La IA de código abierto de China gana terreno: qué significa para la rivalidad con EE. UU.

La competencia entre Estados Unidos y China en inteligencia artificial ya no se decide únicamente en los laboratorios ni en las tablas de rendimiento. Cada vez importa más quién consigue poner una IA capaz en manos de más desarrolladores, empresas y gobiernos al menor coste.

DeepSeek, Kimi —de Moonshot AI— y Qwen —de Alibaba— han convertido los modelos con pesos abiertos en una pieza central de esa disputa. Un análisis de investigadores de Stanford concluyó que los modelos chinos de pesos abiertos han recortado rápidamente la brecha de capacidades y adopción, y que en algunos ámbitos ya igualan o superan a sus rivales internacionales. En septiembre de 2025, la familia Qwen también superó a Llama, de Meta, como la familia de grandes modelos de lenguaje más descargada en Hugging Face. 18

Para Washington, el avance plantea un dilema: restringir los modelos chinos podría reducir la exposición en entornos delicados, pero una prohibición amplia también podría dejar a China el nivel de desarrollo abierto y eliminar parte de la transparencia y el control local que hacen atractivos estos sistemas.

“Pesos abiertos” no significa necesariamente “código abierto”

Un modelo con pesos abiertos permite descargar sus parámetros ya entrenados para ejecutar o adaptar el sistema. Es una diferencia fundamental frente a un modelo cerrado, al que normalmente se accede mediante una aplicación o una API controlada por el proveedor. 33

Sin embargo, publicar los pesos no implica necesariamente compartir:

• el código original de entrenamiento;
• los datos utilizados o su procedencia;
• una receta reproducible de entrenamiento;
• evaluaciones completas;
• derechos comerciales y de redistribución sin restricciones;
• información transparente sobre filtros, ajustes de seguridad o desarrollo.

Por eso, la palabra “abierto” debe analizarse versión por versión. Un modelo puede descargarse y, aun así, ser difícil de reproducir, estar sujeto a una licencia restrictiva o mantener en secreto los datos que influyeron en su comportamiento. El concepto de IA plenamente de código abierto exige un acceso más amplio al código, a la información relacionada con los datos y a los demás componentes necesarios para estudiar y reproducir el sistema. 41

La distinción es importante al comparar DeepSeek, Kimi y Qwen: la disponibilidad, la licencia y el nivel de documentación técnica pueden cambiar entre lanzamientos, y la información pública puede quedarse atrás respecto a esas modificaciones.

China compite por la adopción, no solo por las puntuaciones

Los laboratorios chinos han combinado un rendimiento competitivo con precios bajos, eficiencia y la posibilidad de desplegar los modelos en infraestructura propia. Así ofrecen a empresas emergentes, investigadores y compañías una alternativa a depender por completo de las costosas API estadounidenses alojadas en la nube. Investigaciones sobre política tecnológica describen un círculo de retroalimentación: los lanzamientos baratos atraen usuarios; esos usuarios crean herramientas, integraciones y derivados; y el ecosistema acelera nuevas iteraciones. 1720

La ventaja no se mide solo por cuántas personas utilizan un chatbot. Cada despliegue puede generar:

• modelos especializados y ajustados para tareas concretas;
• herramientas para desarrolladores e integraciones;
• nuevos puntos de referencia y reportes de errores;
• familiaridad con una determinada familia de modelos;
• dependencias comerciales y estándares técnicos de facto.

Según el análisis de Stanford, los desarrolladores chinos representaron el 17,1 % de las descargas de Hugging Face entre agosto de 2024 y agosto de 2025, ligeramente por delante de los desarrolladores estadounidenses, con un 15,8 %. 18 Otros informes también han documentado el creciente uso de modelos chinos por parte de empresas estadounidenses que buscan reducir costes. 31

Si los modelos de origen chino terminan integrados en programas, dispositivos, servicios públicos y sistemas industriales en todo el mundo, Pekín podría ganar influencia sobre las configuraciones técnicas, las actualizaciones y las cadenas de suministro asociadas. Es un posible punto de presión geopolítica, no una prueba de que todo modelo desplegado localmente esté comprometido.

“Riesgo chino” engloba problemas distintos

El debate de seguridad suele mezclar preocupaciones que conviene separar.

