Meta puso en marcha un programa secreto que contrató a cientos de trabajadores para hacerse pasar por menores de edad ante los chatbots de OpenAI, Google y Character.AI, bombardeándolos con mensajes sobre suicidio, autolesiones y contenido sexual sin que ninguna de esas empresas lo supiera. La operación, revelada por la revista Wired a partir de documentos internos, se llamaba internamente Cannes y estuvo activa al menos hasta el 21 de abril de 2026.
El proyecto Cannes: cuentas falsas de menores como herramienta de prueba
Según la investigación de Wired, la operación fue ejecutada por Covalen, una empresa contratista, y consistía en crear perfiles falsos de usuarios menores de 18 años para interactuar con los sistemas de inteligencia artificial de la competencia. Los trabajadores enviaban mensajes deliberadamente perturbadores con el objetivo de provocar respuestas que esos sistemas no deberían generar, y anotaban los resultados en hojas de cálculo.
El volumen fue enorme: una sola ronda de pruebas superó los 45.000 prompts. Wired examinó una de las hojas de cálculo utilizadas, con cerca de 3.800 mensajes de una tanda concreta; en esa muestra, cientos abordaban el suicidio y las autolesiones, otros cientos los trastornos alimenticios y al menos 239 incluían contenido sexual o romántico, todos redactados como si provinieran de un menor de edad.
El alcance del proyecto no era marginal ni improvisado. Era sistemático, financiado y ejecutado con metodología. Meta pagó a cientos de personas para llevar a cabo estas interacciones de forma coordinada y sostenida en el tiempo.
OpenAI, Google y Character.AI: probados sin su consentimiento
Ninguna de las tres compañías afectadas sabía que estaba siendo sometida a este tipo de evaluación. OpenAI, fundada en 2015 y con sede en San Francisco, es la empresa detrás de ChatGPT. Google, con más de 25 años de historia y sede en Mountain View, desarrolla Gemini. Character.AI, fundada en 2021 por antiguos ingenieros de Google, es una plataforma especializada en personajes conversacionales con una base de usuarios especialmente joven.
Que los destinatarios de los prompts fueran precisamente estos tres sistemas no es casual. Los tres compiten directamente con Meta AI, el asistente que la compañía de Mark Zuckerberg ha integrado en WhatsApp, Instagram y Facebook. Conocer los límites y los fallos de los rivales tiene un valor estratégico evidente.
La versión de Meta frente a la de los críticos
Aquí conviene separar el hecho de su interpretación. Según Wired, la operación estaba aparentemente destinada a poner a prueba los sistemas rivales, empujándolos a saltarse sus propias reglas de seguridad; es decir, una forma de red teaming, la práctica habitual de atacar un modelo para encontrar sus fallos. Meta no ha detallado públicamente qué hizo con los datos recopilados.
La diferencia, señalan los expertos, está en el método. “Estructurar un proyecto a gran escala, de meses de duración, que parece diseñado para romper sistemáticamente esas reglas mediante cuentas ficticias que se hacen pasar por niños, queda fuera de lo que normalmente se describe como evaluación estándar del sector”, advirtió Rumman Chowdhury, directora ejecutiva de Humane Intelligence, en declaraciones a Wired. El red teaming convencional se aplica sobre los propios sistemas, con conocimiento y consentimiento de los equipos implicados; lo que describe el proyecto Cannes es una variante no autorizada, aplicada sobre sistemas ajenos.
239 prompts con contenido sexual en voz de un niño
El detalle más perturbador del proyecto no es su escala, sino su contenido. Los al menos 239 mensajes que combinaban la identidad simulada de un menor con contenido sexual o romántico no eran preguntas ambiguas o de límite difuso: eran prompts diseñados para tensar al máximo los filtros de seguridad de los sistemas rivales.
Character.AI es, de las tres empresas, la que queda en una posición más delicada. Su plataforma tiene una base de usuarios especialmente joven y ya estaba bajo escrutinio: en 2024, una familia en Florida presentó una demanda alegando que uno de sus chatbots había mantenido conversaciones inapropiadas con un menor que después se quitó la vida. La empresa reforzó entonces sus filtros y anunció nuevas herramientas de control parental. Que Meta la eligiera como objetivo justo en ese momento añade una capa adicional de gravedad.
El marco legal: COPPA, RGPD y acceso no autorizado
La protección de menores en entornos digitales está regulada de forma estricta en múltiples jurisdicciones. En Estados Unidos, la Children’s Online Privacy Protection Act (COPPA) establece obligaciones específicas sobre el tratamiento de datos e interacciones que involucren a menores de 13 años. En Europa, el Reglamento General de Protección de Datos incluye salvaguardas reforzadas para este grupo de edad.
El proyecto Cannes no involucraba a menores reales: los mensajes los escribían adultos contratados por Covalen. Pero simular identidades de menores para provocar respuestas en áreas como el suicidio o el contenido sexual roza zonas grises de leyes diseñadas para proteger a los más vulnerables. Además, acceder a sistemas de terceros mediante identidades ficticias y sin autorización puede chocar con los términos de servicio de esas plataformas y, en algunos estados de EE. UU., con leyes sobre acceso no autorizado a sistemas informáticos.
Covalen y la externalización de las operaciones más sensibles
La externalización de este tipo de tareas a terceros es habitual en el sector tecnológico: permite a las grandes compañías mantener distancia operativa respecto a trabajos que, de hacerse públicos, podrían generar controversia. En el etiquetado de datos para entrenar modelos, empresas como Scale AI o Sama han trabajado para Meta, OpenAI y Google clasificando contenido violento o sexual, con trabajadores en países de bajos ingresos expuestos a material perturbador sin apoyo psicológico adecuado. El proyecto Cannes añade una dimensión nueva a ese debate: externalizar no solo el etiquetado, sino operaciones de inteligencia que implican simular identidades vulnerables.
Una revelación en el peor momento para Meta
Meta, cuya capitalización supera el billón de dólares, lleva años bajo escrutinio por su gestión de la seguridad de los menores. Mark Zuckerberg ha tenido que comparecer en varias audiencias del Congreso de Estados Unidos para responder por el impacto de Instagram y Facebook en la salud mental de los adolescentes.
La revelación llega, además, en pleno endurecimiento regulatorio. La Unión Europea avanza en la aplicación de su Reglamento de Inteligencia Artificial, que entrará en plena vigencia de forma progresiva hasta 2027, y varios estados de EE. UU. han aprobado o tramitan legislación sobre el uso de IA en contextos que afectan a menores.
El proyecto Cannes no es solo una historia de rivalidad entre gigantes tecnológicos. Es una muestra de qué ocurre cuando la carrera por dominar la inteligencia artificial se libra sin reglas claras, usando como material de prueba las situaciones más extremas que puede vivir un menor: la crisis suicida, la autolesión, el abuso sexual. Que eso sucediera de forma sistemática, financiada y documentada en más de 45.000 prompts es un dato que los reguladores de ambos lados del Atlántico no pueden pasar por alto.
Fuente: investigación de Wired a partir de documentos internos. Imagen ilustrativa generada con inteligencia artificial. Edición con asistencia de herramientas de IA bajo supervisión editorial.
Fermín Sánchez es el responsable editorial de LaPrensaIA, diario de divulgación sobre inteligencia artificial. Cubrimos la actualidad de la IA con criterio propio —tecnología, empresas y sociedad— de forma clara para el público no técnico. Cada artículo se elabora con la asistencia tecnológica de Iberia y se revisa antes de publicarse. Más sobre cómo trabajamos →
