BRUSELAS Y EL CASO MYTHOS: HACIA UNA REGULACIÓN EUROPEA DEL RIESGO SISTÉMICO EN INTELIGENCIA ARTIFICIAL

La irrupción del modelo de inteligencia artificial Claude Mythos, desarrollado por la empresa estadounidense Anthropic, ha supuesto un auténtico punto de inflexión en la gobernanza jurídica de la inteligencia artificial en Europa. Lo que en un primer momento fue percibido como un avance técnico extraordinario en el ámbito de la ciberseguridad se ha convertido, en muy poco tiempo, en un catalizador de alarma institucional que ha llevado a Bruselas y a los Estados miembros a exigir un control mucho más intenso sobre los modelos avanzados de inteligencia artificial.

La relevancia del fenómeno no puede subestimarse. Mythos ha demostrado una capacidad inédita para detectar y explotar vulnerabilidades complejas en sistemas informáticos críticos, incluyendo infraestructuras bancarias, sistemas operativos y redes estratégicas. Esta capacidad lo sitúa dentro de la categoría de tecnologías de doble uso, en las que la misma herramienta puede servir tanto para reforzar la seguridad como para desencadenar ataques altamente sofisticados. De este modo, la inteligencia artificial deja de ser una herramienta neutral o meramente instrumental y pasa a convertirse en un factor de poder tecnológico con implicaciones estructurales.

En este contexto, el debate europeo ha experimentado una transformación cualitativa: ya no se trata únicamente de discutir los límites éticos del desarrollo de la inteligencia artificial, sino de afrontar un problema jurídico-regulatorio de carácter estructural que afecta directamente a la seguridad, la economía y la soberanía.

El caso Mythos ejemplifica con claridad este cambio de paradigma. No estamos ante un sistema conversacional convencional ni ante una evolución incremental de los modelos existentes, sino ante una inteligencia artificial especializada en tareas de ingeniería inversa, auditoría automatizada y explotación de fallos de software. Entre sus capacidades más preocupantes se encuentra la identificación masiva de vulnerabilidades críticas —incluso en sistemas auditados durante décadas—, el encadenamiento automatizado de fallos que permite ataques complejos sobre infraestructuras interconectadas, y la capacidad de ejecutar procesos autónomos de penetración en entornos simulados.

Este tipo de capacidades reduce de forma drástica las barreras técnicas que tradicionalmente limitaban este tipo de actividades, hasta el punto de que diversos analistas han advertido que modelos como Mythos pueden superar a los expertos humanos en la detección de vulnerabilidades. La consecuencia inmediata es una democratización potencial del riesgo: lo que antes requería conocimientos altamente especializados podría quedar al alcance de actores con menor capacitación técnica, amplificando la amenaza.

A esta capacidad disruptiva se añade un elemento geopolítico de primer orden: el acceso restringido al modelo. La decisión de limitar su disponibilidad a un reducido número de entidades, en su mayoría no europeas, ha generado una profunda inquietud institucional en la Unión Europea, al evidenciar una situación de dependencia tecnológica y de asimetría en el acceso a capacidades críticas.

Sobre esta base, las autoridades europeas —incluidas las instituciones financieras— han identificado un conjunto de riesgos jurídicos que presentan una dimensión claramente sistémica. En primer lugar, los riesgos para infraestructuras críticas, dado que la capacidad de detectar fallos en redes energéticas, sanitarias o de transporte puede traducirse en escenarios de disrupción a gran escala. En segundo lugar, las vulnerabilidades del sistema financiero, donde la posibilidad de identificar debilidades estructurales en los sistemas bancarios plantea desafíos directos a la estabilidad económica.

A ello se suma la dependencia tecnológica de proveedores externos, que limita la capacidad de Europa para controlar tecnologías estratégicas, así como el acceso desigual a modelos avanzados, que genera distorsiones competitivas y situaciones de vulnerabilidad operativa. Finalmente, subyace una cuestión de fondo: la soberanía digital y la seguridad nacional, entendidas como la capacidad efectiva de los Estados y de la Unión para gestionar sus propios sistemas sin injerencias externas.

Ante este escenario, el marco normativo europeo vigente —y en particular el AI Act— ha revelado sus límites. Diseñado fundamentalmente para regular usos de la inteligencia artificial, se muestra insuficiente para abordar la problemática de modelos no comercializados, de acceso restringido o con capacidad sistémica intrínseca. Surge así la necesidad de una nueva fase regulatoria que desplaza el foco desde el uso hacia el propio modelo.

Esta nueva lógica regulatoria se articula en torno a varias líneas de evolución. En primer lugar, la idea de someter a control directo los modelos fundacionales con potencial sistémico, con independencia de su estado de comercialización. En segundo lugar, la introducción de auditorías técnicas obligatorias e independientes, especialmente en materia de ciberseguridad. En tercer lugar, la reivindicación de acceso institucional a estos modelos para permitir su evaluación y reducir asimetrías informativas.

Igualmente relevante es el tránsito hacia una regulación preventiva del riesgo, en la que el criterio decisivo no es el uso concreto del sistema, sino su potencial de daño estructural. Finalmente, se observa una tendencia hacia la supervisión reforzada en sectores estratégicos, especialmente el financiero, donde las autoridades comienzan a actuar sobre modelos específicos, anticipando un cambio profundo en la técnica regulatoria.

Todo ello refleja una tensión estructural que atraviesa la política tecnológica europea: la necesidad de fomentar la innovación y, al mismo tiempo, la obligación de garantizar la seguridad colectiva. Este equilibrio resulta particularmente complejo en un contexto en el que Europa presenta un menor peso en el desarrollo tecnológico, pero aspira a liderar la regulación global.

Desde un punto de vista jurídico, nos encontramos ante un auténtico cambio de paradigma: el tránsito desde la regulación del uso de la inteligencia artificial hacia la regulación de su poder intrínseco. Es decir, no se trata únicamente de controlar lo que la IA hace, sino lo que puede llegar a hacer.

En definitiva, el caso Mythos marca un antes y un después en la construcción del Derecho de la inteligencia artificial en Europa. Ya no estamos ante riesgos individuales o sectoriales, sino ante la emergencia de riesgos sistémicos transversales capaces de afectar simultáneamente a la economía, la seguridad y la soberanía. La respuesta europea parece orientarse hacia una mayor intervención pública en modelos avanzados, el impulso de capacidades tecnológicas propias y la consolidación de una doctrina jurídica centrada en el control del riesgo sistémico.

Mythos no es solo una innovación tecnológica. Es, sobre todo, un desafío jurídico que obliga a repensar las bases del orden regulatorio europeo en la era de la inteligencia artificial.