El AI Act ya está en fase de aplicación efectiva: las empresas se enfrentan a multas de hasta 15 millones de euros o el 3% de su facturación

El 2 de agosto de 2026 marca un antes y un después para la inteligencia artificial empresarial en Europa. Una parte especialmente relevante del AI Act de la Unión Europea ha dejado de ser una regulación que las compañías podían contemplar como una obligación futura: las reglas de transparencia establecidas en su artículo 50 ya son aplicables. Desde esa fecha, proveedores y empresas que despliegan determinados sistemas de inteligencia artificial deben cumplir obligaciones concretas relacionadas con chatbots, agentes de IA, avatares, reconocimiento de emociones, categorización biométrica, deepfakes y contenidos generados o manipulados mediante inteligencia artificial. El incumplimiento de las obligaciones del artículo 50 puede quedar sujeto al régimen sancionador de hasta 15 millones de euros o, para las empresas, hasta el 3 % de su volumen de negocio mundial total del ejercicio financiero anterior, con reglas específicas de proporcionalidad para pymes.

El cambio tiene especial importancia porque afecta a situaciones empresariales absolutamente cotidianas. Una compañía puede entrar en el ámbito del artículo 50 cuando incorpora un chatbot de atención al cliente, utiliza un agente que interactúa directamente con consumidores, publica determinados contenidos generados mediante IA, produce vídeos sintéticos, emplea avatares digitales o utiliza sistemas de reconocimiento de emociones o categorización biométrica. El AI Act distingue además entre proveedores, que desarrollan sistemas o los comercializan bajo su nombre o marca, y deployers o responsables del despliegue, es decir, organizaciones que utilizan esos sistemas bajo su autoridad. Utilizar tecnología desarrollada por OpenAI, Google, Anthropic, Microsoft u otro proveedor no elimina automáticamente las responsabilidades de la empresa que la incorpora a sus operaciones.

Un chatbot empresarial ya puede generar obligaciones de transparencia

Una de las obligaciones más fáciles de comprender afecta precisamente a los sistemas que interactúan directamente con personas. Cuando una compañía utiliza un chatbot, agente o avatar de IA, el sistema debe estar diseñado para que la persona sea informada de que está interactuando con una inteligencia artificial, salvo cuando esto resulte evidente desde el punto de vista de una persona razonablemente informada, observadora y prudente teniendo en cuenta las circunstancias y el contexto de utilización. La Comisión ha publicado directrices específicas para ayudar a interpretar estas obligaciones y conseguir una aplicación uniforme en toda la Unión Europea.

Esto afecta potencialmente a miles de organizaciones que están incorporando IA en atención al cliente, comercio electrónico, servicios financieros, turismo, seguros, educación, recursos humanos y servicios profesionales. El problema ya no consiste únicamente en instalar una herramienta y comprobar que funciona. La empresa debe revisar cómo se presenta ante el usuario, qué información recibe y si la experiencia puede llevar razonablemente a pensar que está comunicándose con una persona.

También conviene diferenciar esta obligación de otras relacionadas con agentes que funcionan únicamente en segundo plano. No todos los sistemas empresariales de IA están sujetos a exactamente las mismas obligaciones. Precisamente por eso las organizaciones necesitan inventariar sus herramientas y determinar qué función realiza cada una, quién interactúa con ella y qué tipo de información genera.

El watermarking y el marcado de contenidos dejan de ser una cuestión secundaria

Uno de los cambios con mayor impacto tecnológico se encuentra en el artículo 50.2. Los proveedores de sistemas capaces de generar audio, imágenes, vídeo o texto sintético deben garantizar que los resultados estén marcados en un formato legible por máquina y sean detectables como generados o manipulados artificialmente. La normativa exige que estas soluciones sean efectivas, interoperables, robustas y fiables en la medida técnicamente posible, teniendo en consideración las características específicas del contenido, los costes de implantación y el estado de la técnica.

Esto es mucho más amplio que colocar visualmente la frase “creado con IA” debajo de una fotografía. El marcado exigido al proveedor pretende permitir que sistemas tecnológicos puedan detectar que un contenido ha sido generado o modificado artificialmente. Dependiendo de la tecnología utilizada, pueden intervenir mecanismos como watermarking, metadatos, credenciales de contenido u otras técnicas de procedencia y detección.

Existe, sin embargo, una fecha que las empresas deben conocer. Para los sistemas de IA generativa que ya habían sido introducidos en el mercado antes del 2 de agosto de 2026, se ha establecido un periodo transitorio limitado exclusivamente para las obligaciones técnicas de marcado y detección del artículo 50.2. Sus proveedores disponen hasta el 2 de diciembre de 2026 para adaptarse. Esto no supone una moratoria general del artículo 50: el resto de las obligaciones correspondientes son aplicables desde agosto.

