El Code of Practice del AI Act empieza a convertirse en una referencia práctica para demostrar que una empresa cumple con las obligaciones de transparencia de la IA

El AI Act europeo está entrando en una fase en la que ya no basta con afirmar que una organización utiliza inteligencia artificial de manera responsable: empieza a ser necesario demostrarlo. Esta diferencia es fundamental para empresas, proveedores tecnológicos y directivos porque transforma el cumplimiento desde una declaración de intenciones hacia un sistema basado en evidencias, procedimientos y controles técnicos. Una de las herramientas que empieza a adquirir especial relevancia dentro de esta nueva etapa es el Code of Practice on Transparency of AI-generated Content, desarrollado para facilitar el cumplimiento de determinadas obligaciones de transparencia previstas en el artículo 50 del AI Act. Su adhesión es voluntaria, pero las obligaciones legales a las que ayuda a responder no lo son. Esto crea una decisión empresarial importante: una organización puede seguir las medidas y procedimientos establecidos por el Código para facilitar la demostración de cumplimiento o puede utilizar soluciones alternativas, pero en este segundo caso tendrá que estar preparada para justificar ante una autoridad que sus propios mecanismos proporcionan un nivel adecuado de cumplimiento. En términos empresariales, el Código empieza a funcionar como algo parecido a un lenguaje común entre proveedores de IA, empresas y reguladores sobre cómo demostrar que determinados contenidos generados mediante inteligencia artificial pueden ser identificados correctamente.

El gran cambio del AI Act es pasar de cumplir a poder demostrar que se cumple

Durante años muchas organizaciones han desarrollado principios internos de inteligencia artificial responsable. Han publicado códigos éticos, creado comités, elaborado políticas de uso y establecido recomendaciones para empleados. Todo esto puede continuar siendo útil, pero el nuevo escenario regulatorio europeo exige algo diferente. Cuando una obligación del AI Act resulte aplicable, una autoridad puede necesitar comprobar cómo se está cumpliendo. En ese momento, una política corporativa genérica resulta insuficiente. La organización deberá poder explicar qué sistemas utiliza, quién los proporciona, qué contenidos generan, qué mecanismos técnicos incorporan, quién es responsable de supervisarlos y qué procedimientos existen para detectar incumplimientos. La diferencia entre “hacemos esto” y “podemos demostrar que hacemos esto” será una de las claves del AI Governance durante los próximos años. El Code of Practice intenta precisamente reducir la incertidumbre sobre cómo construir algunas de esas evidencias en materia de transparencia.

El Código es voluntario, pero el artículo 50 no lo es

Esta distinción debería quedar perfectamente clara para cualquier consejo de administración. Una empresa no está obligada automáticamente a adherirse al Code of Practice, pero sí debe cumplir las obligaciones legales del artículo 50 que le correspondan. El Código funciona como una herramienta voluntaria destinada a ayudar a determinados proveedores y deployers a implementar esas obligaciones de manera coherente. Esto significa que una organización puede decidir no adherirse y continuar cumpliendo perfectamente el Reglamento. Pero tendrá que construir y documentar su propia metodología. Si una autoridad pregunta cómo garantiza que determinados contenidos generados mediante IA pueden identificarse, cómo etiqueta un deepfake o cómo aplica las obligaciones correspondientes de transparencia, la compañía necesitará presentar una respuesta técnicamente y jurídicamente defendible.

Por eso la decisión de adherirse o no debería analizarse como una cuestión de estrategia de cumplimiento y no como un gesto reputacional. Una empresa tendrá que comparar el coste de seguir un marco común con el coste de diseñar, mantener, actualizar y defender su propio sistema.

El Código se centra en una de las cuestiones más difíciles: saber cuándo un contenido ha sido generado por IA

El crecimiento explosivo de la IA generativa ha creado un problema estructural para internet. Cada vez resulta más difícil determinar si una imagen, un vídeo, una voz o un texto procede de una persona o de un sistema artificial. El artículo 50 intenta introducir una capa de transparencia sobre esta nueva realidad. Los proveedores de determinados sistemas generativos deben conseguir que sus outputs puedan identificarse en un formato legible por máquina y sean detectables como generados o manipulados artificialmente, siempre dentro de los criterios técnicos previstos por la normativa. Aquí aparece una de las áreas en las que el Code of Practice puede resultar especialmente útil: convertir un principio regulatorio relativamente abstracto en medidas operativas relacionadas con marcado, procedencia y detección.

