“Mythos” de inteligencia artificial (IA) y responsabilidades jurídicas en ciberseguridad.

Aunque se plantean dudas sobre la utilidad de las regulaciones sobre IA, incluso sobre lo normado por la UE (con prohibiciones y mecanismos de vigilancia), nuestra tesis es que los Proyectos de Ley de Chile para la IA, en cuanto apuntan a su uso responsable sobre todo por los desarrolladores de IA de alto riesgo, pueden contribuir al uso idóneo y ético de las herramientas en materia de ciberseguridad.

En mayo del 2026, las comunidades de operadores de IA y de ciberseguridad están tensionadas. Una empresa, que se promociona en Chile para instalarse como proveedora en el mercado fintech[i], irrumpe en el mercado mundial con un sistema capaz de encontrar o detectar vulnerabilidades en sistemas, redes y servidores. En sede de IA ofensiva, se anuncia el sistema, al parecer se le restringe[ii] pero en definitiva se estaría liberando comercialmente. El gremio TI, de los actores relevantes en cuanto a volumen de facturación, aplaude el nuevo sistema y no ve en él una crisis[iii]. Toca hacerle una lectura jurídica o de determinación de responsabilidades frente a los riesgos inherentes, porque “el arma Claude Mythos”, para la comisión de delitos informáticos de la ley N°21.459 mediante herramientas de ingeniería de software, es real y no imaginaria.

Se ha sostenido[iv] que la ciberseguridad es un objetivo per se[v]; y que la IA es una herramienta que con sus funcionalidades puede potenciar sus objetivos; pero claro, frente a los riesgos derivados de su también posible uso delictivo se requiere de ciertos márgenes o límites necesariamente legales. Una perspectiva esencial, entonces, es visualizar que la IA, sus funcionalidades y algoritmos, pueden ser una notable herramienta para alcanzar el objetivo de implementar sistemas idóneos de ciberseguridad. En este sentido, la llamada IA generativa y los modelos de lenguaje como los LLM (Large Language Models) se están incorporando rápidamente a los flujos de detección de amenazas, ayudando a identificar malware, patrones anómalos y vulnerabilidades con mayor velocidad y precisión.

La búsqueda, detección, reporte y corrección de vulnerabilidades para hacer un sistema más seguro y confiable, o para mitigar o eliminar el riesgo de que aquellas puedan ser explotadas, se facilita con herramientas de IA[vi]. Por eso lo afirmado en cuanto a que “el uso de la IA en el marco de la ciberseguridad puede ayudar a los equipos de TI a administrar un mayor número de estas amenazas de una forma efectiva y práctica, porque hacer frente a cada una de estas amenazas puede ser mucho más fácil si se las agrupa mediante el etiquetado automatizado”. Se agrega que las soluciones impulsadas por la IA optimizan y aceleran la detección de amenazas, agilizan las respuestas, protegen la identidad del usuario y los conjuntos de datos y mantienen a los equipos de ciberseguridad informados y a cargo… (dicen los operadores del mercado TIC).

Pero, desde la perspectiva que ahora interesa, también puede ser directamente la culpable de su vulnerabilidad. Según especialistas, los atacantes son más eficientes usando la IA que los defensores. El Boston Consulting Group (BCG) considera que la inteligencia artificial está jugando a favor del cibercrimen, y que mientras los atacantes automatizan fraudes, suplantaciones de identidad y vulneraciones con herramientas IA, que imitan voces o generan videos falsos, muchas organizaciones en América Latina están al debe en la mantención de sistemas actualizados o de equipos preparados.

Interesan ahora los riesgos para la ciberseguridad derivados del uso de las herramientas de IA (o su faz negativa). La IA implica oportunidades y riesgos para la ciberseguridad.[vii] Puede ser una potente herramienta para evitar ciberataques, pero también un poderoso riesgo para la ciberseguridad. La IA introduce desafíos más complejos en la seguridad cibernética y deben implementarse estrategias de seguridad específicas, para evitarse el aprovechamiento al explotarse vulnerabilidades críticas. “La detección y mitigación de ciberataques impulsados por IA requiere del uso de sistemas de ciberseguridad igualmente avanzados, que integren IA y aprendizaje automático que permitan identificar patrones anómalos y responder en tiempo real…”. Así, por ejemplo, los llamados ataques de suplantación de identidad (o spoofing) generan que los sistemas de IA puedan ser engañados para que realicen acciones no permitidas, como otorgar acceso a información confidencial a personas no autorizadas.

