Anthropic pierde ante el Pentágono: alinear a Claude es «manipularlo»

Dos líneas rojas y un ultimátum

Todo comienza en 2024, cuando el Pentágono y los servicios de inteligencia utilizan Claude a través de subcontratistas en sus sistemas clasificados. El modelo comercial rechaza entonces tareas legítimas: resumir evaluaciones de amenazas, procesar documentos clasificados, traducir interceptaciones que describen actos de violencia.

Anthropic responde con Claude Gov, lanzado en marzo de 2025, y una cláusula contractual específica para el gobierno. En julio de 2025, la empresa forma parte de un contrato de IA de 200 millones de dólares. Termina autorizando el diseño de armas, el análisis de inteligencia extranjera y las operaciones ciberofensivas, pero mantiene dos prohibiciones: la guerra autónoma letal y la vigilancia masiva de los estadounidenses.

El 9 de enero de 2026, Pete Hegseth publica una estrategia «AI-first» que exige modelos «libres de restricciones de política de uso» y una cláusula de «any lawful use». Al mismo tiempo, un directivo de Anthropic se cuestiona el uso de Claude en una operación militar en el extranjero, que artículos de prensa incluidos en el expediente vinculan con la captura de Nicolás Maduro el 3 de enero. A esto se suma una negativa de Claude ante solicitudes del CDC sobre prevención de enfermedades infecciosas.

El 24 de febrero, Hegseth recibe a Dario Amodei y fija un ultimátum para el 27. El 26, Amodei se niega públicamente mientras promete una «transición suave». El 27, Trump y Hegseth denuncian a Anthropic en redes sociales; la designación formal llega el 3 de marzo, y el Pentágono se vuelca hacia OpenAI.

El núcleo del fallo: manipular sin malicia

La ley define el «supply chain risk» como el riesgo de que alguien pueda «sabotear, introducir maliciosamente una función indeseada, extraer datos o manipular de otro modo» un producto informático con el fin de «vigilar, denegar, perturbar o manipular de otro modo» su funcionamiento.

Anthropic argumentaba que este vocabulario supone una intención hostil. El juez Gregory Katsas se atiene al sentido ordinario: manipular es «disponer, hacer funcionar o controlar con habilidad». Según él, no existe un riesgo sino una «certeza» de que Anthropic configura Claude para negarle la función de guerra autónoma o de vigilancia masiva.

La mayoría reconoce las «nobles intenciones» de Anthropic, ya sea en materia de privacidad o de seguridad de la IA, pero las considera irrelevantes. Añade que una ley de seguridad nacional sobre contratación pública, sin responsabilidad penal ni civil, se interpreta a favor del ejecutivo en caso de ambigüedad.

El contraste con California es central. El 27 de agosto de 2026, un tribunal federal había anulado allí la designación basada en 10 U.S.C. § 3252, cuya definición apunta a un «adversario» y una «subversión». El tribunal de apelaciones no cuestiona esa lectura ni la ausencia de mala fe de Anthropic, pero considera que la ley de 2018 es mucho más amplia.

Por qué la ausencia de kill switch no basta

Anthropic afirmaba no poder acceder a un modelo entregado en los sistemas clasificados, ni modificarlo, ni apagarlo. El Pentágono podría, por tanto, probar cada nueva versión y conservar la anterior si no le conviene.

El tribunal descarta el argumento. Las restricciones cuestionadas «no se definen por sí mismas»: existen mil grados de implicación humana en una decisión de selección de objetivos. El subsecretario Emil Michael subraya la opacidad de modelos que, según él, cuentan con «5 a 10 billones» de parámetros, lo que haría cualquier auditoría rigurosa «matemáticamente imposible». La propia Anthropic reconoce que Claude puede responder de manera distinta según la formulación de una solicitud.

Rechazar las actualizaciones tampoco es una opción, según los jueces. Anthropic entregó tres versiones de Claude Gov en 2025, y el propio Amodei habla de enjambres de drones autónomos que formarían un «ejército invencible». El Pentágono no puede utilizar IAs «atrapadas en ámbar», sentencia el tribunal.

Urgencia, procedimiento y Primera Enmienda

Sobre las medidas menos intrusivas, Anthropic denunciaba un estigma reputacional. El tribunal lo pone en duda citando al Wall Street Journal, según el cual la empresa ha recibido ofertas de inversión que la valoran en más de 900 000 millones de dólares. La idea de limitar la exclusión a los sistemas sensibles se considera insuficientemente argumentada, e impracticable para un modelo integrado en otras aplicaciones.

Sobre la urgencia, el tribunal no se pronuncia sobre el fondo y aplica la regla del error inofensivo. Anthropic pudo responder desde el 19 de marzo y su solicitud de reconsideración fue rechazada el 3 de junio: un aviso previo más temprano no habría cambiado nada. El procedimiento a posteriori también basta respecto al debido proceso, sobre todo porque unos ataques contra Irán, que usaron Claude según el WSJ, comenzaron dos días después de la negativa de Anthropic.

Sobre la libertad de expresión, el tribunal admite que la defensa de Anthropic de una IA segura está protegida y que la exclusión es una sanción real. Sin embargo, no ve ningún nexo causal: el Pentágono trabajó con Anthropic durante años pese a ese discurso. Las expresiones de Hegseth sobre la «retórica moralizante» y el «virtue-signaling» no cambian nada, ya que el fondo del conflicto sigue siendo el rechazo de un «derecho de veto» sobre las decisiones militares.

La disidencia Henderson: un cheque en blanco preocupante

La jueza Karen LeCraft Henderson defiende el sentido estrecho de «manipular»: influir de manera «sutil, encubierta o desleal». Invoca los cánones noscitur a sociis y ejusdem generis: una palabra se entiende por las que la rodean, y «sabotear» o «introducir maliciosamente» tiñen todo el resto de la lista.

Lo ilustra con un reglamento imaginario de biblioteca: «no gritar, no hablar por teléfono en voz alta, no escuchar música o de otro modo molestar». Nadie vería en ello una prohibición de escuchar música con auriculares. La mayoría responde que ese ejemplo funciona por otra razón y que el adverbio «maliciosamente» solo modifica al verbo que lo sigue.

Su argumento más fuerte se refiere a las consecuencias. Con la lectura adoptada, cualquier proveedor que aplique de manera honesta y abierta restricciones ya aceptadas por el Estado se convierte en una amenaza potencial. Su sucesor tendría la misma disyuntiva: ceder, o ser designado riesgo de seguridad nacional. Recuerda, por último, que la ley apuntaba, según sus trabajos preparatorios, a los Estados hostiles y a las empresas «rendidoras de cuentas ante gobiernos extranjeros».

La última palabra para el ejecutivo

La conclusión de la mayoría reconoce la dificultad. Por un lado, modelos demasiado limitados que dejarían de funcionar en plena operación. Por otro, modelos sin salvaguardas que «alucinarían» objetivos para un ataque letal.

Ambos riesgos corresponden a la seguridad nacional, considera el tribunal. Pero «en nuestra República», corresponde al presidente y al secretario de Guerra decidir entre ellos. Los recursos son rechazados.