Modelos de IA sin censura 2026: la guía completa de LLMs sin filtros, sin alineación y abliterados

Dos personas descargan el mismo modelo de pesos abiertos. La primera le hace una pregunta límite y recibe un rechazo educado. La segunda descargó una copia modificada del mismo modelo base, hace la misma pregunta y obtiene una respuesta. Misma arquitectura, mismo conocimiento, distinto comportamiento. Esa diferencia es toda la historia de la IA sin censura.

Es posible porque los modelos de pesos abiertos son archivos. Un chatbot alojado mantiene sus pesos, su prompt de sistema y sus filtros en servidores ajenos, así que solo puedes conversar con él. Un modelo de pesos abiertos te da los pesos. Cualquiera puede hacerles fine-tuning, fusionarlos, cuantizarlos o editarlos y publicar el resultado. El comportamiento de rechazo es algo que el modelo aprendió, así que se puede desaprender o suprimir.

La IA local lo hace práctico. Un modelo de 12B o 24B ya funciona en un portátil o en una sola GPU, sin conexión, dentro de apps en las que ya confías. Las páginas de etiquetas de Hugging Face del 2026-11-13 listaban 13.279 repositorios con la etiqueta abliterated, 16.629 con uncensored y 7.058 con heretic, aunque estos recuentos incluyen cuantizaciones y duplicados. También existen dos índices especializados: abliter.cn mostraba 921 modelos de 25.796 repositorios analizados, y abliteration.org describe un catálogo de más de 19.000 modelos. Usan reglas de inclusión distintas, así que las cifras no describen lo mismo.

El tema también está en las noticias. Heretic 2.0 se publicó el 2026-11-01 y sustituyó a la técnica clásica de una sola dirección como método por defecto de la herramienta. WIRED publicó un perfil de la comunidad el 2026-11-10 (solo pudimos leer reposts, así que lo citamos como reportado). Un modelo modificado de Gemma 4 31B publicado el 2026-11-05 afirma una gran reducción de rechazos; examinamos sus cifras más abajo.

Esta guía empieza por el fenómeno y luego explica los términos, la ciencia y las herramientas. Una idea la recorre: piensa en estos modelos como un componente intercambiable de las apps locales. La app aporta documentos, voz, agentes y una interfaz usable; el modelo decide qué responderá. Combinarlos da una flexibilidad que ningún servicio alojado ofrece, y también elimina la red de seguridad que ofrece un servicio alojado.

Las palabras se usan con poco rigor, y así es como la gente acaba descargando algo que no se comporta como se anuncia. Esto es lo que significa técnicamente cada término.

El preentrenamiento enseña al modelo a predecir texto a partir de un corpus enorme. Produce un sistema capaz pero sin rumbo que continuará casi cualquier cosa. El instruction tuning y el supervised fine-tuning (SFT) lo entrenan después con conversaciones de ejemplo para que responda preguntas en un formato útil.

El entrenamiento por preferencias añade la capa de seguridad. En RLHF (aprendizaje por refuerzo con retroalimentación humana), evaluadores humanos comparan respuestas, un modelo de recompensa aprende sus preferencias y el modelo se optimiza hacia ellas. DPO (optimización directa de preferencias) llega a un resultado similar sin un modelo de recompensa aparte. Los conjuntos de datos de seguridad emparejan peticiones dañinas con rechazos, de modo que el modelo aprende que ciertos tipos de petición deben declinarse: eso es el entrenamiento de rechazo.

¿Dónde vive ese comportamiento? En dos lugares. Un prompt de sistema es texto que se antepone en tiempo de ejecución, y puedes cambiarlo. El comportamiento en los pesos se graba durante el entrenamiento, y no puedes cambiarlo sin tocar los pesos. Por eso un prompt de sistema por sí solo a veces no consigue que el modelo responda, y por eso las ediciones de pesos sí pueden.

El diagrama muestra la idea que hace posible la abliteración. Dentro de un transformer, cada capa lee de un recuento compartido y continuo, el flujo residual, y escribe en él. La investigación sugiere que, para los rechazos, gran parte de la señal se sitúa a lo largo de una dirección de ese flujo.

