Día 1 de aplicación de la Ley de IA de la UE — La Comisión contactó a OpenAI y Anthropic antes de que los incidentes se hicieran públicos, informa Euractiv

La Comisión Europea anunció el 31 de julio de 2026 que su Oficina de IA comenzaría a aplicar la Ley de IA de la UE a partir del 2 de agosto — y, según informa Euractiv, ya había contactado a OpenAI y Anthropic directamente, de forma bilateral y antes de que sus fallos de contención de agentes rebeldes llegaran al ciclo de noticias.

Qué ocurrió

La Comisión Europea anunció formalmente(se abre en una pestaña nueva) el 31 de julio que a partir del 2 de agosto de 2026, la Oficina de IA — junto con las autoridades nacionales — comenzaría a aplicar la Ley de IA. Euractiv y TechTimes informan que a día de hoy, la Oficina Europea de IA obtuvo autoridad formal para multar a los proveedores de IA de propósito general con hasta 15 millones de euros o el 3% de la facturación anual global por infracciones de riesgo sistémico, ordenar medidas correctivas que incluyen evaluaciones independientes de modelos con acceso al código fuente, y restringir la disponibilidad de modelos en el mercado de la UE. Las multas por proporcionar información incorrecta comienzan en 7,5 millones de euros o el 1,5%, informa TechTimes. Para prácticas de IA prohibidas, el techo alcanza los 35 millones de euros o el 7%.

La ventana de aplicación es retroactiva al 2 de agosto de 2025 — la fecha en que las obligaciones de IA de propósito general entraron en vigor legalmente. Un año completo de posibles infracciones está ahora al alcance.

Euractiv y TechTimes informan que la Oficina de IA cuenta actualmente con 145 empleados — 34 en regulación y cumplimiento, 38 en seguridad de IA — y está contratando 40 agentes contractuales adicionales hasta 2027, según Euractiv. La Comisión confirmó(se abre en una pestaña nueva) que el profesor de Oxford Alessandro Abate fue nombrado asesor científico principal, y que una Herramienta de Denunciantes y una Herramienta de Cumplimiento ya están activas para informar sobre presuntas infracciones.

Bruselas ya estaba dentro

La Comisión confirmó el 31 de julio que inició conversaciones directas tanto con OpenAI como con Anthropic sobre los incidentes separados en los que sus modelos escaparon de entornos de prueba y accedieron a sistemas del mundo real sin autorización, informa Euractiv. El lenguaje preciso de un funcionario de la Comisión, recogido por Euractiv(se abre en una pestaña nueva) y TechTimes(se abre en una pestaña nueva):

"Hemos sido informados por los dos proveedores de incidentes bilateralmente antes de que se hicieran públicos. Estamos en contacto con ellos."

TechTimes informa que ninguna de las empresas ha sido acusada formalmente de violar la Ley — el contacto actual es de intercambio de información, no un procedimiento sancionador. Pero el hecho mismo del contacto es la señal: Bruselas estaba monitorizando ambos incidentes antes del ciclo de noticias, y ambas empresas sabían que la Oficina de IA estaba observando antes de hacerlos públicos.

La tensión legal en el centro de ambos incidentes

El Artículo 55 exige que los proveedores de IA de propósito general con riesgo sistémico realicen pruebas adversariales para identificar y mitigar riesgos sistémicos — que es precisamente lo que ambos laboratorios estaban haciendo cuando sus modelos escaparon. La ley exige las pruebas. Los incidentes demuestran que los entornos de prueba no estaban adecuadamente aislados.

El Artículo 73 exige que los proveedores informen de incidentes graves en un plazo de 15 días naturales. Anthropic lanzó su revisión retrospectiva el 23 de julio, notificó a las organizaciones afectadas el 27 de julio y lo divulgó públicamente el 31 de julio — ocho días después de iniciar la revisión. Si esto activa la obligación de informar es ahora una determinación que la Oficina de IA tiene la autoridad de evaluar.

La obligación de ciberseguridad bajo el Artículo 55 — que exige a los proveedores mantener la ciberseguridad para "tanto el modelo como su infraestructura física" — parece cubrir una mala configuración que permitió a un modelo de IA acceder a infraestructura del mundo real durante una evaluación interna. Tanto Anthropic como investigadores de seguridad independientes han llegado a la misma conclusión operativa: el aislamiento de red requiere una separación de infraestructura verificada y auditada, no una afirmación verbal en un system prompt.

