Artículo 50 del AI Act: lo que debe preocupar desde ya a una empresa

El 2 de agosto de 2026 ha cambiado definitivamente la relación de las empresas europeas con la inteligencia artificial. Desde esa fecha son aplicables las obligaciones de transparencia establecidas en el artículo 50 del AI Act, y esto significa que determinados chatbots, agentes, contenidos sintéticos, deepfakes, sistemas de reconocimiento de emociones y herramientas de categorización biométrica ya no pueden utilizarse exactamente igual que antes. La cuestión afecta potencialmente a miles de organizaciones que utilizan inteligencia artificial sin desarrollar ningún modelo propio. Una empresa que incorpora un chatbot a su web, utiliza IA para generar fotografías publicitarias, crea vídeos sintéticos, publica determinados textos generados mediante IA o emplea herramientas capaces de analizar emociones puede encontrarse dentro de estas obligaciones. Además, el incumplimiento puede dar lugar a multas de hasta 15 millones de euros o, para las empresas, hasta el 3 % de su volumen de negocio mundial anual, con las reglas de proporcionalidad correspondientes. Por tanto, el artículo 50 ya no debería permanecer únicamente en el departamento jurídico: Marketing, Comunicación, Tecnología, Atención al Cliente, Compliance y Dirección necesitan conocerlo.

Si una persona habla con una IA, puede tener derecho a saberlo

La primera obligación afecta a los sistemas diseñados para interactuar directamente con personas. Los proveedores deben diseñarlos de manera que los usuarios sean informados de que están interactuando con una inteligencia artificial, salvo cuando resulte evidente teniendo en cuenta las circunstancias y el contexto. La Comisión Europea ha aclarado que la información debe proporcionarse desde el inicio de la primera interacción, de forma clara, distinguible y accesible. Esto puede afectar directamente a chatbots de atención al cliente, asistentes comerciales, determinados avatares digitales y otros sistemas conversacionales. No toda automatización entra en esta categoría: un sistema que funciona exclusivamente en segundo plano o mediante comunicaciones entre máquinas no queda sometido a esta obligación concreta simplemente por utilizar IA. La clave está en si existe una interacción directa y bidireccional entre el sistema y una persona física.

Para las empresas, la consecuencia práctica es sencilla: ya no basta con contratar un chatbot y colocarlo en la página web. Hay que revisar cómo se presenta, qué información recibe el usuario y si puede resultar razonablemente confundido sobre la naturaleza de su interlocutor. Además, con la llegada de los agentes esta cuestión adquiere una importancia todavía mayor. Un chatbot tradicional fundamentalmente responde; un agente puede consultar sistemas, iniciar procesos, modificar información o ejecutar determinadas acciones. La transparencia debería formar parte del diseño de esa experiencia desde el principio.

Los contenidos generados mediante IA entran en una nueva etapa de trazabilidad

El segundo gran bloque se encuentra en el artículo 50.2. Los proveedores de sistemas capaces de generar audio, imágenes, vídeo o texto sintético deben garantizar que los resultados estén marcados en un formato legible por máquina y puedan detectarse como generados o manipulados artificialmente. Las soluciones deben ser efectivas, interoperables, robustas y fiables en la medida técnicamente posible, teniendo en cuenta las características del contenido, los costes de implantación y el estado de la técnica. Aquí aparecen tecnologías como watermarking, metadatos, Content Credentials y otros mecanismos de procedencia digital.

Esta obligación no significa simplemente escribir “creado con IA” debajo de una fotografía. Estamos hablando de una capa técnica que permita a otros sistemas identificar el origen artificial del contenido. Precisamente por ello estamos empezando a ver cómo los grandes proveedores incorporan mecanismos de trazabilidad directamente dentro de sus modelos. Para las empresas, esto implica que la procedencia del contenido puede terminar formando parte del propio flujo documental: generar, revisar, conservar información de procedencia, aprobar y publicar.

