El 2 de agosto de 2026 marcó un antes y un después en Bruselas: no porque nacieran de cero las obligaciones de modelos de IA de propósito general (GPAI) —aplicables en lo sustantivo desde agosto de 2025—, sino porque la Comisión, a través de la AI Office, estrenó plenos poderes de investigación y sanción. Bufetes como Wilson Sonsini, Taylor Wessing y Morgan Lewis coincidieron en el diagnóstico de agosto-septiembre: la fase de «paper compliance» terminó; empieza la de requerimientos formales.
El menú de poderes es amplio. La AI Office puede pedir documentos e información, solicitar acceso a APIs o incluso a código fuente para evaluaciones (Art. 92), exigir cumplimiento de Arts. 53 y 54, abrir diálogos estructurados y hacer vinculantes los compromisos. Ante preocupaciones graves de riesgo sistémico, puede imponer mitigaciones o restringir, retirar o recall de un modelo. Las multas del Art. 101 llegan hasta el mayor entre 15 millones de euros o el 3% del volumen de negocios mundial anual.
El Reglamento de ejecución (UE) 2026/1755, en vigor desde el 10 de agosto de 2026, añadió detalle procedimental: apertura de procedimientos, medidas cautelares y un plazo de prescripción de cinco años para multas. En la práctica, cualquier carta de la AI Office debe tratarse como asunto regulatorio formal —con abogados de la UE—, no como ticket de soporte de producto.
En paralelo, el Artículo 50 de transparencia empezó a aplicarse el 2 de agosto de 2026: informar cuando el usuario interactúa con IA (salvo obviedad), marcar contenidos sintéticos en formato machine-readable, y revelar ciertos usos de reconocimiento de emociones, categorización biométrica y deepfakes. El Digital Omnibus/AI Omnibus concedió una transición limitada: sistemas de generación sintética puestos en el mercado antes del 2 de agosto tienen hasta el 2 de diciembre de 2026 para el marcado machine-readable; el resto de deberes del Art. 50 no se aplazan.
Para proveedores estadounidenses sin sede en la UE, el gancho territorial es claro en explainers de septiembre: si colocan el modelo en el mercado de la UE o sus salidas se usan allí, pueden quedar cubiertos. En general deben designar un representante autorizado en la UE antes de colocar modelos GPAI cubiertos. Ignorar el representante no es un atajo ingenioso; es un flanco de enforcement.
La checklist práctica que repiten los despachos incluye: inventario de roles (provider vs deployer); documentación técnica Art. 53; política de cumplimiento de copyright de la UE; resumen suficientemente detallado de contenidos de entrenamiento; evaluación y mitigación si hay riesgo sistémico; ciberseguridad e informe de incidentes; y —cada vez más citado tras el debate agentic— logging de eventos intermedios relevantes, no solo de la respuesta final.
Neural Pulse evita confundir este ángulo con piezas previas sobre proyectos de ley del Senado estadounidense. Aquí el foco es la realidad europea post-2 de agosto: poderes activos, plazos de marcado sintético, y fricción cotidiana para labs de EE. UU. que venden API en Europa. El Code of Practice GPAI sigue siendo herramienta voluntaria de soft compliance, no un escudo absoluto frente a sanciones.
Los modelos puestos en el mercado antes del 2 de agosto de 2025 gozan, en general, de transición hasta el 2 de agosto de 2027 para obligaciones GPAI sustantivas; los posteriores al umbral de 2025 ya debían cumplir. Esa dualidad genera colas de «abuelos» y «nietos» regulatorios dentro del mismo catálogo de un proveedor —un dolor de cabeza de product management tanto como legal.
Empresas que solo despliegan (deployers) no escapan del Art. 50: deben informar interacciones con IA y ciertos usos biométricos/emocionales. La confusión provider/deployer en cadenas SaaS con modelos embebidos será, previsiblemente, el primer campo de litigación interpretativa.
A 15 de septiembre de 2026, no hace falta esperar la primera multa mediática para actuar. Los explainers ya traducen el reglamento a tareas: nombrar representante, cerrar resúmenes de entrenamiento, etiquetar deepfakes, y preparar playbooks de respuesta a requerimientos de la AI Office. Quien espere al titular de sanción habrá perdido meses de margen.
El vínculo con Muse Spark y otros frontier models es directo: la decisión de abrir o cerrar pesos interactúa con Art. 53, pero el riesgo sistémico no se esfuma con una licencia MIT. Bruselas diseñó el sistema precisamente para atrapar la cola alta de capacidades, no solo a quien olvida un watermark.
Cierre editorial: el AI Act ya no es un PDF del futuro. Es un régimen con teléfono, expediente y multa. Para proveedores GPAI de EE. UU., septiembre de 2026 es mes de compliance operativo —o de fe ciega en que la AI Office mirará a otro lado. La segunda opción no es estrategia.
El Código de práctica GPAI sigue siendo la vía «amigable» para demostrar buena fe, pero Taylor Wessing y otros advierten que no inmuniza frente a Arts. 88–94 ni frente a medidas cautelares del reglamento de ejecución. Quien trate el código como indulgencia plenaria comete el mismo error que quien confundía certificaciones ISO con seguridad agentic real.
Un plan de 90 días razonable para un lab estadounidense incluiría: designar representante UE; mapear modelos pre/post agosto 2025; publicar o preparar resumen de entrenamiento; inventariar sistemas Art. 50; implementar marcado sintético con deadline 2 diciembre; y ensayar un tabletop de respuesta a un request de la AI Office —incluyendo quién puede autorizar acceso a modelo bajo Art. 92.
