Seguridad, redundancia y regulación

La seguridad es una afirmación estructurada sobre una función, un vehículo, un dominio operativo y una versión definidos, respaldada por pruebas antes del despliegue y por datos supervisados después. Abarca seguridad funcional, límites de detección, factores humanos, ciberseguridad, operaciones y regulación; ninguna demostración, ensayo ni cifra de kilometraje lo cubre todo.

Empiece por un expediente de seguridad

Un expediente de seguridad es un argumento razonado, respaldado por pruebas, de que un sistema es aceptablemente seguro para un uso y un entorno concretos. Conecta las afirmaciones principales con peligros, requisitos, ensayos, resultados y controles operativos.

El alcance debe ser exacto. Las pruebas de un servicio a baja velocidad en condiciones secas no establecen la seguridad en una autopista con nieve. Las pruebas de una plataforma de vehículo o versión de software no se transfieren automáticamente a otra.

Los desarrolladores utilizan marcos distintos, pero un expediente de seguridad creíble debe abordar al menos:

comportamiento competente durante el funcionamiento normal;
detección y gestión de fallos;
límites de la funcionalidad prevista y de la percepción;
interacción segura con usuarios y otros usuarios de la vía;
prácticas operativas, mantenimiento y respuesta a incidentes;
ciberseguridad y actualizaciones de software controladas; y
pruebas de que el riesgo en servicio sigue siendo aceptable.

Los resúmenes públicos son útiles para el escrutinio, pero no constituyen el expediente completo ni sustituyen la evaluación regulatoria.

Varias disciplinas de seguridad se solapan

La seguridad funcional aborda los peligros causados por el mal funcionamiento de sistemas eléctricos y electrónicos. ISO 26262 proporciona el marco del ciclo de vida del automóvil para este trabajo.

La seguridad de la funcionalidad prevista, recogida en ISO 21448, aborda peligros cuando un sistema funciona según lo diseñado, pero la especificación, el rendimiento de los sensores o el algoritmo resultan insuficientes para la situación.

La seguridad de la IA en vehículos de carretera, abordada en ISO/PAS 8800, cubre riesgos derivados de resultados insuficientes de la IA, errores sistemáticos y errores aleatorios del hardware.

La ingeniería de ciberseguridad, recogida en ISO/SAE 21434, gestiona el riesgo de ciberseguridad del vehículo durante todo su ciclo de vida.

Estas disciplinas se complementan en lugar de sustituirse. Una cámara perfectamente fiable puede ser incapaz de clasificar una escena novedosa. Un modelo de percepción capaz puede seguir siendo inseguro si una actualización comprometida lo modifica.

La redundancia debe responder al fallo

La redundancia solo es útil cuando la vía alternativa sobrevive al fallo considerado. Dos ordenadores conectados a una sola fuente de alimentación no protegen frente a la pérdida de esa fuente. Dos cámaras detrás de la misma obstrucción no protegen frente a una visión bloqueada.

Las arquitecturas de mayor automatización pueden separar:

vías de alimentación eléctrica y comunicaciones;
modalidades de detección y campos de visión;
computación principal y supervisión de seguridad independiente;
vías de accionamiento de la dirección y los frenos;
fuentes de localización; y
control normal y control de riesgo mínimo.

El análisis de seguridad determina dónde se necesitan diversidad o separación. Más componentes también pueden crear más interfaces y modos de fallo, por lo que el número de elementos de hardware no es una medida de seguridad.

El objetivo es una degradación controlada. El vehículo debe detectar el fallo, conservar la capacidad necesaria para la situación inmediata y alcanzar la condición de riesgo mínimo definida.

La dependencia humana cambia según el nivel

En el nivel 2, la persona forma parte del bucle de control y debe vigilar la carretera continuamente. La seguridad depende de los límites de capacidad, instrucciones claras, supervisión del conductor, alertas oportunas y protección frente a usos indebidos previsibles. Esto sigue siendo cierto cuando un sistema de punto a punto sigue una ruta hacia un destino, gira en cruces y se detiene ante controles de tráfico.

En el nivel 3, el usuario puede desviar la atención, pero debe seguir disponible. El sistema necesita una transición gestionada que tenga en cuenta el tiempo necesario para recuperar la conciencia de la situación.

