El Departamento de Comercio propone imponer «Conoce a tu cliente» a los proveedores de IaaS

Propósito y alcance de la propuesta de norma KYC para IaaS

• La norma exigiría a los proveedores estadounidenses de IaaS recopilar y conservar datos de identidad (nombre, dirección, fuente de pago, información de contacto, IP y marcas de tiempo) de clientes extranjeros y propietarios beneficiarios, y reportar ciertos usos de entrenamiento de IA.
• Algunos sostienen que gran parte de esta información ya se recopila para facturación y fraude, pero no se verifica formalmente como en la banca.
• Algunos la ven como una extensión del molde AML/KYC (listas de OFAC, SARs, vigilancia continua) desde las finanzas hacia la infraestructura en la nube.

Privacidad, anonimato y libertad en Internet

• Hay una fuerte preocupación de que esto desanonimice aún más la infraestructura y criminalice la privacidad, pasando de un internet sin permisos de «solo necesito una bandeja de entrada» a un modelo controlado por el Estado, con la identidad como requisito inicial.
• Otros responden que el anonimato significativo en línea ya ha desaparecido de hecho para los usuarios comunes, y que insistir en lo contrario principalmente ayuda a actores maliciosos.
• Debate sobre si la privacidad es un espectro —importan la elección y el grado de divulgación— o una binaria —o eres anónimo o no lo eres—.

Eficacia y costos de KYC/AML

• Los críticos dicen que KYC/AML hace poco contra el lavado de dinero y la financiación del terrorismo a gran escala, principalmente carga a inocentes y crea captura regulatoria y fosos de cumplimiento.
• Los partidarios argumentan que el uso anónimo de infraestructura compartida es central para estafas, spam y malware a gran escala, y que vale la pena aumentar el costo y el esfuerzo de los delincuentes.
• Varios señalan que grandes bancos han lavado dinero pese al AML, mientras que los clientes pequeños enfrentan límites estrictos, retrasos y controles intrusivos.

Argumentos de seguridad y defensa nacional

• Defensores: dado el panorama moderno de amenazas (infraestructura crítica accesible por Internet, uso indebido de la IA), cierta supervisión basada en identidad del cómputo está justificada.
• Oponentes: asegurar o desconectar de la red los sistemas críticos en lugar de vigilar a todos; los controles de identidad se comparan con una cultura de «papeles, por favor» y pueden reducir la seguridad al fomentar una confianza excesiva en la identidad.

Impactos en proveedores, competencia e innovación

• Temor a que la carga de cumplimiento perjudique a los pequeños negocios de hosting e incluso a los gestionados por adolescentes, elimine los registros anónimos o de baja fricción y favorezca a los grandes incumbentes (captura regulatoria).
• Preocupación de que los proveedores extranjeros sin tales reglas ganen eficiencia y de que esto se parezca a otros impulsores globales de vigilancia y control de exportaciones.

IA, GPUs y controles de exportación

• La norma incluye reportar cuando usuarios extranjeros entrenan «grandes modelos de IA» que podrían permitir actividad cibernética maliciosa, lo que algunos interpretan como una cobertura práctica de la mayor parte del entrenamiento de IA de cierto tamaño.
• Algunos ven esto principalmente como cerrar una laguna en los esfuerzos estadounidenses existentes para restringir GPUs avanzadas a China; otros argumentan que el texto es mucho más amplio que solo los chips de gama alta.

Preocupaciones legales y de libertades civiles

• Inquietudes sobre el exceso de poder del Ejecutivo (eludir al Congreso), atajos fáciles alrededor de la 4.ª Enmienda mediante la delegación a empresas privadas, y efectos de trinquete que son difíciles de revertir.