El riesgo no requiere AGI
La IA avanzada podría aumentar el riesgo biológico ayudando a un actor malicioso a buscar en la literatura, comparar opciones, resolver problemas de laboratorio u operar herramientas biológicas especializadas. Un modelo no necesitaría consciencia, superinteligencia ni autonomía completa para importar. Solo necesitaría reducir uno o más cuellos de botella en un flujo de trabajo ya peligroso.
Ese mecanismo es plausible e importante, pero su magnitud actual es incierta. El Informe Internacional de Seguridad de la IA 2026 concluye que las capacidades relevantes han mejorado y que algunos estudios recientes hallan una asistencia significativa en tareas proxy, mientras que estudios anteriores encontraron efectos pequeños o sin significancia estadística. También subraya las barreras materiales que persisten y las importantes brechas de evaluación (Informe Internacional de Seguridad de la IA 2026). La postura correcta no es, por tanto, ni “la IA ya puede crear una pandemia” ni “los modelos solo repiten hechos inofensivos de internet”.
Qué entienden los investigadores por “uplift”
Un estudio de uplift compara el rendimiento con asistencia de IA frente a una línea base, como el acceso a internet por sí solo. El resultado depende de quién participa, qué tarea se intenta, qué modelo y salvaguardas se usan, cómo se puntúa el rendimiento, y si la tarea es un plan en papel, un ejercicio proxy de adquisición o trabajo de laboratorio real.
La información es solo una parte de una cadena de ataque biológico. Un actor puede necesitar elegir un agente, obtener materiales, adquirir destreza tácita de laboratorio, realizar control de calidad, escalar la producción, evitar autolesionarse y ser detectado, y lograr la diseminación. La IA podría ayudar sustancialmente en una etapa mientras toda la operación sigue fuera del alcance del actor. A la inversa, una asistencia modesta en el cuello de botella correcto podría importar más que una gran mejora de puntuación en una prueba irrelevante.
Los estudios seguros evitan producir instrucciones operativas y usan revisión experta, entornos controlados y tareas proxy. Aun así, la validez externa es difícil. Los participantes pueden no parecerse a actores de amenaza reales. Los estudios breves no pueden captar meses de resolución de problemas. Un cambio rápido del modelo puede volver obsoleto un resultado cuidadoso poco después de publicarse.
La evidencia cambió tras los primeros resultados nulos
Un estudio de equipo rojo de RAND de 2024 no halló diferencia estadísticamente significativa en las calificaciones de expertos sobre planes de ataque biológico elaborados por equipos con acceso a modelos de lenguaje frente a equipos que solo usaron internet. RAND concluyó que la planificación de ataques quedaba más allá de la frontera de capacidad de los modelos probados como herramientas asistivas, aunque advirtió que no había medido cuánto más allá (informe de RAND). Esa fue evidencia significativa sobre esos modelos, participantes y tarea de planificación concretos, no un hallazgo permanente sobre todos los sistemas futuros.
La evidencia posterior es más preocupante, aunque sigue siendo incompleta. El Informe Internacional de Seguridad de la IA 2026 describe un estudio de uplift más reciente y en el mundo real, en el que una IA de propósito general sin salvaguardas prestó asistencia sustancial en tareas proxy de adquisición de bioarmas frente al acceso a internet. También señala estudios de modelos que apoyan trabajo científico y equipo de laboratorio. Estos resultados actualizan el panorama: ya no es correcto decir que los sistemas actuales no han reducido de forma significativa las barreras prácticas. Sigue siendo difícil cuantificar cuánto ha subido el riesgo global o qué cuellos de botella materiales persisten.
Las evaluaciones de los propios desarrolladores añaden evidencia, pero tienen conflictos de interés y a menudo omiten detalles sensibles. Deberían etiquetarse como autoinformes de empresa e interpretarse junto al trabajo gubernamental e independiente.
Qué significa la activación de ASL-3 de Anthropic
Anthropic anunció en 2025 protecciones ASL-3 para la familia Claude Opus 4 porque no podía descartar una asistencia significativa en ciertos flujos de trabajo químicos, biológicos, radiológicos o nucleares. La empresa describió explícitamente la activación como precautoria y dijo que no había establecido de forma definitiva que el modelo hubiera cruzado el umbral de capacidad relevante (anuncio de ASL-3 de Anthropic).
