El token washing para evadir la IA borra la huella estadística de Claude. Así funciona y por qué el AI Act no puede impedirlo.
El token washing para evadir la IA lleva meses saboteando la estrategia de Anthropic para cumplir el artículo 50 del AI Act europeo. En lugar de incrustar una marca de agua convencional en los metadatos o en el flujo de bits, Anthropic confió en que la propia arquitectura lingüística del texto generado por Claude actuaría como señal identificadora: la elección del vocabulario, la longitud de las oraciones, la cadencia de los párrafos. Todo ello trazaría una huella suficientemente estable para ser detectada de forma automatizada. La idea es elegante en teoría. El problema es que la comunidad encontró enseguida la manera de deshacerla mediante el token washing para evadir la IA.
Qué es el token washing para evadir la IA y por qué importa
El término «token washing» —lavado de tokens— describe el proceso de someter un texto generado por un modelo de lenguaje a una segunda pasada, realizada por otro modelo u otra técnica, con el único propósito de alterar los patrones estadísticos superficiales que lo delatan como texto sintético. No se trata de mejorar el contenido ni de corregir errores: el objetivo es exclusivamente evasivo. Se coge el texto que huele a máquina, se lo pasa por otra máquina, y el resultado huele menos a la primera —aunque sigue sin oler a persona.
La distinción importa porque confunde dos debates que conviene separar. El primero es el de la calidad: si el texto es útil, correcto y sirve a quien lo encarga. El segundo es el de la trazabilidad: si es posible saber, a posteriori, que fue producido por un sistema automatizado. El token washing para evadir la IA no interviene en el primero; ataca directamente el segundo.
El artículo 50 del AI Act y la huella lingüística de Claude
El AI Act, en su artículo 50, obliga a los proveedores de sistemas de IA generativa a garantizar que sus contenidos sean marcados de forma «detectable de manera automatizada». La interpretación habitual apuntaba a marcas de agua criptográficas: alterar de manera imperceptible ciertos bits del audio, la imagen o el texto para que un detector entrenado pudiera identificarlos. Anthropic eligió otro camino: confiar en que la estructura estadística propia del texto de Claude es suficientemente distintiva para cumplir ese requisito sin modificación externa.
Desde el punto de vista algorítmico, la apuesta no es descabellada. Los modelos de lenguaje de gran escala generan distribuciones de probabilidad sobre tokens que, en modelos bien ajustados, presentan correlaciones identificables. Un clasificador entrenado sobre suficientes muestras puede aprender esas correlaciones y usarlas como señal. El problema es que esa señal no está cifrada ni protegida: es una regularidad estadística, y las regularidades estadísticas pueden ser perturbadas.
Cómo funciona técnicamente el token washing
El mecanismo básico es sencillo de describir, aunque su implementación efectiva requiere cierto cuidado. El proceso habitual sigue estos pasos:
- Generación del texto original con el modelo objetivo (Claude, GPT-4, Gemini, etc.).
- Segmentación y recodificación: el texto se descompone en unidades —oraciones, párrafos, a veces tokens individuales— y se reescribe con un segundo modelo instruccionado explícitamente para alterar el estilo sin cambiar el significado.
- Filtrado de marcadores residuales: algunos sistemas añaden una verificación final en la que un clasificador de detección evalúa la probabilidad de que el texto sea sintético; si supera un umbral, el proceso se repite.
- Opcionalmente, perturbación léxica dirigida: sustitución selectiva de los tokens más predecibles por sinónimos menos frecuentes en el modelo original, reduciendo la perplexity-signature del texto.
Repositorios públicos en GitHub ya implementan variantes de este flujo. Uno de ellos, accesible públicamente, automatiza precisamente esta cadena: toma texto de entrada, lo repinta con un modelo secundario y devuelve una versión que reduce significativamente la puntuación de detectores estándar como GPTZero o los propios clasificadores de OpenAI. La existencia pública de estas herramientas convierte el token washing en un problema de infraestructura, no solo de política.
Por qué las marcas estadísticas son estructuralmente débiles
El problema de fondo es epistemológico. Una marca de agua criptográfica fuerte es asimétrica: quien la incrusta conoce la clave, quien intenta eliminarla no. Una huella estadística es simétrica en el peor sentido: cualquiera con acceso a un modelo suficientemente capaz puede aproximar la distribución del texto marcado y generar perturbaciones que la degraden. Es el mismo argumento que se usa contra los captchas de texto: en cuanto el clasificador de detección mejora, las técnicas de evasión mejoran en paralelo, porque ambas son accesibles.
En términos de teoría de juegos, el token washing convierte la detección de IA en un juego de suma cero en el que el atacante tiene ventaja estructural. Le basta con reducir la señal por debajo del umbral de detección. El defensor, en cambio, necesita mantener esa señal por encima del umbral para todos los textos posibles y frente a cualquier transformador. Es una asimetría difícil de resolver sin elementos fuera de banda: metadatos firmados criptográficamente que acompañen al texto y que no puedan eliminarse sin romper la cadena de custodia.
Implicaciones para el cumplimiento normativo y la confianza digital
El AI Act no especifica el mecanismo técnico de la marca; especifica el resultado funcional: que la detección sea posible de forma automatizada. Si el token washing para evadir la IA hace sistemáticamente inviable esa detección, la norma resulta formalmente exigible pero técnicamente eludible a coste casi nulo. Esto no es trivial para ninguna organización —incluyendo pymes que gestionan contenido en sus webs— que dependa de garantías regulatorias sobre la procedencia del texto que publica o recibe. Si quieres explorar cómo la IA afecta a otros ámbitos del trabajo profesional, puedes revisar los modelos de IA para uso profesional que analizo en este blog.
Las implicaciones prácticas son varias, y ninguna organización que dependa de la trazabilidad del texto puede ignorar que el token washing para evadir la IA ya es una amenaza operativa real:
- Los sistemas de moderación de contenido que usan detectores de IA para filtrar spam o desinformación verán reducida su eficacia ante texto lavado.
- Los procesos de auditoría editorial que asumen que el texto declarado como humano lo es efectivamente pierden una herramienta de verificación.
- La responsabilidad legal sobre el contenido generado con IA y posteriormente lavado queda en un limbo: técnicamente ha pasado por una segunda transformación, lo que complica la atribución al modelo original.
- Los marketplaces de contenido y las plataformas que prohíben texto de IA en sus términos de servicio enfrentan un problema de enforcement creciente.
La respuesta técnica más robusta en este momento apunta hacia sistemas de provenance criptográfica: firmas digitales incrustadas en el momento de la generación, vinculadas a la identidad del modelo y verificables por terceros sin necesidad de acceder al modelo original. Iniciativas como la especificación C2PA (Coalition for Content Provenance and Authenticity) van en esa dirección, aunque su adopción masiva sigue siendo incipiente y su aplicación al texto —frente a imagen y audio— está menos desarrollada.
En definitiva, el token washing para evadir la IA no es un problema que vaya a desaparecer con la siguiente versión de un detector: es la consecuencia lógica de haber construido un sistema de identificación sobre una señal estadística pública en lugar de sobre una garantía criptográfica privada. Mientras esa arquitectura de fondo no cambie, la carrera entre marcado y borrado continuará. El texto generado por IA que no quiera ser reconocido como tal encontrará siempre un modelo dispuesto a ayudarle a pasar desapercibido. ¿Tienes dudas sobre cómo afecta esto a tu actividad? Escríbeme y lo vemos juntos.
