Anthropic publica orientaciones para evaluaciones de seguridad de IA más fiables

El 13 de noviembre de 2026, Anthropic publicó recomendaciones para realizar evaluaciones de seguridad de IA más fiables y comunicó tasas agregadas de respuestas inocuas de entre el 94 % y el 98 % para todos sus modelos recientes en las pruebas de la API de un solo turno. Estas pruebas saturadas son útiles principalmente como controles de regresión de modos de fallo conocidos; las evaluaciones de varios turnos ofrecen más variación y pueden detectar cambios graduales a lo largo de una conversación.

Una evaluación de seguridad mide la propensión de un modelo a causar daño o contribuir a él, si su respuesta hace que ese daño sea más o menos probable y cuál podría ser su gravedad, en lugar de medir una capacidad específica. Una preocupación central es la validez de constructo, es decir, si una prueba mide el concepto que pretende medir. La tasa de rechazo puede resultar engañosa en conversaciones sobre suicidio y autolesiones, porque negarse sin más a interactuar puede constituir en sí mismo un fallo; la respuesta deseada ofrece apoyo y orienta al usuario hacia la ayuda de una persona. En cambio, las evaluaciones de varios turnos de Anthropic miden la tasa de respuestas adecuadas a lo largo de toda la conversación, mediante rúbricas específicas para cada riesgo en las que un solo turno inadecuado hace que toda la interacción se considere fallida.

Pruebas de varios turnos y cobertura de situaciones reales

Para diseñar estas pruebas, un experto en el ámbito redacta una especificación que define los objetivos, las tácticas, la personalidad, la situación, el tono y el estilo conversacional del usuario simulado. El primer turno del usuario permanece fijo, mientras que otro modelo Claude genera los turnos posteriores en respuesta al modelo evaluado. Cada escenario se ejecuta varias veces con distintas combinaciones de características, y un modelo evaluador califica la transcripción completa según la rúbrica de riesgo pertinente.

Variar las dimensiones de forma independiente ayuda a identificar qué impulsa el comportamiento; si todos los casos graves también emplean un tono urgente, no es posible separar los efectos de la gravedad y del tono. Anthropic también recomienda basarse en comportamientos observados, datos públicos, transcripciones de pruebas de ataque, informes de incidentes o entrevistas con expertos, en lugar de recurrir únicamente a situaciones inventadas. Sus baterías de pruebas de un solo turno abarcan 16 ámbitos normativos en siete idiomas y en varias interfaces de producto, y el entorno de evaluación se ajusta al despliegue que se está poniendo a prueba.

La ejecución de las pruebas también requiere medidas de contención. Para las evaluaciones de ciberseguridad, las orientaciones exigen entornos aislados sin acceso a Internet y supervisión en tiempo real, de modo que se pueda detener una ejecución si las acciones de un modelo pudieran causar daños en el mundo real.

Validación de los evaluadores y límites estadísticos

Los evaluadores automatizados introducen otro riesgo de medición, ya que los sistemas defectuosos pueden seguir generando puntuaciones verosímiles. Entre las salvaguardas recomendadas se incluyen criterios atómicos de sí o no, el tratamiento explícito de las advertencias y los casos límite, alertas de fallo claras y controles para detectar sesgos relacionados con la longitud de las respuestas, la posición y la autopreferencia. Revisores humanos deberían etiquetar de forma independiente una muestra de transcripciones, para poder comparar la concordancia entre el evaluador y los expertos con la concordancia entre los propios expertos.

Esa referencia humana determina cómo proceder. Si los expertos coinciden entre sí, pero no con el evaluador, es necesario revisar la rúbrica o el evaluador; si los expertos discrepan entre sí, puede que la evaluación no tenga una respuesta estable que medir. Las orientaciones también recomiendan registrar previamente las métricas, las comparaciones y los umbrales de mejora antes de conocer los resultados.

El tamaño de las muestras sustenta esas conclusiones. Anthropic establece mínimos de 100 elementos para las evaluaciones complejas de varios turnos y de 1.000 para las pruebas más sencillas de un solo turno, además de realizar ejecuciones repetidas para tener en cuenta los resultados ruidosos y no deterministas. Anthropic señala que los intervalos de confianza de las evaluaciones de la API con varios turnos pueden superar los ±10 puntos porcentuales: en una evaluación de estafas románticas con varios turnos en claude.ai, Claude Opus 5 y Opus 5.5 registraron tasas de respuestas adecuadas del 98 % y el 94 %, respectivamente, pero la diferencia no fue estadísticamente significativa. El ejemplo muestra por qué una diferencia numérica, por sí sola, no permite determinar qué modelo se comportó de forma más segura.

Configuración del despliegue y presentación de resultados

La configuración del despliegue es otra variable documentada. Al revisar Claude Fable 5.1, Anthropic descubrió que algunas respuestas validaban implícitamente la autolesión como estrategia para afrontar problemas, aunque la desaconsejaran y remitieran al usuario a la ayuda de una persona. La empresa informa que, al repetir la evaluación con medidas de mitigación específicas en el mensaje del sistema, se obtuvo una tasa de respuestas adecuadas del 94 % en claude.ai, frente al 60 % en la API. La comparación muestra por qué no se pueden considerar equivalentes las puntuaciones obtenidas con distintas configuraciones.

Las recomendaciones sobre la presentación de resultados también abarcan las versiones de los modelos, los ajustes de muestreo, los mensajes, las versiones de los evaluadores y las fechas. Asimismo, proponen realizar evaluaciones continuas durante el ajuste fino, en lugar de una única comprobación previa al lanzamiento. Los fallos graves de los sistemas desplegados deberían comunicarse primero al desarrollador, para que tenga tiempo de corregirlos antes de que se publiquen los resultados.

Las tres prioridades principales de Anthropic son definir el constructo antes de recopilar datos, validar el evaluador con respecto al criterio humano y comunicar la incertidumbre. La conclusión más amplia es que afirmar que un modelo es más seguro que otro depende tanto del diseño de la prueba, el contexto del despliegue y la potencia estadística como de la puntuación principal.