En el nivel 4, puede no haber conductor. El sistema y su soporte operativo deben gestionar el respaldo. La asistencia remota puede aportar contexto, pero no debe presentarse como autonomía si una persona a distancia ejecuta realmente la tarea de conducción.

La confusión de modo es un peligro. La interfaz debe dejar claro si conduce la persona o el sistema, qué puede hacer actualmente el sistema y qué respuesta espera.

La validación necesita pruebas complementarias

Ningún ensayo práctico en carretera puede encontrar todos los escenarios importantes con una frecuencia estadística útil. Ninguna simulación representa perfectamente la realidad.

Un programa maduro combina:

análisis de requisitos y diseño;
ensayos de componentes e integración;
pruebas de software y hardware en el bucle;
simulación de escenarios y reproducción de datos grabados;
ensayos en circuito cerrado;
ensayos supervisados en vías públicas;
revisión independiente y ensayos regulatorios; y
supervisión del rendimiento en servicio.

Los ensayos de escenarios responden si el vehículo gestiona peligros definidos. Los datos de exposición muestran cómo funciona el sistema desplegado en la operación real. Ambos necesitan denominadores y alcance.

Un millón de kilómetros de autopista no puede validar una afirmación sobre intersecciones urbanas. Un número reducido de siniestros no es informativo sin distancia, tipo de vía, gravedad, umbral de notificación y una referencia humana comparable. Los resultados comunicados por una empresa deben leerse junto con la metodología publicada y su incertidumbre.

El panel público Safety Impact de Waymo es un buen ejemplo de información basada en la exposición porque aporta distancia recorrida solo con pasajeros, definiciones de resultados, métodos de referencia humana y datos descargables. Sigue siendo una prueba para los dominios de servicio de Waymo, no la demostración de que todo diseño de conducción automatizada sea seguro.

La ciberseguridad y las actualizaciones son cuestiones de seguridad

Los vehículos conectados exponen interfaces mediante diagnósticos, aplicaciones, redes inalámbricas, servicios en la nube y software de la cadena de suministro. Un atacante o una actualización dañada puede afectar a la confidencialidad, la disponibilidad o el comportamiento físico.

Por ello, la seguridad abarca arquitectura, autenticación, arranque seguro, gestión de claves, control de acceso, supervisión, respuesta a vulnerabilidades y procesos de proveedores. La privacidad está relacionada, pero es distinta: el sistema puede ser seguro y recopilar más datos de los ocupantes o de la calle de lo que esperan los usuarios.

Los Reglamentos de la ONU 155 y 156 establecen marcos para los sistemas de gestión de la ciberseguridad y de las actualizaciones de software de los fabricantes en los mercados que los aplican. Una actualización inalámbrica de una función de conducción debe ser trazable, autenticada, validada y supervisada. La ampliación del dominio operativo es un cambio de producto relevante para la seguridad, no un mantenimiento rutinario del infoentretenimiento.

La aprobación sigue a la función y a la jurisdicción

«Aprobado» puede referirse a distintos pasos legales:

una homologación de tipo del vehículo o componente;
permiso para realizar ensayos en vías públicas;
autorización para operar un servicio comercial sin conductor;
reconocimiento de una homologación de otro país; o
cumplimiento de las normas de tráfico que regulan lo que puede hacer la persona.

No son intercambiables. Un nivel SAE describe la distribución de la tarea de conducción y el respaldo; no es un certificado de homologación.

Para la asistencia controlada por el conductor, el Reglamento de la ONU 171 establece requisitos para los Driver Control Assistance Systems en los mercados que lo aplican. WP.29 adoptó una segunda serie de enmiendas en junio de 2026 como parte del desarrollo continuo de estas reglas. Dado que el conductor sigue siendo responsable, un sistema aprobado por una vía de nivel 2 o de control del conductor no se convierte en Automated Driving System solo porque siga una ruta o gestione intersecciones urbanas.

El Reglamento de la ONU 157 cubre los Automated Lane Keeping Systems y ha proporcionado una vía para aprobar funciones de autopista de nivel 3 en los mercados que lo aplican. El Reglamento de Ejecución 2022/1426 de la Unión Europea establece normas de homologación para vehículos totalmente automatizados en casos de uso definidos, incluidas zonas predeterminadas, rutas entre centros y aparcamiento automatizado con servicio de aparcacoches.

