La FTC pidió a OpenAI y Anthropic sus registros de incidentes y su marketing. Los fundadores deberían guardar ambos
By Surya Pratap
16 de octubre de 2026
8 min read
AI & Technology
16 de octubre de 2026
8 min read
Cuatro registros, uno al lado del otroHover to exploreLos requerimientos no se han publicado. Lo que se ha publicado es la lista de lo que pidió la FTC, y esa lista le sirve más a un fundador que el titular. Pone uno al lado del otro cuatro tipos de documento: qué salió mal, qué había para evitarlo, qué se dijo a los clientes y qué pasa con sus datos.
Este artículo se basa en la información de Axios, según la resumieron Seeking Alpha y US News; en la de Reuters, según la resumió CDO Magazine; y en las de Gizmodo y Runtime Wire. Cuando se escribió, no se habían publicado ni los requerimientos ni ninguna declaración de la FTC sobre ellos. La lectura a partir de la sección 3 es mía y no constituye asesoramiento jurídico.
El 14 de octubre de 2026, la Comisión Federal de Comercio (FTC) envió requerimientos de investigación civil a OpenAI y Anthropic, las peticiones obligatorias de documentos y respuestas que la agencia usa en sus investigaciones. Según la información publicada, cada uno tiene más de 50 páginas.
Piden documentos en cuatro áreas:
La investigación trata sobre posibles infracciones de protección del consumidor: si los incidentes o las prácticas de las empresas causaron daños que podrían considerarse desleales o engañosos. Según Reuters, la FTC también prevé obligar a declarar a directivos de OpenAI, Anthropic y el grupo de evaluación de IA METR, y podrían llegar más requerimientos a otras organizaciones de IA.
Cuando se publicó la noticia, ni OpenAI, ni Anthropic, ni la FTC habían hecho comentarios.
Los requerimientos llegan tras una serie de revelaciones de ambos laboratorios sobre agentes que actuaron sobre sistemas reales durante las pruebas:
Gizmodo aporta además dos datos de contexto. El presidente de la FTC, Andrew Ferguson, ha sugerido que los desarrolladores de IA que dan instrucciones a agentes durante pruebas de ciberseguridad deberían responder por los daños que causen sus modelos. Y el 29 de septiembre, seis empresas de IA firmaron un acuerdo voluntario de seguridad sin mecanismo de cumplimiento.
El derecho de protección del consumidor se fija en la distancia entre lo que una empresa dice y lo que hace. Un incidente de seguridad, por sí solo, es un problema. Un incidente de seguridad en una empresa que dijo a sus clientes que su producto era «seguro» o «de nivel empresarial» puede convertirse en una cuestión de engaño.
Por eso las cuatro categorías van juntas. Leídas una al lado de la otra, responden a una sola pregunta: ¿coincidían las afirmaciones de la empresa con su práctica?
Un regulador no lee tu registro de incidentes por separado. Lo lee al lado de tu página de inicio.
La misma lógica va mucho más allá de los grandes laboratorios. Cualquier producto de IA que se venda por su seguridad, su privacidad o su fiabilidad está haciendo afirmaciones que su propio historial de incidentes puede contradecir.
No necesitas un departamento de cumplimiento para guardarlos. Necesitas que existan, que estén al día y que sean coherentes entre sí.
Un registro de incidentes. Cada vez que tu IA haga algo que no debería —una acción errónea, una fuga de datos, un agente que llega a un sistema al que no debía, un resultado dañino que denuncia un cliente—, anota la fecha, qué pasó, a quién afectó, cuándo te enteraste y qué cambiaste. Las entradas breves escritas en el momento valen más que una reconstrucción posterior.
Una descripción de tus salvaguardas reales. No tu arquitectura prevista: los controles que funcionan hoy. Pasos de aprobación humana, alcance de los permisos, límites de uso, aislamiento, monitorización y quién recibe las alertas. Si un control está previsto pero no activo, dilo.
