Ley de IA desde el 2 de agosto: transparencia frente a riesgos altos

El 2 de agosto de 2026 entrarán en vigor las obligaciones de transparencia según el artículo 50 del Reglamento de IA. La Comisión Europea comenzará, a través del AI Office, a coordinarse con las autoridades nacionales para hacer cumplir las obligaciones de transparencia y las relativas a la IA de uso general (GPAI). Para los CIO, CDO y responsables de transformación digital en grandes organizaciones de la región DACH, esto implica principalmente cumplir con las obligaciones como «deployers» en chatbots, agentes y contenidos de IA con impacto público.

RelacionadoReglamento de IA: hasta un 3 % del volumen de negocios del grupo  /  Model-Harness en lugar de matrimonio de modelos: ¿quién controla la cadena de IA?

La transparencia llega antes que la ola de alto riesgo

Según el comunicado de prensa IP/26/1714 de la Comisión Europea, el AI Office y las autoridades nacionales comenzarán a aplicar el Reglamento de IA el 2 de agosto de 2026. Ese mismo día entrarán en vigor las obligaciones de transparencia del artículo 50. Para los responsables de transformación digital, la presión operativa se adelanta: muchas organizaciones ya operan con chatbots de atención al cliente, agentes internos, sistemas de reconocimiento emocional o contenidos de IA con impacto público, y como «deployers» quedarán sujetos a las nuevas normas antes de que entre en vigor la normativa central sobre alto riesgo.

¿En qué consisten las obligaciones de transparencia según el artículo 50? El artículo 50 del Reglamento de IA exige que las personas puedan identificar cuándo interactúan con una IA o visualizan contenidos generados por esta. Esto incluye indicaciones en chatbots, etiquetado legible por máquinas de medios sintéticos y la divulgación de deepfakes. Estas obligaciones afectan tanto a proveedores como a operadores.

El AI Omnibus ha pospuesto la aplicación de las normas de alto riesgo -entre otras, las relativas al anexo III- al 2 de diciembre de 2027. Para la IA de alto riesgo en productos regulados, la fecha límite es el 2 de agosto de 2028. No obstante, las obligaciones de transparencia y la aplicación de la GPAI mantienen su calendario para agosto de 2026. Quienes interpreten este aplazamiento como un margen para todo su portfolio corren el riesgo de dejar cabos sueltos justo donde las autoridades supervisoras y el mercado centrarán su atención primero.

A partir del 2 de diciembre de 2026 también entrarán en vigor nuevas prohibiciones sobre sistemas de IA que generen contenidos sexualmente explícitos no consentidos o material de abuso. El calendario hasta 2028 está escalonado: primero transparencia y GPAI, luego otras prohibiciones y, más tarde, alto riesgo. En este contexto, la gestión del portfolio implica asignar las fechas clave a los casos de uso concretos en lugar de esperar a una única fecha de cumplimiento.

La figura del ‘deployer’ se relaciona directamente con el CIO y el CDO

Según las FAQ de la Comisión sobre el artículo 50 del Reglamento de IA, los ‘deployers’ son personas físicas o jurídicas, autoridades, agencias u otras entidades que utilizan un sistema de IA bajo su autoridad. Quedan excluidas las actividades privadas no profesionales. La persona jurídica mantiene la condición de ‘deployer’, incluso si freelancers o contratistas operan los sistemas. Para las grandes organizaciones de la región DACH, esto significa que externalizar a agencias, centros de servicios compartidos o proveedores de TI no exime de la responsabilidad como ‘deployer’, siempre que los sistemas operen bajo su propia autoridad.

La obligación de revelar la interacción con IA solo aplica si se cumplen cuatro criterios acumulativos: se trata de un sistema de IA, existe una interacción bidireccional real, la IA se comunica directamente y la contraparte son personas físicas. Los procesos en segundo plano o la comunicación exclusiva entre máquinas quedan fuera de esta obligación de revelación. La delimitación es clave para el inventario y la clarificación de roles, ya que determina qué chatbots, voicebots e interfaces de agentes quedan dentro del alcance del artículo 50, apartado 1.

Las funciones de proveedor y ‘deployer’ pueden coexistir en una cadena de suministro. Quien adquiere modelos, los integra en sus propios canales y opera bajo su propia marca suele ser ‘deployer’ y debe gestionar el etiquetado, los procesos editoriales y las evidencias, incluso si el proveedor del modelo cumple con sus propias obligaciones en materia de IA de propósito general. La clarificación de roles con los departamentos de compras, legal, marketing y canales de atención al cliente debe formar parte de la agenda de los responsables digitales antes de que surjan preguntas de supervisión.

El etiquetado exige más que un descargo de responsabilidad

Según la Comisión, los chatbots y otros sistemas de IA interactivos cubiertos por el artículo 50 deben indicar claramente a los usuarios que están interactuando con una IA. Los deepfakes deben etiquetarse; los contenidos generados o modificados por IA requieren marcas legibles por máquina. Los usuarios deben ser informados desde el primer momento de forma clara, distinguible y accesible. La excepción según la cual la naturaleza de la IA sea «evidente» debe interpretarse de manera estricta: la similitud visual con interfaces humanas no sustituye la obligación de revelación.

