La Oficina de IA europea obtiene poder para multar hasta 15 millones de euros y comienza a fiscalizar a proveedores de GPAI
A partir del 2 de agosto, la Comisión Europea puede solicitar documentación técnica, evaluar modelos e imponer multas de hasta el 3% de la facturación global a proveedores de IA de uso general que incumplan la Ley de IA.
La Oficina de IA de la Comisión Europea ha adquirido, desde el 2 de agosto, poder formal para investigar y sancionar a proveedores de modelos de IA de uso general (GPAI) bajo la Ley de IA. Este es un punto de inflexión en el reglamento: las obligaciones sustantivas ya estaban en vigor desde agosto de 2025, pero el ejecutivo europeo no contaba, hasta ahora, con un instrumento ejecutorio para exigir cumplimiento.
El tope de la multa asciende a 15 millones de euros o el 3% de la facturación global del grupo, lo que sea mayor. El texto enumera tres hipótesis que activan la penalización: incumplimiento de las obligaciones de GPAI, entrega de información incorrecta o engañosa al regulador, y negativa a colaborar con solicitudes o evaluaciones de la Oficina de IA.
"Al comenzar la fiscalización, damos un paso importante hacia una IA que las personas y empresas puedan entender y en la que puedan confiar", declaró Henna Virkkunen, vicepresidenta ejecutiva de la Comisión para soberanía tecnológica, seguridad y democracia. La frase es oficial y señala la intención declarada, pero la práctica del primer año tiende a ser diferente: la Oficina de IA ya ha indicado que el instrumento de partida serán los "diálogos técnicos de conformidad", conversaciones previas con el proveedor antes de cualquier procedimiento sancionador formal.
Quién está expuesto
Los modelos que se comercialicen a partir del 2 de agosto de 2025 ya estaban sujetos al régimen, lo que incluye a Gemini 3, Grok 5, Llama 5, GPT-6 y las generaciones más recientes de Claude y Mistral. Los modelos anteriores a esta fecha tienen hasta el 2 de agosto de 2027 para adecuarse. Para el comprador corporativo, la lectura es que prácticamente todos los modelos de primer nivel en producción hoy son susceptibles de fiscalización a partir de ahora.
La parte más inmediata de las nuevas obligaciones es el Artículo 50, que exige transparencia: los chatbots deben identificarse como IA al inicio de la interacción, el contenido generado o manipulado por IA (incluidos deepfakes) debe llevar una marca legible por máquina. Esto afecta los flujos de atención, marketing y automatización que muchas empresas operan en producción sin señalización explícita.
El escepticismo saludable
Cornelia Kutterer, abogada y ex-Microsoft que hoy investiga la gobernanza de IA en el Instituto Jacques Delors, ha argumentado que la Oficina de IA aún está subdimensionada para fiscalizar de manera efectiva el portafolio de modelos que ha caído en su campo. El equipo europeo cuenta con menos de 100 profesionales dedicados. Por otro lado, asociaciones del sector como la CCIA Europe ya han solicitado una fase de transición adicional, alegando que el Código de Prácticas publicado en julio de 2025 dejó zonas grises en derechos de autor, evaluación sistémica de riesgos y transparencia de datos de entrenamiento. Ninguna de las dos críticas invalida la competencia ejecutoria que la fecha del 2 de agosto acaba de desbloquear.
Qué cambia para quienes operan en Europa
Quien integre un modelo GPAI en un producto en el mercado único europeo debe tener en archivo, a partir de ahora, tres documentos que la Oficina de IA puede solicitar sin previo aviso: resumen de los datos de entrenamiento en el formato del template de la Comisión, documentación técnica compatible con el Anexo XI de la Ley de IA, y política interna de cumplimiento con la Directiva de Derechos de Autor. El proveedor que no presente no recibe una multa automática, pero entra en la fila de "diálogo técnico" con el regulador. La reincidencia o la mala fe es lo que activa los 15 millones.
Lectura por mercado
Para el hyperscaler americano, el impacto es más operativo que financiero. OpenAI, Anthropic y Google DeepMind ya venían reestructurando equipos de policy en Bruselas a lo largo de 2025, y el Código de Prácticas fue firmado por casi todos los grandes proveedores (Meta fue la excepción más ruidosa). El riesgo real radica en una primera multa ejemplar que sirva de precedente, probablemente en un caso de entrenamiento sin resumen adecuado, y no en una ola amplia de sanciones.
En Japón y en el Reino Unido, ambos con enfoques regulatorios más ligeros y orientados a principios, el estándar europeo no tiene efecto directo, pero crea presión de spillover: una multinacional europea que opera en Tokio o Londres tiende a extender el mismo control interno a otros mercados por estandarización de cumplimiento. Es el mismo efecto que el GDPR creó. En Brasil, el marco de la LGPD ya cubre parte de la preocupación sobre datos, pero la versión brasileña de un régimen de fiscalización de modelos de uso general aún depende del PL 2338/2023, que tramita en el Congreso desde 2023 sin un calendario firme. Mientras tanto, la empresa brasileña que exporta servicios a Europa hereda la normativa de Bruselas por contrato, no por ley local.