La UE ya puede inspeccionar modelos de IA, bloquear el mercado y multar el 3%: se acabó la prórroga

Lo que ha pasado de verdad (no el titular de la multa)

Desde el 2 de agosto de 2026 la Comisión Europea puede hacer tres cosas que hasta ayer sonaban a amenaza lejana: exigir la evaluación de un modelo de IA de propósito general antes de que se lance en la UE, restringir el acceso al mercado y multar al proveedor con hasta 15 millones de euros o el 3% de su facturación global anual, lo que sea mayor.

Eso no es un comunicado de intenciones. Es el final del periodo de gracia de la Ley de IA. The Next Web lo resume sin anestesia: la Comisión ya tiene facultades de inspección, bloqueo y sanción sobre quien ofrezca un modelo de propósito general en el mercado europeo.

Y aquí va el matiz que casi nadie pone en el titular: da igual dónde esté la sede. Si ofreces el modelo en la UE, entras. Los proveedores de fuera de la Unión tienen que designar un representante autorizado dentro de la UE. No hay truco de "nosotros somos de California / Londres / Singapur y por eso no aplica".

Lo que cambia no es solo el tamaño de la multa. Cambia quién decide si un modelo entra o no, y con qué información encima de la mesa.

Qué es un "modelo de propósito general" sin jerga de despacho

Un modelo de IA de propósito general (GPAI, por las siglas en inglés) es el tipo de sistema que no hace una sola tarea cerrada. No es "detecta tumores en esta radiografía y punto". Es el modelo que puedes usar para redactar, programar, resumir, clasificar, traducir o montar un agente encima. Los grandes nombres del sector entran ahí de cabeza: los modelos frontera de OpenAI, Anthropic, Google y compañía.

La lógica del regulador es simple, aunque duela: si un mismo modelo puede acabar en un chatbot inocuo, en un flujo de contratación o en una herramienta con impacto sistémico, no basta con mirar el PowerPoint de marketing. Hay que poder mirar el modelo con criterios propios, no solo con la narrativa del proveedor.

Traducción de bar: hasta ahora muchos operaban como si la UE fuera un mercado más donde llegabas, publicabas API y ya. A partir de esta fecha, publicar en la UE puede implicar pasar por caseta.

El poder que duele más que la multa: inspección y acceso

La cifra del 3% es clickbait legítimo. Mueve titulares. Pero el diente de verdad de esta fase es otro: la Comisión puede exigir evaluar el modelo antes del lanzamiento en la UE y puede restringir el acceso al mercado.

Eso es un veto operativo, no un sermón. Puedes tener el mejor benchmark del trimestre y, aun así, no poder vender o desplegar con normalidad en 27 países si te plantan una restricción de acceso.

Elisabetta Righini, socia de Sidley Austin, lo deja todavía más fino (y más peligroso para quien juegue al despiste): negarse a una solicitud de información, dar respuestas engañosas o bloquear una evaluación del modelo ya es sancionable por sí solo, más allá de las infracciones "de fondo".

O sea: no hace falta que te pillen con un modelo que incumple una obligación sustantiva para empezar a sangrar. El proceso es delito. Mentir, marear o poner muros cuando te piden datos no es "gestión de crisis": es exponerse a la hostia por la vía administrativa.

Si vienes del mundo startup y te suena lejano, piénsalo así. No es solo "¿cumplo la norma técnica?". Es "¿tengo un interlocutor en la UE, un canal serio de respuesta y un inventario de lo que estoy metiendo en producción?". Sin eso, la primera carta de la Comisión no te encuentra preparado: te encuentra improvisando.

OpenAI, Anthropic y las conversaciones que no son una multa (todavía)

Según el reporte de The Next Web que recoge el hilo de Reuters, la Comisión mantiene conversaciones con OpenAI y Anthropic tras incidentes cibernéticos recientes que involucran sus modelos. No vamos a inventar aquí qué modelo, qué vector de ataque ni qué empresa cliente salió escaldada: eso no está detallado en el material disponible. Lo que sí consta es que hay conversaciones, y que no son de café.

Hay un segundo dato que importa más de lo que parece en clave de poder: la UE llevaba meses buscando acceso al modelo Mythos de Anthropic, y la empresa acabó compartiéndolo en junio de 2026.

Lee eso otra vez sin romanticismo. No estamos afirmando que Mythos sea "peligroso" ni "inseguro"; la fuente habla de acceso, no de veredicto técnico público. El mensaje institucional es otro: cuando el regulador quiere mirar dentro, la resistencia voluntaria tiene fecha de caducidad.

