El AI Act entra en fase de enforcement: la UE ya pide pruebas de cumplimiento a más de 30 empresas de IA
Durante dos años, buena parte de la conversación sobre el Reglamento Europeo de Inteligencia Artificial ha utilizado el futuro:
las empresas tendrán que cumplir.
La Comisión podrá investigar.
El AI Office podrá solicitar documentación.
Los proveedores podrán enfrentarse a sanciones.
Ese tiempo verbal empieza a cambiar.
La aplicación real del AI Act ya ha comenzado.
Desde el 2 de agosto de 2026, la Comisión Europea dispone de poderes efectivos de supervisión y ejecución sobre los proveedores de modelos de inteligencia artificial de propósito general —GPAI—.
Y apenas unas semanas después empezó a utilizarlos.
A finales de agosto, la Oficina Europea de Inteligencia Artificial —AI Office— envió sus primeras solicitudes de información a más de 30 empresas relacionadas con inteligencia artificial.
Las actuaciones se han centrado principalmente en dos grandes bloques:
seguridad y protección de los modelos más avanzados;
y:
copyright y obligaciones de transparencia.
La Comisión confirmó posteriormente que había comenzado a recibir respuestas y que estaba analizándolas.
Pero en octubre el proceso ha dado un paso adicional.
El 9 de octubre de 2026, la Comisión convocó una reunión extraordinaria de su Panel Científico de Inteligencia Artificial para analizar recientes incidentes descritos oficialmente como situaciones de “pérdida de control” de modelos avanzados.
El AI Office ya había solicitado y recibido informes sobre incidentes graves y estaba requiriendo información sobre las medidas de seguridad de los desarrolladores implicados.
La Comisión anunció además nuevas preguntas dirigidas a las empresas para continuar examinando esos acontecimientos.
Esto marca un cambio importante.
El AI Act ya no es únicamente:
una norma que las empresas deben interpretar.
Empieza a convertirse en:
una norma frente a la que las empresas deben demostrar qué están haciendo realmente.
¿Significa esto que Europa está investigando a 30 empresas por incumplir el AI Act?
No exactamente.
Y esta distinción es fundamental.
La Comisión ha enviado Requests for Information —RFI—, es decir, solicitudes de información.
Eso forma parte de sus facultades de supervisión y puede constituir el primer paso de una actuación de enforcement.
Pero:
recibir una solicitud de información no significa haber infringido el AI Act.
Tampoco significa necesariamente que exista ya un procedimiento sancionador formal.
La propia Comisión ha evitado publicar los nombres de las empresas afectadas precisamente porque se encuentra todavía en una etapa inicial de recopilación y análisis de información.
Por eso titulares como:
“Bruselas abre expediente a más de 30 empresas de IA”
pueden ser excesivos.
La formulación más precisa sería:
la Comisión ha empezado a utilizar sus poderes de enforcement solicitando información a más de 30 empresas.
Y después decidirá qué actuaciones adicionales son necesarias.
Entonces, ¿qué ha ocurrido exactamente?
Podemos resumir la secuencia hasta octubre de 2026 así.
Agosto de 2026
Empiezan a ser efectivos los poderes de enforcement del AI Office sobre proveedores de GPAI.
La Comisión comienza a enviar solicitudes de información a distintos proveedores.
1 de septiembre de 2026
La Comisión confirma públicamente que las primeras solicitudes afectan a más de 30 compañías.
Los requerimientos cubren dos áreas diferentes:
seguridad y protección;
y:
copyright y transparencia.
25 de septiembre
La Comisión confirma que ya ha recibido respuestas de las compañías cuyos plazos habían terminado y que está evaluándolas.
Las empresas están cooperando, según la Comisión.
9 de octubre
El Panel Científico del AI Act celebra una reunión extraordinaria sobre riesgos de modelos avanzados.
Entre los asuntos analizados aparecen:
- incidentes recientes de pérdida de control;
- monitorización de modelos;
- seguridad;
- automejora recursiva;
- capacidad de investigar incidentes.
El AI Office ya había recibido informes de incidentes graves y solicitado información de seguridad a los desarrolladores correspondientes.
Octubre de 2026
La Comisión continúa analizando las respuestas y preparando nuevas actuaciones.
