🔐 En apenas 48 horas, a comienzos de junio, dos de las mayores economías del mundo dieron respuestas muy distintas a la misma pregunta incómoda: ¿qué se hace cuando un solo modelo de IA puede encontrar y explotar fallos de seguridad más rápido que cualquier equipo humano?

El 2 de junio, Washington pidió a los laboratorios de IA que le mostraran sus sistemas más potentes antes de su lanzamiento. Al día siguiente, el 3 de junio, el ministro digital de Tokio dijo que Japón debía poner esos mismos sistemas a trabajar: para defender primero a los bancos y, después, a la infraestructura crítica.

Lo que Japón decidió realmente

El 29 de mayo, la ministra de Servicios Financieros, Satsuki Katayama, confirmó que el gobierno japonés y los tres megabancos del país —MUFG, SMBC y Mizuho— habían obtenido acceso a un nuevo modelo de OpenAI diseñado para detectar y corregir vulnerabilidades de software. La prensa lo identifica como "GPT-5.5 Cyber". Katayama, que acababa de reunirse con el director de estrategia de OpenAI, Jason Kwon, lo dijo sin rodeos: era algo que cabía celebrar desde el punto de vista del refuerzo de la ciberseguridad de las entidades financieras japonesas.

Días después, el 3 de junio, el ministro digital, Hisashi Matsumoto, fue un paso más allá. Que los bancos usaran estas herramientas era un comienzo, dijo, pero ese mismo acceso debía ampliarse a otros operadores de infraestructura: las redes eléctricas, de gas y de telecomunicaciones que un ciberataque serio podría dejar fuera de servicio. Matsumoto es un exmédico de urgencias que ayudó a poner en marcha el servicio japonés de ambulancias aéreas y hoy también lleva la cartera de ciberseguridad.

El gobierno también intenta obtener acceso a Claude Mythos, de Anthropic, el modelo restringido que puso en marcha toda esta cadena, aunque Katayama reconoció que ese acuerdo todavía tiene detalles por resolver.

El modelo que desató la carrera

Para entender por qué una ministra de Finanzas y un ministro digital hablan de pronto del mismo software, hay que empezar por Mythos.

Claude Mythos es el modelo más capaz de Anthropic, retirado del lanzamiento público y compartido solo con un grupo reducido de organizaciones examinadas, precisamente por lo que es capaz de hacer en seguridad. En las pruebas demostró que podía descubrir y explotar vulnerabilidades inéditas mucho más rápido que los investigadores humanos: una capacidad que es un regalo para quien defiende y un arma en las manos equivocadas.

Ese problema de doble uso es justo lo que inquietó a los gobiernos, y el reflejo de Japón fue tratar a la IA avanzada como infraestructura defensiva. En mayo, el Ministerio de Economía, Comercio e Industria (METI) se sentó con operadores de infraestructura crítica y pidió a las eléctricas, en particular, que inventariaran sus sistemas informáticos y reportaran en torno a un mes. La Oficina Nacional de Ciberseguridad emitió su propia alerta sobre los ataques acelerados por IA de alto rendimiento. La lógica es directa: si los atacantes acabarán teniendo estas herramientas, quien defiende las necesita antes.

La otra historia: un Estado aprendiendo a usar IA

El impulso de ciberdefensa se apoya sobre un cambio más lento que lleva un año gestándose: la burocracia japonesa adoptando de verdad la IA generativa.

La Agencia Digital opera un entorno interno de IA para funcionarios con un nombre muy en su línea: "Genai" (源内). Es un doble juego de palabras —con "IA generativa" y con Hiraga Gennai, un inventor del período Edo— con la esperanza de que se convierta en un lugar donde se reúnan los inventos impulsados por IA. La agencia ha ido sumando modelos de frontera de OpenAI a ese conjunto de herramientas, desplegándolo entre los ministerios y explorando aplicaciones de IA específicas para el sector público.

Todo esto ocurre bajo un régimen legal notablemente ligero. La Ley de Promoción de la IA de Japón —la primera norma específica sobre IA del país— se aprobó en mayo de 2025 y entró plenamente en vigor en septiembre. Y, fundamental: no contempla sanciones. Se apoya en la transparencia y en el esfuerzo voluntario de las empresas más que en el castigo, con la ambición declarada de convertir a Japón en "el país más amigable del mundo" para desarrollar y usar la tecnología. La ley nace del Proceso de IA de Hiroshima, el marco internacional que Japón lanzó como anfitrión del G7 en 2023.

La misma pregunta, tres puertas

Aquí está lo que hace que valga la pena detenerse en los primeros días de junio de 2026. La misma capacidad —IA de frontera que potencia las operaciones cibernéticas— produjo tres reflejos políticos distintos en cuestión de días.

Estados Unidos eligió el voluntarismo. El 2 de junio, un decreto presidencial creó un marco en el que se pide a los desarrolladores de IA, de forma voluntaria, dar al gobierno federal acceso a los "modelos de frontera cubiertos" hasta 30 días antes de entregarlos a otros socios de confianza, para que el gobierno evalúe el riesgo de ciberseguridad. El decreto rechaza de forma explícita crear cualquier licencia obligatoria o autorización previa. La postura de Washington hacia Anthropic, en concreto, ha sido ambivalente: el Pentágono señaló hace poco a la empresa como un riesgo en la cadena de suministro, justo cuando el modelo que construye se vuelve un trofeo defensivo en otros lugares.

La Unión Europea eligió la ley dura. La Ley de IA de la UE, en vigor desde 2024, alcanza su mayor hito el 2 de agosto de 2026, cuando se activan las reglas para los sistemas de alto riesgo y la maquinaria de cumplimiento. Los proveedores de los modelos más potentes afrontan obligaciones respaldadas por multas que pueden llegar a una parte de su facturación mundial.

Japón eligió el despliegue. En lugar de una nueva ley o de un sistema de revisión previa al lanzamiento, el movimiento de Tokio fue operativo: poner modelos defensivos en manos de bancos y operadores de infraestructura, rápido, bajo un marco de derecho blando que valora la velocidad por encima de las reglas. El filtro funciona menos por la legislación que por la contratación pública: qué acepta comprar el gobierno y a quién más decide dejar usarlo.

La dependencia que nadie ha resuelto

La trampa es difícil de no ver. Todos los modelos de esta historia —Mythos, el sistema cibernético de OpenAI— son estadounidenses. La postura defensiva de Japón, por ahora, funciona con IA de frontera construida en San Francisco.

Es la misma tensión que atraviesa toda la estrategia de IA de la región: apoyarse hoy en los modelos de EE.UU. para tener capacidad real, mientras se vuelca dinero en alternativas nacionales para la soberanía del mañana. Es una apuesta viable, pero deja abierta la pregunta de qué pasa si cambian las condiciones de acceso, suben los costos o se mueve la geopolítica.

Hay también una pregunta interna, más callada. Conectar IA de frontera a los bancos y a las redes eléctricas es una cosa cuando el ministro a cargo es además el jefe de ciberseguridad y un exmédico de urgencias acostumbrado al triaje. Es otra muy distinta escalar eso a todo un gobierno sin los tropiezos que suelen venir con moverse rápido.

Japón ha decidido que el riesgo de moverse despacio es el mayor. En dos meses entra en funcionamiento el régimen de cumplimiento europeo, y el contraste no hará sino agudizarse.

En Japón, el instinto fue desplegar primero y regular con mano ligera. ¿Cómo lo está manejando tu país? ¿Tu gobierno busca primero nuevas reglas, o la tecnología misma?

Referencias