MODELOS GENERALES BAJO PRESIÓN, IA LOCAL EN ASCENSO

El 2 de agosto empezaron a ser exigibles las obligaciones para los modelos de inteligencia artificial (IA) de uso general. Antes de que hubiera pasado un mes, la Oficina de IA de la Unión Europea (UE) empezó a hacer preguntas a los proveedores de estos modelos: quiere saber cómo se protegen los modelos frente a los ataques, si existen evaluaciones externas independientes y cómo se supervisan los modelos una vez en el mercado.

No es un capricho infundado. En julio y agosto de 2026 se han producido varios incidentes de seguridad en relación con modelos de IA de uso general que escapan de los entornos de prueba controlados, como es el caso de OpenAI y Hugging Face. En una ocasión, un modelo de Anthropic escaneó aproximadamente 9.000 objetivos reales en Internet tras no conseguir acceder a su objetivo ficticio. Consiguió acceder a la aplicación de una empresa real conectada a Internet utilizando las credenciales de una página de depuración expuesta y una inyección SQL, si bien se detuvo al darse cuenta de que el servidor era real. En otra ocasión, agentes de IA impulsados por Mythos 5 de Anthropic y GPT-5.6 Sol de OpenAI realizaron 19 acciones no autorizadas en internet durante las evaluaciones de ciberseguridad de AISI en el Reino Unido, muchas de las cuales recurrían la manipulación de desarrolladores reales para que aceptaran código malicioso.

Cabe esperar que la Oficina de IA emita más requerimientos de información, publique los métodos de evaluación, y aplique medidas correctivas. Esta línea de actuación añade presión a unos proveedores que ya enfrentan una situación financiera altamente estresante, debido a sus modelos de negocio. En consecuencia, la interrupción de este tipo de servicios model as a service en la UE comienza a parecer plausible. Ello podría inquietar especialmente a las empresas que, directa o indirectamente, han aceptado depender de estos proveedores, confiando en que la implementación de la IA en producción sería una fuente de rentabilidad inmediata y asegurada.

No obstante, esta circunstancia puede representar una oportunidad para proveedores de IA autoalojada (es decir, aquella que se ejecuta directamente en dispositivos o infraestructuras locales) o capaces de proporcionar modelos de pago por uso, ya que las empresas podrían buscar alternativas menos expuestas a la interrupción de servicios externos, a los cambios regulatorios y a la dependencia de modelos ofrecidos bajo suscripción. Si bien requeriría asumir más responsabilidad y trabajo por parte de la organización a nivel de cumplimiento normativo, el desarrollo de soluciones locales permitiría conservar un mayor control sobre los datos, adaptar los modelos a necesidades específicas, reducir la latencia y garantizar la continuidad operativa incluso ante problemas financieros o comerciales del proveedor remoto. A largo plazo, es la opción más segura.

En conclusión, la Oficina de IA está dejando claro que para comercializar un modelo de IA en la UE no basta con ofrecer acceso a una API. Los proveedores deberán poder explicar cómo evalúan sus sistemas, cómo gestionan los riesgos y qué medidas adoptan cuando aparecen comportamientos inesperados. Con la mentalidad adecuada, esta presión podría contribuir a un cambio de paradigma a favor de los desarrolladores de IA local, especialmente si son capaces de ofrecer soluciones más auditables y mayores posibilidades de control por parte de la empresa usuaria. La oportunidad, por tanto, no surge al margen de la regulación, sino precisamente de la necesidad de cumplirla de forma más verificable y salvaguardar la independencia operativa.

Artículo publicado en VozPópuli