La IA, o evita un hackeo o acceso indebido, o lo posibilita; o detecta un phishing o lo enmascara de buena forma. O es un gran escudo, o es un Talón de Aquiles. Una muestra reciente da cuenta de cómo la IA defensiva fue vulnerable mediante programas virus o malware, capaces no solo de evadir sino también de manipular sistemas de inteligencia artificial[viii]. Cuando se pensaba que la IA era un escudo definitivo, apareció el primer malware capaz de manipularla desde dentro, y lo que antes era una defensa inteligente ahora puede ser un blanco fácil. Se habla de una nueva familia de amenazas, la del malware diseñado para evadir y engañar a la inteligencia artificial. Un programa virus (eso es un malware) capaz de burlar y manipular softwares y sistemas de ciberseguridad defensiva basados en IA, cada vez más presentes en la detección de ciberataques pero que se encontró con un programa diseñado específicamente para engañarla[ix].

Mythos, relevan los analistas, es un modelo de inteligencia artificial creado como una de las herramientas más avanzadas en ingeniería de software hasta ahora conocidas, No solo sería capaz de analizar softwares complejos, sino que también podría identificar y explotar vulnerabilidades en distintos entornos digitales, incluyendo plataformas de uso masivo y sistemas de alta criticidad. Los más críticos aluden a poder vulnerarse sistemas bancarios, atacar infraestructuras estatales e incluso intervenir instalaciones altamente sensibles como plantas nucleares. Y la empresa desarrolladora señala que representa un salto relevante en el desarrollo de IA aplicada a ciberseguridad avanzada y al análisis de software, pero también un riesgo potencial si sus capacidades son mal utilizadas.

Entre sus características principales destaca el que sería capaz de aprender a encontrar y explotar fallos de forma autónoma, reduciendo drásticamente la barrera técnica para ejecutar ciberataques, detectando errores latentes ocultos en códigos de décadas de antigüedad y explotándolos fácilmente. Por su capacidad de ataque a gran escala[x], el acceso estaría limitado a un grupo exclusivo de agencias federales de EE. UU. (como la NSA) y empresas Bigh Tech. A esto se le conoce como Proyecto Glasswing. Mythos es uno de los modelos más recientes de Anthropic, desarrollado como parte de su sistema de IA más amplio llamado Claude, el que engloba el asistente de IA de la compañía y su familia de modelos, compitiendo con ChatGPT de OpenAI y Gemini de Google[xi].

Para cerrar y volver a la perspectiva jurídica, los riesgos del uso de IA en su faz negativa requieren, entonces, ciertos márgenes o límites normativos o legales. La ciberseguridad lo amerita. Por eso, a pesar de sus críticas, la Ley UE se percibe como un instrumentos relevante, por sus directrices, los actos delegados y de implementación, los códigos de prácticas y los estándares armonizados[xii]. El supuesto básico o la base sería un “uso responsable”. Se anota que como parte de su estrategia digital, la UE quiere regular la inteligencia artificial para garantizar mejores condiciones de desarrollo y uso de esta tecnología innovadora, por lo cual en abril de 2021 la Comisión propuso el primer marco regulador de la UE para la IA. Dispone que los sistemas de IA que puedan utilizarse en distintas aplicaciones se analicen y clasifiquen según el riesgo que supongan para los usuarios, donde los distintos niveles de peligro implicarán una mayor o menor regulación.

A pesar de sus diferencias, lo mismo hace un proyecto de ley presentado para Chile[xiii]. El Consejo de Europa adoptó el primer tratado internacional sobre inteligencia artificial. La ley de Inteligencia Artificial (Ley de IA) de la Unión Europea (UE)[xiv] afirma basarse en un enfoque basado en el riesgo…[xv] para (i) evitar el exceso de regulación y (ii) respetar el principio de proporcionalidad legislativa… (enfoque considerado correcto y que sería la estrategia dominante para que los responsables políticos regulen la IA)[xvi]. Fue el primer intento de regular de forma integral la IA, que (i) sigue un enfoque basado en el riesgo: …adapta la elección y el diseño de los instrumentos regulatorios en función del nivel de riesgo; según la norma «cuanto mayor sea el riesgo, más estrictas serán las reglas…”[xvii]

