Un post sobre el «hackeo» de las empresas de IA suma 205 puntos y 164 comentarios en Hacker News

El post de Mortoray «Why aren't AI companies being charged for hacking?» ha reunido en Hacker News 205 puntos y 164 comentarios. La pregunta del título es sencilla. Quien burla la protección del servidor de otro se expone a un proceso penal. Las empresas cuyos bots llevan años llevándose el contenido de los sitios web pese a sus prohibiciones, en cambio, captan inversión sin problemas. Una advertencia: en nuestro feed solo hay el titular, el enlace y las métricas de la discusión, así que no resumimos los argumentos del autor. A continuación, el contexto jurídico y práctico de la pregunta.

Por qué la ley contra el hacking no funciona

El principal instrumento estadounidense en este terreno, la Computer Fraud and Abuse Act de 1986, lleva tiempo siendo acotado por la jurisprudencia. En Van Buren v. United States (2021), el Tribunal Supremo limitó el concepto de «exceder el acceso autorizado» e introdujo, en la práctica, una lógica de «puerta abierta o cerrada». Si una página está disponible para cualquier visitante sin contraseña, resulta difícil considerar que obtenerla sea un hackeo. El Noveno Circuito confirmó esa misma línea en el caso hiQ contra LinkedIn: el scraping de perfiles públicos difícilmente infringe la CFAA. Más tarde hiQ perdió de todos modos, pero por motivos contractuales, por incumplir los términos de uso.

Con robots.txt la situación es aún más débil. El protocolo de exclusión se estandarizó como RFC 9309 en 2022, pero sigue siendo un acuerdo entre participantes de buena fe. El archivo en sí no tiene fuerza jurídica. Un bot que lo ignora infringe la etiqueta, no un artículo de ley.

Dónde se libran realmente las disputas

Es significativo que las demandas contra las empresas de IA se apoyen en otros fundamentos:

• New York Times contra OpenAI y Microsoft (diciembre de 2023): derecho de autor.
• Bartz contra Anthropic: acuerdo de 1,5 mil millones de dólares en 2025; la reclamación se refería a copias piratas de libros.
• Reddit contra Anthropic (junio de 2025): incumplimiento de los términos de uso, no hacking.
• Cloudflare acusó en agosto de 2025 a Perplexity de saltarse las prohibiciones cambiando el user-agent. Perplexity lo negó.
• Desde julio de 2025, Cloudflare bloquea por defecto los crawlers de IA en los dominios nuevos y prueba un modelo de pay-per-crawl.

Resulta que los abogados esquivan la CFAA. El copyright y los contratos ofrecen un resultado más predecible, mientras que la pregunta de «si esto es hacking» los tribunales, por ahora, no la resuelven a favor de los demandantes. Ese es el principal reproche de la comunidad: la realidad técnica, en la que un sitio dijo «no» de forma explícita y el bot volvió a entrar, no coincide con la realidad jurídica.

Qué pueden hacer ya los propietarios de sitios web

Esperar a que cambien las leyes no tiene sentido; hoy la defensa es técnica y documental.

1. Lleve logs de las peticiones y distinga el comportamiento de los bots: frecuencia, rangos de IP y ASN, discrepancias entre el user-agent declarado y el tráfico real. 2.

Active rate limiting y reglas de WAF a nivel de CDN. Muchos proveedores ofrecen listas ya preparadas de crawlers de IA conocidos. 3.

Incluya en los términos de uso la prohibición de la recopilación automática de datos. Las demandas que prosperan se basan precisamente en incumplimientos contractuales, como en el caso hiQ. 4.

Mantenga robots.txt actualizado, pero no cuente con él como defensa. Para el contenido con valor económico, use autenticación o acceso de pago.

5. Conserve las pruebas de la elusión de las prohibiciones, en particular el cambio de cabeceras y la rotación de direcciones. Si el caso llega a juicio, esa es la base de su posición.

Este material no constituye asesoramiento jurídico, y la práctica legal varía según la jurisdicción. Aun así, la discusión en Hacker News muestra que el problema hace tiempo que salió del ámbito de las disputas entre blogueros y se debate en la industria a un nivel en el que ya no se puede ignorar.