1. Acceso a los datos en servicios alojados

Cuando un usuario envía instrucciones, archivos o identificadores a un servicio alojado en China, esa información sale de su entorno y puede quedar sujeta a la jurisdicción del proveedor y a la legislación aplicable. Los datos de defensa, sanidad, infraestructuras críticas, administraciones públicas y empresas requieren por tanto una evaluación formal antes de enviarse a cualquier servicio externo.

Alojar el modelo en servidores propios cambia ese flujo de datos concreto. Una infraestructura bien configurada puede mantener las instrucciones y los documentos dentro de la red de una organización. Pero eso no garantiza que el paquete del modelo, el software que lo ejecuta o las herramientas conectadas sean seguros.

2. Censura, sesgos y comportamiento

El entrenamiento y el ajuste de un modelo pueden producir negativas, omisiones, encuadres políticos o desinformación. Un informe del Congreso estadounidense alegó que el producto alojado de DeepSeek transfería datos de ciudadanos estadounidenses a China y manipulaba sus respuestas. Son conclusiones y acusaciones de una investigación parlamentaria; no equivalen a una prueba de que cada archivo de pesos descargable contenga código malicioso. 2

Además, el comportamiento del producto alojado puede diferir del de una versión ejecutada localmente. Los mensajes de sistema, la capa de moderación, las herramientas de recuperación de información y el proceso de actualización también determinan las respuestas.

3. Puertas traseras y cadena de suministro

En teoría, un paquete de modelo o el software que lo rodea podría incluir código inseguro, comportamientos manipulados o activadores ocultos. Pero el país de origen, por sí solo, no demuestra la existencia de una puerta trasera. Los equipos de seguridad deben comprobar la procedencia, los hashes y las firmas, revisar la actividad de red, aislar los componentes y probar todo el sistema de despliegue.

4. Los riesgos de los modelos cerrados

Los modelos propietarios cerrados tienen sus propios riesgos de concentración y rendición de cuentas. Por lo general, el usuario no puede inspeccionar sus pesos, datos de entrenamiento, instrucciones ocultas, telemetría, filtros ni proceso de actualización. Las API centralizadas también pueden convertirse en objetivos de vigilancia, interrupciones, ataques y cambios unilaterales de política.

El acceso cerrado facilita a veces la supervisión del abuso, la aplicación de cambios de seguridad y el control de la redistribución. Pero no vuelve fiable a un modelo de forma automática. Los sistemas abiertos y cerrados presentan riesgos y formas de control diferentes.

El mejor argumento contra una prohibición general: el alojamiento local

Ejecutar un modelo en la propia infraestructura puede dar a una organización más control sobre su superficie de riesgo. Un equipo de seguridad puede fijar una versión concreta, verificar los artefactos, limitar las conexiones salientes, analizar dependencias, aislar el servicio, realizar pruebas de ataque y mantener los datos sensibles dentro de la red.

El acceso a los pesos también permite que investigadores independientes reproduzcan fallos y estudien sesgos o activadores ocultos. Pero esa transparencia no equivale a seguridad garantizada: pocas organizaciones pueden auditar por completo el comportamiento aprendido de un modelo muy grande, el ajuste posterior puede introducir nuevas vulnerabilidades y un despliegue aislado solo protege los datos si toda la cadena está configurada correctamente.

La lección práctica es evaluar el despliegue, no solo la etiqueta del modelo. Una API alojada en China, una instalación local auditada y un derivado descargado de una fuente no verificada plantean riesgos diferentes.

La destilación está en el centro de la controversia

La destilación consiste en entrenar un modelo más pequeño o nuevo —el “estudiante”— usando información generada por un modelo más potente —el “profesor”—.

• La destilación de caja negra utiliza respuestas observables, a menudo obtenidas mediante consultas a una API. Puede ser legítima si está autorizada, pero la extracción masiva puede incumplir las condiciones de servicio, eludir salvaguardas o copiar comportamientos propietarios.
• La destilación de caja blanca emplea información interna, como pesos, logits o estados ocultos. Puede transferir capacidades con mayor eficiencia, pero normalmente requiere autorización para acceder a esos elementos; obtenerlos sin permiso plantea problemas más directos de seguridad y secretos comerciales.

