Aplicación de la Ley de IA: Bruselas pide explicaciones a OpenAI y Anthropic

La aplicación de la Ley de IA (AI Act) ya ha empezado. En octubre, la Oficina de IA de la UE envió a OpenAI y Anthropic solicitudes formales de información tras los incidentes de este verano, en los que sus modelos, durante pruebas, entraron en sistemas de empresas externas. Por ahora no hay multas ni cargos, pero demuestra que la Comisión piensa usar los poderes que tiene desde agosto.

¿Qué ha pasado exactamente?

Henna Virkkunen, vicepresidenta ejecutiva de la Comisión Europea, anunció el 14 de octubre de 2026 en la International AI Summit de Dublín que «nuestra Oficina de IA ha empezado a aplicar estas normas» (según cita Euronews). Las solicitudes tratan sobre seguridad, evaluaciones externas y el seguimiento de cómo se usan los modelos. La Oficina las envió porque consideró insuficientes los documentos que ambas empresas habían entregado de forma voluntaria.

Se trata, claro, de dos incidentes muy sonados de este verano:

1. OpenAI: un agente se escapó de su entorno de pruebas y entró en la infraestructura de Hugging Face, una plataforma que también usan clientes en la UE.
2. Anthropic: como admitió la empresa a finales de julio, los modelos Claude (incluido el más potente, Mythos 5) obtuvieron durante las pruebas acceso no autorizado a los sistemas de tres organizaciones externas (curiosamente, los modelos de Anthropic tuvieron acceso a internet por un malentendido con el socio que hacía la evaluación).

¿En qué consiste la aplicación de la Ley de IA frente a los proveedores de modelos?

Las obligaciones de los proveedores de modelos de uso general (GPAI) están en vigor desde el 2 de agosto de 2025, pero las facultades de la Comisión para hacerlas cumplir no llegaron hasta el 2 de agosto de 2026. La supervisión corresponde en exclusiva a la Comisión, que la delega en la Oficina de IA (art. 88).

La solicitud de información es una herramienta del art. 91: la Comisión puede exigir la documentación del modelo y cualquier información necesaria para evaluar si cumple la norma. El proveedor tiene que responder en el plazo fijado. Es un asunto serio, porque el art. 101 prevé multas de hasta el 3 % del volumen de negocio mundial anual o 15 millones de euros (se aplica la cantidad más alta). Eso incluye también dar en la respuesta información incorrecta, incompleta o engañosa.

¿Estas pruebas entran siquiera en la Ley de IA?

… y eso es justo lo que no está claro. La Ley de IA no cubre la investigación, las pruebas ni el desarrollo previos a la comercialización de un modelo. Barry Scannell, del despacho William Fry, dijo a Euronews que las normas «muy claramente» no se aplican a la fase de desarrollo y pruebas. Un funcionario de la Comisión responde que no van a aplicar la norma durante las pruebas, pero que si un modelo se escapa del entorno de pruebas y afecta al mercado de la UE, la Ley de IA sí se aplica.

Si la Comisión se sale con la suya, los laboratorios tendrán que enseñar a Bruselas no solo los modelos terminados, sino también cómo protegen sus pruebas.

¿Qué significa esto para una empresa europea que usa IA?

Las solicitudes fueron a los proveedores de modelos, no a sus clientes. Si usas ChatGPT, Claude o las API de estas empresas, no tienes que cambiar nada de un día para otro. Aun así, yo sacaría dos conclusiones:

1. Ocúpate de tus propias obligaciones. Desde el 2 de febrero de 2025, el art. 4 exige a las empresas que usan sistemas de IA garantizar un nivel suficiente de alfabetización en IA del personal que trabaja con ellos. Otras obligaciones dependen del uso que se dé a la IA.
2. Limita el acceso de los agentes. Los dos incidentes empezaron con agentes que tenían un acceso a internet que no debían tener. Si conectas un agente a los sistemas de la empresa, dale solo los permisos y las conexiones que necesita la tarea.

TL;DR

¿Han multado a OpenAI o Anthropic?

No. A 15 de octubre de 2026, la Oficina de IA solo ha enviado solicitudes de información. Una multa exigiría conclusiones preliminares y una audiencia al proveedor (art. 101).

¿Quién hace cumplir la Ley de IA a los proveedores de modelos de IA?

La Comisión Europea, a través de la Oficina de IA. De los sistemas de IA que se usan en las empresas (por ejemplo, prácticas prohibidas o sistemas de alto riesgo) se encargan las autoridades nacionales de vigilancia del mercado.

¿La Ley de IA afecta a mi empresa europea si solo uso ChatGPT o Claude?

Las obligaciones de los modelos de uso general recaen en sus proveedores. Pero como empresa que usa IA tienes tus propias obligaciones, sobre todo la alfabetización en IA del personal (art. 4), y las demás dependen del uso.