Capgemini encabezará un consorcio encargado de reforzar la capacidad de la Comisión Europea para evaluar los riesgos de IA vinculados al uso de modelos avanzados en operaciones cibernéticas. El trabajo se desarrollará para la Oficina de IA de la Comisión y forma parte del despliegue técnico del Reglamento Europeo de Inteligencia Artificial, que atribuye al organismo competencias específicas sobre los modelos de propósito general.
El encargo, anunciado por Capgemini, se concentra en los riesgos de «ciberofensiva» asociados a modelos de IA de propósito general, o GPAI por sus siglas en inglés. La consultora trabajará junto a Wavestone y el Laboratoire National de Métrologie et d’Essais (LNE), una entidad pública francesa especializada, entre otros ámbitos, en evaluación y conformidad.
La iniciativa tiene una dimensión que va más allá del cumplimiento documental del AI Act. La Oficina de IA necesita desarrollar métodos que permitan determinar hasta qué punto los modelos más avanzados pueden facilitar actividades como la búsqueda automatizada de vulnerabilidades, la creación de exploits o la ejecución y escalado de ataques informáticos.
Capgemini participará en el modelado de esos riesgos, la creación de herramientas de evaluación, el diseño de metodologías técnicas y la realización de pruebas específicas solicitadas por la Comisión. El objetivo es proporcionar a la Oficina de IA instrumentos con los que medir capacidades y comprobar si las medidas adoptadas por los proveedores reducen suficientemente los riesgos detectados.
Del AI Act a las pruebas técnicas sobre modelos
El proyecto se encuadra en la licitación europea de asistencia técnica para la seguridad de la IA, lanzada por la Dirección General de Redes de Comunicación, Contenido y Tecnologías (DG CNECT). El procedimiento está dividido en seis lotes y tiene un valor estimado conjunto de 9,33 millones de euros. La documentación de la licitación detalla su estructura y objetivos
Cinco de esos lotes están dedicados a categorías concretas de riesgo sistémico: amenazas químicas, biológicas, radiológicas y nucleares; ciberofensiva; pérdida de control; manipulación perjudicial; y riesgos sociotécnicos. Un sexto bloque aborda herramientas e infraestructura para evaluar modelos capaces de actuar de manera agéntica.
El consorcio liderado por Capgemini ha sido seleccionado para el segundo lote, dedicado específicamente al riesgo cibernético. La propia documentación europea contempla escenarios en los que un modelo pueda reducir las barreras técnicas para realizar ataques, mejorar su eficacia o facilitar operaciones contra sistemas críticos. También incluye entre las capacidades objeto de análisis el descubrimiento automatizado de vulnerabilidades, la generación de exploits y el escalado de ataques.
El trabajo previsto combina talleres de modelado de riesgos, definición de escenarios y umbrales, desarrollo de herramientas privadas para la Comisión, incorporación de evaluaciones ya existentes y creación de procedimientos de referencia. También se contemplan pruebas bajo demanda, como ejercicios de red teaming, y un seguimiento periódico de nuevos modelos, técnicas de ataque, sistemas de mitigación e incidentes.
Este enfoque responde a una dificultad operativa del AI Act: convertir categorías jurídicas como «riesgo sistémico» en criterios técnicos que puedan medirse y compararse entre modelos.
Los modelos GPAI con riesgo sistémico afrontan más obligaciones
El Reglamento de IA establece un régimen específico para los proveedores de modelos de propósito general. Desde el 2 de agosto de 2025 se aplican obligaciones relacionadas, entre otros aspectos, con la documentación técnica, la información que debe facilitarse a proveedores que integran estos modelos en otros sistemas, el cumplimiento de la legislación europea sobre derechos de autor y la publicación de información sobre los contenidos empleados durante el entrenamiento.
La normativa eleva las exigencias cuando un modelo es considerado de riesgo sistémico. El artículo 55 obliga a sus proveedores a efectuar evaluaciones con protocolos y herramientas que reflejen el estado de la técnica, realizar y documentar pruebas adversariales, analizar y mitigar riesgos a escala de la Unión y comunicar incidentes graves. También exige un nivel adecuado de ciberseguridad tanto para el modelo como para su infraestructura física. El artículo 55 del AI Act recoge estas obligaciones adicionales
El Reglamento presume que existe riesgo sistémico cuando el entrenamiento de un modelo supera determinados niveles de capacidad computacional, actualmente fijados en 10^25 operaciones de coma flotante acumuladas, aunque la Comisión puede designar otros modelos cuando sus capacidades o impacto sean equivalentes a los de los sistemas más avanzados. Ese umbral puede revisarse conforme evolucione la tecnología.
Para los desarrolladores, esto introduce una capa de supervisión que requiere evidencias técnicas sobre el comportamiento de sus modelos. Las evaluaciones dejan de depender únicamente de métricas generales de rendimiento y deben incorporar escenarios en los que las capacidades del sistema puedan traducirse en daños a escala europea.
La Oficina de IA refuerza su capacidad de supervisión
La contratación de equipos externos especializados también refleja el papel que está adquiriendo la Oficina de IA como autoridad europea para los modelos de propósito general. El organismo dispone de competencias para supervisar su cumplimiento, solicitar información a los proveedores y realizar evaluaciones cuando necesita investigar posibles riesgos sistémicos.
La licitación establece precisamente apoyo técnico para esas funciones. La Comisión podrá utilizar las metodologías y herramientas desarrolladas para valorar capacidades de los modelos, contrastar las medidas de mitigación de sus proveedores y determinar si determinados niveles de riesgo resultan aceptables.
«Mientras Europa implementa el primer marco integral de seguridad de la IA del mundo, esta colaboración con la Comisión Europea refleja nuestro compromiso compartido de garantizar que las tecnologías de IA se desarrollen y desplieguen de manera responsable», afirmó Andrea Falleni, CEO de la región del Sur de Europa de Capgemini y miembro del Comité Ejecutivo del grupo.
La participación de Wavestone aporta capacidades relacionadas con la gestión de riesgos y la seguridad operativa, mientras que LNE incorpora experiencia en evaluación técnica y conformidad. La combinación resulta especialmente relevante en un área en la que la supervisión regulatoria tendrá que apoyarse cada vez más en pruebas reproducibles y métricas que puedan evolucionar al mismo ritmo que los modelos.
Para las empresas que desarrollan o utilizan IA de propósito general en Europa, este proceso anticipa una supervisión más técnica del cumplimiento del AI Act. Las obligaciones de seguridad de los modelos más avanzados tendrán que traducirse en pruebas, procedimientos y evidencias verificables, especialmente cuando sus capacidades puedan utilizarse para automatizar tareas relacionadas con vulnerabilidades, exploits o ataques informáticos.
La creación de estas metodologías también determinará cómo la Comisión compara riesgos entre modelos y qué evidencias puede exigir a sus proveedores. En la práctica, el desarrollo de una infraestructura europea de evaluación se está convirtiendo en una pieza necesaria para que las obligaciones sobre IA de propósito general puedan pasar del marco regulatorio a una supervisión efectiva.
Sigue el análisis de tecnología empresarial en Google
Añade La Ecuación Digital como fuente preferida y verás más análisis sobre inteligencia artificial, cloud, ciberseguridad, infraestructura de datos y transformación digital en tus resultados de Google.
Seguir La Ecuación Digital en GoogleAl hacer clic podrás seleccionar La Ecuación Digital como fuente preferida en Google.
