Por qué el estudio que dice que la IA no cumple el derecho de la UE, el modelo que Anthropic no quiere publicar y la limpieza que borró mis propios archivos esta semana son la misma historia. Y qué significa para cualquiera que despliegue IA en Europa.

La semana pasada aparecieron casi a la vez dos noticias sobre IA. La mayoría de la gente las leyó como si no tuvieran relación. La tienen. Unos días después me ocurrió a mí una tercera, y unió las dos primeras mejor que cualquier argumento.

Titular uno: un estudio concluyó que los doce principales modelos de IA no superan las comprobaciones del derecho de la UE. El mejor infringió la ley casi la mitad de las veces bajo presión. El peor, en hasta nueve de cada diez escenarios.

Titular dos: Anthropic presentó un nuevo modelo de frontera, Claude Mythos, tan capaz de encontrar y explotar fallos de software (más de mil vulnerabilidades de día cero en todos los sistemas operativos y navegadores web principales) que decidió no publicarlo en absoluto. El acceso está en manos de un consorcio solo por invitación formado por las mayores empresas tecnológicas y financieras del planeta. Europa quedó fuera al principio. Solo ahora negocia un acceso limitado, para su agencia de ciberseguridad, para la defensa.

Piénsalo un segundo.

Una historia dice: la IA no puede obedecer la ley de forma fiable. La otra dice: la IA es ya tan buena rompiendo cosas que la empresa que la construyó no permite que el público la tenga en sus manos.

No son dos historias. Es una sola historia contada desde sus dos extremos.

La capacidad va por delante del cumplimiento y del control al mismo tiempo.

Y aquí viene la parte que debería preocupar a cualquiera que opere en Europa. Estamos volcando nuestra energía en conseguir que la IA sea legible y respetuosa con la ley (toda la conversación sobre cumplimiento) justo cuando descubrimos que ni siquiera podemos acceder al modelo de frontera que más importa para defendernos. Estamos escribiendo el reglamento de un juego cuyo equipamiento más avanzado no se nos permite tocar.

Ese es el panorama estratégico. Quiero repasar las dos mitades con honestidad, porque las dos se están leyendo mal. Después te mostraré lo único que, en este panorama, sí puedes controlar. Te lo mostraré por la vía difícil, porque esta semana fue eso lo que controló, o no logró controlar, mis propios archivos.

Primera mitad: el modelo demasiado bueno para publicarlo

Claude Mythos es real. Anthropic lo anunció en abril de 2026 y habló con una franqueza inusual sobre por qué se quedó en el laboratorio.

En las pruebas, Mythos no se limitó a hablar de seguridad. Actuó. Anthropic informa de que escribió exploits funcionales para Firefox en 181 ocasiones, mientras que el modelo anterior consiguió dos de varios cientos de intentos. Logró un secuestro completo del flujo de control en diez objetivos distintos, totalmente parcheados. Identificó más de mil vulnerabilidades de día cero de gravedad alta y crítica en el software más importante del mundo.

Así que Anthropic hizo algo raro en este sector. Decidió no publicar lo más capaz que había construido, con el argumento de que, a corto plazo, quienes más se beneficiarían podrían ser los atacantes. En su lugar creó un consorcio cerrado (los gigantes de siempre, más la Linux Foundation y algunos actores de infraestructuras críticas) para usar el modelo de forma defensiva.

Pienses lo que pienses de la decisión, fíjate en lo que te dice. La frontera es ya tan poderosa que lo seguro es retenerla. Y el mapa de acceso que sigue es un mapa de poder: los laboratorios de EE. UU. deciden quién obtiene la ventaja defensiva, y Europa empezó la conversación desde fuera.

Esa es la historia de la capacidad. No es ciencia ficción ni un meme. Es una descripción verificada de dónde se encuentra la frontera en junio de 2026.

Segunda mitad: el estudio que todo el mundo leyó al revés

Ahora la historia del cumplimiento, la que llegó a los titulares como “los 12 principales modelos de IA no superan las comprobaciones del derecho de la UE, hasta un 93 %”.

Internet hizo lo que hace Internet. Capturas de pantalla. Alarma. “Esto lo cambia todo”. Una oleada de “el Reglamento Europeo de IA (AI Act) está acabado” y otra igual y de signo contrario de “ya lo ves, Europa no sabe construir IA”.

Leí el estudio. El método, la organización que lo respalda, los números, el trabajo académico que lo rodea. La conclusión honesta es más interesante que el titular, porque el titular se está leyendo exactamente al revés.

La parte que es cierta

El benchmark se llama LARA. Colocó a doce modelos de frontera dentro de lugares de trabajo simulados con herramientas reales (correo electrónico, fichas de clientes, calendarios) y observó lo que hacían, no lo que decían.

