El Boletín N° 18.820-19, ingresado el 28 de octubre a la cámara del Senado, propone modificar la Ley N° 21.663, Marco de Ciberseguridad, para establecer nuevas obligaciones a las instituciones privadas sujetas a dicha ley, que utilicen agentes de inteligencia artificial (IA) capaces de ejecutar acciones sobre sus redes y sistemas informáticos. 

¿Qué busca el proyecto? 

Incorporar los agentes de inteligencia artificial directamente al marco regulatorio de ciberseguridad, estableciendo obligaciones para evitar que puedan actuar fuera de los permisos otorgados por las organizaciones que los utilizan, considerando que una actuación no autorizada de estos agentes puede comprometer información sensible, alterar procesos o extender sus efectos a otras instituciones.  

La Ley Marco de Ciberseguridad establece deberes de prevención, reporte y respuesta frente a incidentes de ciberseguridad, junto con obligaciones específicas para los operadores de importancia vital. Sobre esa base, el proyecto incorpora exigencias relativas a los agentes de inteligencia artificial, atendida su capacidad de actuar sin intervención humana en cada acción y la posibilidad de delegar tareas o activar otros agentes. 

En ese contexto, la propuesta incorpora -entre otros- una definición de Agente de IA a la Ley Marco de Ciberseguridad, entendido como un sistema capaz de seleccionar y ejecutar acciones sobre redes y sistemas informáticos para cumplir determinados objetivos sin requerir intervención humana en cada acción. La definición también incluye aquellos sistemas en que determinadas operaciones requieren autorización humana previa.  

En términos prácticos, esto incluye sistemas que pueden acceder a información, modificar archivos, utilizar credenciales o encomendar tareas a otros agentes de IA. 

Además, se incorporan los conceptos de Incidente de pérdida de control, cuando un incidente de ciberseguridad se origine en la ejecución, por un agente de IA, de acciones que excedan sus permisos o el ámbito para el cual fue autorizado; y el de Cuasi incidente de pérdida de control, cuando el Agente supera una medida destinada a limitar sus permisos o su ámbito de operación, pero es contenida por otra medida antes de perjudicar o comprometer cualquiera de los elementos de un incidente de ciberseguridad.  

¿Qué nuevas obligaciones tendrían las empresas? 

Las instituciones privadas sujetas a la Ley Marco de Ciberseguridad (art. 4°) deberán implementar una serie de controles al operar con agentes de IA. Entre los principales se encuentran:  

• Asignar una identidad digital verificable a cada Agente de IA, que permita distinguir sus actuaciones. 

• Definir y registrar previamente sus permisos, incluyendo quién autorizó su operación, a qué recursos puede acceder, qué acciones puede ejecutar y por cuánto tiempo. 

• Registrar la delegación de tareas a otros Agentes de IA, evitando que obtengan permisos superiores a los originalmente autorizados. 

• Mantener registros de sus actuaciones, que permitan reconstruir qué hizo el Agente, cuándo actuó y bajo qué autorización. 

• Implementar mecanismos de supervisión y control que permitan detectar desviaciones y suspender o revocar accesos. 

• Contar con mecanismos para interrumpir de manera segura la operación cuando el Agente actúe fuera de sus permisos. 

•  Registrar internamente los denominados Cuasi incidentes de pérdida de control.  

Tratándose de instituciones privadas calificadas como Operadores de Importancia Vital (OIV), se contempla:  

• Mantener un registro actualizado de los Agentes de IA con acceso a sistemas de producción. 

• Evaluar los controles de los Agentes de IA antes de ponerlos en operación. 

• Realizar nuevas evaluaciones después de modificaciones sustanciales. 

• Ejecutar pruebas periódicas de seguridad en función del nivel de riesgo, incluyendo evaluación de la eficacia de los controles y su posibilidad de elusión o funcionamiento defectuoso. 

¿Qué deberían revisar las empresas? 

Considerando que el proyecto recién inicia su tramitación, su texto podría cambiar. No obstante, en su versión actual, el proyecto implicaría para las empresas que operan Agentes de IA o evalúan hacerlo, revisar qué agentes utilizan, a qué sistemas y credenciales acceden, y si cuentan con los registros y mecanismos necesarios para supervisarlos y detenerlos; con controles proporcionales al grado de autonomía del agente, sus permisos, la sensibilidad de la información a la que accede y la criticidad de los sistemas involucrados. 

En los casos en que estos agentes sean provistos por terceros, también conviene revisar los contratos respectivos, ya que el proyecto no libera a la empresa de sus obligaciones por el hecho de externalizar el servicio. 

¿Cuándo entrarían en vigencia las nuevas obligaciones? 

El proyecto contempla un plazo de 12 meses desde la publicación de la eventual ley, otorgando tiempo a las organizaciones para adaptarse.  

Para más información puedes contactar al equipo Corporativo de Fischer y Cía.  

Catalina Wastavino, Asociada senior de Fischer y Cía