Qué significa que OpenAI despida a tres investigadores de seguridad acusados de compartir información confidencial — 2 de octubre de 2026
· CompaniesAutomation
Edición flash del Radar: OpenAI despide a tres investigadores de seguridad acusados de pasar información a una organización externa. Qué revisar en el canal interno de tu empresa.
Edición flash. OpenAI ha despedido a tres personas de su equipo de seguridad acusadas de pasar información confidencial a una organización externa de seguridad de IA. Llegó después de cerrar el Radar de esta mañana.
Qué ha pasado
Lo adelantó The Wall Street Journal el jueves 1 de octubre: tres investigadores de seguridad de OpenAI han salido de la empresa, supuestamente por compartir información confidencial con una organización externa (Fuente). OpenAI lo confirma con una frase: «Nuestra investigación confirmó que estas personas manejaron información sensible fuera de los procedimientos establecidos, incumpliendo nuestras políticas y rompiendo la confianza esencial para nuestro trabajo» (Fuente).
La empresa no ha dicho qué información era ni quién la recibió, y los tres no han hablado en público (Fuente). Llega en mal momento: días antes, The New York Times publicó que la dirección había desoído avisos internos sobre seguridad, y no es la primera vez: en 2024 OpenAI ya despidió a dos investigadores de seguridad por una supuesta filtración (Fuente). Y la FTC prepara órdenes para hacer declarar a OpenAI, como contamos ayer.
Por qué importa
La línea entre «evaluación externa» y «filtración» no la marca la intención, la marca el procedimiento: qué se puede enseñar, a quién y por qué vía. OpenAI dice que sus empleados se la saltaron. Y el patrón es conocido: cuando quien ve un problema cree que su aviso no llega a nadie dentro, el problema sale fuera y acaba en despido, no en arreglo. Es el segundo golpe a un equipo de seguridad de un laboratorio en un mes, tras la dimisión de Jacob Coxon en Anthropic.
Para tu empresa
El riesgo empieza cuando alguien de tu equipo ve que una automatización trata mal datos de clientes y no sabe a quién decírselo. En España, con 50 o más trabajadores, la Ley 2/2023 ya obliga a tener un sistema interno de información, prohíbe represalias contra quien lo usa y castiga no tenerlo como infracción muy grave: de 600.001 a 1.000.000 de euros. El artículo 87 del Reglamento europeo de IA remite a la directiva que esa ley traspone para denunciar sus infracciones. Tres revisiones:
- Que tu canal admita la IA. Comprueba que acepta avisos sobre automatizaciones y datos personales, no solo fraude o acoso.
- Qué ve tu evaluador. Si un consultor o auditor revisa tus sistemas, fija por contrato qué ve, dónde lo guarda y quién publica sus hallazgos.
- Quién responde y en cuánto tiempo. Cada aviso sobre la IA, con dueño y plazo por escrito.
Solo con ese canal y alguien que conteste puede un proceso pasar a DESATENDIDO en la escalera AI First.
Preguntas frecuentes
¿Los tres investigadores eran denunciantes?
No se sabe. OpenAI habla de incumplir sus políticas y no ha concretado más. Cítalo así, no como represalia ni como filtración probada.
¿Cambia algo para una empresa que usa ChatGPT?
No en el servicio de hoy. Sí suma tensión en el equipo que decide cuándo un modelo está listo; pide a tu proveedor aviso por escrito antes de cambiarte de modelo.
¿Y si nadie contesta en el canal interno?
La ley le permite acudir a la Autoridad Independiente de Protección del Informante. Mejor resolverlo dentro.