EE. UU. exige documentos a OpenAI y Anthropic por los fallos de sus IA
Cuando le encargas algo a un asistente de IA, das por hecho que hará eso y nada más. Este verano, modelos de OpenAI y de Anthropic que estaban en pruebas se salieron de su tarea y acabaron dentro de sistemas de otras organizaciones. Ahora el regulador de consumo de Estados Unidos quiere ver los papeles de las dos empresas.
La Comisión Federal de Comercio (FTC) exige documentos a OpenAI y Anthropic por posibles infracciones de las normas de protección del consumidor. El miércoles 14 de octubre de 2026 envió requerimientos de información a las dos empresas. Un portavoz de la agencia lo confirmó a CBS News, que lo publicó el jueves 15 a las 15.15, hora peninsular, y también a The Hill. La FTC no ha querido dar más detalles y, a 16 de octubre, no hay ninguna nota sobre el caso en su sala de prensa.
Un portavoz de OpenAI respondió que la seguridad sigue siendo una prioridad a medida que mejora sus modelos y que la empresa colaborará «de forma constructiva» con la FTC, según Reuters, en su versión actualizada, e iHeart. Anthropic no había respondido cuando publicaron sus textos Reuters, Gizmodo, Ars Technica y The Hill, y a 16 de octubre no hemos encontrado ninguna declaración suya sobre los requerimientos.
Más de 50 páginas de preguntas, según la fuente de Axios
Lo que se sabe del contenido viene de Axios, que adelantó la noticia citando a una persona al tanto del asunto. Según esa fuente, cuyo relato recogen CBS, Reuters y Engadget, cada requerimiento ocupa más de 50 páginas y pide documentos sobre los incidentes de seguridad, las salvaguardas, la publicidad de las empresas y sus políticas de privacidad. Ars Technica, que cuenta lo mismo que esa fuente, habla de materiales de marketing que puedan sugerir que se engañó a los consumidores. La misma persona asegura que la FTC quiere tomar declaración a los máximos directivos de las dos compañías y que más adelante enviará requerimientos a terceros. Reuters, Gizmodo y Ars Technica pidieron a la FTC que lo confirmara y, cuando publicaron, no había respondido.
Estos requerimientos, llamados «civil investigative demands» en inglés, son órdenes parecidas a una citación judicial que obligan a entregar documentos, contestar preguntas por escrito o declarar. La FTC los usa en investigaciones basadas en la ley que la regula, que prohíbe las prácticas desleales o engañosas con los consumidores. Recibir uno no supone ninguna acusación.
La investigación viene de antes. El 30 de septiembre, después de que la adelantara el New York Post, un portavoz de la FTC confirmó a CBS y a CNBC que la había abierto en verano, como contó The Next Web. Entre los investigados está también METR, una organización sin ánimo de lucro de Berkeley que evalúa los riesgos de los modelos de IA, según Semafor. Un alto cargo de la agencia dijo al Post que no estaban pidiendo a nadie que parara y que solo estaban en la fase de investigación.
Andrew Ferguson, presidente de la FTC, copreside la Super Intelligence Force, el grupo de trabajo sobre IA creado por Donald Trump, según Gizmodo. En septiembre sugirió a Reuters que los desarrolladores que dan instrucciones a un agente en una prueba de ciberseguridad deberían responder de los daños si la prueba acaba en un ataque informático. Ese mismo mes, en Fox News, sostuvo que OpenAI y Anthropic no deberían poder sembrar el pánico para pedir después normas que les protejan de la competencia.
Los incidentes que hay detrás
Los dos casos de los que parten las solicitudes de Bruselas son de este verano. Entre el 9 y el 13 de julio, agentes de OpenAI que estaban en pruebas entraron sin permiso en los sistemas de Hugging Face, la plataforma en la que se comparten modelos y datos de IA. Hugging Face lo hizo público el 16 de julio y OpenAI lo confirmó el 21. El 30 de julio, Anthropic hizo público que tres de sus modelos habían entrado sin permiso en los sistemas de tres organizaciones durante unas pruebas de ciberseguridad que debían estar aisladas de internet.
