Bruselas pide información sobre los grandes modelos de IA: el Reglamento europeo entra en fase de control
La Comisión ha solicitado información sobre prácticas de seguridad a desarrolladores de modelos avanzados, sin revelar públicamente quiénes son los destinatarios ni la base jurídica concreta de cada requerimiento
(Imagen: Sofía Dafne Chico Reinoso)
Bruselas pide información sobre los grandes modelos de IA: el Reglamento europeo entra en fase de control
La Comisión ha solicitado información sobre prácticas de seguridad a desarrolladores de modelos avanzados, sin revelar públicamente quiénes son los destinatarios ni la base jurídica concreta de cada requerimiento
(Imagen: Sofía Dafne Chico Reinoso)
La Comisión Europea ha solicitado a desarrolladores información sobre cómo protegen sus modelos de inteligencia artificial avanzados, según publicó EURACTIV el 26 de agosto. La actuación llega tras incidentes de ciberseguridad comunicados por OpenAI y Anthropic y después de que, el 2 de agosto de 2026, comenzaran a aplicarse las facultades de ejecución y sanción del régimen europeo de modelos de IA de propósito general. La información disponible no permite hablar todavía de una investigación formal ni identificar a las empresas requeridas. Sí plantea una cuestión central: ¿pueden los proveedores demostrar que evalúan y reducen los riesgos de sus modelos?
La exclusiva demuestra movimiento, no una infracción
La Comisión Europea ha dado un primer paso para comprobar cómo gestionan la seguridad algunos de los desarrolladores de modelos de inteligencia artificial más avanzados. La vicepresidenta ejecutiva de la Comisión Europea, Henna Virkkunen, confirmó a EURACTIV que la institución había pedido información sobre prácticas de seguridad. El medio presentó la actuación como el primer uso de las nuevas facultades de ejecución del Reglamento (UE) 2024/1689 de Inteligencia Artificial.
La información pública obliga, sin embargo, a contener el alcance de la noticia. La Comisión no ha publicado las comunicaciones, no ha identificado a sus destinatarios y no ha anunciado la apertura de un procedimiento por incumplimiento. EURACTIV preguntó a Anthropic, OpenAI, Google, Meta y Mistral si habían sido contactadas, pero ninguna confirmó haber recibido esas solicitudes. Su silencio no permite convertirlas en destinatarias acreditadas.
Existe un antecedente distinto. Reuters informó el 31 de julio de que OpenAI y Anthropic habían comunicado a la Comisión incidentes ocurridos durante pruebas de ciberseguridad. Un funcionario europeo indicó entonces que ambas empresas aportarían más información y que la Comisión valoraría si procedía un seguimiento más formal. Ese contacto previo confirma la atención del supervisor, pero no demuestra que las dos compañías recibieran las solicitudes reveladas ahora.
Suscríbete a nuestra
NEWSLETTER
La conclusión jurídicamente segura es, por tanto, limitada pero relevante: según EURACTIV, la Comisión ha comenzado a utilizar las nuevas facultades de ejecución disponibles desde el 2 de agosto. Esto no significa que antes no existiera supervisión: la Oficina de IA ya mantenía diálogos técnicos de cumplimiento con proveedores. Sin conocer el contenido de las comunicaciones actuales, no puede afirmarse si se trata de solicitudes formales del artículo 91, de diálogos estructurados o de otras actuaciones de supervisión.
(Imagen: Sofía Dafne Chico Reinoso)
El riesgo sistémico activa obligaciones reforzadas
El Reglamento define el modelo de IA de propósito general —GPAI, por sus siglas en inglés— como aquel que muestra una generalidad significativa, puede realizar competentemente una amplia variedad de tareas y puede integrarse en distintos sistemas o aplicaciones posteriores. La categoría se refiere al modelo, no al sistema concreto que finalmente lo utiliza.