En definitiva, deben prohibirse prácticas concretas de IA que se clasifiquen de inaceptables porque plantean riesgos importantes para los derechos y la seguridad de los ciudadanos; incluye sistemas de IA que manipulan el comportamiento humano, utilizan técnicas subliminales, explotan a grupos vulnerables o participan en puntuaciones sociales con fines gubernamentales; es el caso de los sistemas de categorización biométrica basados en características sensibles y la extracción no selectiva de imágenes faciales de Internet o imágenes de para crear bases de datos de reconocimiento facial. Pero toda normativa debe abordar si o si el riesgo que introduce la IA, en materia de responsabilidad en incidentes de seguridad y prevención del uso malintencionado de la IA, con límites claros para su despliegue, de modo que vendedores y desarrolladores dispongan de directrices y límites[xviii].

Específicamente para los sistemas de IA de alto riesgo, Gerard Espuga consigna que el artículo 15 del Reglamento (o RIA) establece la obligación de que los sistemas se desarrollen con un nivel adecuado de precisión, solidez y ciberseguridad durante la totalidad de su ciclo de vida. Respecto a las amenazas a las que están expuestos dichos sistemas y, consiguientemente, a la manipulación por parte de terceros no autorizados durante su uso, cita un documento publicado del grupo de expertos del EDPB (o «Fundamentals of Secure AI Systems with Personal Data«) que ofrece una visión general de dichas posibles amenazas y, al mismo tiempo, de los mecanismos para intentar mitigarlas. (Santiago, 3 de junio 2026)

[i] Puede verse la URL https://www.trendtic.cl/2026/05/chile-sera-sede-del-primeranthropic-claude-impact-lab-de-america-latina/

[ii] A la letra; “…el uso de Claude Mythos se encuentra totalmente restringido. La empresa dueña de la tecnología solo permite su uso, bajo estrictas regulaciones, a un pequeño grupo de grandes corporaciones y agencias de seguridad informática. El objetivo de esta decisión es aprovechar la velocidad de la inteligencia artificial para detectar y corregir vulnerabilidades en los sistemas del mundo, antes de que caigan en manos de delincuentes capaces de desarrollar herramientas similares”.

[iii] Puede leerse en https://acti.cl/acti-caso-de-ia-mythos-no-es-una-crisis-sino-una-senal-de-madurez-en-la-industria-y-en-chile/

[iv] Puede verse la URL https://pucv.cl/uuaa/derecho-pucv/noticias/profesor-renato-jijena-participa-en-foro-colombiano-sobre-ciberseguridad o https://www.youtube.com/watch?v=qkBmAytRAgg

[v] Así por ejemplo, se analizará como la Ley N°21.663 “Marco de Ciberseguridad” señala que ella tiene como objetivos específicos (i) establecer la institucionalidad, los principios y la normativa general que permitan estructurar, regular y coordinar las acciones de ciberseguridad de los organismos del Estado y entre éstos y los particulares; (ii) establecer los requisitos mínimos para la prevención, contención, resolución y respuesta a incidentes de ciberseguridad; y, (iii) establecer las atribuciones y obligaciones de los organismos del Estado, así como los deberes de las instituciones determinadas en el artículo 4°, y los mecanismos de control, supervisión y de responsabilidad ante infracciones. Los promotores declaran que la ley establece (i) el marco regulatorio general de la ciberseguridad y (ii) la creación de la institucionalidad principalmente en la ANCI. “General”, porque hay normas especiales, por ejemplo en materia financiera o bancaria, en materia de seguros o en el ámbito de los procedimientos administrativos electrónicos.

