La Ley de IA ya obliga a identificar chatbots y deepfakes en Europa

Desde el 2 de agosto de 2026, la Unión Europea aplica las obligaciones de transparencia del artículo 50 de la Ley de IA. Proveedores y responsables del despliegue deben, según su función, advertir de ciertas interacciones con IA, incorporar marcas detectables por máquinas o revelar ante el público el carácter artificial de determinados contenidos.

Las reglas alcanzan a chatbots y otros sistemas interactivos, deepfakes, reconocimiento de emociones, categorización biométrica y ciertos textos sobre asuntos de interés público. Su entrada en aplicación no fue aplazada junto con los requisitos específicos para sistemas de alto riesgo, que ahora tienen fechas posteriores.

Qué debe identificarse desde el 2 de agosto

Las aclaraciones oficiales de la Comisión Europea distinguen obligaciones para proveedores y para quienes despliegan los sistemas. Los proveedores deben diseñar los sistemas que interactúan directamente con personas —como chatbots, agentes y avatares— para que estas sepan que hablan con una IA, salvo cuando resulte evidente por el contexto.

Los proveedores de sistemas generativos también deben hacer detectables sus salidas de texto, audio, imagen o vídeo mediante marcas eficaces, fiables, interoperables y legibles por máquinas. Es una capa técnica destinada a que otras herramientas reconozcan el origen artificial; no sustituye necesariamente al aviso visible o audible que recibe una persona.

Los responsables del despliegue tienen deberes distintos. Deben informar a quienes estén expuestos a sistemas de reconocimiento de emociones o categorización biométrica, y revelar los deepfakes ante el público. También deben identificar textos generados o manipulados con IA cuando se publiquen para informar sobre asuntos de interés público y no hayan pasado por una revisión humana o un control editorial suficientes.

La matriz de responsabilidades

La obligación concreta depende del papel desempeñado, no del tamaño de la organización. Una pequeña empresa que integra una herramienta externa suele ser responsable del despliegue, mientras que quien desarrolla y comercializa el sistema bajo su nombre ocupa la posición de proveedor. Una misma entidad puede asumir ambos papeles si ofrece el sistema y además utiliza sus resultados frente al público.

• Proveedor de un chatbot, agente o avatar: prepara el sistema para informar de la interacción directa con IA. El aviso corresponde al sistema y no puede quedar reducido a una explicación genérica desconectada de la conversación.
• Proveedor de un generador: incorpora a las salidas sintéticas la marca técnica que permite detectarlas automáticamente como generadas o manipuladas.
• Desplegador de reconocimiento emocional o categorización biométrica: informa a las personas expuestas al funcionamiento del sistema, tanto si el análisis ocurre en tiempo real como si se realiza después.
• Desplegador que muestra un deepfake: revela de manera clara y perceptible que el audio, la imagen o el vídeo fue generado o alterado artificialmente. No basta con confiar en metadatos que exijan una herramienta para ser leídos.
• Desplegador de un texto de interés público: lo identifica cuando fue generado o manipulado con IA y se publica sin revisión humana o control editorial que asuma responsabilidad sobre su contenido.

Esto separa dos capas que pueden coexistir en una misma publicación. Si una empresa difunde un vídeo sintético que podría parecer auténtico, el proveedor de la herramienta responde por la marca legible por máquinas y quien presenta el vídeo responde por la revelación comprensible para las personas. Integrar un producto de terceros no convierte automáticamente al cliente en autor de la tecnología, pero tampoco elimina sus deberes sobre el uso y la presentación del resultado.

Excepciones para edición, ficción y textos revisados

No toda corrección asistida por IA activa el marcado técnico. Quedan fuera las funciones de asistencia para una edición estándar cuando no alteran sustancialmente los datos de entrada ni su significado. Corregir una errata o realizar un ajuste técnico ordinario no equivale a fabricar una voz, un rostro o una escena que pueda confundirse con algo auténtico.

La definición de deepfake exige contenido de imagen, audio o vídeo que se parezca a personas, objetos, lugares, entidades o acontecimientos existentes o plausibles y que pueda aparentar autenticidad o veracidad. La evaluación considera el grado de semejanza, el mensaje, el contexto de difusión y las expectativas razonables de la audiencia.

En obras manifiestamente artísticas, creativas, satíricas, ficticias o análogas, la revelación puede adaptarse para no entorpecer su exhibición o disfrute. No desaparece por completo: la norma permite una forma apropiada de aviso en atención al contexto.

Para textos sobre asuntos de interés público, la excepción requiere una revisión humana sustantiva o un control editorial real, además de una persona física o jurídica que asuma la responsabilidad editorial. Una comprobación superficial, limitada a ortografía, gramática o trámites formales, no alcanza ese umbral.

El aplazamiento de alto riesgo no cubre el artículo 50

El nuevo calendario para los sistemas de alto riesgo es independiente. El análisis de TechRadar Pro confirma que el artículo 50 entró en aplicación el 2 de agosto pese a la ampliación de los plazos: las reglas para determinados sistemas autónomos de alto riesgo se aplicarán desde el 2 de diciembre de 2027 y las relativas a IA integrada en productos regulados, desde el 2 de agosto de 2028.

Existe una transición más limitada dentro de las propias normas de transparencia. Los sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026 disponen hasta el 2 de diciembre de 2026 para cumplir la obligación técnica de marcado y detección. La prórroga no se extiende a los demás avisos del artículo 50 ni exige etiquetar retroactivamente contenidos generados y publicados antes del 2 de agosto.

Supervisión, multas y alcance territorial

La vigilancia corresponde principalmente a las autoridades nacionales del mercado. La Oficina Europea de IA interviene en los sistemas bajo su competencia y el Supervisor Europeo de Protección de Datos actúa respecto de las instituciones, órganos y organismos de la UE.

El resumen de las nuevas reglas de ITPro sitúa las multas máximas por incumplimiento en 15 millones de euros o, para empresas, hasta el 3 % de su facturación mundial total del ejercicio anterior. La aplicación debe atender a la proporcionalidad, incluida la situación de pymes y empresas de pequeña capitalización media.

La ubicación fuera de la UE no excluye por sí sola a un proveedor: la Ley de IA también puede aplicarse cuando la salida de su sistema se utiliza dentro de la Unión. Para servicios accesibles desde países hispanohablantes, la cuestión territorial depende de su entrada en el mercado europeo o del uso de sus resultados en la UE, no solamente del domicilio del desarrollador.

El estado del calendario es, por tanto, preciso: las obligaciones de transparencia del artículo 50 ya se aplican, salvo la transición hasta diciembre reservada al marcado técnico de sistemas generativos anteriores. Los requisitos específicos de alto riesgo permanecen separados y llegarán en 2027 y 2028; entretanto, las autoridades nacionales deberán convertir las directrices europeas en criterios de supervisión efectivos.