Y aquí encaja una lectura incómoda sobre el tablero de pesos abiertos. El silencio de Anthropic sobre open weights generó acusaciones de que buscaba protección regulatoria. Da igual cuánto ruido hiciera el debate en redes: la UE ahora tiene herramientas para exigir acceso a modelos que la empresa se resistía a proporcionar de forma voluntaria. Eso no demuestra mala fe automática. Demuestra que la asimetría de información entre laboratorio y regulador se está cerrando a martillazos.

Seamos justos: Anthropic lleva años defendiendo que los modelos de frontera requieren un escrutinio de seguridad serio, y su resistencia a soltar pesos abiertos encaja con esa tesis (no es solo postureo regulatorio). Compartir Mythos con la Comisión puede leerse como un laboratorio que acepta la inspección externa que siempre dijo que hacía falta, aunque le pese. La pregunta legítima es si ese escrutinio debería ser voluntario o impuesto, y si la UE tiene músculo técnico para hacerlo bien sin ralentizar lanzamientos por puro procedimiento.

OpenAI y Google, por su parte, han hecho lo que hacen las grandes cuando huele a enforcement de verdad: declarar compromiso con el cumplimiento. OpenAI dice colaborar estrechamente con la Comisión y el sector; Google afirma que sigue dedicada a cumplir las normas aplicables. Eso no es inocencia probada. Es realismo. Cuando el coste de pelear el marco supera el coste de alinearte en público, el comunicado se escribe solo.

Repetimos lo prohibido porque importa: nadie está diciendo aquí que OpenAI o Anthropic hayan sido multados por la Ley de IA, ni que la multa sea inminente. Conversaciones no son sanción. Acceso a un modelo no es condena. Quien convierta esto en "ya caen las primeras multas a X" está vendiendo humo con disfraz de breaking news.

El sándwich regulatorio: Bruselas por un lado, Washington por el otro

Si solo miras la UE, te pierdes la mitad del lío. Los laboratorios de IA estadounidenses también enfrentan control de acceso a modelos de frontera por parte de la Casa Blanca. Resultado práctico: revisión previa (o condiciones de acceso) en dos frentes, cada uno con sus umbrales, plazos y sanciones.

Eso no es "armonización global bonita". Es un sándwich. Cumples un calendario y te descuadras con el otro. Diseñas un proceso de evaluación para Bruselas y te encuentras con otro criterio en EE.UU. Si tu producto es global de verdad (API única, roadmap único, pesos únicos), el coste no es solo legal: es de arquitectura de lanzamiento.

Y encima hay ruido geopolítico de los que mueven mercados. Tras la multa de Bruselas a Google por 1.000 millones de dólares en julio bajo la Ley de Mercados Digitales (DMA), Trump amenazó con aranceles "sustanciales" a la UE. Ojo al matiz: esa multa es DMA, no Ley de IA; no vamos a mezclar churras con merinas. Pero el efecto político es obvio: la aplicación de la Ley de IA añade otra herramienta de presión en la relación con las tecnológicas estadounidenses.

Para una startup europea esto tiene doble lectura. Por un lado, el campo de juego se pone más serio y eso puede frenar a quien solo vivía de hype. Por otro, cuando las big tech entran en modo "cumplimiento y diplomacia", el listón de entrada sube también para quien vende "IA seria" sin papeles. El regulador no te pregunta si tu deck es bonito. Te pregunta si puedes responder.

Gobernanza no es el freno: es la licencia para operar

En Domina IA lo venimos diciendo sin poesía de consultora: la gobernanza no es el freno, es la licencia para operar. No porque nos guste el papeleo. Porque sin capacidad de explicar qué modelo usas, con qué datos, con qué límites y con qué responsable en la UE, no tienes producto exportable: tienes un experimento que sobrevive mientras nadie mire.

Esta fecha del 2 de agosto empuja justo ese punto. El mercado europeo deja de ser "ya cumpliremos cuando escalemos". Si tu go-to-market incluye usuarios, clientes o inferencia en la UE, el cumplimiento deja de ser un epígrafe del final del backlog.

Para una startup el riesgo rara vez es "nos van a clavar el 3% mañana". Ese escenario es más creíble en proveedores con facturación de verdad y exposición sistémica. El riesgo realista es más prosaico y más letal en fase early:

• Te piden información y no tienes un mapa claro de modelos, versiones, fine-tunes y proveedores upstream.
• Tu "IA propia" es en realidad tres APIs encadenadas y no sabes quién es el proveedor del modelo de propósito general a efectos de la norma.
• No tienes representante o responsable claro en la UE cuando el proveedor es extracomunitario y tú redistribuyes capacidad.
• Confundes "hemos puesto un disclaimer en la web" con evaluación y trazabilidad.
• Cuando llega un incidente (aunque sea de un proveedor grande) te enteras por Twitter y no por tu propio registro de uso.