El 20 de octubre publicó además una explicación específica de su arquitectura de enforcement, detallando qué autoridades investigan, qué poderes dispone el AI Office y qué mecanismos de denuncia y supervisión existen.
Por tanto:
estamos todavía en las primeras etapas, pero la maquinaria de supervisión ya está funcionando.
¿Quién controla realmente el cumplimiento del AI Act?
No existe una única autoridad europea encargada de todo.
El sistema se reparte entre varios actores.
AI Office
Forma parte de la Comisión Europea.
Tiene competencias especialmente relevantes sobre:
modelos GPAI;
modelos GPAI con riesgo sistémico;
determinados sistemas desarrollados por el mismo proveedor del modelo;
y determinados sistemas integrados en grandes plataformas o buscadores sujetos al DSA.
Autoridades nacionales
Los Estados miembros deben disponer de autoridades encargadas de supervisar el resto de sistemas de IA sometidos al Reglamento.
Supervisor Europeo de Protección de Datos
Interviene en sistemas utilizados por las instituciones de la Unión Europea.
Además existen órganos de apoyo como:
AI Board;
Panel Científico;
Advisory Forum.
El resultado es una estructura distribuida.
No todo posible incumplimiento del AI Act terminará en Bruselas.
¿Qué es exactamente el AI Office?
La Oficina Europea de Inteligencia Artificial es una estructura integrada dentro de la Comisión Europea.
Uno de sus papeles más importantes consiste precisamente en supervisar los modelos de IA de propósito general.
Es decir, grandes modelos capaces de realizar múltiples tareas y que posteriormente pueden integrarse en:
chatbots;
herramientas empresariales;
software;
agentes;
sistemas de alto riesgo;
miles de aplicaciones diferentes.
Esto incluye además una categoría especialmente relevante:
GPAI con riesgo sistémico.
Son los modelos más potentes o aquellos que, por sus capacidades o impacto, pueden producir riesgos a gran escala.
Y sobre ellos existen obligaciones reforzadas.
¿Qué está revisando la Comisión?
Hasta ahora podemos identificar dos grandes líneas.
1. Seguridad y protección de los modelos más avanzados
La Comisión quiere conocer qué hacen los proveedores para evitar riesgos graves.
Entre los aspectos relevantes del régimen GPAI con riesgo sistémico se encuentran:
- evaluación del modelo;
- pruebas adversariales;
- identificación de riesgos sistémicos;
- mitigación;
- ciberseguridad;
- seguimiento posterior al lanzamiento;
- notificación de incidentes graves.
La normativa exige a esos proveedores evaluar y reducir posibles riesgos sistémicos y mantener protecciones adecuadas de ciberseguridad.
No estamos hablando únicamente de:
“¿el chatbot se equivoca?”
El concepto de riesgo sistémico puede incluir problemas de mucha mayor escala.
Por ejemplo:
riesgos cibernéticos;
manipulación dañina;
riesgos relacionados con capacidades avanzadas;
pérdida de control;
o efectos importantes sobre derechos fundamentales y seguridad.
Los incidentes de “pérdida de control” han aumentado la atención
En octubre de 2026, la Comisión utilizó expresamente esta expresión:
loss-of-control incidents.
No ha publicado los modelos ni empresas concretamente afectados.
Tampoco ha descrito públicamente con detalle qué ocurrió en cada caso.
Por tanto, no debemos transformar esa expresión en afirmaciones como:
“una IA escapó del control humano”.
Eso iría más allá de la información disponible.
Lo que sabemos es que el Panel Científico ha estado examinando determinados incidentes clasificados por la Comisión dentro de esa categoría.
Y que ha trabajado junto al AI Office en preguntas dirigidas a las empresas desarrolladoras.
La Comisión también está preocupada por la capacidad de monitorizar modelos
Este aspecto merece atención.
Un modelo puede ser extraordinariamente potente.
Pero la seguridad depende también de nuestra capacidad para:
entender su comportamiento;
evaluarlo;
detectar desviaciones;
identificar usos peligrosos;
e intervenir cuando sea necesario.
En su reunión extraordinaria, el Panel Científico analizó además avances técnicos relacionados con:
automejora recursiva
y:
técnicas de entrenamiento que pueden reducir la monitorización de los modelos.
