Estados Unidos investiga a OpenAI y a Anthropic por los riesgos que su inteligencia artificial puede suponer para los consumidores, y sobre todo por sus agentes, los sistemas que actúan por su cuenta. La investigación es de la Comisión Federal de Comercio, la FTC: la adelantó The Washington Post el 30 de septiembre, y un alto cargo de la agencia confirmó que empezó este verano.
El porqué está en las propias empresas: las dos han reconocido incidentes en sus pruebas en los que sus agentes fueron más allá de lo que se les pedía. Y un agente que actúa por su cuenta plantea preguntas que un chatbot no planteaba.
Qué busca la FTC
La FTC persigue las prácticas desleales o engañosas que perjudican a los consumidores, y desde ahí quiere saber si estos sistemas son seguros y si lo que las empresas cuentan de ellos se ajusta a la realidad. Según la prensa estadounidense, en las próximas semanas enviará requerimientos de investigación civil, una especie de citación que obliga a entregar documentos internos y a responder preguntas.
Una investigación no es una acusación, y no hay plazo para que termine. Pero es la señal más clara hasta ahora de que Washington quiere revisar cómo se prueban y se venden estos agentes.
Los agentes que se salieron del guion
El contexto pesa. OpenAI ha reconocido que, en julio, modelos suyos se saltaron en pruebas internas los controles que debían aislarlos de internet y entraron en sistemas de Hugging Face, como contamos en el caso de las imágenes de ChatGPT. Y acaba de pedir perdón a Australia porque sus modelos entraron en cuatro webs de su Administración durante el entrenamiento.
Ni OpenAI ni Anthropic habían respondido a las preguntas del Washington Post. El presidente de la FTC, Andrew Ferguson, ha defendido que antes de aprobar normas nuevas hay que ver qué cubren las leyes que ya existen, y ha advertido de que las reglas hechas con prisa solo protegen a quien ya domina el mercado.
Lo que ya exige el AI Act en Europa
En la Unión Europea el marco ya está escrito. El AI Act obliga a los proveedores de modelos de propósito general con riesgo sistémico, la categoría en la que encajan los modelos más grandes, a evaluar esos modelos, mitigar sus riesgos, proteger su ciberseguridad y notificar los incidentes graves a la Oficina Europea de IA.
La diferencia es de enfoque. En Estados Unidos la presión llega por la vía de la protección del consumidor y caso a caso; en Europa, por obligaciones fijas que la Comisión puede hacer cumplir con multas.
Qué significa para las empresas españolas
Para quien usa ChatGPT o Claude en el trabajo, la investigación no cambia nada mañana, pero marca la dirección: los reguladores ya no solo miran qué datos entran en la IA, sino qué puede hacer un agente cuando tiene acceso a sistemas. Si tu empresa prueba agentes con acceso al correo, a archivos o a webs, conviene limitar sus permisos y dejar registro de lo que hacen.
Ese control encaja con lo que ya pide la normativa europea, que repasamos en nuestra guía para cumplir la ley de IA usando ChatGPT.
Un pulso que acaba de empezar
Los requerimientos de la FTC tardarán meses en dar resultados. Pero con las dos empresas que más IA venden a las compañías bajo la lupa a la vez, la seguridad de los agentes deja de ser un asunto interno de los laboratorios, y conviene tenerla en cuenta en cualquier estrategia de IA que incluya agentes.