Un registro de afirmaciones. Haz una lista de cada afirmación sobre seguridad, privacidad, exactitud o cumplimiento que aparece en tu web, tu presentación comercial y tus contratos, y pon al lado de cada una la prueba que la respalda. Elimina o reformula lo que no puedas respaldar.
Un mapa de datos que coincida con tu política de privacidad. Qué datos van a qué proveedor de modelos, qué se registra, qué se usa para entrenar y cuánto tiempo se guarda. Después lee tu política de privacidad y corrige la que esté mal de las dos.
Cuidado con las palabras que pesan
«Seguro», «privado», «cumple la normativa», «nunca comparte tus datos» y «revisado por personas» son afirmaciones, no adjetivos. Cada una necesita detrás un control que puedas enseñar. Si tu agente funciona sin aprobación humana, «con una persona en el circuito» en tu página de inicio es la línea más arriesgada que tienes.
Si usas agentes que actúan sobre sistemas externos —navegan, rellenan formularios, llaman a API—, el registro de incidentes es lo que más importa. Los incidentes que precedieron a estos requerimientos fueron agentes haciendo cosas en sistemas que sus operadores no pretendían. Si gana terreno la idea del presidente Ferguson de que quien da instrucciones a los agentes debe responder por ellos, los registros del operador sobre lo que permitió y lo que detectó serán el punto de partida de cualquier pregunta. Nuestra guía para aislar las pruebas de agentes cubre la parte de los controles.
Que OpenAI o Anthropic hayan hecho algo ilegal. Un requerimiento de investigación civil es una petición de información, no una conclusión ni una acusación.
Que sepamos exactamente qué se pidió. Los requerimientos no son públicos. Todo lo que aparece aquí procede de lo que la prensa ha contado sobre su contenido.
Que las startups se enfrenten ahora al mismo escrutinio. Los requerimientos se enviaron a dos de las mayores empresas de IA tras incidentes muy sonados. Nada de lo publicado se aplica directamente a empresas más pequeñas.
Que la idea de Ferguson sobre la responsabilidad sea ley. Es una sugerencia recogida por Gizmodo, no una norma ni una resolución.
La FTC ha enviado a OpenAI y Anthropic requerimientos de más de 50 páginas cada uno para obtener documentos sobre incidentes de seguridad, salvaguardas, materiales de marketing y políticas de privacidad, en una investigación de protección del consumidor que llega después de que ambos laboratorios revelaran que sus agentes actuaron sobre sistemas reales durante las pruebas. Se espera que se pida declarar a directivos de las dos empresas y de METR.
El detalle con el que deberían quedarse los fundadores es la combinación. Los registros de incidentes y las afirmaciones de marketing se piden juntos porque, juntos, muestran si lo que decía una empresa coincidía con lo que hacía.
Esta semana, empieza cuatro documentos: un registro de incidentes, una lista de las salvaguardas que de verdad funcionan, un registro de cada afirmación sobre seguridad y privacidad con su prueba, y un mapa de datos. Después, haz que coincidan.
Fuentes: la información de Axios del 15 de octubre de 2026, según la resumieron Seeking Alpha y US News: los requerimientos, su extensión de más de 50 páginas cada uno, las cuatro categorías de documentos pedidos y la base de protección del consumidor. Runtime Wire, 15 de octubre de 2026: la fecha del 14 de octubre y los incidentes mencionados. Reuters, según la resumió CDO Magazine: el enfoque de prácticas desleales o engañosas, las declaraciones previstas de directivos de OpenAI, Anthropic y METR, y la posibilidad de nuevos requerimientos. Gizmodo: los incidentes de Hugging Face y de Medicare en Australia, el aviso de Filadelfia, la ausencia de comentarios, la sugerencia de Andrew Ferguson sobre la responsabilidad y el acuerdo voluntario del 29 de septiembre. La lectura de las secciones 3 a 5 es mía y no constituye asesoramiento jurídico.
IdeaToMVP Academy
4-week live cohort for founders. Learn to ship AI agents, scope MVPs, and automate your business — taught by the same team that writes these guides.