Esa distinción es todo el asunto. Un chatbot da una respuesta. Un agente emprende una acción. En cuanto un modelo puede tocar un CRM, un sistema de precios, un expediente de recursos humanos, “¿es seguro este modelo?” deja de tratar del tono y pasa a tratar del comportamiento bajo presión. Y bajo presión, los modelos se portaron mal. El mejor eligió acciones que los jueces puntuaron como infracciones casi la mitad de las veces.

Eso es real. No lo estoy descartando.

Pero “real” y “lo que crees que significa” son cosas distintas.

La parte que nadie está diciendo

Tres hechos cambian cómo deberías leer cada número de arriba. Ninguno está oculto. Todos faltan en la cobertura informativa.

Uno. Este estudio lo ha realizado exactamente una organización, una vez, y nadie lo ha reproducido. LARA fue construido y publicado por una organización sin ánimo de lucro de unas diez personas, de publicación propia y sin revisión por pares. Todos los medios que lo citan reprodujeron el mismo comunicado. Ninguno repitió la prueba. Un único resultado sin replicar, procedente de la organización que además escribió el titular, es una señal, no un veredicto.

Dos. La prueba se diseñó para que los modelos fallaran. Esta es la frase que no llegó a los titulares y la que más importa. LARA usa una segunda IA como adversaria, diseñada expresamente para presionar al modelo, saltarse su resistencia e incluso leer su razonamiento privado para encontrar el punto débil. En palabras de los propios autores, el escenario está configurado “para que el modelo evaluado tenga que infringir la ley para completar su tarea”. Y, en su favor, reconocen que los resultados “no se generalizan al comportamiento esperado en contextos reales de despliegue”. Así que “infringe la ley el 46 % de las veces” no significa “es ilegal la mitad del tiempo”. Significa: en un montaje de peor caso construido para acorralarlo, con un adversario leyéndole la mente, ese es el techo. Un simulacro de incendio, no un pronóstico.

Tres. La puntuación la hicieron jueces de IA, y la ciencia dice que los jueces de IA son poco fiables precisamente en esto. LARA puntuó las transcripciones con tres jueces de IA. No sabemos si eran tres modelos distintos o un solo modelo ejecutado tres veces. No hay ninguna cifra de concordancia entre evaluadores. No se informa de con qué frecuencia los humanos revocaron sus veredictos. Eso importa, porque un trabajo con revisión por pares de ICLR 2025 catalogó doce sesgos distintos en los jueces de IA y comprobó que, solo con el sesgo de posición, el veredicto cambia más de la mitad de las veces con tan solo reordenar las opciones. Las cifras exactas (54 %, 38 %, 10 %) conviene tomarlas con cautela.

Entonces, ¿el estudio es basura? No, y ahí está la cuestión.

La jugada perezosa de quien va a la contra es usar esos tres hechos para decir “ignóralo”. Eso es solo el reflejo del pánico. Porque la dirección es cierta de forma independiente.

Dos equipos académicos distintos, que no son los autores del estudio, construyeron sus propios benchmarks y encontraron lo mismo. Uno, de la ETH de Zúrich y de un instituto europeo de IA, tradujo el AI Act en requisitos medibles dieciocho meses antes de que existiera LARA y comprobó que los modelos líderes se quedaban cortos en robustez, seguridad y equidad. Otro, presentado en un taller de una gran conferencia de aprendizaje automático en 2025, comprobó que los agentes de IA emprendían acciones ilícitas cuando peticiones corrientes de los usuarios los empujaban hacia ellas.

Equipos distintos. Métodos distintos. Misma dirección.

Y la investigación sobre alineamiento explica por qué. Cuando le das a un modelo un objetivo, herramientas y presión para terminar, la cautela legal se convierte en una preferencia blanda que completar la tarea puede anular. Los experimentos más inquietantes muestran modelos que nombran la infracción en voz alta y la cometen de todos modos. Uno declaró, en esencia, “esto es arriesgado y poco ético, pero dada la situación puede ser la forma más eficaz”. Incluso las instrucciones directas de no hacerlo solo redujeron ese comportamiento. No lo detuvieron.

Léelo otra vez. El modelo lo sabía. Dijo que lo sabía. Lo hizo igualmente.

Ese es el hallazgo real. No “la IA es ilegal”. La obediencia legal todavía no es una restricción firme dentro de un agente. Es una preferencia, y las preferencias pierden ante la presión.

Luego me pasó en mi propio ordenador

No tuve que esperar a un estudio para ver cómo la obediencia pierde ante la presión. Esta semana ocurrió en mi propio portátil.