Si esto te suena abstracto, aterrízalo. Imagina que vendes un copiloto vertical a pymes europeas. Debajo hay un modelo frontera de un lab USA. El lab entra en el radar de la Comisión por conversaciones post-incidente. A ti no te tienen que multar para joderte el trimestre: basta con que se restrinja acceso, cambien condiciones o te exijan un nivel de información que no puedes dar porque nunca instrumentaste el stack.

Por eso en clave práctica ya hablamos de que la primera hostia de la Ley de IA no es una multa: es elegir servidor y de datos sensibles. Y por eso existe la guía de cómo cumplir la Ley de IA de la UE siendo startup sin volverte loco ni quemar el runway. No es postureo compliance. Es continuidad de negocio.

Qué cambia en la mesa de un founder (sin cuento de "oportunidad histórica")

Vamos a lo operable. Si montas o escalas producto con modelos de propósito general y miras a Europa, hay cuatro movimientos que dejan de ser "nice to have".

1. Inventario brutalmente honesto del stack. Qué modelo, qué versión, qué proveedor, qué capa tuya hay encima (RAG, tools, agentes, fine-tune). Si no puedes escribirlo en una página, no puedes defenderlo en una solicitud de información.

2. Responsabilidad territorial. Si el proveedor no es comunitario, la norma empuja a que exista representante autorizado en la UE. Si tú eres el que "europeíza" el acceso (white label, reventa, embebido en tu SaaS), no asumas que la hostia cae siempre "solo" en el lab de arriba. Diseña contratos y responsabilidades como si alguien fuera a pedir el hilo del ovillo.

3. Canal de respuesta, no de marketing. Righini señala el riesgo de negarse, engañar o bloquear evaluaciones. Eso implica proceso interno: quién responde, con qué plazo, qué se puede compartir, qué está bajo secreto y cómo se documenta. Improvisar con el abogado del cuñado es una forma cara de parecer culpable.

4. Plan B de proveedor y de despliegue. El vendor lock-in ya no es un debate de arquitectura elegante. Si un modelo se retrasa, se restringe o se pone más caro de cumplir, necesitas ruta de salida sin reescribir medio producto. Doble proveedor, abstracción de capa, evaluación continua. Aburrido. Efectivo.

Fíjate lo que no estamos prometiendo: no hay aquí un Excel mágico con "ahorro de X millones si cumples". No consta un impacto económico cerrado por empresa, y no lo vamos a inventar. Lo que sí hay es un cambio de reglas de acceso al mercado. Eso se gestiona con ingeniería y gobierno, no con hilo de LinkedIn.

Lo que los medios van a suavizar (y lo que no deberías tragar)

Vas a ver tres géneros de basura esta semana.

El primero: miedo cósmico. "La UE mata la innovación". Como si innovación fuera sinónimo de lanzar pesos opacos a 27 países sin capacidad de inspección. Se puede criticar la ejecución regulatoria (plazos, claridad, carga sobre pymes) sin convertir cualquier control en apocalipsis.

El segundo: lavado corporativo. "Damos la bienvenida a un marco claro". Traducción frecuente: preferimos reglas conocidas a incertidumbre, siempre que podamos influir en el ritmo. Está bien que digan que cumplen. No lo conviertas en certificado moral.

El tercero: mezclar expedientes. Meter la multa DMA de Google, las conversaciones con OpenAI/Anthropic y un discurso anti-Big Tech en la misma frase para armar un villano único. Datos concretos, por favor. La DMA no es la Ley de IA. Las conversaciones no son multas. El acceso a Mythos en junio de 2026 no es un veredicto público sobre su seguridad.

También hay un agujero honesto en la cobertura: no se ha detallado la naturaleza exacta de los incidentes cibernéticos ni el contenido fino de las conversaciones con la Comisión. Donde no hay dato, no hay novela. Quien rellene ese hueco con fanfic de "el modelo se rebeló" o "Bruselas ya tiene el expediente de sanción listo" está haciendo entretenimiento, no información.

Por qué esto importa si no vives metido en política europea

Porque el mercado de la IA se está partiendo en capas de acceso. No solo "open weights vs cerrados". También "inspeccionable en la UE vs opaco", "con representante europeo vs sin él", "con capacidad de responder a un regulador vs con un community manager".