Esto puede incluir diferentes soluciones técnicas. El watermarking es una posibilidad, pero no es la única. Pueden utilizarse metadatos, credenciales de contenido, mecanismos criptográficos, técnicas de procedencia digital u otras soluciones capaces de proporcionar información sobre el origen artificial de un contenido. La obligación europea no consiste simplemente en colocar visualmente “Generado con IA” sobre una fotografía. El objetivo es construir una infraestructura de procedencia que pueda ser interpretada también por máquinas.

Watermarking y etiquetado visible son dos cosas diferentes

Esta diferencia será especialmente importante para Marketing, Comunicación, medios y compañías que producen grandes cantidades de contenido. Una organización puede tener que analizar dos capas distintas. La primera es el marcado técnico, que puede estar incorporado dentro del archivo o contenido y ser legible por sistemas automatizados. La segunda es la información visible para las personas, que aparece en determinados casos previstos por el artículo 50.

Un contenido puede, por tanto, incorporar mecanismos técnicos de procedencia sin mostrar necesariamente una gran marca visible sobre la imagen. Y, en otros supuestos, puede ser necesario informar claramente al usuario aunque exista ya un mecanismo técnico dentro del archivo. Confundir ambas obligaciones puede provocar errores de cumplimiento. El Code of Practice ayuda precisamente a establecer prácticas más coherentes alrededor de estas diferentes capas de transparencia.

Los deepfakes convierten la transparencia en una obligación empresarial directa

Otro ámbito especialmente relevante es el de los deepfakes. Las empresas pueden utilizar actualmente inteligencia artificial para crear avatares, recreaciones audiovisuales, doblajes, presentadores virtuales, vídeos publicitarios o representaciones artificiales extraordinariamente realistas. La tecnología ofrece enormes oportunidades creativas, pero también aumenta la capacidad de engañar. El AI Act establece obligaciones específicas de transparencia para quienes despliegan determinados contenidos que constituyen deepfakes. En estos casos, la empresa necesita garantizar que las personas puedan conocer que el contenido ha sido generado o manipulado artificialmente.

Esto afecta mucho más allá de las redes sociales. Puede alcanzar campañas publicitarias, formación corporativa, atención al cliente, entretenimiento, comunicación institucional o experiencias digitales. Una multinacional que utiliza un avatar hiperrealista para presentar un producto puede encontrarse ante obligaciones diferentes de una empresa que genera una ilustración claramente fantástica. El contexto importa tanto como la tecnología utilizada.

Los textos de interés público también entran en el artículo 50

Existe además una obligación especialmente relevante para medios, instituciones, departamentos de comunicación y organizaciones que publican contenidos informativos. Determinados textos generados o manipulados mediante inteligencia artificial que se publican con la finalidad de informar al público sobre asuntos de interés público pueden quedar sujetos a obligaciones de divulgación. Sin embargo, el AI Act contempla una excepción cuando el contenido ha pasado por un proceso real de revisión humana o control editorial y una persona física o jurídica mantiene responsabilidad editorial sobre la publicación.

Esta excepción tiene una consecuencia empresarial muy interesante: la supervisión humana puede convertirse en una arquitectura jurídica y organizativa, no simplemente en una recomendación ética. No debería bastar con que alguien corrija una errata antes de publicar. Una empresa necesita poder determinar quién revisó el contenido, qué tipo de control realizó y quién asumió finalmente la responsabilidad editorial cuando pretenda apoyarse en esa excepción.

Esto obliga a profesionalizar los workflows de generación de contenido. “Lo hizo ChatGPT y alguien le echó un vistazo” puede dejar de ser una descripción suficientemente robusta de un proceso empresarial.

El Code of Practice puede reducir la incertidumbre ante una inspección

Aquí aparece probablemente su mayor utilidad. Cuando una empresa utiliza un marco reconocido por la Comisión y el AI Board, dispone de una referencia común para explicar por qué adoptó determinadas medidas. Esto no significa que adherirse al Código proporcione inmunidad frente a inspecciones o sanciones ni que cualquier implementación quede automáticamente validada. Significa que la organización puede apoyarse en un conjunto de prácticas desarrolladas específicamente para facilitar el cumplimiento de las obligaciones correspondientes.

