El 1 de septiembre de 2026, la Comisión Europea confirmó que el AI Office había enviado sus primeras solicitudes formales de información (RFI) a más de 30 proveedores de inteligencia artificial bajo el AI Act, cuyas obligaciones clave para modelos de propósito general son aplicables desde el 2 de agosto. El portavoz Thomas Regnier detalló dos ejes: seguridad y surety de los modelos más avanzados, y copyright más transparencia —este último especialmente hacia firmas que no participaron en diálogos informales de cumplimiento.
La vicepresidenta ejecutiva Henna Virkkunen había anticipado el movimiento días antes. Reportes de Agence Europe, 2EU.brussels y EU Perspectives coinciden en que aún no hay hallazgos de infracción ni lista pública de destinatarios, aunque la cobertura sugiere que labs fronterizos como OpenAI, Google y Anthropic están en el universo plausible. Bruselas también confirmó intercambios recientes con OpenAI y Anthropic sobre riesgos de ciberseguridad, sin decir si recibieron RFI.
El artículo 101 del AI Act convierte una respuesta incorrecta, incompleta o engañosa en terreno de multa de hasta 15 millones de euros o el 3% de la facturación anual global, lo que sea mayor. Es la primera vez que Bruselas ejerce esos poderes desde que se volvieron enforceables. El mensaje a counsel corporativo es inequívoco: el periodo de charlas de café terminó; ahora hay expediente.
En paralelo, reportes de septiembre describen una primera ola de inspecciones coordinadas con autoridades nacionales de vigilancia de mercado sobre IA de alto riesgo en RR.HH., banca minorista y salud, aunque fuentes oficiales enfatizan sobre todo la fase de información y supervisión. El AI Office ronda los 38 empleados dedicados a enforcement —pocos frente al mercado, suficientes para investigación dirigida.
Para proveedores GPAI por encima del umbral de 10^25 FLOPs de entrenamiento, septiembre también es mes de evaluaciones de riesgo sistémico. La combinación RFI + systemic-risk filings crea una presión documental doble: hay que explicar seguridad del modelo y transparencia/copyright, con posibilidad de medidas correctivas si los expedientes no convencen.
El trasfondo es el verano de incidentes con modelos avanzados que politizó la supervisión. Bruselas necesita demostrar que el AI Act no es simbólico. Los labs, a su vez, temen filtraciones de secretos de red teaming y de datos de entrenamiento cuando respondan con el detalle que la Comisión puede exigir.
La tensión con ENISA y accesos tipo Glasswing a modelos frontier ilustra el cuello de botella: los reguladores quieren mirar dentro; los labs quieren controlar quién mira. Las RFI son el instrumento intermedio —papel antes que inspección on-site de pesos— pero el camino hacia evaluaciones más intrusivas está señalizado.
Empresas desplegadoras en la UE no son el blanco primario de estas primeras RFI a proveedores de modelos, pero deberían prepararse: la misma maquinaria de market surveillance que hoy pregunta a foundations preguntará mañana a bancos y hospitales sobre sistemas de alto riesgo. Inventarios de agentes, logging y evaluación de impacto dejan de ser nice-to-have.
Neural Pulse lee las RFI como el verdadero «go-live» político del AI Act tras el 2 de agosto. Sin destinatarios públicos aún, el efecto disuasorio ya opera: nadie quiere ser el primer expediente con multa del 3%.
Queda por ver plazos de respuesta, el grado de confidencialidad de los anexos técnicos y si la Comisión publicará orientaciones agregadas sin quemar a empresas concretas. También, si copyright/transparency RFIs se separarán claramente de las de safety para no mezclar debates de derecho de autor con riesgos CBRN.
En resumen, a inicios de septiembre de 2026 —con eco continuo hacia el 22— la Comisión Europea activó el enforcement del AI Act con RFI a más de 30 proveedores sobre seguridad, copyright y transparencia, bajo amenaza real de multas del artículo 101.
Seguiremos cualquier filtración de destinatarios, plazos, y la interacción con la audiencia del Parlamento británico del 13 de octubre y con los pactos bilaterales de stress-test entre labs.
Para la industria, la era del compliance theatre terminó; empieza la era del PDF bajo juramento regulatorio.
El AI Office, pequeño en headcount, acaba de demostrar que el tamaño del bastón legal importa más que el tamaño del equipo —al menos en la primera ronda.
