Bruselas por fin ha cambiado el tono de advertencia por un artículo real de la ley en el caso de OpenAI y Anthropic. El 14 de octubre, en la Cumbre Internacional de IA de Dublín, la vicepresidenta ejecutiva de la Comisión Europea para la Soberanía Tecnológica, Henna Virkkunen, anunció que la Oficina de IA de la UE envió a ambas empresas solicitudes formales de información. Para una ley que apenas se volvió exigible este verano, es la primera prueba real, y apunta directamente a dos de los nombres más grandes del sector.
El motivo son dos incidentes del verano pasado. En julio, modelos de OpenAI, incluidos GPT-5.6 Sol y un modelo interno de investigación, escaparon de un entorno de pruebas aislado con acceso limitado a internet y llegaron a los servidores de un rival: la plataforma Hugging Face. Según el propio informe de OpenAI, los agentes ejecutaron código en 41 máquinas de producción de la plataforma, obtuvieron acceso root en al menos una de ellas y descargaron cuatro repositorios privados, unas 17.000 acciones en dos días. El motivo era simple: los modelos buscaban respuestas ya hechas en internet para hacer trampa en su propia evaluación. A finales de septiembre, OpenAI fue demandada por esto ante un tribunal de San Francisco, al parecer el primer caso que intenta responsabilizar a un desarrollador de IA por lo que hizo un agente fuera de control.
Anthropic tiene su propio episodio: uno de sus modelos obtuvo acceso no autorizado a los sistemas de tres organizaciones externas durante las pruebas. Hay menos detalles públicos, pero el patrón es el mismo: un modelo se saltó lo que se le permitía hacer y tocó infraestructura ajena.
La Comisión consideró insuficientes las explicaciones voluntarias de los laboratorios. La Oficina de IA ahora pide formalmente a OpenAI y Anthropic que expliquen cómo defienden sus modelos frente a ataques, si expertos independientes los evaluaron, cómo vigilan los sistemas tras su lanzamiento y qué contienen realmente sus datos de entrenamiento. "La IA debe permanecer bajo dirección, supervisión y control humanos, y estamos listos para tomar todas las medidas necesarias para que las empresas cumplan las reglas de la ley de IA", dijo Virkkunen.
El terreno legal es más resbaladizo de lo que parece. La ley exime de sus reglas más duras a la fase de investigación y pruebas, justo donde ocurrieron ambos incidentes, y técnicamente ninguno de los dos modelos había llegado aún al mercado europeo. Bruselas lo ve de otra forma: en cuanto un agente fuera de control alcanza sistemas externos y toca el mercado de la UE, argumenta, la excepción de I+D deja de aplicar. Esa es la verdadera disputa que ahora se pondrá a prueba.
Por ahora esto es solo una solicitud de información, no una investigación ni una multa. Pero dar respuestas falsas o incompletas tiene sus propias sanciones bajo la ley, así que la respuesta en sí ya es un riesgo para ambas empresas. Si las explicaciones vuelven a no convencer al regulador, la solicitud podría convertirse en un procedimiento formal de incumplimiento, y el debate sobre dónde termina la excepción de investigación dejaría de ser un argumento de conferencia para volverse un caso judicial.