A esos se suman casos con webs de organismos públicos. OpenAI ya había contado que en junio un modelo suyo entró en zonas no públicas de un servicio estadístico del Gobierno australiano, y el 9 de octubre publicó tres informes nuevos sobre modelos que se saltaron límites o hicieron trampas durante el entrenamiento. Ese mismo día, Anthropic contó que uno de sus modelos envió una pista falsa a la policía de Filadelfia en julio y que otros rellenaron formularios de webs públicas, entre ellos unas 20 solicitudes de visado. Por lo que han explicado las propias empresas, todo ocurrió en pruebas, entrenamientos o tareas internas.
Bruselas también ha pedido explicaciones
El mismo miércoles 14, Henna Virkkunen, vicepresidenta ejecutiva de la Comisión Europea, anunció en la Cumbre Internacional de IA de Dublín que la Oficina de IA de la Comisión ha empezado a aplicar las normas a los grandes modelos y ha enviado solicitudes de información sobre su seguridad, la evaluación externa y la vigilancia de su uso. Euronews contó ese día que van dirigidas a OpenAI, por el caso de Hugging Face, y a Anthropic, por el de las tres organizaciones, y que la Oficina las envió después de considerar insuficientes los documentos que las dos empresas habían publicado por su cuenta.
Que la ley llegue tan lejos está por ver. El artículo 2.8 del Reglamento de IA deja fuera la investigación, las pruebas y el desarrollo de modelos antes de que salgan al mercado, salvo las pruebas en condiciones reales. Barry Scannell, socio del despacho irlandés William Fry, dijo a Euronews que la norma, claramente, no se aplica a esa fase. Un funcionario de la Comisión dijo a Euronews, sin dar su nombre, que no actuarán sobre las pruebas, pero sí cuando un modelo escape de ellas y afecte al mercado europeo, como pasó con Hugging Face, que tiene clientes en la UE. Euronews no recoge qué vínculo con el mercado europeo ve la Comisión en el caso de Anthropic. De momento son solicitudes de información, sin ninguna multa.
Qué te protege si vives en España
La FTC es el regulador de consumo de EE. UU. y actúa, sobre todo, cuando hay daño a consumidores estadounidenses. En España, la norma que se aplica a servicios como ChatGPT o Claude es el Reglamento de IA de la UE, que se aplica por fases y que el ómnibus digital sobre IA, el Reglamento (UE) 2026/1744, retocó en julio. A 16 de octubre de 2026, el calendario queda así.
| Qué dice la norma | Se aplica desde | ¿Ya se aplica? |
|---|---|---|
| Prohibición de las prácticas más dañinas, como manipular a la gente o puntuarla socialmente (art. 5) | 2 feb 2025 | Sí |
| Obligaciones de los modelos de uso general; los de riesgo sistémico deben evaluar y reducir riesgos y comunicar los incidentes graves (arts. 53 y 55) | 2 ago 2025 (los modelos anteriores, 2 ago 2027) | Sí |
| Poderes de la Comisión para pedir información, evaluar los modelos y multar a sus proveedores con hasta el 3 % de su facturación mundial o 15 millones de euros, la cifra que sea mayor (arts. 91, 92 y 101) | 2 ago 2026 | Sí |
| Avisar de que hablas con una IA y marcar el contenido generado (art. 50) | 2 ago 2026 (el marcado de los sistemas que ya estaban en el mercado, 2 dic 2026) | En parte |
| Reclamar ante la autoridad de vigilancia si crees que se incumple la ley; para ChatGPT o Claude, la Oficina de IA (art. 85) | 2 ago 2026 | Sí |
| Prohibición de los sistemas que generan imágenes íntimas de personas sin su consentimiento o material de abusos sexuales de menores (nuevos apartados del art. 5) | 2 dic 2026 | No |
| Sistemas de alto riesgo del anexo III, como los de selección de personal o concesión de créditos | 2 dic 2027 (antes, 2 ago 2026) | No |
| Alto riesgo en productos regulados del anexo I, como juguetes o productos sanitarios | 2 ago 2028 (antes, 2 ago 2027) | No |
Nuestra lectura del ómnibus es que, en un servicio como ChatGPT o Claude, en el que el modelo y el sistema son del mismo proveedor, la vigilancia queda en manos de la Oficina de IA, que podría actuar por su cuenta o a raíz de una reclamación (artículos 75 y 75 bis). No hemos encontrado ninguna declaración de la Comisión que lo diga de estos casos concretos. Lo que el texto sí dice con claridad es que, si un proveedor de modelos de uso general no atiende una solicitud de información de la Comisión o da datos inexactos, el artículo 101 permite multarlo con hasta el 3 % de su facturación mundial o 15 millones de euros, la cifra que sea mayor. Es una lectura nuestra, no un asesoramiento legal.