Entre sus recomendaciones está reforzar la capacidad europea para:
detectar, evaluar e investigar incidentes relacionados con modelos avanzados.
Es un ejemplo interesante de cómo el enforcement del AI Act no se limita a comprobar formularios.
En los modelos más avanzados, puede requerir auténtica evaluación técnica.
2. Copyright y transparencia
El segundo gran bloque de actuaciones está relacionado con derechos de autor y transparencia de los modelos GPAI.
Los proveedores deben cumplir, entre otras obligaciones, con:
políticas de copyright;
respeto a determinadas reservas de derechos de minería de textos y datos;
publicación de resúmenes suficientemente detallados del contenido utilizado para entrenamiento;
y:
documentación destinada a proveedores que integran posteriormente el modelo.
Las primeras solicitudes de información se han dirigido también a comprobar estos aspectos.
Esta línea será especialmente importante.
Porque durante años las grandes preguntas sobre entrenamiento han sido:
“¿Qué contenido se utilizó?”
“¿Se respetaron los derechos de los autores?”
“¿Puede una empresa entrenar con material publicado en Internet?”
El AI Act no resuelve por completo el debate del copyright.
Pero sí ha creado obligaciones concretas que ahora el AI Office puede supervisar.
Aquí cambia completamente el significado de “cumplir”
Hasta ahora una empresa podía publicar:
una política;
un resumen;
un documento;
y afirmar:
“cumplimos el AI Act.”
La siguiente pregunta será:
¿puedes demostrarlo?
Es exactamente lo que significa pasar de:
compliance
a:
enforcement.
La autoridad ya no analiza únicamente lo que una empresa declara públicamente.
Puede requerir información adicional.
Artículo 91: la Comisión puede pedir documentación e información
El artículo 91 del AI Act concede a la Comisión capacidad para requerir a proveedores de GPAI la documentación y la información necesarias para comprobar el cumplimiento.
La solicitud debe identificar:
- base jurídica;
- finalidad;
- información requerida;
- plazo.
Antes de realizar determinados requerimientos, el AI Office puede además mantener un diálogo estructurado con el proveedor.
Es precisamente este tipo de herramienta la que está empezando a utilizarse.
Una solicitud de información tampoco es una simple encuesta voluntaria
Conviene evitar el extremo contrario.
Que una solicitud no signifique que la empresa haya infringido el Reglamento no quiere decir que pueda ignorarse tranquilamente.
Las respuestas deben ser correctas.
La normativa contempla consecuencias cuando un proveedor:
no proporciona la información exigida;
entrega información incorrecta;
incompleta;
o engañosa.
En determinadas circunstancias, eso puede terminar en sanción.
¿Qué ocurre después de una solicitud de información?
Aquí aparece una posible escalera de enforcement.
No todos los casos tienen que recorrer todos los pasos.
Pero conceptualmente podríamos representarla así:
1. Diálogo con el proveedor
↓
2. Solicitud de información o documentación
↓
3. Análisis de la respuesta
↓
4. Evaluación más profunda del modelo si la información es insuficiente
↓
5. Medidas correctoras o de mitigación
↓
6. Restricciones o retirada cuando proceda
↓
7. Posibles sanciones
Esa progresión ayuda a comprender por qué las actuaciones actuales son importantes aunque todavía no existan grandes multas.
Artículo 92: Bruselas puede llegar a evaluar directamente el modelo
Si la información obtenida mediante el artículo 91 no resulta suficiente, la capacidad de la Comisión aumenta.
El artículo 92 permite al AI Office realizar evaluaciones de modelos GPAI.
Puede hacerlo para:
comprobar el cumplimiento;
o:
investigar riesgos sistémicos.
La Comisión puede utilizar expertos independientes para estas evaluaciones.
Y puede solicitar acceso al propio modelo mediante:
APIs;
otros medios técnicos;
e incluso, cuando resulte necesario:
código fuente.
Esto demuestra la profundidad potencial del control.
No se trata simplemente de pedir a una empresa:
“envíanos vuestra política de IA responsable.”
La supervisión puede llegar al nivel técnico.
El Panel Científico será especialmente importante en los modelos frontera
Europa ha creado un Panel Científico formado por 60 expertos independientes.