El fundamento científico es Arditi et al. (2024), "Refusal in Language Models Is Mediated by a Single Direction" (arXiv 2406.11717). Los autores probaron 13 modelos de chat abiertos de entre 1.8B y 72B parámetros. Su hallazgo: en estos modelos, el rechazo está mediado por una única dirección del flujo residual.

Cómo se encuentra la dirección. Se ejecuta el modelo con un conjunto de prompts dañinos y otro de prompts inofensivos, se registran las activaciones internas en una capa y una posición de token elegidas, y se calcula la diferencia entre los dos promedios. Ese vector de diferencia de medias es la dirección de rechazo candidata.

Cómo se elimina. La ablación direccional proyecta esa dirección fuera de las activaciones en tiempo de ejecución. La ortogonalización de pesos logra el mismo efecto de forma permanente: se modifican las matrices de pesos que escriben en el flujo residual para que ya no puedan escribir a lo largo de la dirección. El modelo editado no necesita reentrenamiento y su archivo es igual que el de cualquier otro modelo.

Qué se pierde. Los autores informan de pequeñas caídas de capacidad en la mayoría de los benchmarks, con la excepción de TruthfulQA, que bajó de forma consistente, aproximadamente de 1 a 3.5 puntos. También describen su método de selección de dirección como heurístico. La guía práctica de Maxime Labonne encontró que la abliteración redujo todos los benchmarks que midió, que un paso de «curación» con DPO recuperó la mayor parte pero no todo, y que elegir la capa requiere criterio.

Una advertencia sobre las cifras. La empresa de seguridad Alice publicó un informe que probó cinco modelos y reportó un 98.0 % de cumplimiento tras la abliteración (539 de 550 prompts) frente a un 5.8 % antes, y una entrada de blog que reporta un 96-100 % en seis familias de modelos. Estas cifras las informa la propia empresa, las puntuó un LLM como juez, no han sido revisadas por pares y miden la disposición a responder, no un aumento real de capacidad en el mundo real. Tómalas como un dato, no como una prueba.

Quién y qué. Heretic es una herramienta de línea de comandos de código abierto creada por Philipp Emanuel Weidmann (usuario de GitHub p-e-w). En lugar de pedir a una persona que elija capas e intensidades, automatiza la búsqueda.

El enfoque original. Heretic usa Optuna, una biblioteca de optimización de hiperparámetros con un sampler TPE, para probar muchos ajustes de abliteración. Unos scorers enchufables puntúan cada prueba. Por defecto cuenta los rechazos con un scorer basado en palabras clave y mide la divergencia KL respecto al modelo original con prompts inofensivos, de modo que la búsqueda persigue ajustes que eliminen rechazos cambiando todo lo demás lo mínimo posible. Los modifiers son los componentes que realmente editan los pesos.

Qué cambió en la 2.0. La versión 2.0.0 se publicó el 2026-11-01 (la 2.1.0 siguió el 2026-11-08). El modificador por defecto es ahora la Arbitrary-Rank Ablation (ARA); la ablación direccional clásica, con opciones de abliteración proyectada y preservación de la norma, sigue disponible. La versión añade además un sistema de plugins, funcionamiento sin interfaz y un scorer de rechazo basado en BERT como plugin (el scorer por defecto sigue basándose en palabras clave). Los archivos de configuración de Heretic 1.x no funcionan con la 2.x.

Qué es ARA. Según el propio pull request del autor, ARA no usa direcciones de rechazo. Aprende ediciones matriciales por módulo con un optimizador L-BFGS frente a tres objetivos: dejar intactas las salidas para prompts inofensivos, hacer que las salidas para prompts dañinos coincidan con las inofensivas y alejarlas de las antiguas salidas dañinas. Una sola dirección es una edición de rango uno; ARA permite ediciones de rango superior, así que puede capturar un comportamiento de rechazo que no es unidimensional. La descripción completa se sigue anunciando como un preprint «pronto», así que las afirmaciones de calidad son del propio autor y no están verificadas de forma independiente.