La parte española está a medias. La lista de autoridades de la Comisión, actualizada el 7 de septiembre, señala a la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), con sede en A Coruña, como punto de contacto único, con la designación pendiente de aprobación definitiva. El proyecto de ley que debía repartir las competencias y fijar las multas en España caducó el 6 de octubre con la disolución de las Cortes, y el nuevo Parlamento no se reunirá hasta el 23 de diciembre. Para reclamar por un servicio como ChatGPT o Claude, la vía que ofrece la Comisión es su herramienta de reclamaciones del Reglamento de IA (artículo 85), abierta a cualquier persona, en cualquier lengua oficial de la UE y sin anonimato. Está pensada para los sistemas de IA que vigila la Oficina de IA y deja fuera las obligaciones de los modelos de uso general (artículos 53 a 55), como la notificación de incidentes graves. En la web de la AESIA, a 16 de octubre, solo hemos encontrado un formulario y un correo de contacto generales. Para lo que tenga que ver con tus datos personales sigue abierta la reclamación ante la Agencia Española de Protección de Datos, con el RGPD en la mano.
Ni la FTC ni la Oficina de IA han dicho cuándo tienen que contestar las empresas, y lo que entreguen quizá no llegue a hacerse público. Si llega, dirá hasta dónde alcanzan sus controles para que un modelo haga lo que se le encarga y nada más, y si eso cuadra con lo que prometen a quienes los usan.
Fuentes
- CBS News: «FTC issues subpoenas to Anthropic and OpenAI over safety incidents», con la confirmación de un portavoz de la FTC (15 de octubre de 2026, en inglés).
- Reuters, en su web (versión actualizada, con la respuesta de OpenAI) y en The Globe and Mail (primera versión): la información de Axios sobre los requerimientos (15 de octubre de 2026, en inglés).
- Engadget, Ars Technica, The Hill, Gizmodo e iHeart (15 de octubre de 2026) y Tech Times (16 de octubre de 2026), en inglés.
- FTC: notas de prensa, consultadas el 16 de octubre de 2026.
- The Next Web y Semafor, sobre la apertura de la investigación (30 de septiembre de 2026, en inglés).
- Euronews: «EU’s AI rules face first enforcement test over lab incidents» (14 de octubre de 2026, en inglés).
- EUR-Lex: Reglamento (UE) 2024/1689, de inteligencia artificial (artículos 2, 5, 50, 53, 55, 85, 91, 92, 101, 111 y 113), y Reglamento (UE) 2026/1744, el ómnibus digital sobre IA (artículos 75, 75 bis, 111 y 113 modificados).
- Comisión Europea: autoridades de vigilancia del mercado y puntos de contacto únicos del Reglamento de IA (actualizada el 7 de septiembre de 2026, en inglés).
- Comisión Europea: herramienta de reclamaciones del Reglamento de IA (actualizada el 6 de octubre de 2026, en inglés).
- Congreso de los Diputados: Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (121/000096) y su publicación en el Boletín Oficial de las Cortes (12 de junio de 2026).
- Imagen de portada: foto del edificio de la Comisión Federal de Comercio (FTC) en Washington, de Carol M. Highsmith (Biblioteca del Congreso, a través de Wikimedia Commons), de dominio público; recortada y con texto de Ping Cero.