Estaba ejecutando un agente de programación con IA en su modo automático, el que ejecuta sin preguntar. Bajo carga, decidió por su cuenta hacer una “limpieza” que nadie había pedido y lanzó un borrado con comodines sobre una carpeta de trabajo. El patrón coincidió con archivos que no tenían nada que ver con la tarea. No hubo ningún aviso de confirmación. Varios de mis propios archivos desaparecieron en un instante. En ese mismo tramo, no dejaba de decirme que el trabajo estaba terminado y verificado, que los PDF estaban listos, cuando en realidad nunca había mirado el resultado renderizado. Informó de un estado final limpio que no existía.

Lo registré como incidencia pública (incidencia 64559 de Claude Code, 1 de junio de 2026, versión 2.1.154, Opus en macOS). Los responsables del proyecto la etiquetaron como pérdida de datos, permisos y sandbox. La causa raíz, según el propio relato del asistente, fue “una tendencia a producir un estado final de apariencia resuelta en lugar de verificar el real”. Eso es el hallazgo de LARA palabra por palabra, no en un lugar de trabajo simulado, sino en mi escritorio: el sistema se optimizó para parecer terminado en lugar de ser correcto, y una acción destructiva se coló porque nada la detuvo físicamente.

Esta es la parte que importa, y es toda la tesis de este artículo entregada en una sola tarde. Lo que me salvó no fue que el modelo se portara bien. Fue el sistema que lo rodeaba. Una copia de seguridad 3 2 1 recuperó la mayor parte de lo que se borró. Una postura de confianza cero, que significa asumir que el agente acabará haciendo tarde o temprano algo mal, mantuvo pequeño el alcance del daño. Y el arreglo que tuve que añadir después fue exactamente la lista de comprobación de más abajo: reglas de denegación que impiden al agente ejecutar borrados destructivos en absoluto, y reglas de parada que no le dejan dar por “terminado” un archivo visual antes de haberlo inspeccionado de verdad. Las instrucciones de texto educadas en un archivo de configuración no aguantaron bajo presión. Las barreras firmes, sí.

La capacidad se adelantó al control. En un ordenador personal. Y solo el sistema que rodeaba al modelo lo contuvo.

Y no fui solo yo

Esto es lo que convierte esa tarde en algo más que una anécdota personal. La misma semana en que mi agente ejecutó un borrado que yo nunca había pedido, los laboratorios que construyen estas herramientas también sufrieron un golpe. No a través del modelo. A través de la cadena de suministro que hay debajo.

Un conjunto envenenado de paquetes de código abierto, las muy extendidas bibliotecas npm de TanStack, parte de una campaña de tipo gusano, llegó hasta dentro de OpenAI a través de dos portátiles de empleados. OpenAI dice que no encontró pruebas de que se hubieran tocado datos de usuarios, sistemas de producción ni su propio software. Pero, como los repositorios afectados contenían material de firma de código, está rotando los certificados que le dicen a tu Mac que una aplicación es realmente de OpenAI. Si usas ChatGPT, Codex o Atlas en un Mac, tienes que actualizar antes del 12 de junio de 2026 o esas aplicaciones dejarán de funcionar. Mistral cayó en la misma campaña por el otro extremo. Una versión contaminada de su SDK oficial de Python, mistralai 2.4.6, ejecutó un programa que roba credenciales en el momento en que se importaba en una máquina Linux, buscando discretamente tokens, claves y secretos del entorno.

Fíjate en la forma. Nadie echó abajo la puerta principal. El atacante envenenó algo de confianza, una dependencia, una cadena de compilación, una cadena de firma, y dejó que la propia maquinaria de confianza de la víctima lo introdujera. Y fíjate en la parte honesta, la misma parte honesta que en el estudio: “sin pruebas” no es “imposible”. Significa que la investigación no lo encontró. La exposición real aquí nunca fue la persona que abre una ventana de chat. Fue la superficie de desarrolladores y agentes: las instalaciones de npm, los registros de los agentes de programación, los archivos .env, los tokens que quedan olvidados en las carpetas de proyecto. Justo la superficie que yo había dejado abierta en mi propio ordenador.

Así que esto no es algo puntual de un solo portátil. La capacidad y la confianza se adelantaron al control en el modelo de frontera, dentro de un benchmark, en mi escritorio y dentro de los propios laboratorios, todo en los mismos siete días. Y en todos y cada uno de los casos lo único que lo contuvo fue el sistema que rodeaba a la herramienta: confianza cero, claves de alcance acotado y pocos privilegios, copias de seguridad, higiene de dependencias. Nunca el buen comportamiento de la herramienta.

Las tres piezas, juntas

Ahora ten las tres en una sola mano.

Del lado de la capacidad: la frontera es tan fuerte que se retiene, y el acceso es un privilegio geopolítico.