En el caso de los deepfakes, la obligación de revelación recae en el ‘deployer’ y debe cumplirse como muy tarde en el primer contacto. La información debe ser clara y reconocible sin necesidad de herramientas técnicas; una mera marca legible por máquina del proveedor no es suficiente. Además, según la Comisión, las obligaciones de etiquetado incluyen imágenes, audios y vídeos en deepfakes, reconocimiento de emociones y categorización biométrica, así como textos sobre temas de interés público sin responsabilidad editorial humana. Esto implica la creación de procesos editoriales y de aprobación continuos para los canales de comunicación, RRHH y atención al cliente.

Según el análisis de un bufete de abogados, el artículo 50 entrará en vigor el 2 de agosto de 2026 para todos los sistemas afectados, independientemente de su fecha de lanzamiento al mercado. Los materiales publicados antes de esa fecha no requieren un etiquetado retroactivo. Para la marcación y detección de sistemas ya en el mercado, el enfoque operativo debe centrarse en la salida en curso y en las interfaces que se utilicen a partir de la fecha límite. Por ello, los inventarios y los procesos de aprobación deben diferenciar entre sistemas en producción y archivos históricos.

Implementación de la IA general y Código de Conducta

La Oficina de IA podrá hacer cumplir las normas para los proveedores de modelos de IA de propósito general a partir de la fecha clave, incluyendo riesgos sistémicos como ofensivas cibernéticas, pérdida de control y manipulación. Todos los proveedores de GPAI deben documentar y proporcionar cierta información a las autoridades y a los proveedores aguas abajo, mantener una política de derechos de autor y publicar un resumen suficientemente detallado del contenido de entrenamiento. Para las empresas que integran modelos de GPAI en productos y procesos, la documentación de los proveedores se convierte en una herramienta de control: sin información fiable de los proveedores aguas arriba, los riesgos de despliegue en el propio portfolio aumentan.

La Comisión ha publicado una primera lista con más de 180 organizaciones que han firmado el Código de Conducta sobre transparencia del contenido generado por IA. Según las evaluaciones disponibles, los firmantes obtienen una presunción de conformidad y un enfoque de aplicación más favorable; los no firmantes están sujetos a un escrutinio más estricto. Para compras y gestión de proveedores, vale la pena verificar si los proveedores estratégicos respaldan el código, como señal de madurez y disposición a cooperar con la supervisión, pero no como sustituto de los propios controles de despliegue.

La aplicación de las normas de transparencia y las prácticas prohibidas se divide entre la Oficina de IA, las autoridades nacionales y el Supervisor Europeo de Protección de Datos (SEPD) para las instituciones de la UE. Por ello, las grandes organizaciones con canales paneuropeos y modelos operativos mixtos deben contar con interlocutores paralelos y formatos de justificación. Una documentación interna uniforme reduce la fricción cuando varias autoridades examinan el mismo hecho desde perspectivas distintas.

Sanciones y trazabilidad a nivel de consejo de administración

Según la Comisión, las infracciones de las obligaciones de transparencia pueden acarrear multas de hasta 15 millones de euros o el 3 % del volumen de negocios anual mundial, el que sea mayor. Para las instituciones de la UE, el marco es de hasta 750.000 euros; en el caso de pymes y pequeñas empresas cotizadas, se aplica proporcionalidad. No se han encontrado en las fuentes disponibles multas concretas ni inspecciones inmediatas tras el 2 de agosto de 2026. Sin embargo, el punto estratégico para el consejo de administración está claro: la transparencia está sujeta a sanciones y es exigible desde ahora, mientras que las obligaciones de alto riesgo se aplican de manera escalonada.

La trazabilidad implica sistemas inventariados, roles documentados (proveedor frente a despliegue, incluyendo prestadores de servicios), componentes de etiquetado autorizados y procesos editoriales verificables para deepfakes y textos públicos generados por IA. Quienes operen interfaces de cliente, herramientas de RRHH con componentes emocionales o sistemas generativos con alto volumen de contenido necesitan una clara asignación de responsabilidades entre los departamentos de Digital, Legal, Cumplimiento, Marketing y las áreas especializadas. La supervisión pregunta por la autoridad sobre el sistema, que recae en la organización que lo utiliza profesionalmente bajo su control.

Para los CIO y CDO en grandes organizaciones de la región DACH, la fecha límite de agosto de 2026 no es solo un tema legal. Exige transparencia en el portfolio, control de proveedores y disciplina comunicativa antes de que llegue la ola de alto riesgo en 2027 y 2028. Quienes cierren ahora el inventario, los roles y los procesos de etiquetado sentarán las bases sobre las que podrán construirse las futuras justificaciones de alto riesgo, con menos trabajo duplicado y menos conflictos entre la velocidad de los productos y la capacidad de supervisión.

Preguntas frecuentes

Más del grupo MBF Media

Fuente de la imagen: Generada por IA (agosto de 2026)