El modelo como activo: valor y riesgo

Cuando una empresa ajusta un modelo base de pesos abiertos, el modelo base no es lo que la diferencia: cualquiera lo descarga. Lo que la diferencia es lo que puso encima. Los datos anotados por especialistas, el cómputo del ajuste, las pruebas y, sobre todo, el conjunto de evaluación con el que sabe dónde acierta y dónde falla. Ese conjunto es especialmente sensible: quien lo tiene sabe exactamente en qué competir.

Por eso el inventario de activos de un sistema con IA no se queda en «el modelo». Lista los pesos, los datos de entrenamiento, el conjunto de evaluación, las instrucciones y la API, y para cada uno anota qué gana un tercero si lo obtiene. Esa columna es la que ordena la protección.

Los pesos de un modelo se copian más de lo que parece: el registro de modelos, los servidores que lo sirven, los respaldos, los paquetes para clientes que lo instalan en su casa y las copias que alguien hizo para una demostración. Cada copia es una puerta. Las del registro y los servidores suelen estar bien cerradas porque alguien las vigila a diario; las de una demostración, no, porque nadie las piensa como producción.

Lee el inventario de copias y busca la que está sin cifrar y al alcance de cualquiera.

Ponerle cifra al activo ayuda a decidir cuánto gastar en protegerlo y a explicar el riesgo a la dirección. La cifra útil es el costo de volver a construir el modelo: lo que un competidor se ahorra si lo copia. La operación del servicio es otra cosa, porque se paga igual aunque nadie copie nada.

Suma las partidas de construcción de la versión 3 y deja fuera lo que no es construcción.

El robo directo de pesos rara vez es espectacular. Lo habitual es un acceso que se dio para una tarea y nadie retiró: una cuenta de un externo, una cuenta de servicio con más permisos de los necesarios o una persona que cambió de área. La revisión cruza dos listas: quién puede leer los pesos y qué dice el acuerdo con cada persona.

Compara las cuentas con lectura de pesos con los contratos de personal externo.

Un modelo se puede perder por tres caminos distintos. Por copia directa de los pesos, desde un almacenamiento mal protegido. Por acceso interno, cuando alguien con permiso se lo lleva. O por extracción a través de la API, cuando alguien consulta lo suficiente como para entrenar una imitación. MITRE ATLAS, el marco público de amenazas contra sistemas de IA, recoge tanto la exfiltración a través de la API de inferencia como la recolección de artefactos del modelo, que incluye los pesos. Y la lista de OWASP para aplicaciones con modelos de lenguaje (edición 2025) trata la extracción por la API dentro del consumo sin límites. Cada vía pide su control; ninguno cubre las tres.