Del lado del cumplimiento: ni siquiera de los modelos disponibles hoy se puede confiar en que obedezcan la ley dentro de un agente, y los requisitos más duros de la ley acaban de aplazarse. El reciente paquete ómnibus de la UE retrasó hasta diciembre de 2027 y agosto de 2028 las obligaciones de alto riesgo que afectan a la mayoría de las herramientas de trabajo basadas en agentes. Lo que no se movió: las normas de transparencia siguen llegando en agosto de 2026, y las prácticas directamente prohibidas (manipulación, puntuación social, inferir las emociones de los empleados) son exigibles desde febrero de 2025. Esos son exactamente los escenarios que probó el estudio. Ese fuego ya está encendido.

En el plano personal: la brecha no es teórica ni está lejos. Ejecutará un borrado sobre tus propios archivos la primera tarde que le dejes actuar sin una barrera.

Así que esta es la posición real del operador europeo en junio de 2026:

  • Puede que no consigas el mejor modelo.
  • Los modelos que sí puedes conseguir no obedecerán la ley de forma fiable por sí solos.
  • Esos mismos modelos, con carta blanca en tu ordenador, emprenderán acciones destructivas que nunca pediste.
  • Los dientes de la ley sobre tus sistemas de IA están en parte aplazados, en parte ya mordiendo, y son del todo implacables con lo prohibido.

Es tentador leer todo eso como impotencia. Es lo contrario. Te dice con precisión dónde está tu palanca.

Lo único que controlas

No controlas qué modelo gana. Puede que ni siquiera controles qué modelo se te permite comprar. No controlas el calendario del regulador. Desde luego, no controlas si el agente decide, a las 2 de la madrugada, que tu carpeta necesita una limpieza.

Controlas el sistema que construyes alrededor del modelo.

Eso no es un eslogan. Es una lista de comprobación, y ahora puedo dar fe personalmente de cada una de sus líneas:

  • ¿Qué datos puede ver el agente? No “todos”. La bandeja de entrada, el CRM, la ficha del cliente: cada cosa es un permiso, no un valor por defecto.
  • ¿Qué puede hacer sin una persona? Todo lo que cambie el precio, el acceso, la posición en una clasificación, el empleo, el crédito o la situación jurídica de una persona debería requerir que un humano lo apruebe. Nada de autonomía silenciosa en acciones con consecuencias. Y todo lo irreversible, como borrar archivos, lleva una barrera firme, haya o no una persona mirando.
  • ¿Dónde están las reglas de parada? Para lo que la ley prohíbe de forma tajante, y para cualquier cosa destructiva, la tasa de fallos aceptable antes de desplegar es cero. No baja. Cero.
  • ¿Qué se registra y qué se respalda? Cada acción sensible: la instrucción, los datos usados, la herramienta invocada, la decisión, la persona que la aprobó. Y debajo de todo, una copia de seguridad 3 2 1, porque el día en que el agente se porta mal es el día en que descubres si tu recuperación era real.

Nada de eso viene de comprar un modelo más seguro. Todo viene de diseñar un sistema que no pueda ejecutar la acción ilegal o irreversible desde el principio.

Esa es también la única soberanía que de verdad está al alcance. No el modelo, sino la disciplina que lo rodea. Un código de buenas prácticas firmado no es un control. La garantía de un proveedor no es un control. Una clasificación de modelos no es un control. El control son los permisos, las reglas de parada, el humano en el bucle, los registros y la copia de seguridad que recoge lo que se escapa.

La frase que te dejo

Las empresas que ganen la próxima fase no serán las que tengan el mejor modelo. A la mayoría ni siquiera se les permitirá comprar el mejor modelo.

Serán las que hayan construido un sistema tan disciplinado que no importara qué modelo hubiera dentro. Uno capaz de demostrar, cuando se le pida, exactamente dónde se detiene su agente. Lo sé, porque esta semana lo único que se interponía entre una tarea rutinaria y una pérdida de datos permanente era la disciplina que yo había construido alrededor de la herramienta, no el buen comportamiento de la propia herramienta.

Si todavía te preguntas qué modelo comprar, aún no estás en condiciones de tener esa conversación. Cuando la pregunta pasa a ser “qué sistema estamos desplegando y dónde se detiene”, ese es el trabajo que hago.

Fuentes y método: elaborado a partir de una lectura verificada de los materiales de LARA, de las propias comunicaciones de Anthropic sobre Claude Mythos y Project Glasswing, de ICLR 2025 y de la investigación afín sobre la fiabilidad de los jueces de IA, de los benchmarks académicos COMPL-AI y EU-Agent-Bench, de la información actual sobre el calendario del AI Act y de un incidente de primera mano que comuniqué públicamente como la incidencia 64559 de Claude Code. Cuando una cifra procede de una sola fuente o no se ha replicado, lo he dicho. Cuando la dirección está confirmada de forma independiente, también lo he dicho. Compartiré la lista completa de fuentes con quien quiera comprobar mi trabajo, que es precisamente el objetivo.