Una nueva investigación publicada sostiene que el gobierno federal se está apresurando a la inteligencia artificial de la misma manera que se apresuró a la computación en la nube hace una década, y con las mismas vulnerabilidades estructurales aún presentes.
Renee Dudley de ProPublica publicó una investigación el 6 de abril argumentando que, a medida que la administración Trump alienta a las agencias federales a adoptar rápidamente la IA de las principales empresas tecnológicas, está repitiendo los patrones que plagaron la transición de Washington a la computación en la nube, donde la velocidad primó sobre la seguridad, la supervisión fue desfinanciada y el gobierno finalmente se volvió profundamente dependiente de contratistas sobre los que tenía poco apalancamiento.
La Casa Blanca ha posicionado la IA como un imperativo de competitividad nacional. Las agencias ahora pueden acceder a ChatGPT de OpenAI por $1, Gemini de Google por 47 centavos por usuario y Grok de xAI por 42 centavos. El planteamiento, escribe Dudley, refleja fielmente el lenguaje utilizado cuando la administración Obama declaró la computación en la nube una prioridad transformacional a principios de la década de 2010.
Lección uno: No existe el almuerzo gratis. La investigación de ProPublica encontró que la promesa de Microsoft en 2021 de otorgar al gobierno federal $150 millones en servicios de seguridad fue, en la práctica, un mecanismo de "lock-in". Después de que las agencias adoptaran las actualizaciones gratuitas, cambiar a un competidor habría sido costoso y disruptivo. "Fue un éxito más allá de lo que cualquiera de nosotros podría haber imaginado", dijo un exvendedor de Microsoft a ProPublica. Como ha informado crypto.news, Microsoft y OpenAI se han enfrentado desde entonces por los términos de su propia asociación de IA, una señal de lo problemáticos que pueden ser los contratos de IA de las grandes tecnológicas incluso entre las partes involucradas.
Lección dos: Los programas de supervisión requieren recursos reales. El Programa Federal de Gestión de Riesgos y Autorización, conocido como FedRAMP, se creó en 2011 para verificar los servicios de computación en la nube antes de que las agencias federales pudieran utilizarlos. ProPublica descubrió que la agencia desgastó a FedRAMP durante cinco años para obtener la aprobación de un producto importante en la nube a pesar de graves reservas de ciberseguridad. Eso fue antes de DOGE. FedRAMP ahora dice que opera "con un mínimo absoluto de personal de apoyo" y "servicio al cliente limitado". Un portavoz de la GSA defendió el programa, diciendo que "opera con mecanismos de supervisión y rendición de cuentas fortalecidos", pero exempleados dijeron a ProPublica que funciona como un sello de goma.
Lección tres: Las revisiones independientes son solo eso, independientes hasta cierto punto. A medida que la capacidad interna de FedRAMP ha disminuido, las firmas de auditoría externas han asumido más funciones de verificación. Esas firmas son pagadas por las mismas compañías de la nube que están calificando. Las agencias, a menudo con poco personal, carecen de la capacidad para realizar sus propias revisiones exhaustivas y dependen en gran medida de esas calificaciones. Como señaló crypto.news, la preocupación más amplia entre los observadores es que los gobiernos son consistentemente más lentos en regular la tecnología transformadora que las empresas que la implementan.
La GSA ha reconocido que "los costos de uso de la IA pueden crecer rápidamente sin un monitoreo y controles de gestión adecuados" y ha aconsejado a las agencias que establezcan límites de uso y revisen los informes de consumo. Pero los problemas estructurales subyacentes persisten: organismos de supervisión subfinanciados, revisiones dependientes de proveedores y agencias con poco apalancamiento una vez que la adopción se arraiga.
La conclusión de Dudley es contundente: "Las implicaciones de esta reducción de personal para la ciberseguridad federal son de gran alcance", ya que las agencias adoptan herramientas de IA que procesan datos gubernamentales sensibles bajo el mismo marco de supervisión debilitado que tuvo dificultades para gestionar la nube.
