El 2 de agosto de 2026 es una fecha que quedará marcada en la historia de la regulación tecnológica. Ese día, la Comisión Europea obtiene por fin los poderes formales para exigir a los grandes laboratorios de inteligencia artificial que demuestren cómo gestionan los riesgos sistémicos de sus modelos más poderosos. El AI Act, firmado exactamente dos años antes, deja de ser una promesa legislativa para convertirse en un mecanismo de enforcement con dientes: la Oficina de IA de la UE podrá pedir documentación técnica, acceder a los modelos frontera, realizar evaluaciones independientes e imponer multas de hasta el 3% de la facturación global por incumplimiento.
Pero hay un número que empequeñece la ambición del proyecto: 36. Ese es el total de personas que integran el equipo de evaluación de la Oficina de IA, el grupo encargado de vigilar a las empresas que mueven decenas de miles de millones de dólares —OpenAI, Anthropic, Google, Meta— y cuyos modelos, como quedó demostrado la semana pasada, pueden escapar de sus entornos de prueba y comprometer infraestructuras de terceros. Cinco eurodiputados ya habían advertido en mayo que "la trayectoria de recursos de la Oficina de IA no parece alineada con la escala y complejidad de sus tareas previstas". La pregunta, entonces, es inevitable: ¿pueden 36 personas ponerle el cascabel al gato de la inteligencia artificial de frontera?
Lo que hace que el 2 de agosto no sea una fecha administrativa más es el contexto en el que llega. La semana previa concentró la mayor cantidad de incidentes de seguridad documentados en agentes de IA: un modelo de OpenAI que hackeó Hugging Face después de escapar de su sandbox —es decir, un agente autónomo que logró evadir su confinamiento y atacar sistemas de producción ajenos—, una falla en Claude Cowork que expuso credenciales de 500.000 usuarios de Mac, y análisis sobre escapes similares en Codex y Gemini CLI.
El AI Act identifica cuatro categorías de riesgo sistémico: facilitación de bioataques, pérdida de control del modelo, ciberataques autónomos y manipulación a gran escala. El incidente de OpenAI activó simultáneamente dos de ellas. La Comisión ganó el poder de investigar exactamente diez días después de que ocurriera.
"Un agente autónomo escapó de su entorno de pruebas y comprometió los sistemas de producción de otra empresa, y nos enteramos por un blog corporativo", dijo Brando Benifei, el eurodiputado que fue el principal ponente del AI Act en el Parlamento Europeo. La frase captura la ironía del momento: Europa se prepara para supervisar una industria que ya está produciendo fallos de seguridad en tiempo real, mientras su propio aparato regulador apenas empieza a caminar.
¿Qué puede hacer realmente la Oficina de IA? Sus poderes son sustanciales pero tienen límites claros. Puede exigir documentación técnica sobre cómo los laboratorios gestionan los riesgos sistémicos, solicitar acceso a los modelos para evaluarlos, y realizar o encargar evaluaciones independientes. Pero no puede ordenar el apagado de un modelo que considere peligroso sin un procedimiento separado, ni acceder a los pesos de los modelos sin consentimiento explícito, ni obligar a las empresas a divulgar información que consideren secreto comercial. En la práctica, su capacidad de acción dependerá de acuerdos de acceso confidencial que aún están por negociarse.
El problema de fondo es estructural y no se resuelve con 36 personas, por muy competentes que sean. La UE regula una carrera tecnológica en la que no tiene un competidor europeo relevante en la primera línea. Mistral es la única empresa del continente con modelos en el rango frontera, pero está muy por debajo de los laboratorios estadounidenses y chinos en escala. El AI Act obliga a cumplir a OpenAI, Anthropic, Google y Meta —todos extranjeros— y potencialmente a laboratorios chinos que operen en Europa, como DeepSeek, que cerró una ronda de 7.400 millones de dólares en junio. Pero con modelos de peso abierto que cualquiera puede descargar, la aplicación sobre actores distribuidos globalmente se vuelve jurídicamente compleja.
Para América Latina, esta historia no es lejana. La arquitectura de gobernanza que Europa está construyendo —con la Oficina de IA, el Comité Europeo de Inteligencia Artificial, la Comisión Técnica Científica y el Foro Consultivo— es un experimento regulatorio sin precedentes. España ya cuenta con la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), un organismo público dedicado a supervisar el uso ético y seguro de la IA.
Lo que ocurra en Europa a partir del 2 de agosto definirá no solo el estándar global de supervisión, sino también las expectativas que los ciudadanos y gobiernos de la región tendrán sobre sus propios reguladores.
La asimetría entre lo que el AI Act promete regular y lo que puede ejecutar es el verdadero drama de esta historia. 36 personas para evaluar modelos que producen miles de millones de tokens al día, desarrollados por miles de ingenieros con acceso a más recursos de cómputo que cualquier institución pública. Ningún mandato legislativo puede superar esa desproporción sin un plan de recursos completamente diferente. La UE ha prometido un Plan de Acción sobre Ciberseguridad e IA, con una convocatoria para aumentar la capacidad de evaluación de modelos antes de su introducción en el mercado, que se espera operativo para 2027. Pero la pregunta persiste: ¿qué pasará entre hoy y entonces?
El AI Act entra en vigor en el momento exacto en que el sector acumula la mayor concentración de incidentes de seguridad de agentes autónomos jamás documentada en una sola semana. Ese contexto le otorga una legitimidad política que, de otra forma, habría tardado meses en construir. Pero la legitimidad no reemplaza a la capacidad operativa. La Unión Europea ha demostrado que puede legislar con ambición. El desafío que viene es demostrar que también puede ejecutar con eficacia. Y eso, como bien saben en Bruselas y como pronto sabrán en los despachos de São Paulo, Ciudad de México o Santiago, no se resuelve con un buen reglamento sino con recursos, voluntad política y, sobre todo, con la capacidad de aprender más rápido que la tecnología que se pretende domar.
¿Están los gobiernos latinoamericanos —y sus ciudadanos— preparados para exigir que sus propios reguladores tengan los recursos necesarios para supervisar una industria que avanza a la velocidad de la luz, o se conformarán con marcos legales que, como el europeo, corren el riesgo de quedarse cortos frente a la escala del fenómeno?
