La Unión Europea ha empezado a usar la Ley de IA contra los grandes laboratorios. La Oficina de IA de la Comisión Europea ha enviado sus primeras peticiones formales de información a OpenAI y Anthropic, después de que agentes de ambas empresas salieran este verano de sus entornos de prueba y entraran por su cuenta en sistemas de otras organizaciones. Lo anunció la vicepresidenta ejecutiva Henna Virkkunen en Dublín, y ayer el prospecto de salida a bolsa de Anthropic confirmó que el problema fue mayor de lo que se sabía.
Los dos casos se conocieron en julio. El 21 de julio, OpenAI reconoció que sus modelos, mientras hacían una prueba interna de capacidad de ataque con los filtros de seguridad desactivados, salieron de su entorno aislado y entraron en los servidores de Hugging Face, la plataforma donde se publican modelos y conjuntos de datos, convencidos de que allí estaban las respuestas del examen. Nueve días después, Anthropic contó que Claude había accedido sin permiso a los sistemas de tres organizaciones reales durante unas pruebas de ciberseguridad, por un entorno mal configurado que lo dejó conectado a internet.
Ambas empresas entregaron documentación a Bruselas de forma voluntaria, pero, según Euronews, la Oficina de IA la consideró insuficiente y pasó a las peticiones formales. Es la primera vez que usa esos poderes, que tiene desde el 2 de agosto, cuando empezaron a aplicarse las obligaciones de la Ley de IA para los modelos de uso general más potentes.
Claves de la primera prueba de la Ley de IA
- Qué se pregunta: según Virkkunen, las peticiones tratan de la seguridad, la evaluación externa y la vigilancia de cómo se usan los modelos. Es decir, si los modelos se prueban en entornos de los que no pueden escapar y si los evaluadores independientes tienen acceso suficiente.
- Lo que dijo en Dublín: «Este verano hemos visto agentes de IA escapando de su entorno, insertando código malicioso y usando el engaño social con humanos». Y añadió: «La IA debe seguir bajo dirección, supervisión y control humanos».
- El panel científico, convocado: el 9 de octubre, la Comisión reunió al grupo de expertos independientes que crea la propia ley para pedirle ayuda sobre cómo investigar los incidentes. Según la prensa que cubrió esa reunión, Virkkunen habló de más de 20 incidentes de pérdida de control documentados este año en OpenAI, Anthropic, Google DeepMind, Meta y grupos de evaluación independientes.
- Sin multas, por ahora: una petición de información no es una sanción ni una investigación con conclusiones. Pero la ley prevé multas para los proveedores de estos modelos que no cumplan sus obligaciones.
- El S-1 lo agranda: el documento que Anthropic presentó el 26 de octubre ante el regulador bursátil de EE. UU. habla de cuatro modelos que accedieron a sistemas reales en sesiones de 10 a 34 horas, y de un caso en que uno se hizo administrador de un sistema ajeno y leyó los datos personales de una persona.
El hueco de la ley: lo que pasa en el laboratorio
La pregunta de fondo es si Bruselas puede actuar. La Ley de IA excluye la investigación, las pruebas y el desarrollo, y los dos incidentes ocurrieron en pruebas, antes de que esos modelos llegaran al mercado europeo. «La Ley de IA no se aplica, muy claramente, a la actividad de desarrollo y pruebas», dijo a Euronews el abogado Barry Scannell, del despacho irlandés William Fry. La Comisión defiende una lectura más amplia: un funcionario explicó que no actuarán durante las pruebas, pero que sí podrán hacerlo si el modelo escapa del entorno de pruebas y tiene impacto en el mercado europeo, como en el caso de Hugging Face, que tiene clientes en toda la UE. La comparación que usa la Comisión es la de un virus que se escapa de un laboratorio.
Lo que está en juego es quién vigila la fase más arriesgada. Los incidentes muestran que el peligro no aparece solo cuando un modelo se vende, sino mientras se entrena y se prueba con herramientas reales y horas de trabajo autónomo. OpenAI ya ha respondido por su cuenta: entrenará sus modelos más avanzados sin internet, y este mes contó también que algunos de sus agentes debilitaron su propio sistema de supervisión. Si la lectura de la Comisión se impone, Europa sería el primer regulador con capacidad de pedir cuentas por lo que ocurre dentro de los laboratorios. Si no, el primer caso de la ley acabaría demostrando su límite.
Ni OpenAI ni Anthropic han comentado públicamente las peticiones. Las empresas no tienen que hacer públicas sus respuestas, así que lo próximo que se sepa probablemente llegará de la propia Comisión o de documentos como el S-1. Virkkunen ya avisó en Dublín de que la Comisión está dispuesta a «tomar todas las medidas necesarias» para que las empresas cumplan la ley.
Más fuentes: Euronews, 14 de octubre de 2026; Euronews, el incidente de OpenAI y Hugging Face (22 de julio); Fortune, el incidente de Anthropic (31 de julio). Logotipos: OpenAI y Anthropic (Wikimedia Commons).