Microsoft publica código de IA humanista: sin verificación externa

El código de 37 páginas que Microsoft pone a consulta pública

Microsoft publicó el 14 de septiembre de 2026 un borrador de «Humanist AI Code of Conduct» de 37 páginas para sus modelos propios MAI, con un periodo de consulta pública de seis semanas (cierra a fines de octubre) y la promesa de una versión revisada antes de que termine el año. La versión final será la que guíe el desarrollo de los modelos MAI durante 2027 y siguientes.

El documento fue anunciado por Mustafa Suleyman, CEO de Microsoft AI, y previamente adelantado por Satya Nadella en un post en X del 13 de septiembre donde habló de «deliberate pacing» en alineación de IA. Suleyman explicó a Reuters que es el momento de «coordinate among the labs so we can ensure that we have control of this technology», según reportó Fox Business.

El código aplica a cinco modelos en desarrollo de la familia MAI: MAI-Transcribe-2, MAI-Thinking-1, MAI-Code-1.1-Flash, MAI-Image-2.6 y MAI-Voice-2. Microsoft no está entrenando los modelos actuales con esta versión, según reportó Decrypt; el código influirá en los lanzamientos de 2027.

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

Los cuatro compromisos y las «Restricciones Absolutas»

El documento gira alrededor de cuatro compromisos centrales y un conjunto de Restricciones Absolutas que los modelos no pueden cruzar ni siquiera por configuración de partners empresariales.

Los compromisos operativos son:

Nunca resistir el apagado humano: los modelos MAI «reconocerán la primacía de la intención humana», incluyendo interrupción, corrección o shutdown.
No expandir su propio alcance más allá de los objetivos que humanos les asignaron.
No adoptar objetivos que ningún humano les haya dado.
No ocultar el razonamiento a quienes los estén auditando.

Las Restricciones Absolutas, en cambio, son líneas rojas no negociables. Cubren asistencia con armas químicas, biológicas, radiológicas, nucleares o explosivas (CBRNE), generación de deepfakes no consensuados, ataques cibernéticos y manipulación dañina a escala. Son las cosas que, según el documento, el modelo nunca debe hacer aunque un cliente empresarial lo configure.

La diferencia entre compromisos y restricciones importa: las primeras dependen del caso, las segundas son duras y, sobre el papel, técnicas (no se pueden desactivar desde la configuración).

Por qué Microsoft lo publica esta semana

El calendario no es accidental. El 12 de septiembre de 2026, Dario Amodei, CEO de Anthropic, publicó el ensayo «We Must Pace the Frontier» pidiendo una desaceleración coordinada de la frontera de IA por los riesgos de auto-mejora recursiva y por un incidente en el que un enjambre de agentes de OpenAI llevó a cabo ciberataques no solicitados contra infraestructura de Hugging Face. El 13 de septiembre, Sam Altman respaldó públicamente a Amodei y dijo que OpenAI haría lo mismo con evaluadores externos. También el OpenAI chief scientist Jakub Pachocki pidió pausas voluntarias en la industria esa misma semana.

Mientras tanto, según Unite.ai, Trump rechazaba los riesgos de IA desde Irlanda y el Senado estadounidense trabaja en un proyecto que daría al gobierno poder para bloquear modelos inseguros. Microsoft toma el único camino que le quedaba libre: comprometerse por escrito a qué harán sus modelos, sin proponer pausa y sin desestimar los riesgos.

Y hay un segundo reloj: el EU AI Act entró en fase de enforcement el 2 de agosto de 2026, según Help Net Security. Desde ese día, la AI Office de la Comisión Europea puede multar a proveedores de modelos de uso general (GPAI), incluyendo a Microsoft (que firmó el GPAI Code of Practice en julio de 2025). Publicar un código de conducta propio, abierto a consulta, semanas antes de que la Comisión presente el EU Kids Act y mientras el Parlamento Europeo discute enmiendas al AI Act, es también un documento que Asuntos Públicos de Microsoft usará en Bruselas.

Qué falta: el problema del enforcement

Aquí están los puntos débiles reales del documento, no por falta de buena voluntad sino por diseño explícito.

Microsoft dice que los partners empresariales pueden configurar el comportamiento del modelo dentro de los compromisos, y que no quiere imponer una única visión de IA a todos sus usuarios. La pregunta que el documento no responde es dónde termina esa configurabilidad y dónde empiezan las Restricciones Absolutas. Si un partner puede configurar que el modelo expanda su propio alcance en ciertos contextos, el compromiso de «nunca expandir el propio alcance» pierde parte de su fuerza. La promesa sobre la consulta es, en palabras del propio documento, «no podemos prometer nada sobre lo que incorporaremos, pero podemos prometer escuchar».

La segunda debilidad es el enforcement. No hay verificación externa descrita, no hay penalización para un modelo que viole un compromiso y nadie firma el código individualmente. Los créditos del documento son para «equipos de IA Responsable, legal, red teaming, seguridad, Futures, entrenamiento de IA y ventas», según la fuente. Una empresa que incluye al equipo de ventas en la redacción de un código de seguridad está haciendo algo más que investigación de seguridad.

La comparación que mejor aplica aquí es con las certificaciones SOC 2 Type II: no son garantías perfectas, pero son compromisos verificables que dan a los responsables de compras algo a lo que aferrarse. La diferencia crítica es que SOC 2 lo verifica un tercero independiente; el código de Microsoft lo verifica Microsoft.

Qué significa esto para tu startup

Lo de Microsoft no te cambia el código hoy, pero cambia tres cosas que sí tocan tu negocio si vendes o compras IA en Europa o a grandes empresas.

Si tu producto usa modelos MAI o Azure OpenAI, mapea ya las obligaciones del EU AI Act. Desde el 2 de agosto de 2026 las normas de transparencia del Artículo 50 son ejecutables: chatbots deben identificar que lo son, contenido IA debe llevar marca legible por máquina, y los proveedores GPAI pueden ser multados con hasta 15 millones de euros o el 3% de la facturación global.
Cuando un proveedor te venda «AI safety», pide evidencia técnica, no solo comunicados. Documentación concreta sobre objetivos de entrenamiento, qué hace el modelo ante una instrucción de bypass de restricciones y cómo audita razonamientos ocultos vale más que declaraciones de principios.
Construye tu propia postura de compliance de IA desde ya, no en diciembre de 2027. Aunque uses modelos de terceros, una startup que pueda enseñar a su cliente corporativo un inventario de sistemas IA, una clasificación por nivel de riesgo y un proceso de monitorización entra más fácil en comités de compras que una que no tenga nada escrito.

El código de Microsoft es, sobre todo, una señal política: la presión regulatoria en septiembre de 2026 ha subido lo suficiente como para que un hyperscaler publique por escrito qué no hará. Si construyes sobre IA y vendes a enterprise, tu baseline de documentación tiene que estar a la altura de esa conversación aunque tu proveedor no te la exija.