Si eres usuario de empresa, esto te afecta cuando tu proveedor te cambie condiciones, te mueva regiones o te pida más datos de uso "por compliance". Si eres builder, te afecta en el día del lanzamiento: el release global deja de ser un botón. Si eres inversor, te afecta en la pregunta incómoda de due diligence: ¿este equipo puede operar en Europa dentro de seis meses sin rehacer el producto?

La UE son 27 estados miembros con un mercado que sigue siendo demasiado grande como para tratarlo de anexo. Ignorarlo no es ágil. Es perezoso.

Dato que ancla y lectura con cojones

Ancla factual, sin adornos:

• 2 de agosto de 2026: facultades de evaluación previa, restricción de acceso y multas de hasta 15 millones € o 3% de facturación global anual (lo mayor).
• Ámbito: cualquier proveedor que ofrezca GPAI en la UE; extracomunitarios con representante autorizado.
• Sanción por obstruir información o evaluación, no solo por el fondo.
• Conversaciones con OpenAI y Anthropic tras incidentes recientes (sin detalle público fino en la fuente).
• Mythos compartido con la UE en junio de 2026 tras meses de presión de acceso.
• Doble frente: UE + control de acceso en EE.UU.
• Ruido comercial de fondo tras la multa DMA a Google (1.000 M$ en julio) y amenazas arancelarias de Trump; la Ley de IA suma palanca, no es el mismo expediente.

Lectura editorial, separada del dato: la prórroga mental del sector se ha acabado. Durante años una parte del ecosistema trató la regulación europea como ruido lejano mientras el go-to-market comía Europa con tarjetas de crédito y endpoints. Ese arbitraje se estrecha. No porque Bruselas se haya vuelto de pronto omnisciente, sino porque ahora puede pedir ver el modelo, cortar mercado y multar de verdad (y porque negarse a jugar el trámite ya cuenta como falta).

¿Es esto "la muerte de la IA en Europa"? No hay base para ese funeral. ¿Es un empujón hacia productos auditables, proveedores intercambiables y menos postureo de "confía en nosotros"? Sí. Y si tu ventaja competitiva era solo la opacidad, tienes un problema de negocio, no un problema de "burocracia mala".

Cierre

La multa del 3% es el grito. La inspección es la mano en el cuello. Desde el 2 de agosto de 2026, ofrecer un modelo de propósito general en la UE sin capacidad de responder deja de ser una estrategia de crecimiento: es una apuesta a que nadie llame a la puerta.

Todavía no hay, con lo que consta, un gran scalp público tipo "primera sanción millonaria a lab X por la Ley de IA". Hay algo más estructural: el regulador ya no pide permiso para mirar. Quien construya como si eso fuera negociable no está siendo rebelde. Está llegando tarde.

Preguntas frecuentes

¿Cuándo entró en vigor la Ley de IA de la UE y qué poderes tiene la Comisión?

Los poderes de ejecución del Capítulo V entraron en vigor el 2 de agosto de 2026. Desde esa fecha, la Comisión puede exigir la evaluación de modelos de IA de propósito general antes de su lanzamiento en la UE, restringir el acceso al mercado y multar hasta 15 millones de euros o el 3% de la facturación global anual, lo que sea mayor.

¿A qué empresas afecta la Ley de IA de la UE? ¿También a las que no tienen sede en Europa?

Afecta a cualquier empresa que ofrezca un modelo de IA de propósito general en la UE, sin importar dónde tenga la sede. Los proveedores no europeos, como los labs estadounidenses, deben designar un representante autorizado dentro de la Unión. No existe el truco de "somos de California y no aplica".

¿Cuánto puede multar la UE por incumplir la Ley de IA y por qué motivos?

La multa máxima es de 15 millones de euros o el 3% de la facturación global anual, lo que resulte mayor. Y no solo se sanciona el incumplimiento técnico del modelo: negarse a una solicitud de información, dar respuestas engañosas o bloquear una evaluación ya es sancionable por sí solo, según advierte la socia de Sidley Austin Elisabetta Righini.

¿Por qué se prorrogó el cumplimiento para los sistemas de IA de alto riesgo?

El cumplimiento para sistemas de IA de alto riesgo, biometría, infraestructuras críticas, decisiones de empleo, servicios esenciales, se pospuso hasta finales de 2027. El motivo: a mayo de 2026, la mayoría de los Estados miembros aún no habían creado autoridades de control y la Oficina de IA carecía de orientaciones oficiales para aplicar esas obligaciones con criterios claros.