Existe además una fecha especialmente importante. Los proveedores de sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026 disponen de un periodo transitorio limitado para esta obligación concreta de marcado y detección. Deberán adaptarse como máximo el 2 de diciembre de 2026. Esto no supone que todo el artículo 50 quede aplazado hasta diciembre. El periodo de gracia afecta únicamente a esa obligación concreta y a los sistemas preexistentes contemplados por la norma. Los contenidos generados antes del 2 de agosto tampoco necesitan etiquetarse retroactivamente de manera obligatoria, aunque Europa recomienda hacerlo cuando sea posible.

Deepfakes: Marketing y Comunicación deben revisar sus procedimientos

El tercer gran riesgo empresarial está en los deepfakes. Los responsables del despliegue que generen o manipulen determinados contenidos de imagen, audio o vídeo que puedan parecer auténticos tienen obligaciones específicas de transparencia. Y aquí aparece una diferencia fundamental respecto al marcado técnico del proveedor: no basta necesariamente con confiar en una marca invisible incorporada al archivo. La información destinada a la persona debe ser comprensible y perceptible sin que necesite herramientas técnicas especiales para descubrirla.

Esto afecta directamente a publicidad, comunicación corporativa, redes sociales, formación y producción audiovisual. Generar un ejecutivo mediante IA, clonar una voz, modificar sustancialmente un vídeo, recrear una situación que nunca ocurrió o producir una persona hiperrealista puede requerir medidas específicas de transparencia. La tecnología permite ya producir este contenido en minutos, pero la velocidad tecnológica no elimina la responsabilidad empresarial. La pregunta para Marketing deja de ser únicamente “¿podemos crear esto con IA?” y pasa a incluir “¿cómo debemos identificarlo antes de publicarlo?”

El Reglamento contempla tratamientos específicos para obras evidentemente artísticas, creativas, satíricas, ficticias o similares, de manera que la obligación pueda cumplirse sin perjudicar innecesariamente la experiencia de la obra. Esto demuestra que el objetivo europeo no consiste en llenar Internet de grandes advertencias, sino en evitar que una persona pueda interpretar como auténtico algo que ha sido artificialmente generado o manipulado cuando esa confusión resulte relevante.

Los textos generados por IA también pueden necesitar transparencia

Una de las obligaciones menos conocidas del artículo 50 afecta a determinados textos generados o manipulados mediante IA publicados para informar al público sobre asuntos de interés público. Esto puede afectar a medios digitales, departamentos de comunicación, asociaciones, consultoras, instituciones y empresas que publican información económica, política, sanitaria, científica, financiera o social destinada al público.

Sin embargo, existe una excepción especialmente importante: cuando el contenido ha pasado por un verdadero proceso de revisión humana o control editorial y una persona física o jurídica mantiene la responsabilidad editorial sobre su publicación, la obligación específica de etiquetarlo como generado o manipulado mediante IA no se aplica en esos términos. Esto permite utilizar legítimamente inteligencia artificial como herramienta editorial sin convertir cada artículo asistido por IA en contenido automáticamente etiquetado, siempre que exista una verdadera intervención humana y responsabilidad editorial.

Para un medio digital o un departamento de Comunicación, esto debería traducirse en un procedimiento muy claro. La IA puede investigar, estructurar, resumir o preparar un borrador, pero una persona competente debe comprobar los datos, revisar el razonamiento, modificar lo necesario y asumir la responsabilidad sobre lo que finalmente se publica. La revisión humana no puede convertirse en pulsar simplemente “aprobar”. Debe existir control editorial real.

Reconocimiento de emociones y categorización biométrica: informar no significa que todo esté permitido

El artículo 50 establece también obligaciones para los responsables del despliegue de determinados sistemas de reconocimiento de emociones y categorización biométrica. Las personas expuestas a estas tecnologías deben ser informadas en los supuestos correspondientes. Esto puede afectar a determinadas aplicaciones utilizadas en investigación de mercados, retail, seguridad o análisis de usuarios.