Su función incluye asesorar sobre:
- riesgos sistémicos;
- clasificación de modelos;
- metodologías de evaluación;
- supervisión del mercado;
- seguridad;
- ciberseguridad;
- capacidades avanzadas.
Puede además emitir determinadas alertas relacionadas con riesgos sistémicos que ayuden a activar la actuación del AI Office.
La reunión extraordinaria del 9 de octubre demuestra que este órgano ya no es simplemente consultivo sobre el papel.
Está entrando en el funcionamiento práctico del régimen.
Artículo 93: la Comisión puede exigir cambios
Si la supervisión detecta problemas, el AI Office no se limita necesariamente a documentarlos.
El artículo 93 permite a la Comisión solicitar a los proveedores medidas.
Entre ellas:
Corregir incumplimientos
Cuando no se cumplen las obligaciones de los artículos 53 o 54.
Implementar medidas de mitigación
Cuando una evaluación detecta preocupaciones serias y fundamentadas sobre riesgos sistémicos.
Restringir un modelo
En determinadas circunstancias.
Retirarlo o recuperarlo del mercado
Cuando resulte necesario y apropiado.
Esta última posibilidad es especialmente relevante.
El AI Act no proporciona únicamente capacidad de imponer multas.
Puede utilizar herramientas destinadas a reducir el riesgo propiamente dicho.
¿Europa podría retirar un gran modelo de IA del mercado?
Jurídicamente, el Reglamento contempla esa posibilidad.
Eso no significa que vaya a ser una medida frecuente.
Sería una actuación extraordinaria.
Antes pueden existir:
diálogos;
compromisos;
medidas de mitigación;
modificaciones;
restricciones.
Pero el artículo 93 permite solicitar:
limitar la disponibilidad, retirar o recuperar un modelo.
Por tanto, el enforcement no es únicamente económico.
Las empresas pueden ofrecer compromisos
La relación entre regulador y proveedor tampoco tiene por qué terminar automáticamente en sanción.
Durante un diálogo estructurado, un proveedor de GPAI con riesgo sistémico puede ofrecer compromisos destinados a mitigar el riesgo.
La Comisión puede convertir esos compromisos en jurídicamente vinculantes.
Esto introduce una dinámica familiar en otros ámbitos regulatorios europeos:
detectar problema → negociar solución → hacer vinculante el compromiso.
En determinados casos puede evitar medidas más severas.
¿Cuánto puede multar la Comisión?
Aquí conviene diferenciar tipos de infracción.
Cuando hablamos específicamente de proveedores de modelos GPAI, el artículo 101 permite multas de hasta:
15 millones de euros o el 3 % del volumen de negocio mundial anual total del ejercicio anterior, la cifra que resulte superior.
Estas sanciones pueden aplicarse, entre otros supuestos, cuando el proveedor de forma deliberada o negligente:
- incumple disposiciones aplicables;
- no responde adecuadamente a determinadas solicitudes;
- facilita información incorrecta, incompleta o engañosa;
- incumple medidas requeridas;
- no facilita acceso al modelo para su evaluación.
¿Y el famoso 7 % del AI Act?
También existe.
Pero no debemos mezclar categorías.
Las infracciones relacionadas con determinadas prácticas prohibidas pueden alcanzar hasta:
35 millones de euros o el 7 % del volumen de negocio mundial anual.
En cambio, las sanciones específicas del artículo 101 para proveedores GPAI tienen como máximo:
15 millones o 3 %.
La propia Comisión distingue actualmente ambas categorías en su explicación de enforcement.
Por eso no es correcto afirmar:
“Las 30 empresas requeridas se enfrentan automáticamente a multas del 7 %.”
No sabemos que exista infracción alguna.
Y el régimen sancionador depende del tipo de incumplimiento.
¿Ya existen multas por estas primeras solicitudes?
No se ha anunciado públicamente ninguna sanción derivada de este conjunto inicial de solicitudes.
La Comisión está todavía:
recopilando información;
recibiendo respuestas;
evaluándolas;
y en determinados casos:
profundizando en incidentes.
Por tanto, estamos ante:
los primeros movimientos de supervisión, no ante una oleada de sanciones.
Eso es precisamente lo interesante.
Estamos viendo nacer la práctica administrativa del AI Act.
¿Qué empresas están siendo examinadas?
