La IA puede enseñarle a casi cualquier persona a hacer casi cualquier cosa, y hacerlo con maestría. El peligro no es la información. La ruta de síntesis está en los libros de texto y el exploit está en el curso de seguridad, y esa información se filtró hace décadas. El peligro es la capacidad, la habilidad de actuar, puesta en manos de alguien que antes no podía actuar. Un libro te dice lo mismo que le dice a todos y no puede ver dónde te atascaste. Un modelo te observa fallar y corrige el paso que se te escapó, y cuando funciona como agente deja de describir la tarea y la ejecuta. El tutor que antes era raro, caro y libre de rechazarte ahora es gratuito, incansable e indiferente.
Alguien tiene que decidir qué puede enseñar ese tutor y a quién. A la escala que importa, ese alguien es un soberano, un principal con el poder de fijar el límite y hacerlo valer. Un laboratorio puede establecer reglas internas. Solo un estado puede imponer una vinculante, y en junio de 2026 un estado lo hizo.
Para fijar bien el límite, querrías saber qué tan peligrosa es una capacidad determinada. No puedes. El número que importa es el uplift, lo que el modelo añade a una persona que carecía de ello, medido contra lo que esa persona ya podía hacer con un motor de búsqueda y su propia formación. Una puntuación alta en un test de conocimiento no es uplift si la verdadera barrera nunca fue el conocimiento. Y los casos que más nos asustan, los catastróficos y raros, apenas tienen datos. El número que la decisión necesita es el número que nadie puede obtener.
Cuando no puedes medir algo, gana la interpretación más ruidosa. Estados Unidos ordenó a Anthropic retirar sus dos modelos más capaces, y la empresa los desactivó a nivel mundial en cuestión de horas. La base fue un jailbreak demostrado y un informe que se remontaba a una sola fuente con un interés competitivo. El modelo había superado mil horas de red teaming y los propios umbrales de seguridad de la empresa. La llamada de un competidor y la orden de un regulador lo tumbaron en cinco días. Llámalo precaución si quieres. Era influencia con la máscara de la precaución.
El error subyacente recorre casi todo el campo. La gente trata la magnitud de un peligro como una razón para creer que el peligro es real. Las dos cosas son distintas. Lo malo que sería si fuera cierto no te dice nada sobre si es cierto. Una consecuencia catastrófica es una razón para exigir más pruebas antes de actuar, no menos. La gravedad eleva el listón. No lo despeja. La orden de Fable interpretó una consecuencia aterradora como permiso para actuar con pruebas endebles, y esa jugada se hace pasar por responsabilidad, por eso debes vigilarla.
Un principal que quiera hacerlo mejor que la influencia tiene dos herramientas, y hacen trabajos diferentes.
La primera mide la convicción, porque el riesgo no se medirá. Construyes el caso más sólido de que la capacidad permite un daño real, y el caso más sólido de que no, y actúas sobre lo que sobrevive al contraste. Cuando la evidencia es escasa, tu convicción se mantiene escasa, y lo dices. Cuando es sólida, actúas con una confianza que te has ganado. La magnitud de la consecuencia negativa establece cuánto necesitas ver antes de actuar. Nunca sustituye al hecho de verlo.
La segunda limita mediante lo que ata. La mayoría de los marcos de seguridad clasifican el riesgo por dominio: química en una casilla, ciber en otra, biología en una tercera, y las amenazas se cuelan por las rendijas. Así fue como un problema cibernético pasó de largo por un marco diseñado para armas químicas y biológicas. En lugar de eso, sitúa cada capacidad según lo que la frena: conocimiento, habilidad práctica, materiales o quién controla el acceso. Una capacidad frenada solo por el conocimiento está suelta, y el modelo quita ese freno, así que ahora está activa. Una capacidad frenada por los materiales y la habilidad de laboratorio sigue atada, sea cual sea su dominio. Fija el límite en lo que ata la amenaza, y nada se escapa por una rendija.
Las dos herramientas también le dicen a un principal dónde poner el límite. Mantén la capacidad en el modelo y ponle una puerta en el punto de uso cuando alguien tenga una razón legítima para poseerla, que es la mayor parte del tiempo, porque la capacidad que permite a un atacante encontrar una falla es la misma que permite a un defensor repararla. Bórrala del modelo solo cuando el principal haya decidido que nadie debería poseerla jamás, ya que la eliminación se lleva la herramienta del defensor junto con la del atacante. La primera mantiene viva la pregunta de a quién. La segunda la responde con nadie.
Nada de esto hace segura a una capacidad libre. La capacidad vive en los pesos y no puede irse sin llevarse el modelo consigo, así que los límites restringen el acceso, sopesan la convicción y acotan el espacio, y todos y cada uno de ellos tienen fugas. El método no compra seguridad. Compra una decisión basada en evidencia y estructura, y no en quién grita más fuerte en la sala cuando la pregunta se vuelve urgente.
La capacidad es libre. Esa parte está resuelta. La pregunta abierta es quién decide qué enseña y a quién, y si deciden sopesando lo que se han ganado el derecho de creer o alargando la mano hacia la palanca más cercana. Nombra al principal. Exígele un método.