Una empresa que decide no utilizarlo puede diseñar una arquitectura incluso superior, pero tendrá que justificarla. Tendrá que explicar qué tecnología utiliza, por qué considera que resulta adecuada, cómo evalúa su robustez, cómo mantiene los mecanismos cuando el contenido se transforma y qué procedimientos aplica para verificar periódicamente su funcionamiento. La libertad para elegir una solución alternativa viene acompañada de la responsabilidad de demostrar que funciona.

Esto puede afectar directamente a la contratación de proveedores de IA

La consecuencia no termina en los grandes desarrolladores de modelos. Las empresas que compran herramientas de inteligencia artificial deberían empezar a incorporar preguntas regulatorias dentro de sus procesos de procurement. Si una plataforma genera imágenes, vídeo, audio o texto, Compras, Tecnología y Compliance deberían poder preguntar qué mecanismos de marcado incorpora, si son legibles por máquina, qué ocurre cuando el archivo se exporta, si el marcado sobrevive a determinadas transformaciones, qué documentación proporciona el proveedor y qué compromisos contractuales asume respecto al AI Act.

Esto puede convertirse en una nueva parte de las AI Vendor Assessments. Igual que actualmente una gran empresa exige determinada información sobre protección de datos, seguridad, ISO 27001, continuidad de negocio o ubicación de servidores, puede empezar a exigir evidencias específicas sobre cumplimiento del AI Act.

El proveedor que pueda proporcionar documentación clara tendrá una ventaja comercial frente a otro que responda simplemente que “su IA cumple con Europa”.

Marketing tendrá que conocer qué herramientas conservan el marcado

Existe además un problema operativo que puede pasar desapercibido. El contenido generado mediante una herramienta puede pasar posteriormente por muchas otras aplicaciones antes de publicarse. Una imagen puede generarse mediante IA, editarse en otro programa, comprimirse, recortarse, exportarse a otro formato y finalmente subirse a una red social. Durante ese proceso algunos metadatos o mecanismos de procedencia pueden perderse.

Por eso el cumplimiento no puede analizarse únicamente en el momento de generación. Será necesario entender la cadena completa del contenido.

Una organización puede utilizar correctamente un sistema que incorpora marcado y posteriormente eliminar accidentalmente esa información durante su workflow interno. Esto convierte la transparencia en una cuestión que afecta también a sistemas de gestión de activos digitales, software creativo, CMS, redes sociales y procesos de publicación.

La empresa necesitará evidencias, no solamente procedimientos

Imaginemos una inspección dentro de dos años. La autoridad pregunta cómo cumple una compañía las obligaciones correspondientes de transparencia. La respuesta ideal no debería consistir únicamente en mostrar una política redactada por Legal. La organización debería poder presentar inventarios, documentación técnica, contratos con proveedores, registros de revisión, procedimientos de publicación, ejemplos de marcado, resultados de pruebas y responsables claramente identificados.

Esto introduce un concepto que será cada vez más importante: AI Compliance Evidence.

Las empresas tendrán que empezar a conservar pruebas de cumplimiento de la misma manera que actualmente mantienen documentación sobre protección de datos, controles financieros o ciberseguridad. La gobernanza de IA evolucionará desde documentos estáticos hacia sistemas capaces de producir evidencias continuamente.

No adherirse al Código puede implicar más trabajo interno

Para determinadas empresas puede tener sentido no adherirse. Un gran proveedor tecnológico puede disponer de una arquitectura propia mucho más sofisticada que las medidas estándar. Una organización puede utilizar tecnologías diferentes o tener requisitos sectoriales específicos. Pero esa decisión debería tomarse conscientemente.

La alternativa al Código no es “no hacer nada”. Es construir una metodología propia y estar preparado para defenderla.

Esto implica análisis jurídico, diseño técnico, pruebas, documentación, mantenimiento y actualización cuando cambie el estado de la técnica. Para muchas organizaciones, utilizar un marco reconocido puede reducir costes y simplificar la relación con clientes, auditores y autoridades.

Puede aparecer una nueva ventaja comercial: demostrar que tu IA es trazable

La regulación también puede producir una consecuencia positiva. A medida que internet se llene de contenido sintético, la capacidad de demostrar procedencia puede convertirse en una característica de confianza. Una empresa capaz de acreditar qué contenidos genera mediante IA, qué controles humanos aplica y quién responde finalmente por ellos puede diferenciarse frente a competidores que utilizan herramientas de manera opaca.