Tesla FSD (Supervised) en Europa

El 10 de abril de 2026, la autoridad neerlandesa de vehículos RDW concedió a Tesla FSD (Supervised) una homologación de tipo europea con validez provisional en los Países Bajos. RDW lo describe como un sistema de asistencia controlado por el conductor, no como conducción autónoma: el conductor sigue siendo responsable, debe vigilar el tráfico y poder tomar el control inmediatamente.

RDW también afirma que las versiones europea y estadounidense no son comparables una a una. Por ello, la evaluación europea no aprueba todas las funciones FSD o versiones de software vendidas en otros lugares.

La decisión neerlandesa no fue una aprobación general en toda la UE. RDW indicó que una validez más amplia exige la presentación ante la Comisión Europea, una votación de los Estados miembros y el apoyo mayoritario en el comité responsable. Hasta que finalice ese proceso, debe comprobarse la autorización o el reconocimiento nacional país por país.

El marco de la ONU de junio de 2026 para ADS sin conductor

El 24 de junio de 2026, el Foro Mundial para la Armonización de la Reglamentación sobre Vehículos de la CEPE, WP.29, adoptó el primer marco regulatorio mundial para Automated Driving Systems completamente sin conductor. La decisión comprendía un nuevo Reglamento de la ONU bajo el Acuerdo de 1958 y un Reglamento Técnico Mundial paralelo bajo el Acuerdo de 1998, acompañados de modificaciones en unos noventa reglamentos de vehículos de la ONU existentes.

Este marco aborda sistemas que ejecutan toda la tarea dinámica de conducción, no la asistencia supervisada de nivel 2. Sus requisitos principales incluyen:

un sistema de gestión de la seguridad auditado durante todo el ciclo de vida;
un expediente de seguridad estructurado que demuestre que no existe un riesgo irrazonable;
validación creíble mediante simulación, pista y condiciones reales;
rendimiento igual o superior al de un conductor humano competente;
supervisión e información continuas durante el servicio; y
almacenamiento de datos de conducción automatizada relevantes para la seguridad.

El marco puede abarcar dominios operativos de autopista y urbanos y admitir vehículos sin mandos convencionales. Es un paso importante de armonización porque fabricantes y autoridades disponen ahora de una estructura de seguridad común y orientada a resultados para la aprobación de ADS.

No es un permiso único de alcance mundial. Las partes contratantes aún deben aplicar los instrumentos correspondientes, aprobar sistemas concretos y determinar dónde es legal operar sin conductor. Las leyes de tráfico locales, los permisos de operación y las condiciones del servicio siguen siendo relevantes. La decisión tampoco reclasifica FSD (Supervised), City NOA u otras funciones supervisadas continuamente como conducción autónoma.

Estados Unidos sigue otro camino

En Estados Unidos interactúan la supervisión federal de seguridad de los vehículos, la legislación operativa de los estados y las normas locales de despliegue. Por lo general, los fabricantes autocertifican el cumplimiento de las normas federales de seguridad, mientras los reguladores investigan defectos y hacen cumplir los requisitos durante el uso.

La Standing General Order de la NHTSA exige informar sobre determinados siniestros que implican sistemas de nivel 2 y sistemas de conducción automatizada. Las autoridades estatales y locales pueden regular por separado los ensayos y la operación comercial sin conductor. Una exención federal, un permiso estatal de pruebas y la autorización para transportar pasajeros de pago son decisiones diferentes.

Cómo es una comunicación creíble sobre seguridad

Una afirmación pública sólida indica:

el nivel exacto de automatización y la función de la persona;
el vehículo, el hardware, la versión de software y el dominio operativo;
el comportamiento de respaldo y de riesgo mínimo;
la homologación o permiso realmente obtenido;
el territorio en el que es válido;
las pruebas de ensayo y operación, con denominadores;
exclusiones conocidas y limitaciones sin resolver; y
cómo se supervisan los incidentes y las actualizaciones.

Las afirmaciones vagas como «más seguro que los humanos» están incompletas sin un dominio comparable, definición del resultado, exposición e incertidumbre. La seguridad no es una meta que se alcance una sola vez. El expediente debe mantenerse a medida que cambian software, hardware, carreteras y operaciones.