Pero existe un matiz fundamental: cumplir una obligación de transparencia no convierte automáticamente el uso en legal. Algunas aplicaciones biométricas o relacionadas con reconocimiento de emociones pueden estar prohibidas o sometidas a otras restricciones del AI Act y de la normativa de protección de datos. Una compañía debería analizar primero si puede utilizar legalmente el sistema y, solamente después, determinar qué obligaciones adicionales de transparencia corresponden.

El proveedor y la empresa no tienen las mismas responsabilidades

Éste es uno de los conceptos que más confusión genera. El AI Act diferencia entre proveedores y responsables del despliegue. Un proveedor desarrolla un sistema o lo hace desarrollar y lo introduce en el mercado o lo pone en servicio bajo su nombre o marca. El responsable del despliegue utiliza el sistema bajo su autoridad dentro de una actividad profesional.

Una empresa que utiliza una tecnología creada por OpenAI, Anthropic, Google, Microsoft o cualquier otro proveedor puede seguir teniendo obligaciones propias. El proveedor puede ser responsable del marcado técnico del contenido y la empresa usuaria tener simultáneamente que informar al público sobre un deepfake. Son responsabilidades diferentes dentro de la misma cadena.

Por eso la frase “nuestro proveedor cumple el AI Act” no debería considerarse una política de compliance suficiente. La empresa necesita analizar cómo utiliza realmente la tecnología. Un mismo modelo puede emplearse para resumir documentos internos, atender clientes, producir publicidad o generar contenido de interés público, y las implicaciones regulatorias pueden ser diferentes en cada escenario.

No firmar el Código de buenas prácticas no elimina ninguna obligación

Europa ha desarrollado también un Código de buenas prácticas sobre transparencia de contenidos generados mediante IA. Su finalidad es ayudar a proveedores y responsables del despliegue a cumplir las obligaciones relacionadas con marcado, detección y etiquetado. La adhesión al Código es voluntaria, pero las obligaciones legales del artículo 50 no lo son. Una empresa o proveedor puede decidir no seguirlo, pero entonces deberá demostrar por otros mecanismos equivalentes que cumple correctamente las obligaciones aplicables.

Esto introduce un concepto que será fundamental en la gobernanza empresarial de la inteligencia artificial: evidencia de cumplimiento. Ya no bastará con afirmar que existe una política. La organización deberá poder demostrar qué sistemas utiliza, qué procedimientos aplica, qué responsables existen, cómo identifica determinados contenidos, qué controles realiza y qué decisiones se tomaron.

Inventarios, registros, políticas internas, documentación de proveedores, procedimientos de publicación y evidencias de revisión humana pueden convertirse en elementos esenciales ante una auditoría o investigación.

El 3 % de la facturación mundial cambia completamente la dimensión del riesgo

El régimen sancionador convierte definitivamente el artículo 50 en una cuestión de alta dirección. Las infracciones pueden dar lugar a multas de hasta 15 millones de euros o hasta el 3 % del volumen de negocio mundial total anual del ejercicio anterior para las empresas, con criterios específicos de proporcionalidad para pymes y pequeñas empresas de mediana capitalización.

La referencia a la facturación mundial es especialmente importante. Una compañía internacional con 10.000 millones de euros de ingresos tendría un 3 % equivalente a 300 millones de euros; en una empresa con 50.000 millones, serían 1.500 millones. No significa que cualquier error vaya a producir automáticamente sanciones de esta dimensión. Son límites máximos y las autoridades deberán valorar las circunstancias concretas, gravedad, duración, responsabilidad, cooperación y otros factores correspondientes. Pero permite entender por qué la transparencia de IA ya no debería considerarse un pequeño asunto técnico.

La aplicación corresponderá fundamentalmente a las autoridades nacionales competentes de vigilancia del mercado. La Oficina Europea de IA tendrá competencias específicas sobre determinados sistemas y el Supervisor Europeo de Protección de Datos actuará respecto de las instituciones, órganos y organismos de la Unión.

