Una nueva investigación de UC Berkeley muestra que ajustar un modelo de IA con conjuntos de datos pequeños y aparentemente inofensivos puede desencadenar un "colapso de privacidad" en el que el modelo deja gradualmente de observar las normas de privacidad establecidas — un deterioro que las evaluaciones de seguridad estándar y los revisores humanos sistemáticamente no logran detectar.

Enseñar a un modelo de propósito general a funcionar como un mejor agente de soporte al cliente puede parecer inofensivo. Según el equipo de Berkeley, el mismo proceso que optimiza un modelo para una tarea específica también puede eliminar su capacidad de判断ar cuándo es apropiado compartir información. Peor aún, los modelos siguen pareciendo completamente seguros en las pruebas diseñadas justamente para señalar este tipo de problemas.

Un fallo que aprueba la inspección

Los investigadores llaman a este fenómeno "colapso de privacidad". Un modelo ajustado deja progresivamente de adherirse a las normas de privacidad establecidas, incluso cuando sus datos de entrenamiento no contienen nada evidentemente peligroso.

El fine-tuning es el proceso mediante el cual las empresas toman un modelo general y lo entrenan aún más con un conjunto de datos más específico: por ejemplo, transcripciones de servicio al cliente, conversaciones de apoyo o ejemplos de un agente que utiliza herramientas de software. El equipo de Berkeley descubrió que este entrenamiento adicional puede dañar la comprensión del modelo sobre la privacidad contextual, el principio según el cual la conveniencia de compartir información depende de quién pregunta y por qué.

Las cifras son contundentes. En modelos como GPT-4o-mini, la precisión en benchmarks de privacidad contextual —pruebas estandarizadas del comportamiento de los modelos— cayó hasta un 98-99% tras el ajuste. Mientras tanto, los mismos modelos siguieron obteniendo buenos resultados en las evaluaciones convencionales de seguridad. Los investigadores describen el resultado como un "fallo silencioso".

Esta divergencia también revela una carencia en el propio kit de pruebas: las evaluaciones de seguridad convencionales no están diseñadas para medir el juicio de privacidad contextual —la noción de quién solicita la información y por qué. Por lo tanto, un modelo puede aprobar todas las verificaciones que un equipo realice y aun así manejar mal los tipos de intercambios que esas verificaciones nunca simulan.

Datos inofensivos, resultados dañinos

Parte de lo que hace incómodo este hallazgo son los datos de entrenamiento involucrados. El colapso apareció en conjuntos de datos que la mayoría de los equipos consideraría benignos, incluidos diálogos empáticos e interacciones de soporte al cliente.

El estudio evaluó seis modelos, abarcando tanto sistemas cerrados como de pesos abiertos —entendiéndose por pesos abiertos aquellos modelos cuyos parámetros entrenados se publican para que cualquiera pueda descargarlos y ajustarlos—. La vulnerabilidad surgió en múltiples familias de modelos, lo que indica que no es una peculiaridad de un solo proveedor, y se mantuvo en conjuntos de datos relacionados con el uso de herramientas por agentes y tareas basadas en memoria.

El equipo también examinó el interior de los modelos para localizar dónde ocurre el daño. Las representaciones relacionadas con la privacidad en las capas más profundas de los modelos resultaron especialmente frágiles, y esas características resultaron ser más vulnerables al ajuste que las asociadas a la tarea específica que se estaba entrenando.

No es la primera advertencia

Los hallazgos de Berkeley encajan en un patrón que lleva tiempo consolidándose. Un estudio de Stanford de 2024 informó que incluso un ajuste menor podía comprometer la seguridad de modelos como GPT-3.5 y Llama-2-Chat. Ese trabajo anterior se centró en las salvaguardas de seguridad en general. La investigación de Berkeley enfoca la mirada en la privacidad y añade un giro: el deterioro no aparece donde nadie está mirando.

Lo que significa para las empresas que construyen sobre IA

Los stakeholders más directamente afectados son las empresas que personalizan modelos fundacionales para sus propios productos. El fine-tuning es una de las formas más comunes de hacer que un modelo general resulte útil para un flujo de trabajo específico. Si entrenar con transcripciones ordinarias de soporte puede erosionar el juicio de privacidad de un modelo, esos despliegues pueden conllevar riesgos que sus creadores desconocen — y aprobar una evaluación de seguridad estándar ofrecería una falsa tranquilidad.

Los investigadores piden mejores métodos de evaluación diseñados específicamente para probar el razonamiento de privacidad en agentes de IA durante interacciones del mundo real. Para las organizaciones que ejecutan modelos ajustados, ese llamado apunta al desarrollo que vale la pena seguir: evaluaciones específicas de privacidad que midan el juicio durante interacciones reales de agentes. Dado que la vulnerabilidad abarca modelos cerrados y de pesos abiertos, ningún sector puede tratar el problema como asunto de otros. Y si las características de privacidad en las capas profundas son especialmente frágiles, el siguiente paso es determinar cómo protegerlas durante el entrenamiento sin sacrificar el rendimiento de las tareas por el que las empresas pagan.

Los hallazgos fueron reportados por CryptoBriefing el viernes 6 de noviembre de 2026.