Es importante no fundir varios conceptos. Un Nivel de Seguridad de IA es un paquete de protecciones de seguridad y despliegue. Un umbral de capacidad es la evidencia que puede activar salvaguardas más fuertes. La política de Anthropic también ha distinguido la producción química o biológica no novedosa, el desarrollo de armas novedosas, y el impulso hacia programas más sofisticados. “ASL-3” no es una calificación científica universal y no significa que el modelo pueda construir de forma autónoma cualquier clase de arma QBRN.
La política de Anthropic ha seguido cambiando; su archivo público lista la versión 3.4 a agosto de 2026 (RSP de Anthropic). Los lectores deberían usar la versión y fecha vinculadas a una decisión sobre un modelo concreto, en lugar de importar el lenguaje de un marco anterior.
Las salvaguardas necesitan varias capas
Los controles del modelo y del despliegue incluyen entrenar a los sistemas para negar asistencia peligrosa, clasificadores de entrada y salida, monitoreo de patrones sospechosos de varios pasos, límites de tasa, verificación de cuentas y acceso controlado para investigadores acreditados. Estas medidas pueden reducir el mal uso casual, pero pueden eludirse mediante jailbreaks, descomposición de tareas, acceso a modelos menos protegidos, o la eliminación de salvaguardas de pesos abiertos.
El lanzamiento condicionado a la evaluación conecta los resultados de pruebas con las decisiones. Los desarrolladores pueden probar durante el entrenamiento, encargar evaluaciones externas, restringir el acceso a herramientas y retrasar un lanzamiento cuando la evidencia supera un umbral definido. Los informes deberían describir la incertidumbre residual, no solo si se cruzó formalmente un umbral.
El escrutinio de la síntesis de ácidos nucleicos aborda el puente entre la información digital y el material físico. Los proveedores pueden examinar a los clientes y las secuencias de los pedidos frente a criterios de riesgo, con la debida privacidad, apelación y coordinación internacional. El escrutinio no basta por sí solo: el equipo, los patógenos, los laboratorios y las cadenas de suministro varían globalmente.
La resiliencia de la salud pública reduce el daño sin importar si un brote es natural, accidental o deliberado. La vigilancia, el diagnóstico rápido, la mejora del aire interior, el equipo de protección, las plataformas de vacunas, las reservas médicas y la comunicación confiable son defensas amplias. Las políticas de seguridad centradas solo en las negativas de un modelo pierden de vista este sistema más amplio. Para la versión doméstica de esa resiliencia —respiradores, filtración de aire y planificación de aislamiento—, véase conceptos básicos de bioseguridad familiar.
La gobernanza de laboratorio y la bioseguridad siguen siendo centrales. La capacitación, la revisión institucional, los controles de acceso, el reporte de incidentes y la cultura de seguridad abordan tanto las vías maliciosas como las accidentales. La IA también puede fortalecer la defensa apoyando la detección, el descubrimiento de fármacos y la investigación biológica; los controles deberían preservar el trabajo legítimo cuando sea posible.
Cómo razonar sin sensacionalismo
Separe cuatro afirmaciones. Primero, los modelos actuales pueden aportar información biológica sustancial; eso está observado. Segundo, algunas evaluaciones indican un impulso práctico en tareas proxy seleccionadas; esa es evidencia emergente con limitaciones. Tercero, un actor malicioso podría combinar IA futura con herramientas y materiales para causar un brote catastrófico; eso es una vía de riesgo plausible. Cuarto, una pandemia causada por IA es inminente; la evidencia disponible no establece ese pronóstico.
La distinción importa para la confianza pública. La exageración puede fomentar el fatalismo o publicitar capacidades, mientras que el descarte puede retrasar las defensas. Los informes deberían describir el sistema probado, las salvaguardas, la línea base, los participantes, el criterio de éxito, la incertidumbre y el financiamiento. Los detalles operativos que permitirían causar daño no deberían publicarse.
La conclusión práctica
El riesgo biológico asistido por IA está entre las preocupaciones de daño severo más concretas, porque la asistencia científica útil y la asistencia peligrosa se superponen. La evidencia ha avanzado más allá del primer resultado de “sin impulso significativo”, pero no muestra que los modelos hayan borrado las exigentes barreras físicas y organizativas de un ataque a gran escala.
La respuesta racional es en capas y adaptativa: continuar los estudios independientes de uplift, vincular las capacidades del modelo a salvaguardas exigibles, asegurar las cadenas de suministro biológicas y fortalecer la salud pública. Esas medidas siguen siendo valiosas en un amplio rango de plazos de IA, y evitan fingir que el nivel de seguridad de una empresa es un veredicto sobre el estado del riesgo biológico.