Qué debería hacer una empresa desde hoy

La primera medida debería ser crear un inventario específico de los sistemas afectados potencialmente por el artículo 50. No hace falta comenzar por todas las aplicaciones de IA existentes en la organización. Puede priorizarse aquello que interactúa directamente con personas o genera contenido: chatbots, agentes conversacionales, generadores de imágenes, herramientas de vídeo, clonación de voz, avatares, sistemas biométricos y aplicaciones utilizadas para producir textos destinados al público.

Después debería identificarse quién actúa como proveedor y quién como responsable del despliegue, qué obligaciones corresponden en cada caso y qué controles proporciona el fabricante. La compañía debería establecer una política corporativa de contenidos generados mediante IA, definir cuándo existe revisión editorial humana, determinar cómo se gestionan deepfakes, establecer procedimientos de watermarking y procedencia cuando corresponda y conservar evidencias suficientes.

Marketing y Comunicación deberían recibir formación específica. Tecnología debería comprobar qué mecanismos técnicos ofrecen los proveedores. Legal y Compliance deberían establecer criterios claros. Compras debería incorporar requisitos de transparencia en la evaluación de herramientas. Y Dirección debería conocer qué riesgos permanecen abiertos.

No estamos hablando de construir un departamento gigantesco de burocracia. Estamos hablando de incorporar trazabilidad a una tecnología que puede producir millones de contenidos e interacciones prácticamente sin coste marginal.

El error más peligroso: pensar que el artículo 50 todavía no se aplica

Los cambios recientes en el calendario de determinados sistemas de alto riesgo han generado bastante confusión. Algunas empresas pueden haber interpretado que Europa ha retrasado el AI Act hasta 2027 o 2028.

No es así.

Las obligaciones del artículo 50 son aplicables desde el 2 de agosto de 2026. Existe el periodo transitorio mencionado hasta el 2 de diciembre de 2026 para la obligación técnica de marcado y detección del artículo 50.2 respecto de determinados sistemas generativos introducidos anteriormente en el mercado, pero no existe una moratoria general de transparencia.

Esto significa que una empresa puede tener obligaciones activas hoy sobre sus chatbots, contenidos, deepfakes o determinadas herramientas mientras dispone de más tiempo para preparar otros sistemas clasificados como de alto riesgo.

El AI Act debe entenderse como un calendario de obligaciones, no como una única fecha de entrada en vigor.

El artículo 50 entra definitivamente en el despacho del CEO

El cambio más importante no es jurídico, sino organizativo. La transparencia de inteligencia artificial afecta simultáneamente a Marketing, Comunicación, Tecnología, Legal, Compliance, Atención al Cliente y Dirección. Si cada departamento utiliza herramientas generativas de manera independiente, sin inventario ni criterios comunes, la empresa tendrá enormes dificultades para demostrar cumplimiento.

El consejo de administración debería poder obtener una respuesta clara a cinco preguntas: qué sistemas interactúan con personas, qué contenido sintético genera la compañía, dónde utiliza deepfakes o tecnologías equivalentes, qué publicaciones cuentan con revisión humana y qué evidencias conserva sobre todo ello.

Si hoy nadie puede responderlas, existe un problema de gobierno.

El artículo 50 representa precisamente el cambio que muchas organizaciones todavía no han interiorizado. La inteligencia artificial deja de ser una tecnología que simplemente utilizamos y pasa a ser una tecnología cuya intervención debe poder identificarse, gobernarse y demostrarse.

Desde el 2 de agosto de 2026, esa transformación ya no es una recomendación.

Es una obligación regulatoria.

El AI Act ya forma parte de la responsabilidad directiva

Los directivos necesitan comprender qué obligaciones corresponden a los proveedores, cuáles permanecen en la empresa y cómo integrar transparencia, watermarking, revisión humana y trazabilidad dentro de los procesos corporativos.

El Curso Superior en Inteligencia Artificial para Directivos (CSIAD) de THE INTELLIGENCE Institute prepara a presidentes, CEOs, directores generales y altos ejecutivos para comprender la dimensión estratégica, empresarial y regulatoria de la inteligencia artificial y liderar su implantación con criterios claros de gobierno y cumplimiento.

Descubre el CSIAD – Curso Superior en Inteligencia Artificial para Directivos