El artículo 53 impone a los proveedores de modelos GPAI obligaciones de documentación técnica, información a los proveedores posteriores, política de cumplimiento de los derechos de autor y publicación de un resumen suficientemente detallado del contenido utilizado para el entrenamiento. Existe una excepción relevante: en determinados modelos publicados bajo licencia libre y de código abierto, las obligaciones de documentación técnica y de información a proveedores posteriores previstas en el artículo 53.1, letras a) y b), no se aplican si se cumplen las condiciones del artículo 53.2. Esa excepción no alcanza a los modelos GPAI con riesgo sistémico ni elimina las obligaciones sobre derechos de autor y resumen de datos de entrenamiento.
Sin conocer el contenido de las comunicaciones actuales, no puede afirmarse si se trata de solicitudes formales del artículo 91
El Reglamento añade una categoría más exigente: el modelo GPAI con riesgo sistémico. El artículo 51 establece que un modelo se clasifica así cuando presenta capacidades de gran impacto o cuando la Comisión determina que posee capacidades o un impacto equivalente atendiendo a los criterios del anexo XIII. Existe una presunción de capacidades de gran impacto cuando la cantidad acumulada de cómputo utilizada para el entrenamiento supera 10²⁵ operaciones de coma flotante. Si se cumple el supuesto del artículo 51.1, letra a), el artículo 52.1 obliga al proveedor a notificarlo a la Comisión sin demora y, en todo caso, en un plazo de dos semanas. Con esa notificación, el artículo 52.2 permite aportar argumentos suficientemente fundados para sostener que, excepcionalmente, el modelo no presenta riesgo sistémico; si la Comisión no los considera suficientes, los rechazará conforme al artículo 52.3.
Para estos modelos, el artículo 55 añade obligaciones específicas: evaluación con protocolos y herramientas que reflejen el estado de la técnica, pruebas adversariales documentadas, evaluación y mitigación de riesgos sistémicos a escala de la Unión, seguimiento y comunicación de incidentes graves y un nivel adecuado de ciberseguridad para el modelo y su infraestructura física.
Esta categoría no debe confundirse con los «sistemas de IA de alto riesgo» del capítulo III, utilizados en ámbitos como empleo, educación o determinadas decisiones sobre acceso a servicios esenciales. En el régimen GPAI, la supervisión se concentra en el modelo y en los riesgos que puede proyectar a lo largo de la cadena de valor.
(Imagen: Sofía Dafne Chico Reinoso)
Qué puede pedir la Comisión desde agosto de 2026
El artículo 88 atribuye a la Comisión competencia exclusiva para supervisar y ejecutar las obligaciones del capítulo V relativas a los proveedores de modelos GPAI, y dispone que la Comisión encomiende la ejecución de esas tareas a la Oficina Europea de Inteligencia Artificial. Desde el 2 de agosto de 2026 también resulta aplicable el artículo 101, que permite sancionar determinadas infracciones de los proveedores de estos modelos.
El artículo 91 permite a la Comisión pedir al proveedor la documentación elaborada conforme a los artículos 53 y 55, además de cualquier información adicional necesaria para evaluar su cumplimiento. Antes de remitir la solicitud, la Oficina de IA puede iniciar un diálogo estructurado. Cuando se formula una solicitud de información al amparo de ese artículo, debe indicar su base jurídica y finalidad, precisar la información requerida, fijar un plazo y advertir de las multas previstas por aportar información incorrecta, incompleta o engañosa.
Esta distinción es decisiva. Sin conocer las cartas enviadas, no puede afirmarse que exista una investigación formal ni que la Comisión haya detectado una infracción. Tampoco puede asegurarse que todas las comunicaciones conocidas se hayan emitido al amparo del artículo 91: el Reglamento prevé diálogos estructurados tanto antes de una solicitud de información como antes de exigir acceso técnico al modelo.
