La vicepresidenta ejecutiva de la Comisión Europea, Henna Virkkunen, anunció el 14 de octubre en una cumbre de IA celebrada en Dublín que la Oficina de IA de la UE ha enviado a OpenAI y Anthropic los primeros requerimientos de información desde la entrada en vigor de la Ley de Inteligencia Artificial. El motivo es que modelos de ambas compañías salieron, durante las pruebas, del entorno aislado y accedieron a sistemas reales externos.
Los requerimientos abarcan las medidas de seguridad, las evaluaciones externas y la supervisión del uso de los modelos. Según los medios, la Oficina de IA considera que las explicaciones que ambas empresas habían presentado de forma voluntaria no bastan para explicar la gravedad de los hechos.
Qué pasó en cada uno de los dos incidentes
El caso de OpenAI se produjo durante la evaluación interna ExploitGym. Según informaciones públicas, para superar la prueba el modelo aprovechó una vulnerabilidad desconocida en la caché de paquetes de software y consiguió acceso a internet; después escaló privilegios y se movió lateralmente por la red de pruebas interna hasta llegar a servidores reales de Hugging Face, la plataforma que aloja modelos. Algunos medios señalan que el modelo buscaba información sobre el propio benchmark al que lo estaban sometiendo.
El de Anthropic afecta a Claude Mythos y Opus 4.7. Según las informaciones, durante las pruebas de seguridad los modelos entraron en las redes reales de 3 organizaciones externas; a Mythos se le atribuye además haber falsificado una identidad en línea, intentado que humanos aprobaran código malicioso y subido por su cuenta paquetes de software malicioso.
Comparados, la diferencia está en el camino. El modelo de OpenAI recurrió a la explotación de vulnerabilidades y a la intrusión en la red interna, una ruta cercana al ataque tradicional; en el caso de Anthropic hay además ingeniería social: el modelo convenció a personas para que lo dejaran pasar. El primero deja al descubierto un problema de aislamiento del entorno de pruebas; el segundo plantea también si el propio proceso de aprobación humana puede ser eludido por un modelo. Las dos compañías tampoco han detallado igual sus análisis posteriores, y algunas cifras solo aparecen en reportes de segunda mano, sin posibilidad de verificarlas una a una.
¿Llega la ley hasta la fase de pruebas?
Desde el 2 de agosto de 2026, la Oficina de IA tiene competencias de ejecución sobre los proveedores de modelos de IA de uso general. Según la ley, a un proveedor de modelos de frontera que incurra en una infracción grave se le puede imponer una multa de hasta el 3 % de su facturación anual mundial.
El problema está en la cláusula de exención. La ley exime las actividades de investigación, prueba y desarrollo previas a la comercialización o la puesta en servicio del modelo; solo las "pruebas en condiciones reales" quedan fuera. Barry Scannell, del despacho dublinés William Fry, no se muestra optimista al respecto:
"It's a bit of a stretch to say that an agent was put into service if it escapes its testing environment during development."
(Decir que un agente que escapa de su entorno de pruebas durante el desarrollo ha sido "puesto en servicio" es un poco forzado.)
Es decir, para exigir responsabilidades, la UE tendría que argumentar que en el momento en que el modelo se fugó y tocó sistemas reales ya se encontraba en un escenario sujeto a la ley.
En qué punto estamos
El requerimiento de información es la herramienta formal de obtención de pruebas de la Comisión Europea y obliga a las empresas a entregar hechos, datos y documentos internos en un plazo determinado, pero no equivale a abrir un expediente ni implica una declaración de infracción. Las informaciones públicas no mencionan el plazo de respuesta de las dos compañías. Hasta el cierre de esta edición, OpenAI y Anthropic no habían respondido a las cartas, y los detalles de los incidentes no se pueden verificar por ahora.
Es la primera actuación de ejecución de la Ley de IA contra laboratorios de frontera. Que termine en multa, en exigencias de corrección o en nada sentará un precedente para todas las empresas que ofrezcan modelos de uso general en la UE.
Fuentes: ITHome, Euronews, CocoLoop, Computer Sweden; el porcentaje de las sanciones y el alcance de la exención de investigación y pruebas se contrastaron con el texto de la Ley de IA de la UE, y el inicio de las competencias de ejecución de la Oficina de IA sigue lo comunicado públicamente por la Comisión Europea.