[vi] Véase la URL https://www.derechosdigitales.org/22309/un-incentivo-a-la-seguridad-informatica/

[vii] Véase la URL https://es.weforum.org/agenda/2023/06/ciberseguridad-e-ia-retos-y-oportunidades/

[viii] Técnicamente, hay una evasión dinámica, porque el malware reescribe su código sobre la marcha para esquivar la detección; hay una manipulación de respuesta, porque altera las decisiones de la IA, provocando fallos o activando accesos indebidos; se infiltra, se adapta y sabotea la defensa desde dentro. Un malware que no solo trata de evadir la detección, sino que intenta manipular activamente la IA para que lo clasifique erróneamente. A mayor abundamiento: se inyectan troyanos en redes neuronales sin afectar su rendimiento; y se aplican perturbaciones mínimas que confunden a la IA sin levantar sospechas. Se usó una estrategia conocida como prompt injection, que no busca modificar el funcionamiento del malware en sí, sino incidir en el modelo de IA encargado de analizarlo, manipulándolo para que genere una respuesta errónea y que clasifique a la amenaza como inofensiva. Información de prensa puede verse en https://www.infobae.com/tecno/2025/06/28/detectan-el-primer-malware-capaz-de-burlar-y-manipular-softwares-de-seguridad-basados-en-ia/

[ix] A la letra: “Check Point Research (CPR), la división de inteligencia de amenazas de Check Point Software Technologies, identificó el primer caso documentado de este tipo de ataque, dando inicio a una nueva era en la evolución del malware, una en la que los atacantes no solo evaden sistemas tradicionales, sino que buscan manipular activamente a los modelos de lenguaje para obtener acceso”.

[x] Se declara: «Mythos Preview ya ha encontrado miles de vulnerabilidades de alta gravedad, incluidas algunas en todos los principales sistemas operativos y navegadores web”.

[xi] Puede verse en https://www.bbc.com/mundo/articles/cr71x5vgr9go

[xii] Se resume y releva que el Convenio establece (i) requisitos de transparencia y supervisión adaptados a riesgos específicos, incluyendo la identificación de contenidos generados por IA; (ii) que las partes deben identificar, evaluar, prevenir y mitigar riesgos, y considerar moratorias o prohibiciones si la IA es incompatible con los derechos humanos; (iii) que se garantiza la rendición de cuentas y el respeto a la igualdad y la privacidad; y, (iv) que se deben asegurar recursos legales y garantías procesales para las víctimas de violaciones de derechos humanos e informar a quienes interactúan con estos sistemas.

[xiii] El 13 de Marzo el Parlamento Europeo aprobó con amplia mayoría la Ley de Inteligencia Artificial (EU AI Act) que garantiza la seguridad y el cumplimiento de los derechos fundamentales, al tiempo que impulsa la innovación. La ley regula el diseño, desarrollo y difusión social de la Inteligencia Artificial. Véase la URL https://artificialintelligenceact.eu/es/high-level-summary/ .

[xiv] En efecto, “conocida como la Ley de Inteligencia Artificial o AI Act tiene como objetivo establecer un marco regulatorio robusto para la inteligencia artificial, abordando preocupaciones tanto de innovación como de ética y derechos”.

[xv] Definición legal en Chile: la posibilidad de ocurrencia de un incidente de ciberseguridad, donde la magnitud de un riesgo es cuantificada en términos de la probabilidad de ocurrencia del incidente y del impacto de las consecuencias del mismo. El considerando 26 de la Ley AI señala que “…con el fin de introducir un conjunto proporcionado y eficaz de normas vinculantes para los sistemas de IA, debe seguirse un enfoque basado en el riesgo claramente definido, que debe adaptar el tipo y el contenido de dichas normas a la intensidad y el alcance de los riesgos que pueden generar los sistemas de IA. Por lo tanto, es necesario (i) prohibir determinadas prácticas inaceptables de IA, (ii) establecer requisitos para los sistemas de IA de alto riesgo y obligaciones para los operadores pertinentes, y (iii) establecer obligaciones de transparencia para determinados sistemas de IA»

[xvi] Pero algunas de sus principales disposiciones no se basan realmente en el riesgo, lo que da lugar a un exceso de regulación en algunas áreas y a una infra-regulación en otras.

[xvii] Téngase presente: sobre la norma se visualizan “fallas, excepciones y vacíos que podrían convertir las prohibiciones contenidas en la Ley en meras declaraciones sin efecto real”.

[xviii] Para el caso del proyecto de Chile, Boletín N°16.821, los operadores entienden que se imponen robustas obligaciones de gobernanza y de gestión de datos a quienes implementen sistemas de IA, y que el objetivo sería asegurar que los datos que usen los sistemas (i) se traten de manera responsable, (ii) respetando la privacidad (léase la confidencialidad de DP) y (iii) procurando su interoperabilidad.