Ley de IA: primero el inventario, después las etiquetas

Las normas de transparencia de la Ley de IA de la UE ya son aplicables. Esto no significa que cada frase, imagen u hoja de cálculo en la que haya intervenido una IA necesite una etiqueta. Sí obliga a las organizaciones a saber qué sistemas proporcionan, cuáles utilizan, qué hacen y quién entra en contacto con sus resultados.

Ahí empieza el trabajo serio. El artículo 50 reparte obligaciones distintas entre proveedores y responsables del despliegue, contempla situaciones concretas y prevé excepciones que dependen del contexto. Añadir un pie genérico con el texto «se ha utilizado IA» no corrige un inventario inexistente ni una clasificación errónea del papel de la empresa.

Para la mayoría de las organizaciones, el orden sensato es este: primero el inventario, después las etiquetas.

Qué cambió el 2 de agosto de 2026

El Reglamento (UE) 2024/1689 entró en vigor en agosto de 2024 y se aplica por fases. El artículo 50 pertenece al capítulo IV y sus obligaciones de transparencia son aplicables desde el 2 de agosto de 2026. La Comisión señala que la Oficina de IA y las autoridades nacionales ya se ocupan de la aplicación y supervisión dentro de sus competencias respectivas.

El artículo 50 aborda cuatro situaciones:

1. sistemas de IA destinados a interactuar directamente con personas;
2. sistemas que generan o manipulan audio, imágenes, vídeo o texto sintéticos;
3. sistemas de reconocimiento de emociones y categorización biométrica; y
4. uso de IA por responsables del despliegue para crear ultrafalsificaciones o determinados textos destinados a informar al público sobre asuntos de interés público.

Las categorías pueden solaparse, pero no son equivalentes. Un chatbot de atención al cliente plantea la regla de interacción directa. El proveedor de un generador de imágenes puede tener que incorporar un marcado legible por máquina. El equipo de marketing que publica un vídeo sintético en el que aparece una persona real puede asumir, como responsable del despliegue, un deber adicional de información sobre la ultrafalsificación. Un mismo flujo puede activar más de una obligación.

Empieza por identificar tu papel

La Ley define al proveedor como la persona u organización que desarrolla un sistema de IA, o encarga su desarrollo, y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca. El responsable del despliegue es quien utiliza un sistema de IA bajo su autoridad, salvo cuando lo hace en una actividad personal no profesional.

En términos empresariales, contratar el acceso a un modelo de un tercero suele situar a la organización como responsable del despliegue. Crear un asistente y ofrecerlo con marca propia puede convertirla en proveedor. Desarrollar un sistema interno y usarlo puede colocarla en las dos posiciones.

Las directrices de la Comisión confirman que los papeles son acumulables. También distinguen al responsable del despliegue de quien se limita a alojar o transmitir contenido de terceros sin tener autoridad sobre el sistema empleado para crearlo. Ni el contrato ni el nombre del fabricante resuelven por sí solos la clasificación. Importan el control, la marca, el propósito y el uso real.

Antes de elegir una etiqueta, registra al menos:

• sistema, propietario interno, proveedor y versión;
• lugar en el que se ofrece o utiliza, y si sus resultados se usan en la UE;
• usuarios previstos y personas expuestas;
• modalidades de entrada y salida;
• papel de la organización como proveedor, responsable del despliegue o ambos;
• interacción directa con personas;
• generación o manipulación sustancial de contenido sintético;
• posibilidad de producir ultrafalsificaciones o texto de interés público;
• controles actuales de información, marcado y accesibilidad; y
• excepción invocada, evidencias, responsable y fecha de revisión.

El inventario saca a la luz casos que una política editorial no detecta: un bot de voz, un avatar de atención al cliente o la edición generativa integrada en una suite de diseño.

IA interactiva: hay que avisar de que no hay una persona al otro lado

Los proveedores de sistemas destinados a interactuar directamente con personas físicas deben diseñarlos para que estas sepan que están tratando con una IA. La información debe ser clara, distinguible y accesible, y facilitarse como muy tarde en la primera interacción o exposición.