Esto puede ser especialmente valioso en banca, seguros, salud, medios, educación, administración pública, servicios profesionales y marcas premium.

lectura recomendada

Estos son los conocimientos de IA que todo Alto Directivo debe tener hoy para seguir siendo útil a su empresa

La transparencia puede convertirse en una característica del producto.

No solamente porque lo exija la regulación, sino porque clientes y consumidores pueden empezar a valorar cada vez más la capacidad de saber cuándo están tratando con una máquina y quién responde detrás de ella.

El 2 de diciembre de 2026 aumenta la urgencia

Existe además una fecha inmediata que explica por qué estas cuestiones deberían estar ya sobre la mesa. Las obligaciones correspondientes del artículo 50 son aplicables desde el 2 de agosto de 2026, pero determinados sistemas generativos introducidos en el mercado antes de esa fecha disponen hasta el 2 de diciembre de 2026 para adaptarse específicamente a la obligación técnica de marcado y detección prevista en el artículo 50.2.

Es fundamental entender que no existe una prórroga general hasta diciembre. El resto de obligaciones correspondientes de transparencia ya están activas.

Por tanto, las empresas deberían aprovechar estos meses no para esperar, sino para comprobar qué sistemas utilizan, qué papel tienen respecto a ellos, qué mecanismos técnicos incorporan sus proveedores y qué procedimientos internos necesitan modificar.

Las sanciones hacen que la decisión deje de ser únicamente técnica

Los incumplimientos de determinadas obligaciones del AI Act pueden alcanzar 15 millones de euros o el 3 % del volumen de negocio mundial anual, mientras las prácticas prohibidas pueden llegar hasta 35 millones de euros o el 7 % conforme a las reglas establecidas por el Reglamento. Esto coloca el cumplimiento de IA en una escala de riesgo que ya debería interesar directamente al consejo de administración.

Pero el riesgo no es solamente económico. Una investigación regulatoria puede afectar reputación, relaciones con clientes, contratos públicos y capacidad para desplegar determinados sistemas. Por eso la estrategia correcta no debería consistir en intentar hacer el mínimo indispensable para evitar una multa, sino en construir una arquitectura de IA que pueda demostrar continuamente que permanece bajo control.

El Code of Practice anticipa cómo será el cumplimiento de IA durante los próximos años

La importancia del Código va, por tanto, mucho más allá del artículo 50. Anticipa una tendencia que probablemente se extenderá por toda la regulación de inteligencia artificial: los reguladores establecerán obligaciones y las empresas necesitarán convertirlas en controles verificables y evidencias demostrables.

Esto cambiará también el trabajo de Legal y Compliance. No bastará con interpretar normas. Tendrán que trabajar conjuntamente con Tecnología, Datos, Seguridad, Marketing, Compras y Operaciones para traducir requisitos jurídicos en sistemas reales.

La regulación de IA será cada vez menos un documento y cada vez más una arquitectura.

El consejo de administración debería hacer una pregunta muy sencilla

La pregunta no debería ser únicamente: “¿nos hemos adherido al Code of Practice?”. Esa es una decisión instrumental. La pregunta realmente importante es: “si mañana una autoridad nos pide demostrar cómo cumplimos nuestras obligaciones de transparencia sobre IA, ¿qué evidencias podemos enseñarle?”

Si la respuesta es un conjunto de políticas genéricas, la organización todavía tiene trabajo pendiente. Si puede mostrar inventario de sistemas, clasificación de responsabilidades, documentación de proveedores, controles técnicos, procedimientos editoriales, registros y responsables, empieza a existir una verdadera gobernanza.

Ese es probablemente el cambio más importante que está introduciendo el AI Act. El cumplimiento deja de consistir en decir que utilizamos la IA correctamente y empieza a consistir en poder demostrar cómo lo hacemos.

El Code of Practice puede convertirse en una referencia práctica precisamente porque ayuda a cerrar esa distancia entre la obligación jurídica y la operación cotidiana de la empresa. No sustituye al AI Act, no elimina responsabilidades y no garantiza automáticamente el cumplimiento. Pero proporciona un marco común alrededor del cual proveedores, empresas y reguladores pueden empezar a hablar el mismo lenguaje.