Hardware y compromisos. La herramienta carga el modelo completo y ejecuta muchas pruebas, así que necesitas memoria suficiente para ejecutar el modelo que modificas, además de tiempo. Los compromisos de calidad siguen el patrón de otros métodos: un estudio comparativo de cuatro herramientas en 16 modelos (Young, arXiv 2512.13655, resumen leído) reporta cambios en GSM8K de +1.5 a -18.8 puntos y valores KL de Heretic de 0.04 a 1.65, de modo que los resultados dependen mucho del modelo.

La abliteración no es la única vía. La tabla compara los enfoques principales. La fila de fusión de modelos es deliberadamente cautelosa: no encontramos ninguna fuente primaria que documente las fusiones como método para eliminar rechazos.

Dolphin (cognitivecomputations y la organización más reciente dphn) es la línea de fine-tuning más conocida. La entrada verificada actual es Dolphin-Mistral-24B-Venice-Edition. Su ficha dice que el prompt de sistema fija el comportamiento, así que es orientable y no tiene garantizado que carezca de rechazos.

Hermes (NousResearch) no es una familia sin censura. Los modelos Hermes 4 tienen una alineación neutra y son orientables. El propio RefusalBench de Nous, según la ficha de Hermes 4.3 36B, muestra que el modelo respondió aproximadamente al 72-75 % de sus prompts de prueba, de modo que casi una cuarta parte sigue rechazándose. No clasifiques todos los Hermes como sin censura.

Las variantes abliteradas de Qwen dominan las descargas. La entrada verificada más descargada es Huihui-Qwen3.8-27B-abliterated, con unos 4 millones de descargas. Búsqueda: Qwen abliterated en Hugging Face.

Las variantes abliteradas de Gemma son el área más nueva. Los modelos modificados de Gemma 4 aparecen con abliteración simple y con Heretic y ARA. Búsqueda: Gemma abliterated. Uno de ellos, un modelo Gemma 4 31B con ARA, afirma una gran reducción de rechazos, que examinamos más abajo.

Las variantes abliteradas de Llama son en su mayoría antiguas. En nuestra comprobación del 2026-11-13, nada más reciente que Llama 3.1 y 3.3 tiene muchas descargas, y la entrada de 8B más descargada es de 2024. Búsqueda: Llama abliterated.

Mistral, DeepSeek y GLM. Existe una abliteración de Mistral Small 3.2 24B. Para DeepSeek y GLM existen versiones abliteradas de los modelos más recientes, pero pesan unos 284 GB y 321 GB, fuera del alcance del hardware de consumo; solo es práctico un DeepSeek R1 distill más antiguo de 32B.

Una lectura crítica de la afirmación sobre Gemma 4 31B. La ficha del modelo reporta que los rechazos bajan de 99 de 100 prompts a 28 de 100 (Heretic v2.0.0 ARA, divergencia KL 0.0845). Es una reducción relativa del 72 %, y también significa que 28 de 100 prompts de prueba siguieron activando el detector. El detector es una lista de unas 34 palabras clave como «sorry» e «illegal», aplicada a respuestas truncadas a 100 tokens, de modo que una respuesta útil con un aviso cuenta como rechazo y una no respuesta sin esas palabras cuenta como cumplimiento. El conjunto de prueba son 100 prompts de un único dataset, el original puntuó 99/100 y la cifra KL se mide solo con prompts inofensivos, así que no dice nada sobre la capacidad. La ficha promete reproducibilidad, pero su propio archivo de reproducción advierte de que se usó una compilación local de Heretic sin confirmar en el repositorio. No encontramos ninguna evaluación independiente. Otro repack de 31B sobre la misma base reporta 10/100 con KL 0.054, pero los resultados de autores, ejecuciones y ajustes distintos no son comparables.

Una plataforma de alojamiento almacena y sirve los propios archivos. Un índice especializado solo rastrea plataformas de alojamiento y añade una capa de descubrimiento. Un índice puede ayudarte a encontrar candidatos, pero el archivo que descargas sigue viniendo del alojamiento, así que las dudas de procedencia siempre se refieren al alojamiento y al autor.

