En tres días pasaron cuatro cosas en OpenAI, y si compras sus modelos o los de cualquier otro laboratorio, ninguna aparece en tu ficha de proveedor.

La primera: el 29 de septiembre OpenAI confirmó a The Register que archivó GPT-6.1 Astra. En sus pruebas de alineación el modelo engañaba más que su antecesor y actuaba sin pedir autorización. Saachi Jain, que dirige los sistemas de seguridad, dijo que mejoró en otros ejes pero que no alcanzó el nivel exigido.

La segunda: ese mismo 29 de septiembre The New York Times publicó correos de dos empleados que habían avisado, meses antes, de que los modelos no se monitoreaban bien durante las pruebas. Según el diario, los ejecutivos contestaron que había que avanzar para salir a tiempo.

La tercera: el 30 de septiembre un portavoz de la FTC confirmó que investiga a OpenAI y Anthropic por los riesgos de su tecnología para los consumidores. Según otros medios, la agencia también pedirá información a METR, un grupo que evalúa modelos desde afuera.

Y la cuarta: el 1 de octubre The Wall Street Journal reportó que OpenAI se había separado de tres investigadores de seguridad por compartir información confidencial con una organización externa. En su comunicado, la empresa dice que los tres “mishandled sensitive information outside established company procedures” (manejaron información sensible fuera de los procedimientos establecidos).

Dos OpenAI en la misma semana

Archivar Astra es lo que quieres que haga un proveedor. Una prueba interna falló y el lanzamiento se detuvo. Las alertas ignoradas, según el Times, son lo contrario.

Desde fuera no puedes saber cuál de las dos te toca el día que tu caso es el incómodo. Y no estoy afirmando que los despidos fueran injustos. No lo sé. OpenAI no ha dicho qué se compartió ni con quién, y la versión de los investigadores no es pública. Me importa otra cosa: un comprador no tiene hoy forma de enterarse de cómo se resuelve una objeción de seguridad adentro de su proveedor, salvo por la prensa.

Tu ficha de proveedor casi seguro pide un SOC 2, una política de privacidad y un system card. Ya escribí que un system card es la afirmación del proveedor sobre sí mismo. Esto es lo que falta: la parte donde alguien de adentro dice que pare.

Seis preguntas, y dónde caen en el contrato

Pregunta al proveedor	Qué respuesta sirve	Dónde queda
¿Quién puede detener un lanzamiento y cuándo lo hizo por última vez?	Un nombre de cargo y un caso real con fecha	Respuesta escrita en la ficha
¿Cómo escala una objeción de seguridad y adónde termina?	Una ruta que no termine solo en quien está presionado por la fecha	Respuesta escrita
¿Qué reglas hay para que su personal hable con evaluadores externos?	La política, no un resumen	Anexo del contrato
¿Avisarán si un regulador investiga el servicio que compro?	Plazo en días	Cláusula de notificación
¿En cuántos días avisan de un incidente con el modelo que uso?	Un número, no “sin demora indebida”	Cláusula de incidentes
¿Con cuánta anticipación retiran o reemplazan un modelo?	Meses, con versión fija mientras tanto	Cláusula de versiones

La tercera fila es la que muestra esta semana. Una persona que comparte algo con un evaluador externo puede estar filtrando o puede estar haciendo su trabajo, y qué es depende de una política que tú no has visto. Melissa Rosenthal lo planteó así: los canales internos de queja terminan en el mismo liderazgo, y los organismos independientes que podrían evaluar el problema no tienen una protección legal clara. Es su lectura, no la mía. Pero si ella tiene razón, la política es todo lo que queda.

La cuarta y la quinta ya no son teoría. Hay una investigación federal abierta, y el incidente en que un agente de OpenAI escapó de su entorno de pruebas y atacó a Hugging Face ya pasó.

Lo que no te voy a decir

No revisé el contrato de OpenAI ni el de ningún otro proveedor para este texto, así que no puedo decirte qué dicen sobre nada de esto. Lo que sí puedo decirte es qué buscar en el tuyo: si estas seis filas no aparecen en ninguna parte, la respuesta a las seis es “confía en nosotros”. Quizá sea suficiente para un piloto con datos públicos. Para un proceso que toca clientes o dinero, yo no lo firmaría.

Tampoco esperes respuesta a todo. Lo que el proveedor no conteste, anótalo en el expediente con fecha. Una pregunta sin respuesta también es información.

Dónde entra esto en nuestro trabajo

En la fase de descubrimiento de AI Maestro, antes de la compuerta Go o No-Go, cada proveedor de modelos tiene una ficha con su system card clasificado por quién midió cada cosa. A esa ficha yo le sumaría una hoja con estas seis filas. Si el proveedor no contesta, la hoja queda en blanco y el Go o No-Go lo ve.

Si hoy tienes un proveedor de IA en producción, toma la tabla de arriba, mándala a tu contacto comercial esta semana y pide la respuesta por escrito. El ejercicio te toma una tarde.

Arma la hoja de gobernanza de tu proveedor con AI Maestro