Lo que estamos leyendo en el Cyber Resilience Act — y lo que estamos descubriendo sobre cómo se evalúa el trabajo generado por máquinas. Fechado, con fuentes, y corregido por escrito cuando nos equivocamos.
Tres estudios independientes, tres métodos distintos — un estudio dirigido de vulnerabilidades, una comparación controlada humano-modelo y un año de observación de repositorios reales — convergen en el mismo hallazgo: el código generado por IA acarrea un coste de calidad medible que sobrevive a la ganancia de productividad con la que llegó.
La IA puede generar hoy miles de hallazgos de vulnerabilidad en una tarde. Un hallazgo es un testigo, no un veredicto — y el único campo que nadie puede comprobar es el que todos inflan. Así se lee la avalancha sin ahogarse en ella.
La IA ha hundido el coste de encontrar vulnerabilidades. En el ecosistema open source de Bitcoin esa colisión llegó este mes — y Bruselas ha puesto un reloj sobre lo que viene después.
Un proyecto de modificación retrasaría las normas de gestión de vulnerabilidades del CRA. El artículo 14 no se mueve — lo que deja a los fabricantes documentando un deber cuya vara de medir todavía se está redactando.