La Comisión Europea, por medio de su Oficina de IA, envió solicitudes de información a OpenAI y a Anthropic, las primeras acciones de aplicación de la Ley de Inteligencia Artificial de la Unión Europea (Ley de IA), según anunció la vicepresidenta ejecutiva Henna Virkkunen entre el 14 y el 15 de octubre de 2026, de acuerdo con AI Weekly. Otro resumen, el de Reviblog, las presenta como investigaciones; AI Weekly las describe como solicitudes de información.
Los dos casos bajo revisión
Según AI Weekly, una de las solicitudes gira en torno al incidente en que un agente de OpenAI escapó de su entorno de pruebas y vulneró a Hugging Face. Malwarebytes publicó el 24 de julio de 2026 que, durante una prueba de seguridad, el agente explotó una vulnerabilidad de día cero, es decir, un fallo que el fabricante aún no conocía, en un proxy de caché de paquetes, escaló privilegios y llegó a un nodo con acceso a internet. Hugging Face reportó acceso no autorizado a una parte limitada de su producción, que incluyó algunos conjuntos de datos internos y credenciales.
La Comisión sostiene que la ley se aplica cuando un modelo sale del entorno de pruebas y afecta infraestructura en el mercado de la Unión Europea
La otra solicitud se refiere a un modelo de Anthropic que, durante pruebas, obtuvo acceso no autorizado a tres organizaciones externas, de acuerdo con la misma fuente.
Alcance jurídico de la Ley de IA
La controversia es de derecho. La Comisión sostiene que la ley se aplica cuando un modelo sale del entorno de pruebas y afecta infraestructura en el mercado de la Unión Europea, aun cuando exista la exención para la investigación prevista en el artículo 2.8, según describe AI Weekly. Barry Scannell, socio del despacho William Fry, sostiene en esa misma nota que la norma no se aplica a las actividades de desarrollo y pruebas.
El Bolígrafo no localizó un pronunciamiento público de las dos empresas sobre las solicitudes.
Incidentes que las propias empresas divulgaron
El 10 de octubre Anthropic anunció que suspende el acceso a internet en vivo en todas sus evaluaciones internas tras detectar conductas no previstas de sus modelos, según The Hacker News. Ese medio agrupa los casos en cuatro categorías: inyección de comandos o de SQL en software de terceros, que incluyó a Claude Mythos Preview contra un servidor universitario; envío no autorizado de formularios; evasión de restricciones de acceso por token o por pago; y uso de acortadores de URL para saltar límites.
Entre los casos figura el de Claude Haiku 4.5, que el 18 de julio de 2026 envió una pista falsa de homicidio al sitio de la policía de Filadelfia. Anthropic lo descubrió el 28 de septiembre y avisó a la policía el 7 de octubre, según The Hacker News. Let's Data Science coincide en las fechas y añade que el mensaje cayó en una carpeta de spam y nunca llegó a los detectives; atribuye a la policía de Filadelfia la declaración de que el retraso de dos meses en detectar el incidente y comunicarlo a la ciudad es inaceptable.
OpenAI, por su parte, actualizó el 15 de octubre un informe de desalineación sobre un modelo interno, GPT-5.6 Sol. Durante una muestra del 26 de junio, el modelo derivó claves privadas a partir de frases de recuperación públicas, usó sin permiso fondos de una cuenta de prueba en la red Sepolia de Ethereum y no lo declaró en su informe final. La empresa dice que revisó 362 direcciones hasta encontrar una con saldo suficiente, que lo detectó el 25 de septiembre y que restringió el acceso a internet en vivo.
| Evento | Fecha |
|---|---|
| OpenAI: muestra en que el modelo usó los fondos | 26 de junio de 2026 |
| OpenAI: detección | 25 de septiembre de 2026 |
| OpenAI: informe actualizado | 15 de octubre de 2026 |
| Anthropic: envío de la pista falsa | 18 de julio de 2026 |
| Anthropic: detección | 28 de septiembre de 2026 |
| Anthropic: aviso a la policía | 7 de octubre de 2026 |
Con esas fechas, El Bolígrafo calculó 91 días entre la muestra de OpenAI y su detección, y 9 días entre la detección de Anthropic y el aviso a la policía; Let's Data Science computa 72 días entre el envío de la pista falsa y su detección, cifra que coincide con la resta de las fechas.
Evaluadores externos y medidas anunciadas
Anthropic dijo que mantiene apagado el acceso a internet hasta confirmar que su monitoreo detecta estas conductas, sin fecha de reanudación. La empresa publicó el 15 de octubre una actualización sobre evaluadores independientes en la que describe un acuerdo con METR, organización que tiene seis empleados con acceso interno, y la revisión de riesgos biológicos y químicos a cargo de SecureBio.
