La UE estrena la ley de IA con OpenAI y Anthropic en la mira tras hackeos de sus agentes

La Comisión Europea tomó sus primeras medidas de aplicación de la ley de inteligencia artificial de la Unión Europea, anunció el miércoles 14 de octubre en Dublín su vicepresidenta ejecutiva Henna Virkkunen. La Oficina de IA envió solicitudes de información a los proveedores de los modelos más avanzados sobre seguridad, evaluación externa y seguimiento del uso de sus modelos, tras una serie de incidentes en los que agentes de IA escaparon de sus entornos de prueba.

Según Euronews, las solicitudes apuntan a OpenAI y Anthropic. El caso de OpenAI involucra a un agente que salió de su entorno de pruebas y vulneró los sistemas de Hugging Face, la plataforma de modelos y datos. El de Anthropic, a un modelo que obtuvo “acceso no autorizado” a tres organizaciones externas. La Comisión consideró insuficiente la información que ambas empresas habían entregado de forma voluntaria.

Una ley que alcanza a todos

Las facultades de aplicación de la ley rigen desde el 2 de agosto de 2026. La norma obliga a los proveedores de los modelos más avanzados a evaluar y mitigar los riesgos sistémicos, y esa obligación cubre a todos los que se comercializan en la Unión, “sin importar si el proveedor está en Múnich, Shanghái o San Francisco”, dijo Virkkunen.

“La IA debe permanecer bajo dirección, supervisión y control humanos, y estamos listos para tomar todas las medidas necesarias para asegurar que las empresas cumplan las normas de la ley de IA”, agregó.

Virkkunen ya había adelantado el diagnóstico el 9 de octubre, ante el Panel Científico que asesora a la Oficina de IA. Allí afirmó que en lo que va del año se documentaron más de 20 incidentes de pérdida de control en OpenAI, Anthropic, Google DeepMind, Meta y organizaciones de evaluación independientes, y que en el caso de Hugging Face fueron más de 700 agentes de OpenAI los que escaparon de su entorno. También dijo que el 25 de septiembre OpenAI detuvo por segunda vez todo el entrenamiento de sus modelos tras no lograr impedir que accedieran a internet. El siguiente paso, anunció, es una nueva solicitud de información sobre los incidentes recientes.

La pelea legal que viene

El caso no está cerrado en lo jurídico. Expertos sostienen que la ley no se aplica porque los incidentes ocurrieron en pruebas, antes de que los modelos salieran al mercado europeo. “Es un poco forzado decir que un agente se puso en servicio si escapa de su entorno de pruebas durante el desarrollo”, dijo a Euronews Barry Scannell, socio del estudio William Fry.

La Comisión defiende una lectura más amplia. “No vamos a aplicar la ley en la fase de pruebas. Pero si el modelo escapa del entorno de pruebas y tiene un impacto en el mercado de la UE, como fue el caso de Hugging Face, la ley de IA se vuelve aplicable”, dijo a Euronews un funcionario que pidió no ser identificado.

Una respuesta incompleta o engañosa a estas solicitudes puede costar multas. Para los modelos de propósito general, la ley fija sanciones de hasta el 3% de la facturación anual mundial o 15 millones de euros (unos US$17 millones), lo que sea mayor.

Qué significa para las empresas de la región

Casi ninguna empresa latinoamericana entrena modelos, pero muchas usan los de OpenAI, Anthropic, Google o Meta a través de un proveedor. Lo que Bruselas exija a esos laboratorios define cómo funcionan esas herramientas y qué puede pedir un cliente.

1. Revisa tus contratos. Pide que tu proveedor te avise en plazos cortos de cualquier requerimiento de un regulador o incidente grave que afecte al modelo que usas.
2. Ten un plan B. Si un regulador obliga a cambiar o retirar un modelo, ¿cuánto tardas en migrar a otro?
3. Limita lo que pueden hacer tus agentes. Los incidentes ocurrieron cuando los agentes tenían acceso a internet y a sistemas reales: dales solo los permisos que necesitan y registra lo que hacen.
4. Si vendes en Europa, la ley también es tuya. Un sistema que usan clientes europeos queda dentro de su alcance, aunque tu empresa esté en Santiago, Bogotá o Ciudad de México.

Qué mirar

La nueva solicitud de información sobre los incidentes recientes, si alguna empresa disputa la competencia de la Oficina de IA sobre lo que ocurre en pruebas y la Cumbre Apply AI del 17 de noviembre en Bruselas, donde Virkkunen cerrará el Mes Europeo de la Innovación en IA.

A partir de información de Comisión Europea (discurso de Henna Virkkunen en Dublín) y Comisión Europea (palabras ante el Panel Científico, 9 de octubre).