La conversación arrancó en Washington, pero el problema que describe no tiene fronteras. Un informe de Americans for Responsible Innovation, difundido en agosto de 2026, plantea que Estados Unidos designe al sector de inteligencia artificial como infraestructura crítica y que la CISA —la agencia federal de ciberseguridad— asuma el rol de agencia líder para protegerlo.
Qué abarcaría la designación
El informe define el sector de IA de forma deliberadamente amplia: organizaciones, instalaciones, tecnologías e industrias "cuyo propósito principal es el desarrollo, entrenamiento, despliegue y operación de sistemas de IA". En concreto eso incluye:
- Diseños de modelos de frontera y sus pesos entrenados.
- Sistemas de evaluación y alineación.
- Centros de datos y hardware específico para IA.
- Chips semiconductores.
- Las plataformas e infraestructura usadas para desplegar y servir modelos a escala.
El argumento de los autores es que el sector ya presenta todas las características de una infraestructura crítica: está entretejido con servicios públicos y privados, está concentrado en un puñado de modelos fundacionales, y es cada vez más interdependiente con otros sectores críticos. La conclusión que sacan de ahí es la que importa: un solo ataque a la pila de IA podría propagarse en cascada a varios sectores simultáneamente.
La disputa que se abre
La designación no sería trámite. Abriría un conflicto de competencias entre CISA, el Departamento de Comercio y el Tesoro sobre quién manda en qué. El precedente histórico es claro: cuando Estados Unidos estableció el sector de Tecnología de la Información en 1998, la designación desató una disputa jurisdiccional que se extendió durante años.
Para una empresa que no opera en Estados Unidos, ese pleito burocrático es irrelevante. Lo que no es irrelevante es el diagnóstico técnico que hay detrás, porque describe con precisión un riesgo que muchas organizaciones latinoamericanas ya asumieron sin haberlo evaluado formalmente.
El riesgo de concentración, traducido a su operación
Piense en cuántos procesos de su empresa dependen hoy, directa o indirectamente, de la disponibilidad de uno o dos proveedores de modelos. El chatbot de atención al cliente. El clasificador que enruta tickets. El resumen automático de llamadas. El sistema que revisa listas de sanciones. Es probable que todos terminen llamando a la misma API, o a lo sumo a dos.
Eso significa que su empresa tiene, sin haberlo declarado nunca, una dependencia de proveedor único en un componente que ya es transversal a la operación. La lógica del informe —concentración más interdependencia igual a riesgo de cascada— no cambia por estar fuera de Estados Unidos; solo cambia que no hay una agencia mirando por usted.
Tres preguntas que conviene responder ahora
- ¿Qué procesos se detienen si su proveedor de IA no responde durante seis horas? Si la respuesta incluye "la atención al cliente", necesita un modo degradado definido, no improvisado.
- ¿Puede cambiar de modelo sin reescribir la integración? Una arquitectura acoplada a un proveedor específico convierte cualquier incidente ajeno en un incidente propio.
- ¿Quién es responsable de la seguridad de la capa de IA en su organización? En muchas empresas la respuesta honesta es "nadie en particular", porque la IA entró por el área de producto y nunca pasó por el inventario de riesgo tecnológico.
La designación como infraestructura crítica, si llega, tardará años en materializarse y traerá obligaciones que hoy nadie puede detallar. Pero el ejercicio que propone —inventariar la dependencia, medir el efecto cascada, asignar responsabilidad— no requiere esperar a ningún regulador.
Dónde entra TEKFENIX
En TEKFENIX diseñamos nuestros productos asumiendo que la capa de IA es una dependencia que hay que gestionar, no una fuente inagotable. Servigo365, nuestra mesa de ayuda multicanal con IA, mantiene rutas de atención que siguen funcionando cuando la capa de IA no está disponible, para que una caída externa degrade el servicio en lugar de detenerlo. Nexturno opera la gestión de turnos y colas con lógica propia, sin quedar atado a la disponibilidad de un proveedor externo para que una sucursal siga atendiendo. Y CumplimientoControl registra la trazabilidad de cada verificación de medios adversos y cada decisión de cumplimiento, de modo que un cambio de proveedor o de modelo no borre el rastro de auditoría que la Ley 155-17 exige conservar. Si su equipo aún no ha inventariado su dependencia de proveedores de IA, ese es el ejercicio por el que conviene empezar —con o sin designación regulatoria de por medio.