Desde el 2 de agosto, cualquier chatbot que atienda a un usuario en la Unión Europea tiene que decirle que es una máquina, y cualquier deepfake tiene que ir etiquetado. La Oficina de IA de la Comisión Europea, junto a las autoridades nacionales, ha empezado a aplicar las obligaciones de transparencia del AI Act. Las multas llegan a 15 millones de euros o el 3% de la facturación mundial.
Puntos clave
- Fecha de aplicación: 2 de agosto de 2026, con la Oficina de IA y las autoridades nacionales ya con poderes de ejecución.
- Los chatbots y sistemas interactivos tienen que informar al usuario de que están hablando con IA.
- Los deepfakes de imagen, vídeo o audio tienen que ir etiquetados.
- El contenido generado o alterado con IA tiene que llevar marcas legibles por máquina.
- Sanciones de hasta 15 millones de euros o el 3% de la facturación mundial.
Qué obliga exactamente el artículo 50
Tres obligaciones distintas, y conviene separarlas porque se confunden.
La primera es la de interacción. Si tu web tiene un chat con IA atendiendo a clientes, el usuario tiene que saber que no hay una persona al otro lado. No hace falta un aviso legal de tres párrafos; hace falta que quede claro.
La segunda es la de deepfakes. Contenido de imagen, vídeo o audio que parece auténtico y no lo es tiene que ir etiquetado como generado o manipulado con IA.
La tercera es la más técnica y la que menos gente ha mirado: marcas legibles por máquina. El contenido generado con IA tiene que llevar señales incrustadas que permitan detectarlo automáticamente, no solo una etiqueta visible que se recorta al hacer captura.
Esa tercera obligación recae sobre todo en el proveedor del sistema generativo, no sobre ti si usas la herramienta. Pero conviene comprobar que tu proveedor la cumple, porque si no lo hace, el contenido que publiques no llevará esas marcas.
Cómo se marca un contenido para que lo lea una máquina
La norma dice qué hay que conseguir, no con qué tecnología. En la práctica el mercado ha convergido en dos vías que suelen ir juntas.
Una son las marcas de agua invisibles dentro del propio píxel o de la propia onda de sonido: alteraciones mínimas que no se ven ni se oyen y que un detector reconoce. Aguantan bastante bien un recorte o una recompresión, y se pierden si alguien reencodifica con saña.
La otra son los metadatos firmados criptográficamente que viajan con el fichero y registran con qué herramienta se generó y qué ediciones ha sufrido. Son fáciles de verificar y fáciles de borrar: basta con pasar la imagen por cualquier editor que limpie metadatos.
Ninguna de las dos es infalible por separado, y por eso los proveedores serios meten las dos. Lo que te interesa a ti como empresa es sencillo: pregunta a tu proveedor cuál de las dos aplica y si te lo puede poner por escrito.
Esto no ha salido de la nada
Conviene recordar el calendario, porque mucha gente cree que el AI Act acaba de empezar y lleva dos años en marcha.
El reglamento entró en vigor el 1 de agosto de 2024. Las prohibiciones (puntuación social, reconocimiento de emociones en el trabajo y en centros educativos, y algunas prácticas de identificación biométrica) llevan aplicándose desde febrero de 2025. Las obligaciones para los modelos de propósito general, los que están detrás de ChatGPT, Claude o Gemini, entraron en agosto de 2025.
Lo que ha ocurrido el 2 de agosto de 2026 es que la Comisión y las autoridades nacionales han ganado los poderes de ejecución, además de activarse las obligaciones de transparencia del artículo 50. Es decir, ahora hay quien mira y quien multa.
En España el organismo designado es la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña. Fue la primera autoridad de este tipo creada en la Unión Europea, dos años antes de que hiciera falta.
Lo que se ha retrasado
No todo el reglamento ha entrado. Los sistemas de alto riesgo integrados en productos regulados se han movido al 2 de agosto de 2028. Y los casos de uso de alto riesgo en áreas sensibles (selección de personal, scoring crediticio, aplicación de la ley) pasan al 2 de diciembre de 2027 en lugar de este año.
Ese retraso importa más de lo que parece. Justo hoy publicamos que el 59% de los mandos estadounidenses usa IA al decidir despidos y que el 58% no sabe si su empresa probó el sesgo del sistema. En Europa, ese uso concreto tendrá obligaciones formales dentro de año y medio.
Es tiempo para prepararse, y también tiempo de vacío. Quien monte hoy un sistema de cribado de currículums en España no tiene que documentarlo todavía. Cuando llegue diciembre de 2027, sí.
El contexto de estas semanas
El AI Act no llega solo. El 1 de agosto contamos que OpenAI firmó los dos códigos de prácticas de la UE justo antes de que empezara la vigilancia. Y el 31 de julio, que Bruselas metió a ChatGPT y Roblox en el régimen más duro del reglamento digital.
La dirección se ve clara: Europa no ha frenado el reglamento, lo ha escalonado.
Por qué importa
Si tienes un negocio en España, hay tres cosas que revisar esta semana y ninguna necesita un abogado para empezar.
Uno: ¿tu web tiene un chat con IA? Comprueba que dice que es IA en el primer mensaje. Muchos widgets salen configurados con un nombre de persona y foto, y eso es justo lo que la norma ataca.
Dos: ¿tu equipo de marketing usa imágenes o vídeos generados que parecen reales? Fotos de producto en escenarios inventados, personas que no existen en un anuncio, voces sintéticas en un vídeo. Eso entra en la obligación de etiquetado.
Tres: pregunta a tus proveedores de IA generativa si incrustan marcas legibles por máquina. Si la respuesta es que no lo saben, ya tienes una tarea.
El coste de cumplir esto es pequeño. El de no cumplirlo, con multas ligadas a facturación mundial, no lo es.
Relacionado