La categoría se refiere al modelo, no al sistema concreto que finalmente lo utiliza
Si la información obtenida conforme al artículo 91 resulta insuficiente, el artículo 92 permite a la Oficina de IA, previa consulta al Consejo Europeo de Inteligencia Artificial, realizar evaluaciones para comprobar el cumplimiento. También puede evaluar modelos GPAI con riesgo sistémico para investigar riesgos sistémicos a escala de la Unión. Para ello, la Comisión puede solicitar acceso al modelo mediante interfaces de programación u otros medios técnicos apropiados, incluido el código fuente.
El artículo 93 permite, cuando resulte necesario y adecuado, solicitar medidas para cumplir las obligaciones de los artículos 53 y 54; exigir medidas de mitigación cuando una evaluación del artículo 92 haya generado una preocupación grave y fundada por un riesgo sistémico a escala de la Unión; y, en último término, restringir la comercialización, retirar o recuperar el modelo. El artículo 101 prevé multas de hasta 15 millones de euros o el 3% de la facturación mundial total anual del ejercicio anterior —la cifra que sea superior— cuando el proveedor incurra de forma intencionada o negligente en los supuestos previstos por esa disposición, entre ellos desatender una solicitud del artículo 91, incumplir una medida del artículo 93 o no facilitar el acceso requerido para una evaluación del artículo 92.
(Imagen: Sofía Dafne Chico Reinoso)
La prueba de cumplimiento es documental y continua
El problema central para un proveedor no es cuántas políticas de seguridad puede exhibir, sino si puede reconstruir y justificar sus decisiones ante el supervisor. El artículo 55 exige evaluaciones, pruebas adversariales documentadas, mitigación de riesgos, seguimiento de incidentes y medidas de ciberseguridad. La prueba del cumplimiento, por tanto, no puede reducirse a una declaración genérica de buenas prácticas.
El Código de Buenas Prácticas para modelos GPAI ofrece una referencia práctica sobre cómo organizar esa evidencia. La Comisión describe su capítulo de Seguridad y Protección como un conjunto de prácticas de vanguardia para gestionar riesgos sistémicos. Sus directrices prevén además la remisión a la Oficina de IA, a través de EU SEND, del marco de seguridad y protección y del informe del modelo contemplados en las medidas 1.4 y 7.7 de ese capítulo para los proveedores que se apoyen en el Código.
La prueba del cumplimiento, por tanto, no puede reducirse a una declaración genérica de buenas prácticas
Esta arquitectura permite formular preguntas concretas: qué escenario adverso se evaluó, qué capacidad peligrosa apareció, quién aceptó el riesgo residual, qué salvaguarda falló y qué se modificó después de un incidente. Una respuesta sólida exige registros, responsables, fechas, resultados y decisiones trazables. Una prueba aislada antes del lanzamiento difícilmente acredita por sí sola una gestión eficaz del riesgo durante todo el ciclo de vida.
El Código orienta el cumplimiento, pero no sustituye a la ley
El Código de Buenas Prácticas para modelos GPAI fue publicado el 10 de julio de 2025 y contiene tres capítulos: Transparencia, Derechos de autor y Seguridad y Protección. La Comisión y el Consejo Europeo de Inteligencia Artificial han considerado que constituye una herramienta voluntaria adecuada para demostrar el cumplimiento de las obligaciones del Reglamento.
Adherirse al Código no crea las obligaciones jurídicas: estas proceden del Reglamento. Su utilidad es probatoria y operativa. Los proveedores que lo siguen pueden apoyarse en un itinerario reconocido de cumplimiento; quienes no se adhieran a un código aprobado o no cumplan una norma armonizada deben demostrar medios alternativos adecuados, que serán evaluados por la Comisión.
Adherirse al Código no crea las obligaciones jurídicas: estas proceden del Reglamento
La lista pública de firmantes incluye, entre otros, a Anthropic, Google, Mistral AI y OpenAI. Meta no figura actualmente en esa lista. xAI se adhirió únicamente al capítulo de Seguridad y Protección, por lo que debe demostrar por otras vías el cumplimiento de las obligaciones relativas a transparencia y derechos de autor. Estos datos describen vías de cumplimiento; no prueban quién recibió las solicitudes de información publicadas por EURACTIV.
