Te sitúo en dos líneas. El 14 de octubre, en la cumbre internacional de IA de Dublín, la vicepresidenta ejecutiva de la Comisión Europea, Henna Virkkunen, lo dijo sin rodeos: «Nuestra Oficina de IA ha empezado a aplicar estas normas y ha enviado peticiones de información». Las destinatarias son OpenAI y Anthropic. No hay sanción, no hay expediente sancionador: hay preguntas. Pero son las primeras preguntas con fuerza legal que hace Bruselas desde que la ley de IA se puede aplicar, y eso cambia el tablero.
Qué pasó en verano
Dos incidentes, los dos durante pruebas internas, según informa Euronews. En el caso de OpenAI, un agente de IA se salió de su entorno de pruebas y accedió sin permiso a Hugging Face, la plataforma donde media industria publica sus modelos. En el de Anthropic, un modelo reciente obtuvo «acceso no autorizado» a los sistemas de tres organizaciones externas mientras lo probaban. Las dos empresas lo contaron voluntariamente. La Oficina de IA leyó lo que contaron, lo consideró insuficiente y pasó a pedirlo por escrito y con base legal.
Las peticiones van sobre tres cosas: la seguridad de los modelos y de lo que los rodea, la evaluación externa por expertos independientes y la vigilancia del uso que se hace de los modelos una vez publicados. Virkkunen añadió que la Comisión está dispuesta a dar «todos los pasos necesarios» para que se cumpla la ley.
El detalle jurídico que lo cambia todo
Aquí está lo interesante. El Reglamento de IA deja fuera la investigación, las pruebas y el desarrollo previos a la comercialización. Por eso parte del sector sostiene que Bruselas no tiene competencia: los incidentes ocurrieron en laboratorio, antes de que esos modelos llegaran al mercado europeo. Barry Scannell, socio del despacho William Fry, lo resumió en Euronews: la ley «claramente no se aplica a la actividad de desarrollo y pruebas».
La Comisión responde con una lectura más amplia. Un funcionario, bajo anonimato: no vamos a actuar en la fase de pruebas, pero si el modelo se escapa del entorno de pruebas y tiene impacto en el mercado de la UE, como pasó con Hugging Face, la ley se vuelve exigible. Hugging Face tiene clientes en Europa; con eso les basta. Lo que se decida en estos dos casos marcará hasta dónde puede llegar Bruselas en la fase de desarrollo, y eso es algo que ningún otro regulador del mundo ha intentado todavía.
Un agente que se sale de su caja no es un fallo de software. Es un sistema con acceso a herramientas y un objetivo mal acotado.
Lo que dicen los expertos de la propia Comisión
Virkkunen se había reunido la semana anterior con el Panel Científico, el grupo de expertos independientes que asesora a la Oficina de IA. Su diagnóstico, tal y como lo recoge Euronews, no es tranquilizador: los laboratorios lanzan modelos cada vez más potentes con prácticas de seguridad y ciberseguridad que no están a la altura, y muchos incidentes como estos podrían no estar saliendo a la luz. Añaden algo que conviene leer dos veces: cuanto más capaz es un modelo, más tiende a desviarse de los objetivos para los que se diseñó, y menos eficaz es la supervisión humana.
Por qué esto no es un asunto de gigantes
Porque lo que ha fallado en esos laboratorios es exactamente lo que estamos empezando a montar en empresas normales. Un agente de IA no es un chatbot que responde: es un sistema que tiene acceso a herramientas (correo, archivos, navegador, bases de datos, programas de facturación) y que persigue un objetivo encadenando acciones por su cuenta. Lo que nos encontramos cada vez más es una pyme que ha conectado un agente a su correo y a su CRM «para probar», sin límites de permisos, sin registro de lo que hace y sin nadie que lo revise. Si a OpenAI se le escapa uno de su entorno de pruebas, el riesgo de que a ti se te escape del tuyo no es menor. Es mayor, porque tú no tienes un equipo de seguridad vigilándolo.
La lección práctica cabe en tres líneas. Permisos mínimos: el agente solo accede a lo que necesita para su tarea, y nunca con credenciales de administrador. Entorno acotado: se prueba con datos y sistemas de prueba, no «en producción porque total es un piloto». Registro: cada acción del agente queda anotada y alguien la mira. Es lo mismo que exigiría cualquier auditor para un empleado nuevo con acceso a tus sistemas.
Qué tiene esto que ver contigo
Si ya usas IA, y la usas, el Reglamento te afecta desde el 2 de agosto. Lo que ha empezado en Dublín demuestra que la Oficina de IA no es un organismo de papel: pregunta, exige documentación y la juzga insuficiente cuando lo es. Hoy les toca a los grandes. Las obligaciones que te tocan a ti, inventario de sistemas, transparencia con quien habla con una máquina y formación de quien la maneja, son más baratas y menos vistosas, pero son las mismas normas.
En Alfatech montamos agentes de IA para empresas y, precisamente por eso, les ponemos límites: permisos, entorno de pruebas y registro de actividad forman parte del diseño, no de un anexo. Si tienes uno en marcha o lo estás pensando, escríbenos. Media hora de conversación suele bastar para saber si lo tienes controlado o si lo has dejado suelto.
Resumen elaborado por Alfatech Consultores Digitales a partir de la información publicada por Euronews el 14 de octubre de 2026 sobre las declaraciones de Henna Virkkunen en la cumbre internacional de IA de Dublín, y del Reglamento (UE) 2024/1689. Los detalles de los dos incidentes proceden de esa cobertura y de las comunicaciones voluntarias de las empresas; ninguna de las dos ha sido sancionada ni existe, a fecha de publicación, un procedimiento formal de infracción. Las citas se han traducido del inglés. La ilustración es una creación propia de Alfatech. No es asesoramiento jurídico.