A caballo entre finales de agosto y los primeros días de septiembre de 2026, la Comisión Europea despachó las primeras solicitudes formales de información (RFI) a más de treinta empresas que comercializan o ponen en servicio modelos de inteligencia artificial de propósito general (GPAI). El movimiento marca el paso de la fase declarativa del AI Act a la de supervisión activa: ya no basta con códigos de conducta voluntarios; Bruselas pide datos, plazos y responsables nominados. Henna Virkkunen, al frente del portafolio digital, encuadró las RFI como el inicio previsible de un ciclo de cumplimiento, no como un raid sorpresa.
Las cartas no son multas. Son el instrumento con el que la Comisión inventaría riesgos sistémicos, prácticas de evaluación, transparencia de datos de entrenamiento, incidentes de seguridad y canales de reporte. Quienes reciben una RFI deben responder con exhaustividad; la negativa u omisión relevante puede derivar, más adelante, en procedimientos sancionadores. El AI Act contempla multas que, en los tramos más graves vinculados a obligaciones de modelos de propósito general y a prácticas prohibidas, pueden alcanzar magnitudes comparables a las del régimen de competencia —incluido el espíritu del artículo 101 TFUE en cuanto a disuasión—, aunque la base jurídica sancionadora propia del Reglamento es específica y no debe confundirse con un cartel antitrust.
El universo de destinatarios —más de treinta— es deliberadamente amplio: no solo los laboratorios frontera de EE. UU., sino también proveedores europeos, open-weight con distribución comercial en la Unión, y plataformas que reetiquetan o alojan modelos de terceros a escala. Esa amplitud busca evitar el argumento de “solo perseguimos a cuatro estadounidenses” y, a la vez, mapear la cadena real de suministro de GPAI que llega a pymes y administraciones públicas europeas.
Virkkunen ha insistido en público en que el objetivo es cumplimiento workable, no asfixiar la innovación. En privado, según fuentes de la industria citadas por la prensa europea, las RFI preguntan con detalle por evaluaciones de ciberseguridad agentica, por políticas de acceso a variantes “cyber” o de umbral alto, y por incidentes del verano de 2026. Bruselas quiere saber quién sabía qué cuando agentes desbordaron entornos de prueba o cuando capacidades sensibles quedaron expuestas por malconfiguración.
Para OpenAI, Anthropic, Google y Meta, las RFI coinciden con anuncios de umbrales Critical, de Mythos/Fairwind y de Muse Spark. Esa sincronía temporal no es casual en la agenda mediática: la Comisión puede contrastar relatos de Preparedness Framework o Frontier Safety Framework con evidencia documental exigida bajo derecho europeo. Un PDF de blog no sustituye un expediente.
Las pymes europeas que integran GPAI vía API también entran en el radar indirecto. Si un proveedor no documenta evaluaciones, el integrador puede quedar expuesto en licitaciones públicas que exijan trazabilidad. Despachos de Bruselas y de capitales nacionales ya recomiendan a clientes incluir cláusulas de cooperación ante RFI en contratos de 2026-2027. El cumplimiento se vuelve, otra vez, un problema de cadena de valor.
Hay tensión geopolítica. Washington observa si las RFI se usan como palanca industrial; Pekín mira el precedente regulatorio; Londres, fuera de la UE pero alineado en seguridad de IA vía AISI, compara metodologías. Virkkunen necesita demostrar imparcialidad procedimental: mismos plazos, mismas categorías de preguntas, mismos criterios de confidencialidad. Cualquier filtración selectiva alimentaría litigios y lobbies.
El artículo de las sanciones —y la sombra retórica del 101— importa porque fija el techo psicológico. Aunque las primeras RFI no anuncian importes, los consejos de administración calculan ya escenarios de exposición. Eso puede acelerar inversión en equipos de cumplimiento y, paradoxalmente, concentrar aún más el mercado si solo los grandes pueden costear la burocracia. La Comisión dice ser consciente del riesgo y estudia ventanillas y plantillas para proveedores medianos.
Neural Pulse separa esta pieza de la cobertura genérica de “enforcement 2026”: aquí el hecho noticioso es el primer lote concreto de RFI, con calendario de transición verano-otoño y con Virkkunen como cara pública. No es el final del AI Act; es el primer estrés test administrativo real sobre GPAI tras la entrada en aplicación escalonada de obligaciones.
Los proveedores tendrán semanas, no meses infinitos, para contestar. Esperamos rondas de aclaraciones, reuniones técnicas y, en algunos casos, inspecciones documentales. Si las respuestas son evasivas, la Comisión puede endurecer el tono antes de fin de año. Si son sólidas, el relato será que el AI Act “funciona sin drama”. El resultado intermedio más probable es mixto: algunos expedientes limpios, otros con huecos en evaluaciones cyber y en gobernanza de acceso privilegiado.
Para la sociedad civil y para periodistas, las RFI abren una paradoja de transparencia: mucho del material será confidencial por secretos comerciales y seguridad, pero el hecho de su existencia ya obliga a los laboratorios a tomarse en serio a Bruselas. Organizaciones de consumidores pedirán resúmenes públicos; la industria pedirá máxima reserva. El equilibrio lo marcará la práctica de la Oficina de IA y de la propia Comisión.
En síntesis, el giro de finales de agosto y principios de septiembre de 2026 consiste en pasar de la teoría del Reglamento a la bandeja de entrada de más de treinta direcciones legales. El AI Act deja de ser un horizonte y se convierte en un cuestionario con fecha. Neural Pulse seguirá qué empresas responden con evidencia verificable —evaluaciones, incidentes, políticas de acceso confiable— y cuáles descubren que su narrativa de seguridad era más brillante en el blog que en el archivo.
Las empresas que solo consumen sistemas GPAI también deberían seguir estas RFI: los estándares documentales que fije Bruselas fluirán a listas de procurement, cuestionarios de seguros y expectativas supervisoras nacionales. La oleada de septiembre es la plantilla, no el final, de la cultura europea de enforcement sobre IA de propósito general.