El calendario también importa. Las obligaciones del capítulo V se aplican desde el 2 de agosto de 2025 a los modelos GPAI introducidos en el mercado a partir de esa fecha. Las facultades sancionadoras de la Comisión son aplicables desde el 2 de agosto de 2026. Los proveedores de modelos GPAI introducidos en el mercado antes del 2 de agosto de 2025 disponen, con carácter general, hasta el 2 de agosto de 2027 para adoptar las medidas necesarias de cumplimiento.
(Imagen: Sofía Dafne Chico Reinoso)
Los secretos empresariales no bloquean la supervisión
Una evaluación de un modelo propietario puede exponer arquitectura, vulnerabilidades, resultados de pruebas, técnicas de mitigación y decisiones internas especialmente sensibles. El Reglamento contempla ese problema. El artículo 78 obliga a la Comisión y a los demás sujetos implicados en su aplicación a respetar la confidencialidad de la información obtenida y a proteger, entre otros intereses, los derechos de propiedad intelectual, la información empresarial confidencial y los secretos comerciales, incluido el código fuente.
El mismo artículo exige que las autoridades soliciten únicamente los datos estrictamente necesarios para el ejercicio de sus poderes y la evaluación correspondiente, adopten medidas adecuadas y eficaces de ciberseguridad y eliminen los datos cuando dejen de ser necesarios para la finalidad para la que fueron obtenidos. El artículo 53 también obliga a preservar los derechos de propiedad intelectual y los secretos comerciales al facilitar información a los proveedores que integran el modelo en sistemas posteriores.
La eficacia real del Reglamento se medirá, en buena parte, en esa distancia entre lo que una empresa promete y lo que puede demostrar ante el supervisor
La confidencialidad, sin embargo, no crea una zona inmune a la supervisión. El artículo 92 permite solicitar acceso al modelo mediante medios técnicos apropiados, incluido el código fuente, cuando sea necesario para realizar una evaluación. El equilibrio se articula mediante límites de necesidad, finalidad, confidencialidad y seguridad de la información, no mediante una negativa general a mostrar elementos internos del modelo.
La primera prueba real del régimen GPAI
Las solicitudes reveladas por EURACTIV no acreditan por sí mismas una infracción, una auditoría ni una investigación formal. Tampoco permiten publicar una lista fiable de empresas afectadas. Su relevancia jurídica es otra: según el medio, marcan el primer uso de las nuevas facultades de ejecución de la Comisión sobre modelos GPAI, sobre una capa previa de diálogo técnico y seguimiento que ya existía.
Para un gran proveedor, ese cambio modifica la práctica del cumplimiento. Ya no basta con citar una política de seguridad, anunciar pruebas de equipo rojo o afirmar que existen barreras técnicas. Debe poder enlazar cada riesgo relevante con una evaluación, cada evaluación con una decisión, cada decisión con una medida y cada incidente con una corrección verificable.
La confidencialidad, sin embargo, no crea una zona inmune a la supervisión
La primera prueba del régimen GPAI no será si Bruselas conoce la tecnología mejor que sus desarrolladores. Será si la Oficina de IA formula preguntas suficientemente precisas y si los proveedores pueden responderlas con evidencia coherente. La eficacia real del Reglamento se medirá, en buena parte, en esa distancia entre lo que una empresa promete y lo que puede demostrar ante el supervisor.
Garzón, quien fue expulsado de la carrera judicial por el TS, analiza sin el menor rubor el ‘lawfare’ en la Universidad de La Laguna
Ver la noticia completa →
Condenada a pagar las costas por demandar a la entidad financiera a pesar de que ésta había aceptado la reclamación extrajudicial
Ver la noticia completa →
