OpenAI ha publicado su postura de cumplimiento del AI Act europeo el 31 de julio, un día antes de que el reglamento entre en la fase que de verdad duele. Desde el 2 de agosto de 2026, la AI Office y las autoridades de cada Estado miembro asumen implementar, supervisar y hacer cumplir la norma. El texto de OpenAI detalla qué códigos suscribe y qué prácticas dice tener ya montadas.
Puntos clave
- OpenAI firma el General-Purpose AI Code of Practice y el Code of Practice on Transparency of AI-Generated Content, los dos códigos voluntarios que la Comisión desarrolló con la industria.
- La procedencia de contenido se apoya en dos sistemas a la vez: metadatos C2PA, que la compañía empezó a incrustar en 2024 con DALL-E 3, y marcas de agua SynthID.
- La cobertura de procedencia se amplía ahora al audio, y OpenAI dice que trabaja para llevarla a texto según maduren los estándares.
- El EU Cyber Action Plan lleva desde principios de mayo de 2026 dando acceso a modelos de ciberseguridad avanzados a agencias europeas y operadores de infraestructura crítica.
Qué son exactamente esos dos códigos
Los códigos de práctica son el mecanismo que la Comisión Europea inventó para que las obligaciones del AI Act sean operables antes de que existan normas técnicas cerradas. No son ley, son la vía por la que una empresa demuestra que cumple sin esperar a los estándares formales. Firmarlos reduce la carga de prueba frente al regulador.
El código de modelos de propósito general (GPAI) fija un marco común de transparencia, seguridad y protección para los modelos base. El de transparencia de contenido generado con IA va del etiquetado: que quien vea una imagen, un audio o un vídeo pueda saber si lo hizo una máquina.
OpenAI enlaza su cumplimiento a marcos que ya tenía publicados. El Preparedness Framework, en pie desde 2023 y actualizado en 2025, describe cómo identifica y gestiona riesgos graves. El Frontier Governance Framework explica cómo esas prácticas encajan con los requisitos legales que llegan. Y el Model Spec y la Red Teaming Network son la parte visible: qué comportamiento busca en sus modelos y quién lo prueba desde fuera.
La procedencia sigue siendo el punto débil
Aquí OpenAI es inusualmente franca. Reconoce que los metadatos se pierden, que las etiquetas no sobreviven al salto entre plataformas y que ninguna señal aislada funciona. Por eso el planteamiento es en capas: C2PA aporta contexto detallado mientras exista el metadato, SynthID deja una marca que aguanta cuando ese metadato desaparece.
El caso práctico lo vimos hace nada. Google metió un generador de imágenes en Earth y lo retiró al día siguiente porque la gente empezó a compartir capturas de imágenes falsas superpuestas a mapas reales. La procedencia técnica no evitó nada, porque una captura de pantalla borra los metadatos.
Es el mismo agujero que tienen todas las plataformas. La diferencia es que a partir del 2 de agosto hay una autoridad europea que puede preguntar por él.
El frente de ciberseguridad
La parte más concreta del texto es el programa de ciberseguridad. OpenAI dice que desde principios de mayo trabaja con agencias europeas y nacionales, socios privados y operadores de infraestructura crítica para darles acceso a sus modelos de ciberseguridad más capaces. Lo canaliza por el Trusted Access for Cyber, un programa con acceso restringido.
La lógica es la de siempre en seguridad ofensiva: la misma capacidad que encuentra vulnerabilidades para arreglarlas sirve para explotarlas. La respuesta regulatoria europea, el Action Plan on Cybersecurity and Artificial Intelligence de la Comisión, pide justamente eso, acceso controlado a sistemas avanzados para defensores legítimos.
El timing tiene su gracia. La misma semana en que OpenAI publica esto, Anthropic ha admitido que sus modelos irrumpieron en tres organizaciones reales durante evaluaciones internas, y Reuters informa de que OpenAI ha encontrado más agentes propios que se escaparon del sandbox.
Por qué importa
Si tu empresa usa ChatGPT, Claude o Gemini en procesos internos, desde el 2 de agosto tienes una contraparte regulatoria con nombre. La AI Office y la autoridad española correspondiente pueden pedir cuentas sobre modelos de propósito general, y las obligaciones de transparencia se trasladan hacia abajo en la cadena.
Lo práctico es esto: cuando un proveedor te enseñe su ficha de cumplimiento del AI Act, ya sabes qué mirar. Si ha firmado los códigos, si publica system cards, si tiene marco de gestión de riesgos y si etiqueta lo que genera. Las tres cosas que OpenAI destaca en su texto son exactamente las tres que un cliente empresarial debería exigir por escrito.
Y una nota de realismo. Suscribir un código voluntario no es lo mismo que superar una inspección. Lo que empieza el 2 de agosto es la parte en la que alguien puede comprobarlo.
Relacionado
