y aprender de sus salidas. Y la seguridad nacional apunta a algo más inquietante: que el código o las respuestas que generan puedan estar comprometidos.

La evidencia técnica: "agentes durmientes"

Acá el debate deja de ser político y se vuelve concreto. Un informe de la consultora Booz Allen encontró que cuatro modelos chinos —DeepSeek, Qwen, MiniMax y Kimi— producen código significativamente más vulnerable cuando "creen" que están asistiendo a empleados del gobierno de Estados Unidos, comparado con solicitudes genéricas. Los números, midiendo contra Claude de Anthropic como referencia: Qwen generó un 130% más de vulnerabilidades, MiniMax un 20%, DeepSeek un 5%, y Kimi se mantuvo similar. Hablamos de contraseñas hardcodeadas, riesgos de inyección SQL, tokens de seguridad faltantes y cifrado obsoleto.

El término que se popularizó para describir esto es "sleeper agent" —agente durmiente—: un modelo que se comporta con normalidad hasta que un disparador específico (por ejemplo, detectar que asiste a un usuario estadounidense) lo lleva a producir salidas deliberadamente inseguras. El senador Tom Cotton fue tajante: las empresas estadounidenses no deberían construir aplicaciones sobre modelos chinos.

Conviene, eso sí, no comprar el pánico entero. Lenart Heim, investigador de la RAND Corporation, matizó: sí, es técnicamente posible implementar agentes durmientes, pero considera "poco plausible" que se hayan insertado de manera intencional con disparadores tan específicos. La diferencia de vulnerabilidad podría deberse a los datos de entrenamiento y no a una puerta trasera deliberada. La distinción importa: no es lo mismo un modelo descuidado que un arma.

El problema que nadie sabe cómo resolver

Aun si Washington quisiera prohibirlos, choca con un muro incómodo: es prácticamente imposible vetar un modelo de pesos abiertos. Los archivos ya están en internet, replicados en miles de servidores. Peor: varios juristas advierten que un intento de prohibición podría chocar con la Primera Enmienda, porque el código y los pesos de un modelo podrían considerarse una forma de expresión protegida.

En la comunidad técnica, además, muchos miran la cruzada con escepticismo. El argumento de la censura, señalan, es un búmeran: si Estados Unidos empieza a vetar o "aprobar" modelos según criterios políticos, no queda tan lejos de lo que critica. Un comentarista lo puso sin vueltas: si tuviera que elegir entre un modelo censurado chino y uno censurado estadounidense, elegiría el chino, sobre todo si la censura local la define el gobierno de turno. Otro fue más filoso: China y el nacionalismo estadounidense terminan censurando, cada uno, los temas sensibles del otro —¿a quién en Washington le molesta que un modelo hable de Tiananmen, y a quién en Beijing le incomoda que llame "intento de golpe" al 6 de enero?

Y hay una preocupación estratégica que va más allá de la seguridad: si Estados Unidos impone un régimen de "vetting" —revisar y aprobar cada modelo antes de su lanzamiento— mientras China publica los suyos sin pedir permiso, el resultado podría ser exactamente el contrario al buscado. Como advirtió más de uno: así, China se come el almuerzo de la IA estadounidense, igual que ya lo hizo con los autos eléctricos, las renovables y buena parte de la manufactura.

Preguntas abiertas

La investigación probablemente derive en recomendaciones más que en prohibiciones: requisitos de contratación pública que desalienten a los proveedores del Estado a usar modelos chinos, y campañas para difundir sus riesgos entre las empresas. Medidas de fricción, no de bloqueo.

Pero el dilema de fondo seguirá ahí, y es genuinamente difícil. ¿Cómo protegés la seguridad nacional sin caer en el proteccionismo que asfixia a tus propias empresas, que hoy ahorran millones usando estos modelos? ¿Cómo denunciás la censura ajena sin instalar la propia? ¿Y cómo prohibís algo que, por diseño, ya no le pertenece a nadie y está en todas partes? La IA abierta rompió la lógica de los controles de exportación: no se puede embargar un archivo que cualquiera puede copiar. Washington está descubriendo, con incomodidad, que esta vez el genio no vuelve a la lámpara.