La Comisión no ha publicado una lista completa.
Y es importante no intentar reconstruirla mediante especulaciones.
A lo largo de las últimas semanas se han mencionado públicamente contactos entre la Comisión y distintas grandes empresas de IA.
También se ha confirmado que se han enviado solicitudes a empresas chinas.
Pero no existe actualmente una lista oficial completa de las más de 30 destinatarias.
Por tanto, no debería publicarse algo como:
“Estas son las 30 compañías investigadas por Bruselas”
si la Comisión no las ha identificado.
¿Por qué la Comisión mantiene confidencial esta fase?
Tiene sentido desde una perspectiva de supervisión.
Una solicitud de información puede utilizarse simplemente para:
verificar;
aclarar;
comparar;
obtener documentación;
comprender una práctica.
Publicar el nombre de una empresa en esa etapa podría generar la impresión de que existe una infracción antes de que la autoridad haya llegado siquiera a una conclusión.
El principio es sencillo:
ser supervisado no significa ser culpable.
El AI Act empieza a parecerse a otras grandes regulaciones europeas
Hasta ahora la comparación con GDPR o DSA era fundamentalmente teórica.
Pero empieza a aparecer una estructura similar.
Primero llega la norma.
Después:
guías;
códigos;
diálogos;
formularios;
autoridades;
procedimientos.
Y finalmente:
expedientes concretos.
Es en esa última fase donde descubrimos realmente cómo interpreta una regulación el supervisor.
El texto del AI Act puede decir:
“medidas adecuadas de ciberseguridad”.
Pero serán las investigaciones y decisiones las que empiecen a responder:
¿qué considera la Comisión suficientemente adecuado?
Ese proceso acaba de comenzar.
Esto convierte el enforcement en una fuente nueva de interpretación del AI Act
Hasta ahora las empresas han utilizado fundamentalmente:
el texto del Reglamento;
directrices;
Códigos de Buenas Prácticas;
FAQs de la Comisión.
A medida que aparezcan actuaciones concretas tendremos otra fuente importantísima:
la práctica supervisora.
Por ejemplo, podremos empezar a entender:
qué documentación exige realmente el AI Office;
qué nivel de detalle considera suficiente;
qué fallos trata como prioritarios;
cuándo considera insuficiente una mitigación;
qué desencadena una evaluación técnica;
cuándo solicita correcciones;
y en qué situaciones decide sancionar.
Para los equipos de compliance, esa información será tan importante como el propio Reglamento.
¿Qué significa todo esto para OpenAI, Google, Anthropic, Meta, Mistral y otros proveedores?
La principal consecuencia es que el cumplimiento ya no puede consistir únicamente en preparar documentación para una futura fecha.
Para los proveedores sujetos al régimen GPAI:
la fecha ya ha llegado.
Desde agosto de 2026 el AI Office dispone de poderes efectivos.
Eso significa que determinadas políticas, documentación, evaluaciones y medidas pueden ser revisadas ahora.
No en 2027.
No en 2028.
Ahora.
La diferencia es importante porque algunas de las obligaciones de alto riesgo para sistemas concretos se han aplazado.
Pero las obligaciones GPAI y sus mecanismos de enforcement se encuentran en otra fase del calendario.
¿Y qué significa para una empresa española que simplemente utiliza ChatGPT o Gemini?
Mucho menos de forma directa.
Una empresa que utiliza ChatGPT, Claude, Gemini u otro servicio no se convierte automáticamente en:
proveedor de GPAI.
El AI Office está supervisando principalmente a quienes desarrollan y ponen estos modelos en el mercado europeo.
Pero las actuaciones sí pueden afectar indirectamente a sus clientes.
Por ejemplo:
pueden cambiar:
documentación;
condiciones de uso;
controles;
limitaciones;
funciones;
transparencia;
medidas de seguridad;
información disponible para integradores.
Y una empresa que integra un GPAI en su propio sistema necesita conocer adecuadamente al proveedor.
La empresa que compra IA debería empezar a hacer mejores preguntas
El comienzo del enforcement debería modificar también los procesos de adquisición de IA.
No basta con preguntar:
“¿Qué modelo funciona mejor?”
Hay que preguntar también:
¿Qué proveedor es?
¿Qué versión utilizamos?