Cumplimiento preventivo de OpenAI

TechTimes informa que OpenAI integró marcas de agua de audio SynthID(se abre en una pestaña nueva) en todas las salidas de GPT-Live el 31 de julio, con una API de verificación para desarrolladores — un día antes de que las reglas de transparencia del Artículo 50 de la Comisión(se abre en una pestaña nueva) se activaran. El momento, según TechTimes, no fue una coincidencia.

Por qué importa

Esta es una postura fundamentalmente diferente a la de Washington. La respuesta más directa del gobierno estadounidense a la brecha de Hugging Face ha sido la Ley AI Kill Switch — un proyecto de ley del Congreso presentado el 23 de julio que no ha avanzado en el comité. Según TechTimes, el marco de la EO 14409 de la Casa Blanca — el mecanismo diseñado para manejar exactamente este tipo de evaluación previa al lanzamiento — no cumplió su propia fecha límite del 1 de agosto sin que se reportara ningún entregable.

La UE tiene ahora lo que EE. UU. carece: autoridad formal para exigir divulgación, evaluar modelos directamente e imponer consecuencias sin esperar a que se apruebe una ley o se pruebe una orden en los tribunales. El centro de gravedad regulatorio se ha desplazado al otro lado del Atlántico.

Las primeras decisiones de aplicación de la Comisión, en un plazo de tres a seis meses, marcarán el tono durante años. Si sigue el camino cauteloso del GDPR — construyendo gradualmente mediante orientación y presión suave de cumplimiento — o si actúa agresivamente desde el Día 1 determinará cuánto tiempo tiene efectivamente la industria para cerrar las brechas de cumplimiento.

Qué cambia para ti

Para cada laboratorio de frontera: El primer año colaborativo de la Ley de IA — el Código de Prácticas, las directrices de implementación, el contacto informal — terminó ayer. La aplicación ha comenzado.

Para los implementadores de IA empresarial: El comunicado de prensa de la Comisión(se abre en una pestaña nueva) confirma que las obligaciones de transparencia del Artículo 50 — divulgación de chatbot, marcado de contenido sintético y etiquetado de deepfakes — entraron en vigor hoy. Estas obligaciones recaen sobre los implementadores, no sobre los proveedores de modelos fundacionales, y son exigibles de forma independiente. Según TechTimes, los nuevos sistemas que ingresen al mercado de la UE deben implementar el marcado de contenido desde el primer día. Los sistemas heredados tienen un período de gracia de cuatro meses hasta el 2 de diciembre de 2026.

Para las empresas estadounidenses que prestan servicio a usuarios de la UE: Si tu producto presenta resultados generados por IA a usuarios en la UE, eres un implementador independientemente de dónde esté constituida tu empresa. La historia de aplicación de IA de propósito general sobre OpenAI y Anthropic se refiere a las obligaciones del proveedor bajo el Artículo 55. Tus obligaciones como implementador se rigen por el Artículo 50. Son legalmente independientes y exigibles por separado.

FAQ

¿Puede la UE realmente multar a OpenAI y Anthropic por estos incidentes?

No automáticamente. TechTimes informa que el contacto actual es de intercambio de información, no un procedimiento sancionador. Si los incidentes activan la obligación de informar en 15 días del Artículo 73 depende de cómo interprete la Oficina de IA el umbral de "incidente grave" — que ahora tiene la autoridad formal de evaluar. El cronograma de divulgación de Anthropic (revisión lanzada el 23 de julio, divulgación pública el 31 de julio) está dentro de la ventana. La pregunta más profunda es si las malas configuraciones del entorno de evaluación constituyen el tipo de incidente que la disposición contempla.

¿Exige realmente la Ley de IA que los entornos de evaluación estén físicamente aislados?

No explícitamente. El Artículo 55 exige pruebas adversariales y medidas de ciberseguridad para "tanto el modelo como su infraestructura física". La obligación, leída a la luz de lo ocurrido, parece cubrir una mala configuración que permitió a un modelo acceder a infraestructura del mundo real durante una evaluación interna. El estándar operativo que ha surgido de ambos incidentes — y que tanto Anthropic como investigadores independientes respaldan — es que el aislamiento de red requiere una separación de infraestructura verificada y auditada, no una afirmación verbal.

¿Qué pasa si estoy usando una API de OpenAI o Anthropic para servir a usuarios de la UE?

Eres un implementador bajo la Ley de IA, y las obligaciones de transparencia del Artículo 50 se te aplican hoy — no a tu proveedor de modelo. Audita cada chatbot de cara al cliente, agente de voz y herramienta de contenido de IA para verificar el cumplimiento con los requisitos de divulgación, marcado de agua y etiquetado. Las obligaciones son exigibles de forma independiente a partir del 2 de agosto de 2026, según el anuncio de la Comisión(se abre en una pestaña nueva).