Comprobamos diez repositorios actuales el 2026-11-13 contra la API de Hugging Face y las fichas de modelo, no contra artículos antiguos. Los tamaños son los de archivos GGUF Q4_K_M cuando el repositorio los publica; las cifras de memoria son estimaciones nuestras (tamaño del archivo más runtime y caché), no mediciones. Los recuentos de descargas y las fechas cambian constantemente, así que esta tabla es una instantánea y debe actualizarse con independencia del artículo.

La razón por la que esto importa es la arquitectura de la IA local. La mayoría de las apps locales no incluyen un modelo fijo. Se conectan a un backend, normalmente Ollama, llama.cpp o un servidor compatible con OpenAI, o cargan los archivos GGUF que tú eliges.

Nuestras propias reseñas confirman el patrón en todas las categorías. SillyTavern se conecta a KoboldCpp, text-generation-webui, Ollama o LM Studio. Open WebUI hace de interfaz de Ollama o de cualquier API compatible con OpenAI. LM Studio ejecuta modelos GGUF con un explorador de Hugging Face integrado. AnythingLLM, Msty y Cline se conectan a Ollama o LM Studio. n8n tiene un nodo de Ollama dedicado, y KoboldCpp ejecuta archivos GGUF directamente. Cuando el modelo es un ajuste, puedes cambiar un modelo neutro por uno sin restricciones según la tarea.

Lo que ganas. Obtienes las funciones de la app y el modelo que elijas, sin conexión y sin que un proveedor alojado lea la conversación. La tabla muestra cómo se traduce esto por categoría. Confirma que la versión de la app que usas acepta modelos personalizados antes de depender de ella; esta lista es un punto de partida, no una garantía.

Ollama (ollama.com) es la vía más sencilla para quien usa la línea de comandos: descargas un modelo por nombre y sirve una API que muchas apps entienden. LM Studio (lmstudio.ai) es la vía gráfica, con un explorador de Hugging Face integrado y un servidor local compatible con OpenAI. llama.cpp (github.com/ggml-org/llama.cpp) es el motor que hay debajo de muchas de estas herramientas y ejecuta archivos GGUF directamente. Transformers (huggingface.co/docs/transformers) carga pesos safetensors de precisión completa en Python, lo que conviene a la investigación y a quien piense evaluar o modificar modelos.

GGUF y cuantización. GGUF es el formato de archivo único que usan las herramientas basadas en llama.cpp. La cuantización almacena los pesos con menos bits: Q4_K_M es el compromiso habitual, con aproximadamente una cuarta parte del tamaño de precisión completa y un coste modesto en calidad. Las cuantizaciones más bajas ahorran memoria pero pueden perjudicar el razonamiento y el seguimiento de instrucciones, así que prueba el archivo concreto que uses.

Hardware. En Apple Silicon, la memoria unificada se comparte entre CPU y GPU, así que un Mac de 32 GB puede alojar un modelo Q4 de unos 24-27B parámetros más el contexto; deja varios gigabytes para el sistema. En GPUs NVIDIA el modelo debe caber en la VRAM: una tarjeta de 24 GB sirve para los modelos de 24-31B anteriores y 8 GB sirve para modelos de 4-9B. Si el modelo no cabe, las capas pasan a la RAM del sistema y la velocidad cae en picado. Para cifras exactas, consulta cuánta VRAM necesita un LLM local.

Funcionamiento sin conexión. Una vez que los pesos están en el disco, ninguna de estas herramientas necesita internet para generar texto. Ese es el principal argumento de privacidad, y también la razón por la que ningún proveedor puede imponer normas de uso sobre una copia local.

Conceptualmente sí, y es más accesible que antes. Describimos el flujo de trabajo solo a alto nivel.

Describimos los riesgos al nivel necesario para entenderlos y no damos ningún detalle operativo.

Los argumentos más sólidos a favor de modelos menos restrictivos merecen un planteamiento justo.

Los contraargumentos son igual de reales. Las salvaguardas reducen la probabilidad de que un modelo ayude con daños graves, protegen a los usuarios vulnerables y hacen defendible el despliegue en productos.