¿Qué obligaciones tiene?
¿Qué documentación ofrece?
¿Está sujeto al régimen GPAI?
¿Existe riesgo sistémico?
¿Qué mecanismos de seguridad incorpora?
¿Cómo comunica incidentes?
¿Qué cambios puede realizar unilateralmente?
¿Qué ocurre si el AI Office exige modificaciones?
Estas preguntas forman parte de la gestión de terceros.
Un proveedor downstream también puede recurrir al AI Office
Imaginemos una startup europea.
Construye un producto sobre un gran modelo.
Para cumplir sus propias obligaciones necesita que el proveedor del GPAI le entregue documentación.
Pero el proveedor:
no responde;
facilita información insuficiente;
o incumple determinadas obligaciones de los artículos 53 a 55.
La Comisión dispone desde 2026 de un canal específico para que proveedores downstream comuniquen este tipo de situaciones.
Esto convierte a las empresas que integran modelos en otra posible fuente de información para el supervisor.
También existen ya canales de denuncia y whistleblowing
El enforcement europeo no depende únicamente de inspecciones iniciadas desde Bruselas.
El AI Office dispone actualmente de:
AI Act Complaints Tool
Para determinadas reclamaciones relativas a infracciones supervisadas por el AI Office.
Whistleblower Tool
Para personas vinculadas profesionalmente con una empresa que quieran comunicar posibles incumplimientos.
Canal downstream GPAI
Para proveedores que integran modelos GPAI y tienen problemas relacionados con las obligaciones de los artículos 53 a 55.
La Comisión los incorpora actualmente como herramientas expresas de monitorización y enforcement.
Eso significa que una investigación futura puede surgir de:
una actuación de oficio;
un incidente;
una denuncia;
un whistleblower;
una autoridad nacional;
o información proporcionada por otra empresa.
Las autoridades de derechos fundamentales también ganan acceso a información
El 20 de octubre de 2026, la Comisión abrió además un canal específico para autoridades nacionales responsables de derechos fundamentales.
Estas entidades pueden solicitar documentación e información al AI Office cuando sea necesaria para ejercer sus competencias y el sistema correspondiente esté bajo supervisión de la Oficina.
La medida es especialmente relevante en materias como:
no discriminación;
protección de derechos fundamentales;
evaluación de sistemas de IA.
La arquitectura de enforcement empieza, por tanto, a conectar diferentes supervisores.
¿Qué diferencia hay entre una RFI, una investigación y una sanción?
Esta tabla ayuda a entender el proceso.
| Actuación | Qué significa |
|---|---|
| Diálogo informal | La Comisión habla con el proveedor para conocer o aclarar una cuestión |
| Solicitud de información | Se requieren datos o documentación concreta |
| Evaluación del modelo | El AI Office analiza técnicamente el sistema |
| Investigación más profunda | Se examina un posible riesgo o incumplimiento |
| Requerimiento de medidas | Se obliga o solicita corregir o mitigar |
| Restricción o retirada | Se limita la disponibilidad del modelo |
| Sanción | Se impone una multa tras determinar un incumplimiento |
No todo RFI terminará recorriendo la tabla completa.
Precisamente por eso conviene no utilizar:
“empresa investigada”
como sinónimo automático de:
“empresa infractora”.
¿Qué debería hacer hoy un proveedor de GPAI?
El inicio real del enforcement cambia la prioridad.
Ya no basta con tener un proyecto de cumplimiento.
Un proveedor debería poder responder ahora a preguntas como:
¿Dónde está nuestra documentación?
No únicamente:
“la estamos preparando.”
¿Quién responde a una solicitud del AI Office?
Debe existir una responsabilidad interna clara.
¿Podemos reconstruir cómo se evaluó una versión concreta del modelo?
La trazabilidad será fundamental.
¿Qué incidentes debemos reportar?
Especialmente para modelos con riesgo sistémico.
¿Qué hace nuestro sistema de post-market monitoring?
No basta con evaluar antes del lanzamiento.
¿Cómo documentamos la mitigación de riesgos?
La empresa debe poder demostrar qué identificó y qué hizo después.
¿Cómo cumplimos copyright?
Incluyendo políticas y reservas TDM.
¿Está actualizado nuestro resumen de contenido de entrenamiento?