Además, los contenidos generados antes del 2 de agosto de 2026 no tienen que etiquetarse retroactivamente de manera obligatoria, aunque la Comisión recomienda hacerlo cuando resulte posible.

Los deepfakes deben identificarse

Las empresas que utilicen inteligencia artificial para generar o manipular imágenes, audio o vídeo que puedan parecer auténticos deben prestar especial atención a los deepfakes. El AI Act contempla obligaciones específicas para los responsables del despliegue que generen o manipulen este tipo de contenidos.

Aquí aparece una diferencia importante entre el marcado técnico y la información dirigida a las personas. No basta necesariamente con que el proveedor haya incorporado una marca técnica invisible. Cuando corresponda, el responsable del despliegue debe revelar que el contenido ha sido generado o manipulado artificialmente de forma clara y distinguible.

Esto tiene consecuencias directas para publicidad, marketing, comunicación corporativa, medios de comunicación, redes sociales, formación y creación audiovisual. Las empresas que utilicen IA para producir personas virtuales, modificar declaraciones, generar vídeos hiperrealistas o alterar sustancialmente imágenes deberán incorporar el cumplimiento normativo dentro del propio flujo de producción del contenido, no después de publicarlo.

El AI Act contempla tratamientos específicos para obras evidentemente artísticas, creativas, satíricas o ficticias, donde la transparencia puede realizarse de una forma que no perjudique innecesariamente la experiencia de la obra.

Atención especial a los textos generados por IA sobre asuntos de interés público

Existe otra obligación especialmente relevante para medios digitales, departamentos de comunicación, asociaciones, consultoras y organizaciones que publican información económica o institucional. Cuando se utiliza IA para generar o manipular texto publicado con el propósito de informar al público sobre asuntos de interés público, el contenido debe identificarse como generado o manipulado artificialmente en los supuestos previstos por el Reglamento.

Existe, sin embargo, una excepción fundamental: esta obligación no se aplica cuando el contenido generado mediante IA ha pasado por un proceso de revisión humana o control editorial y una persona física o jurídica mantiene la responsabilidad editorial sobre la publicación.

Para los medios digitales y departamentos de comunicación, esta diferencia es fundamental. Utilizar inteligencia artificial para preparar un borrador no implica automáticamente que el artículo tenga que etiquetarse como generado mediante IA si después existe un auténtico proceso editorial humano y alguien asume efectivamente la responsabilidad sobre lo publicado.

Esto convierte el control editorial humano documentado en una pieza cada vez más importante dentro de las políticas corporativas de utilización de IA.

Reconocimiento de emociones y categorización biométrica

El artículo 50 incorpora además obligaciones específicas para quienes utilicen determinados sistemas de reconocimiento de emociones o categorización biométrica. Las personas expuestas a estos sistemas deben ser informadas de su funcionamiento en los términos previstos por el Reglamento.

La cuestión puede afectar a determinados sistemas utilizados en retail, investigación de mercados, seguridad o análisis de usuarios. Pero existe una advertencia importante: informar de la utilización de una tecnología no significa que esa tecnología esté automáticamente permitida. Algunos usos pueden estar prohibidos o sometidos a requisitos adicionales por otras disposiciones del AI Act y por la normativa de protección de datos.

Por ello, una empresa debería realizar primero una evaluación sobre si el sistema puede utilizarse legalmente y, posteriormente, determinar las obligaciones de información y transparencia aplicables.

El Código de buenas prácticas es voluntario; el cumplimiento del AI Act no

La Comisión Europea ha desarrollado también un Código de buenas prácticas sobre transparencia de los contenidos generados por IA, destinado a facilitar el cumplimiento de las obligaciones relacionadas con marcado y etiquetado.

La diferencia es fundamental: adherirse al Código es voluntario; cumplir el artículo 50 no lo es.

Las organizaciones que utilicen el Código pueden disponer de una vía reconocida para estructurar y demostrar determinadas medidas de cumplimiento. Aquellas que decidan no utilizarlo deberán demostrar por otros medios que satisfacen las obligaciones correspondientes.

Aquí aparece uno de los conceptos que probablemente definirá la siguiente etapa regulatoria: no bastará con cumplir; será necesario poder demostrar cómo se cumple. Políticas internas, documentación, responsables, procedimientos de etiquetado, controles y evidencias adquirirán una importancia creciente.

