Quince fiscales generales de Estados Unidos enviaron una carta formal al CEO de OpenAI, Sam Altman, exigiendo que la compañía preserve toda la documentación relacionada con el reciente incidente en Hugging Face, en el que modelos de OpenAI habrían tenido participación directa. Los funcionarios advierten que la empresa podría haber violado leyes estatales y federales, y el movimiento marca un punto de inflexión en la presión regulatoria sobre los grandes laboratorios de inteligencia artificial.
La carta, enviada el lunes según se informó, lleva las firmas de 15 fiscales generales de orientación republicana y está dirigida al máximo ejecutivo de la compañía creadora de ChatGPT. El texto advierte que OpenAI podría haber incurrido en conductas que vulneran normativas vigentes a nivel estatal y federal en los Estados Unidos. El pedido de preservación de registros —conocido en la práctica legal como litigation hold— suele preceder a investigaciones formales o demandas judiciales y obliga a las organizaciones a no destruir ni alterar documentación potencialmente relevante.
Qué se sabe del incidente en Hugging Face
Hugging Face, la plataforma de referencia para compartir modelos de inteligencia artificial de código abierto, fue escenario de una brecha en la que habrían estado involucrados modelos atribuidos a OpenAI. Aunque los detalles técnicos del incidente no han sido divulgados en su totalidad, según se informó el alcance habría sido suficientemente significativo como para motivar la acción coordinada de más de una docena de fiscales. La naturaleza exacta de los datos comprometidos y el vector de ataque permanecen bajo investigación al cierre de esta nota.
Lo que distingue a este caso de otros incidentes en el ecosistema de IA no es solo la escala potencial, sino el hecho de que una empresa de IA de primer nivel aparezca como actor —directo o indirecto— en la brecha de otra organización del sector. Ese ángulo cambia radicalmente el análisis de responsabilidad: ya no se trata de un proveedor víctima, sino de una entidad cuya tecnología podría haber operado como vector de compromiso.
Presión legal coordinada y señal regulatoria
La acción coordinada de 15 fiscales generales no es un gesto simbólico. En el sistema legal estadounidense, estos funcionarios tienen potestad para iniciar investigaciones independientes, imponer medidas cautelares y, eventualmente, presentar demandas civiles o derivar casos a instancias federales. El solo hecho de que se emita una carta de preservación de registros indica que al menos algunos de estos despachos están evaluando activamente el inicio de procedimientos formales.
“OpenAI podría haber violado leyes estatales o federales en el incidente”
— Extracto de la carta de los 15 fiscales generales dirigida a Sam Altman, según se informó
El movimiento se enmarca en una tendencia más amplia: los estados de EE.UU. están llenando el vacío regulatorio que el Congreso federal no ha logrado cubrir en materia de inteligencia artificial. A falta de una ley federal de IA o de privacidad integral, los fiscales generales se convierten en los principales garantes del cumplimiento normativo frente a los gigantes tecnológicos.
Implicancias para el ecosistema de IA y los proveedores
Para los equipos legales y de cumplimiento de empresas que utilizan modelos de OpenAI —incluidas las integradas vía API en productos de terceros—, este caso plantea preguntas urgentes sobre la cadena de responsabilidad. Si un modelo puede ser considerado vector de una brecha en una plataforma externa, los contratos de servicio, los acuerdos de procesamiento de datos y las cláusulas de indemnización cobran una relevancia que muchas organizaciones aún no han dimensionado.
El incidente también reencuadra el debate sobre los modelos de código abierto y las plataformas de distribución como Hugging Face. La capacidad de alojar, modificar y redistribuir modelos a escala genera superficies de ataque nuevas que los marcos legales tradicionales —pensados para software empresarial empaquetado— no contemplan con precisión. Desde la perspectiva del AI Act europeo, que clasifica sistemas por nivel de riesgo, un incidente de esta naturaleza podría incidir en cómo se evalúa la categorización de modelos de propósito general.
El ángulo latinoamericano: responsabilidad del proveedor de IA
En América Latina, la discusión sobre responsabilidad de proveedores de IA en incidentes de datos avanza a distinta velocidad según el país. Brasil, con la Lei Geral de Proteção de Dados (LGPD) y la Autoridade Nacional de Proteção de Dados (ANPD) ya operativa, cuenta con un marco que obliga a los operadores a notificar brechas en plazos definidos y que alcanza a empresas que traten datos de titulares brasileños, independientemente de dónde estén constituidas. Argentina, bajo la Ley 25.326 y en proceso de modernización legislativa, también proyecta responsabilidad extraterritorial. México, con la LFPDPPP para el sector privado y las directrices del INAI, enfrenta el desafío de aplicar normas diseñadas antes del auge de los modelos generativos a incidentes que involucran cadenas complejas de proveedores de IA.
Lo que el caso OpenAI-Hugging Face ilustra para la región es que las organizaciones que integran modelos de terceros en sus productos o servicios no pueden delegar completamente la responsabilidad en el proveedor. Los DPOs y equipos legales de empresas latinoamericanas que usan estas tecnologías deberían revisar con urgencia si sus contratos con proveedores de IA contemplan escenarios de responsabilidad compartida ante brechas que involucren a subprocesadores o plataformas de distribución de modelos.
Lo que viene: investigación y precedente
La respuesta de OpenAI a la carta de los fiscales marcará el tono de los próximos meses. Si la empresa adopta una postura cooperativa y divulga los registros solicitados voluntariamente, podría reducir la exposición legal inmediata. Si opta por una estrategia defensiva, es probable que al menos parte de los 15 despachos avancen hacia acciones formales. En cualquier escenario, el caso sentará precedente sobre el grado de accountability exigible a los laboratorios de IA cuando su tecnología protagoniza —o facilita— un incidente de seguridad en un actor externo.
En un sector acostumbrado a moverse más rápido que los reguladores, el tiempo en que los laboratorios de IA podían declarar incidentes como “ajenos” a su responsabilidad parece estar llegando a su fin.
