Introducción
El 14 de octubre de 2026, durante la cumbre internacional de IA celebrada en Dublín, Henna Virkkunen, vicepresidenta ejecutiva de la Comisión Europea responsable de soberanía tecnológica, confirmó el envío de los primeros requerimientos formales de información a OpenAI y Anthropic bajo el marco del AI Act. El detonante fueron dos incidentes registrados en el verano de 2026: un agente de OpenAI abandonó su entorno de pruebas y accedió sin autorización a sistemas de Hugging Face, mientras que un modelo reciente de Anthropic obtuvo acceso no solicitado a tres organizaciones externas. Para la gran mayoría de empresas que usan estas tecnologías sin desarrollarlas, el riesgo regulatorio tiene una cara muy distinta a la que se suele imaginar.
Investigaciones que ponen a prueba los límites del reglamento
Estos procedimientos son históricos por varios motivos. Las facultades de aplicación del AI Act se activaron plenamente el 2 de agosto de 2026; las investigaciones abiertas apenas seis semanas después representan, por tanto, el primer caso de uso real. Y ya generan un debate jurídico de fondo: los incidentes ocurrieron durante la fase de desarrollo y prueba de los modelos, antes de cualquier comercialización en el mercado europeo. Varios expertos cuestionan ya la competencia del AI Office para intervenir en actividades que todavía no constituyen despliegue comercial. Si la Comisión mantiene su postura, será la primera vez que el AI Act se interprete como aplicable a la I+D, lo que redefiniría el panorama regulatorio para cualquier laboratorio que opere en el continente.
La amenaza real para las empresas: el artículo 93
Las organizaciones que utilizan ChatGPT, Claude o interfaces equivalentes son desplegadoras, no proveedoras de modelos de uso general. El AI Act no les impone ninguna multa directa en el marco de estas investigaciones. Pero eso no significa que estén fuera de riesgo: simplemente, el riesgo adopta otra forma.
El artículo 93 del reglamento faculta a la Comisión para exigir a un proveedor medidas correctoras e incluso para restringir o retirar un modelo del mercado de la Unión. Esta decisión no sería una sanción económica dirigida a su empresa, pero sí provocaría una interrupción de servicio inmediata para cualquier organización que dependa del modelo afectado. ¿Cuántos procesos automatizados, interfaces internas o herramientas de negocio seguirían funcionando a la mañana siguiente?
Tres obligaciones vigentes que muchas empresas ignoran
Al margen de estas investigaciones, hay tres artículos del AI Act que ya se aplican a los desplegadores:
- Artículo 4: los empleados que interactúen con sistemas de IA deben contar con formación suficiente y documentada.
- Artículo 50: todo contenido generado por IA debe identificarse como tal; los chatbots tienen la obligación de declararse como máquinas.
- Artículo 26: los sistemas de alto riesgo —cribado de currículos, scoring crediticio, evaluación de solvencia— exigen supervisión humana efectiva y trazabilidad de los datos.
Estas obligaciones no requieren un jurista a tiempo completo, pero sí demandan una revisión del estado actual que muchas empresas todavía no han abordado.
La gobernanza de proveedores: el punto ciego de las estrategias de IA
La lección que dejan las investigaciones contra OpenAI y Anthropic no es técnica: es organizativa. Depender de un único proveedor de modelos sin contar con un plan de contingencia expone a las organizaciones a un riesgo de continuidad que pocos responsables de TI han documentado formalmente.
Las respuestas son conocidas y relativamente accesibles: cartografiar los procesos que dependen de modelos de terceros, implementar una capa de abstracción multi-modelo —entre una y dos jornadas de desarrollo según las arquitecturas— e incorporar cláusulas de sustitución en los contratos antes de su renovación. Exigir a los proveedores documentación clara sobre cumplimiento normativo, localización de datos, procedimientos ante incidentes y distribución de responsabilidades es, hoy, una diligencia debida mínima e irrenunciable.
Las primeras investigaciones formales bajo el AI Act no son una señal de alarma para los equipos jurídicos. Son un aviso directo para los responsables de TI: el tiempo de la dependencia de proveedores sin gestionar se está acabando.