Hasta 15 millones de euros o el 3 % de la facturación mundial

El elemento que transforma definitivamente estas obligaciones en una cuestión de alta dirección es el régimen sancionador. El incumplimiento de las obligaciones de transparencia del artículo 50 se encuentra entre las infracciones que pueden dar lugar a multas administrativas de hasta 15 millones de euros o, si el infractor es una empresa, hasta el 3 % de su volumen de negocio mundial total anual del ejercicio financiero anterior, el importe que resulte superior. Para las pymes, incluidas las startups, el Reglamento establece que los límites correspondientes se aplican con la regla más favorable prevista específicamente para ellas.

La diferencia es importante porque estamos hablando de facturación mundial, no únicamente de los ingresos generados en la Unión Europea. Una multinacional que facture 10.000 millones de euros anuales tendría un 3 % equivalente a 300 millones de euros. Para una compañía con 50.000 millones de facturación, el 3 % serían 1.500 millones. Esto no significa que una infracción genere automáticamente una sanción de esa cantidad. El Reglamento establece criterios para determinar cada multa atendiendo, entre otras cuestiones, a las circunstancias concretas, responsabilidad, medidas adoptadas, cooperación, intencionalidad o negligencia. Pero permite comprender la dimensión potencial del riesgo.

La aplicación corresponderá principalmente a las autoridades nacionales competentes de vigilancia del mercado. La Oficina Europea de IA tendrá competencias específicas en determinados supuestos y el Supervisor Europeo de Protección de Datos actuará respecto de los sistemas utilizados por instituciones, órganos y organismos de la Unión.

El error sería pensar que el AI Act se ha aplazado

Durante los últimos meses se ha hablado mucho de cambios de calendario, periodos transitorios y del denominado AI Omnibus. Esto puede generar una peligrosa sensación de que Europa ha retrasado globalmente la aplicación del AI Act.

No es así.

Determinadas obligaciones relacionadas con otros ámbitos del Reglamento han experimentado modificaciones o periodos transitorios específicos, pero las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026. Existe únicamente el periodo de adaptación mencionado hasta el 2 de diciembre de 2026 para determinados sistemas generativos anteriores a agosto y respecto a la obligación concreta de marcado y detección del artículo 50.2.

Para una empresa, esto significa que el momento de actuar es ahora.

La primera pregunta debería ser: ¿qué sistemas de inteligencia artificial utilizamos realmente? No solamente las herramientas contratadas oficialmente por Tecnología. También generadores de imágenes, plataformas de vídeo, chatbots, asistentes incorporados a aplicaciones empresariales, agentes, herramientas de marketing y soluciones utilizadas directamente por los empleados.

Después habrá que determinar qué papel tiene la organización en cada caso, qué sistemas interactúan directamente con personas, cuáles generan contenido sintético, dónde existen deepfakes, qué contenidos pueden afectar a asuntos de interés público y qué procesos de revisión humana están implantados.

Finalmente, todo ello debe poder acreditarse.

El AI Act entra definitivamente en el despacho del CEO

La principal consecuencia empresarial del 2 de agosto es que el cumplimiento de la inteligencia artificial deja de ser exclusivamente un proyecto del departamento jurídico o tecnológico. Marketing puede generar contenidos afectados por las obligaciones de transparencia. Atención al cliente puede desplegar agentes. Comunicación puede publicar textos creados con ayuda de IA. Tecnología deberá seleccionar herramientas capaces de cumplir los requisitos técnicos correspondientes. Legal tendrá que interpretar las obligaciones. Compliance deberá establecer procedimientos y conservar evidencias. Recursos Humanos necesitará conocer qué herramientas pueden utilizarse. Y la dirección tendrá que garantizar que existe una política coherente para toda la organización.

Las compañías que hayan construido una verdadera gobernanza de IA estarán en una posición mucho mejor. Las organizaciones donde cada departamento utiliza herramientas generativas sin inventario, políticas, responsables ni criterios comunes afrontan ahora un riesgo regulatorio considerablemente mayor.

El AI Act no está esperando a 2027. Para las obligaciones de transparencia del artículo 50, la nueva etapa regulatoria europea comenzó el 2 de agosto de 2026.

El conocimiento del AI Act ya forma parte de la responsabilidad directiva

Comprender inteligencia artificial ya no significa únicamente conocer ChatGPT, Claude, Gemini o los nuevos agentes. Los directivos necesitan saber qué obligaciones aparecen cuando incorporan estos sistemas, qué responsabilidades mantiene la empresa y cómo construir mecanismos de gobierno capaces de demostrar cumplimiento.

El Curso Superior en Inteligencia Artificial para Directivos (CSIAD) de THE INTELLIGENCE Institute incorpora esta dimensión estratégica y regulatoria para preparar a presidentes, CEOs, directores generales y altos ejecutivos ante una etapa en la que inteligencia artificial, negocio y cumplimiento ya no pueden gestionarse por separado.

Descubre el CSIAD – Curso Superior en Inteligencia Artificial para Directivos