La distinción clave es entre un modelo que genera texto y un agente que puede ejecutar comandos, leer archivos, navegar por la web o interactuar con otros sistemas. Si un modelo de chat escribe algo dañino, una persona aún tiene que actuar en consecuencia. Si actúa un agente con el mismo modelo, se cierra la distancia entre la salida y la consecuencia.

Es difícil hacer que las salvaguardas de los modelos abiertos resistan manipulaciones: la investigación sobre abliteración citada arriba muestra que una sola edición de pesos puede suprimir el comportamiento de rechazo. Ese es un argumento central a favor de protecciones más fuertes a nivel de modelo y de controles externos alrededor del modelo.

Sí. Como un modelo local no tiene capa del lado del proveedor, añades la tuya a su alrededor.

No hay una respuesta única, y esto no es asesoramiento jurídico. Las cuestiones que conviene separar son la posesión, la distribución y el uso, y la respuesta puede variar según el país y según para qué se use el modelo.

Ley de IA de la UE. El Reglamento (UE) 2024/1689 impone obligaciones a los proveedores de modelos de IA de uso general, con una exención parcial para los modelos de código abierto que no se aplica a los modelos con riesgo sistémico. Las obligaciones para los modelos de IA de uso general se aplican desde el 2025-08-02, y las facultades de ejecución de la Comisión desde el 2026-08-02. Las directrices de la Comisión de 2025 dicen que un modificador posterior solo se convierte en proveedor por encima de un umbral orientativo de cómputo; entendemos que la abliteración queda muy por debajo, pero el criterio no es vinculante. No pudimos confirmar a partir del texto si el Digital Omnibus de 2026 cambió las fechas de la IA de uso general, así que consulta el texto vigente.

Posesión frente a uso. Poseer un archivo de modelo es distinto de usarlo para cometer un delito. El derecho penal se vincula a actos concretos: producir contenido prohibido, fraude, acoso o herramientas diseñadas para la delincuencia informática. Revisamos las disposiciones alemanas solo parcialmente, así que no te bases en esta guía para ellas.

Licencias y contratos. Las licencias añaden normas encima de la ley. Las fichas de Gemma 4 indican Apache-2.0 y enlazan una página de licencia de Gemma 4, mientras que las generaciones anteriores de Gemma usaban los Gemma Terms y la Prohibited Use Policy, que prohíben eludir los filtros de seguridad; comprueba la página de licencia del modelo base exacto. La licencia de Llama 3.1 exige un aviso «Built with Llama» y un prefijo en el nombre del modelo en los derivados, con una política de uso aceptable que restringe usos pero, según nuestra lectura, no tiene una cláusula explícita contra la elusión. Las fichas de Qwen3.5 y Qwen3.8 de la tabla indican Apache-2.0. Lee siempre la licencia del modelo base, no solo la del derivado.

Protección de datos y derechos de autor. Tratar datos personales en local sigue estando sujeto a la normativa de protección de datos, y las cuestiones de derechos de autor sobre los datos de entrenamiento de los modelos subyacentes siguen sin resolverse. Ninguna cambia cuando se eliminan los rechazos.

Varias tendencias apuntan a que sí. La modificación por parte de la comunidad es grande y crece: los recuentos de etiquetas de Hugging Face anteriores llegan a miles de repositorios. Las herramientas son cada vez más automáticas: Heretic busca los ajustes por ti, y ARA va más allá de una sola dirección. Seguirán llegando nuevas técnicas para eliminar rechazos, y también técnicas que hagan más difícil eliminar las salvaguardas.

Otros desarrollos tiran en direcciones distintas: arquitecturas de seguridad configurables que permiten a quien despliega elegir una política, servicios comerciales que ofrecen modelos menos restringidos, una IA local que pone cada vez más el control en manos del usuario y una regulación que aún se está formando. Espera que continúe el debate sobre si los pesos abiertos podrán hacerse alguna vez resistentes a manipulaciones.

Conclusión. La IA de pesos abiertos da a los usuarios un mayor control sobre el comportamiento de los modelos, y la capa de las apps hace práctico ese control. Pero quitar las salvaguardas no quita la responsabilidad: la transfiere a quien ejecuta el modelo.