OpenAI y Anthropic han acusado a empresas chinas, incluida DeepSeek, de utilizar respuestas de sus modelos para entrenar nuevos sistemas. La Comisión de Revisión Económica y de Seguridad entre Estados Unidos y China describió acusaciones sobre cuentas fraudulentas, servicios proxy y extracción coordinada, mientras que Reuters informó de la acusación de OpenAI de que DeepSeek intentaba “aprovecharse gratuitamente” de las capacidades de los modelos punteros estadounidenses. Siguen siendo acusaciones, no hechos resueltos por un tribunal u otro proceso de decisión. 35

El reto para las autoridades es que la extracción mediante caja negra puede parecerse al uso legítimo de una API a gran escala. La respuesta no debería consistir en declarar ilegal toda destilación: cuando está autorizada, es una técnica habitual de desarrollo de modelos.

Qué cambia para Silicon Valley y Washington

Los lanzamientos chinos de pesos abiertos presionan el modelo de negocio estadounidense basado en API propietarias y caras. Las empresas de EE. UU. deben decidir si mantener los pesos cerrados protege su ventaja o permite que China y otros competidores se queden con los desarrolladores, las integraciones y la distribución global.

El liderazgo de Qwen en descargas frente a Llama es una señal concreta de que la batalla por los modelos abiertos importa. 18 Aun así, la evidencia disponible no permite afirmar cuál ha sido la respuesta específica y actual de Nvidia o Meta ante DeepSeek V4 Pro o Kimi K3. Las afirmaciones sobre decisiones concretas de cada compañía deben apoyarse en declaraciones primarias fechadas, no en inferencias sobre el cambio general del mercado.

En Washington, la adopción de modelos desarrollados en China ya recibe un mayor escrutinio. Comités de la Cámara de Representantes anunciaron una investigación conjunta sobre los riesgos de seguridad nacional y ciberseguridad asociados con modelos de la República Popular China, incluidos sistemas baratos de pesos abiertos y modelos accesibles mediante API de empresas como DeepSeek, Alibaba y Moonshot AI. 14

También se han descrito conversaciones sobre posibles restricciones, pero la evidencia proporcionada no demuestra que Estados Unidos haya aprobado una prohibición comercial general de los modelos chinos de pesos abiertos. 912

Opciones de política más allá de “prohibirlo todo”

Un marco más específico podría combinar varias medidas:

1. Controlar los usos de alto riesgo. Exigir autorización o prohibir modelos no evaluados en defensa, inteligencia, infraestructuras críticas, sistemas gubernamentales sensibles y otros entornos que manejen datos de alto impacto.
2. Fijar requisitos de despliegue seguro. Exigir registros de procedencia, paquetes firmados, listas de materiales de software, pruebas independientes, resultados de equipos de ataque y opciones de aislamiento de red en instalaciones sensibles.
3. Diferenciar los servicios alojados de los pesos locales. Una API alojada en China presenta un riesgo de acceso a datos distinto al de un artefacto instalado localmente y auditado de forma independiente.
4. Perseguir la extracción no autorizada. Mejorar la verificación de cuentas, la supervisión del volumen de consultas, la detección de abusos, las técnicas de procedencia y el cumplimiento contractual, sin definir toda destilación como robo.
5. Aplicar controles específicos a exportaciones e inversiones. Concentrarse en chips avanzados, equipos de fabricación, acceso a la nube y entidades vinculadas de forma creíble a usos militares o de inteligencia, teniendo en cuenta que las restricciones demasiado amplias pueden acelerar la sustitución nacional china.
6. Crear un ecosistema estadounidense y aliado de modelos abiertos. Invertir en modelos seguros y bien documentados, evaluaciones multilingües, inferencia eficiente y herramientas de despliegue. Una alternativa competitiva responde más directamente a la estrategia china de adopción que limitar por sí sola la elección de los usuarios. 10

La conclusión

Los modelos chinos de pesos abiertos están modificando la carrera de la IA porque hacen que los sistemas capaces sean más baratos de adoptar, más fáciles de personalizar y más difíciles de contener una vez publicados. Su importancia estratégica depende tanto del tamaño del ecosistema como de la calidad del modelo.

Las preocupaciones de seguridad son serias, especialmente en los servicios alojados, los datos sensibles, la integridad de la cadena de suministro y las acusaciones de destilación no autorizada. Pero la nacionalidad no basta para determinar si un despliegue es seguro, y los modelos cerrados estadounidenses tampoco están libres de riesgos por el simple hecho de mantener sus pesos en secreto.

La respuesta más defendible es, por tanto, proporcional al riesgo: proteger la cadena de suministro, limitar los usos sensibles, investigar las pruebas creíbles de robo de modelos y construir un ecosistema estadounidense y aliado de modelos abiertos capaz de competir no solo en rendimiento, sino también en distribución.