Es una obligación visible y fácilmente comprobable.
Una buena auditoría debería simular una petición del AI Office
Existe una forma muy práctica de preparar a una organización.
Preguntar internamente:
“Si mañana recibimos una solicitud del artículo 91, ¿podemos responder?”
Por ejemplo:
“Entreguen documentación sobre cómo identifican riesgos sistémicos.”
“Expliquen qué pruebas externas realizan.”
“Faciliten su política de copyright.”
“Indiquen cómo monitorizan incidentes.”
“Documenten qué medidas de ciberseguridad protegen el modelo.”
Si la respuesta es:
“tendríamos que empezar a recopilarlo”,
el problema ya existe.
El cumplimiento debería producir:
evidencia disponible, no únicamente buenas intenciones.
El Código GPAI será importante, pero no sustituye la responsabilidad
El Código de Buenas Prácticas GPAI permite a los proveedores demostrar más fácilmente cómo cumplen determinadas obligaciones del AI Act.
Pero no actúa como una inmunidad absoluta.
Que una empresa haya firmado el Código no significa:
“el AI Office ya no puede investigarla.”
La Comisión continúa conservando sus poderes de supervisión.
Y el propio artículo 101 permite tener en cuenta los compromisos asumidos conforme a los códigos al valorar una eventual sanción.
¿Puede el AI Office investigar a empresas de fuera de Europa?
Sí, si ponen sus modelos en el mercado europeo y se encuentran dentro del ámbito de aplicación correspondiente.
Esto es importante.
El AI Act no afecta únicamente a:
“empresas europeas”.
La Comisión ha confirmado que sus solicitudes se han dirigido también a proveedores de fuera de la UE, incluidas compañías chinas.
Por tanto:
entrar en el mercado europeo implica aceptar también su marco de supervisión.
El verdadero examen del AI Act empieza ahora
Durante años se ha discutido si el Reglamento:
era demasiado duro;
demasiado blando;
frenaría la innovación;
protegería suficientemente a las personas;
quedaría obsoleto antes de aplicarse.
Pero esas discusiones son todavía parcialmente teóricas.
La verdadera prueba llegará cuando el AI Office tenga que decidir:
qué considera incumplimiento.
Y después:
qué respuesta es proporcional.
Porque una regulación no se define únicamente por su texto.
También se define por:
cómo se aplica.
El caso de los modelos avanzados será especialmente importante
Los modelos frontera presentan además una dificultad regulatoria particular.
La tecnología evoluciona más rápido que las normas.
Eso obliga al supervisor a trabajar con:
expertos externos;
evaluaciones técnicas;
informes de incidentes;
monitorización continua.
La Comisión insiste precisamente en que el AI Act fue diseñado para cubrir el ciclo completo de estos modelos y que los riesgos deben evaluarse continuamente.
La reunión del Panel Científico de octubre demuestra cómo pretende llevarlo a la práctica.
De “regulation by documentation” a “regulation by evidence”
Probablemente esta sea una de las mejores formas de resumir lo que está cambiando.
La primera etapa del AI Act fue:
documenta lo que haces.
La segunda empieza a ser:
demuéstrame que realmente lo haces.
No bastará necesariamente con una política que diga:
“realizamos evaluaciones de seguridad.”
La pregunta puede convertirse en:
“enséñeme esas evaluaciones.”
No bastará con decir:
“monitorizamos riesgos.”
Puede llegar:
“¿qué incidentes detectaron y qué hicieron?”
No bastará:
“respetamos el copyright.”
Sino:
“¿qué mecanismos utiliza para identificar y respetar las reservas de derechos?”
Ahí es donde el compliance deja de ser únicamente documental.
Preguntas frecuentes sobre las primeras actuaciones del AI Act
¿La Comisión Europea ya está investigando empresas por el AI Act?
La Comisión ya está utilizando sus poderes de enforcement y ha enviado solicitudes de información a más de 30 empresas.
Eso no significa que todas estén sometidas a un procedimiento sancionador formal ni que se haya establecido un incumplimiento.
¿Qué está investigando?
Las primeras actuaciones se concentran principalmente en:
seguridad y protección de modelos avanzados
y:
copyright y transparencia.
Además, el AI Office está examinando incidentes recientes relacionados con modelos avanzados.
