Puedes tener tres modelos de IA y seguir dependiendo de un único punto de fallo

Cuando una empresa me dice que usa “varios modelos” de inteligencia artificial, a veces parece que con eso ya ha resuelto la dependencia.

Yo no lo doy por resuelto.

Porque se puede trabajar con tres modelos y seguir dependiendo de un único punto de fallo. La concentración no siempre está donde primero miramos.

El 31 de agosto de 2026, el presidente del Financial Stability Board, Andrew Bailey, escribió a los ministros de Finanzas y gobernadores de bancos centrales del G20. En esa carta, y en el comunicado asociado, el FSB sitúa como preocupación inmediata, para el sistema financiero, el posible impacto de los modelos frontier de IA sobre el riesgo cibernético. Habla de velocidad, escala y economía del ciberriesgo.

El FSB pone el foco, dentro del sistema financiero, en la capacidad de respuesta y recuperación y en la resiliencia respecto de proveedores tecnológicos críticos y otros proveedores comunes.

A mí eso me lleva a una pregunta más amplia: cuántas dependencias que creemos distintas terminan pasando, en realidad, por el mismo punto.

Importa decir el ámbito. El FSB habla desde la estabilidad financiera. No estoy trasladando una obligación financiera a todas las empresas. No afirmo que un proveedor vaya a caer, ni que habrá un ciberataque, ni que la IA provocará una crisis. Uso la fuente para abrir una pregunta de gobierno que también vale en muchos Consejos no financieros:

¿Dónde está realmente nuestra concentración?

Porque la respuesta rara vez es “en el modelo”.

A veces está en la nube. A veces en una API. A veces en el proveedor de identidad. A veces en el almacén de datos. A veces en un componente que nadie revisa porque “siempre ha estado ahí”. A veces en la capacidad de recuperación: si falla lo compartido, ¿cuánto tarda la organización en volver a operar con lo esencial?

Una empresa puede sentirse diversificada porque utiliza varios modelos y, al mismo tiempo, seguir completamente atada a una misma infraestructura, un mismo intermediario o un mismo camino de salida.

En la práctica, puede haber diversificado la etiqueta y concentrado la dependencia.

El FSB insiste, en su ámbito, en resiliencia, en preparación ante escenarios más severos y en la importancia de proveedores tecnológicos críticos y otros servicios comunes. También señala que los riesgos asociados a la IA frontier no respetan fronteras nacionales, y que la disrupción puede propagarse por proveedores comunes e infraestructuras compartidas. De nuevo: no lo leo como panfleto. Lo leo como inventario que conviene hacer con honestidad.

Para un Consejo, el ejercicio no tiene por qué ser enorme. Puede empezar con cinco preguntas:

Si mañana desaparece o se degrada un proveedor clave, ¿qué parte del negocio se para?

Si cambia el modelo o el servicio embebido, ¿qué decisiones o procesos se ven afectados sin que nadie lo note a tiempo?

¿Cuántas rutas críticas pasan, en el fondo, por la misma identidad, la misma nube o la misma API?

¿Qué parte del proceso volvería a ser manual, y en cuánto tiempo?

¿Quién tiene hoy una foto suficientemente clara de esas dependencias como para informar a la sala sin inventar certeza?

Ninguna de esas preguntas pide una predicción apocalíptica. Piden mapa.

Porque el riesgo de concentración no se resuelve comprando un segundo modelo si ambas rutas dependen del mismo cuello de botella. Tampoco se resuelve con una frase de estrategia. Se resuelve viendo dónde está el punto único, aunque ese punto no se llame “IA”.

También me ayuda a no confundir resiliencia con inventario de marcas. Una lista de tres modelos en una diapositiva puede parecer diversificación. Una caída compartida en identidad, datos o recuperación demuestra lo contrario. Por eso prefiero que la sala pregunte por rutas críticas y por capacidad de volver a operar, no solo por el catálogo de proveedores de modelos. Si esa foto no existe, el Consejo está supervisando una etiqueta, no una dependencia.

Cuando miro la carta del FSB, lo que me interesa para la sala no es el tono de alarma. Es la dirección de la mirada: resiliencia, dependencias compartidas, capacidad de respuesta y recuperación. Eso se puede traducir, con cuidado, a cualquier organización que ya haya puesto agentes, modelos o servicios de IA cerca del núcleo operativo.

Tener tres modelos puede ser una buena decisión. También puede ser una distracción.

La pregunta de gobierno sigue siendo la misma: si falla una pieza, ¿fallan muchas a la vez?