¿Qué empresas han recibido solicitudes?
La Comisión no ha publicado una lista completa.
Por tanto, no debe afirmarse que una empresa concreta ha recibido una de estas solicitudes salvo que exista confirmación fiable.
¿Qué puede pedir el AI Office?
Puede solicitar documentación e información relevante para comprobar el cumplimiento.
En fases posteriores puede también solicitar acceso técnico al modelo.
¿Puede pedir el código fuente?
El artículo 92 permite solicitar acceso al modelo mediante APIs u otros medios técnicos apropiados, incluyendo código fuente cuando proceda para una evaluación.
¿Puede obligar a modificar un modelo?
Sí.
El artículo 93 permite requerir determinadas medidas correctoras o de mitigación.
¿Puede retirar un modelo del mercado europeo?
El Reglamento contempla, cuando resulte necesario y apropiado, la posibilidad de restringir su disponibilidad, retirarlo o recuperarlo.
¿Qué multa puede recibir un proveedor GPAI?
Hasta 15 millones de euros o el 3 % de su volumen mundial anual, la cifra superior, en los supuestos previstos por el artículo 101.
¿Por qué se habla también del 7 %?
El 7 % corresponde al máximo previsto para determinadas prácticas prohibidas.
No es el máximo específico del artículo 101 para proveedores GPAI.
¿Ya ha multado el AI Office a estas empresas?
No se ha anunciado públicamente una multa derivada de este primer conjunto de solicitudes.
La Comisión continúa analizando información y respuestas.
¿Una solicitud de información significa que la empresa ha hecho algo mal?
No.
Puede tratarse simplemente de una actuación de supervisión destinada a comprobar el cumplimiento.
¿Puede una empresa negarse a responder?
No debe tratarse una petición formal como una encuesta voluntaria.
El incumplimiento de determinadas solicitudes o la entrega de información incorrecta, incompleta o engañosa puede tener consecuencias sancionadoras.
¿Las empresas españolas que utilizan ChatGPT están siendo investigadas por el AI Office?
No por el simple hecho de utilizar ChatGPT.
El AI Office tiene competencias específicas sobre GPAI y determinadas categorías de sistemas.
Otros sistemas corresponden normalmente a las autoridades nacionales competentes.
Conclusión: el AI Act ha pasado de las obligaciones a las pruebas
El 2 de agosto de 2026 fue algo más que otra fecha del calendario del AI Act.
Fue el momento en que una parte central del Reglamento dejó de ser únicamente una obligación escrita y empezó a contar con:
supervisor;
poderes;
procedimientos;
canales de denuncia;
expertos técnicos;
y:
capacidad sancionadora.
Las primeras solicitudes de información a más de 30 empresas son importantes precisamente por eso.
No porque demuestren una oleada de infracciones.
No la demuestran.
Sino porque muestran que la Comisión ha empezado a preguntar:
“¿Puede probar que está cumpliendo?”
Y esa pregunta cambia completamente el escenario.
Durante los próximos meses empezaremos a saber:
qué respuestas considera suficientes el AI Office;
qué problemas trata como prioritarios;
qué nivel de transparencia exige realmente;
qué incidentes activan una investigación más profunda;
cuándo decide evaluar directamente un modelo;
qué medidas correctoras considera adecuadas;
y, finalmente:
qué comportamiento termina generando una sanción.
Hasta ahora gran parte del Derecho de la inteligencia artificial europea se ha construido mediante:
reglamentos;
directrices;
códigos;
FAQs.
La siguiente fuente será diferente:
los propios casos de enforcement.
Y probablemente sean esos casos los que terminen definiendo muchos de los límites reales del AI Act.
Por eso el cambio de 2026 puede resumirse en una frase:
El AI Act ya no pregunta únicamente qué deberían hacer las empresas de inteligencia artificial. Bruselas ha empezado a pedirles pruebas de que realmente lo están haciendo.
Y esa es, probablemente, la verdadera entrada en vigor de una regulación.
Actualizado: 25 de octubre de 2026.
Este contenido tiene finalidad informativa y no constituye asesoramiento jurídico. Una solicitud de información o actuación supervisora no supone por sí misma la existencia de una infracción ni la responsabilidad de la empresa afectada.