Existe una excepción cuando el carácter artificial de la interacción resulte obvio para una persona razonablemente informada, atenta y perspicaz, teniendo en cuenta las circunstancias y el contexto. Es una prueba contextual. No autoriza a dar por hecho que cualquiera identificará como artificial una voz pulida, un avatar o un agente autónomo.

Un aviso claro al inicio del chat o la llamada es más defendible que una frase enterrada en las condiciones de uso. Debe llegar a quien interactúa con el sistema.

La excepción para fines policiales es estrecha y está sujeta a salvaguardias. Además, no elimina el deber de información cuando el sistema se ofrece al público para denunciar una infracción penal. La mayoría de los equipos comerciales no deberían construir su posición de cumplimiento alrededor de esta excepción.

Contenido sintético: el marcado legible por máquina corresponde al proveedor

El artículo 50.2 se dirige a proveedores de sistemas de IA, incluidos los de uso general, que generan audio, imágenes, vídeo o texto sintéticos. Deben lograr que los resultados estén marcados en un formato legible por máquina y puedan detectarse como generados o manipulados artificialmente.

La solución técnica debe ser eficaz, interoperable, sólida y fiable en la medida en que sea técnicamente viable. La norma permite considerar las limitaciones de cada modalidad, el coste de implantación y el estado de la técnica generalmente reconocido. El Código de Buenas Prácticas voluntario de la Comisión ofrece una vía reconocida para demostrar el cumplimiento de las obligaciones de marcado y detección. La obligación jurídica, sin embargo, nace del artículo 50, no de la firma del código.

Este requisito no equivale a colocar una insignia visible en todos los resultados. La procedencia legible por máquina y la información dirigida a personas resuelven problemas relacionados, pero distintos. Los metadatos, las señales incrustadas u otras medidas técnicas pueden permitir la detección posterior; un aviso visible informa a quien tiene el contenido delante.

Tampoco toda edición entra en el artículo 50.2. Quedan fuera los sistemas, en la medida en que desempeñen una función de asistencia para la edición estándar o no alteren sustancialmente los datos aportados por el responsable del despliegue ni su semántica. También existe la excepción policial prevista por la norma. Corregir ortografía, aplicar formato o efectuar una corrección técnica menor no debe equipararse sin más a generar un artículo sintético o sustituir a la persona que habla en un vídeo. Aun así, conviene documentar por qué la edición no es sustancial, en vez de convertir la excepción en una dispensa general para cualquier herramienta conocida.

Ultrafalsificaciones: el responsable del despliegue debe informar de forma visible

Una ultrafalsificación, o deepfake, tiene un significado jurídico más estrecho que «contenido creado con IA». La Ley la define como contenido de imagen, audio o vídeo generado o manipulado por IA que se asemeja a personas, objetos, lugares, entidades o sucesos existentes y que una persona podría tomar falsamente por auténtico o verídico.

Cuando un responsable del despliegue utiliza IA para generar o manipular contenido que encaja en esa definición, debe indicar que se ha generado o manipulado artificialmente. Por eso el inventario debe seguir el flujo de producción y no terminar en el proveedor del modelo. El proveedor puede responder del marcado legible por máquina; la organización que publica la ultrafalsificación puede tener, además, su propia obligación de aviso claro.

Hay un régimen especial para contenidos que forman parte de una obra o programa manifiestamente artístico, creativo, satírico, ficticio o análogo. La información sigue siendo necesaria, pero puede presentarse de una manera adecuada que no dificulte la exhibición o el disfrute de la obra. La palabra «creativo» no borra la transparencia. Modifica la forma en la que puede cumplirse.

La prueba debe ser concreta: parecido con algo existente, apariencia de autenticidad, control sobre el sistema y punto de exposición. Una ilustración generada desde cero puede ser sintética sin ser una ultrafalsificación. La voz clonada de un directivo pronunciando palabras que nunca dijo puede ser ambas cosas.

Texto de interés público: no conviertas una norma específica en una etiqueta universal

El artículo 50.4 también se aplica a responsables del despliegue que generan o manipulan texto publicado con el propósito de informar al público sobre asuntos de interés público. En ese supuesto debe indicarse que el texto se ha generado o manipulado artificialmente.

La redacción importa. No exige etiquetar todo texto asistido por IA. Notas internas, descripciones de producto, correspondencia privada y muchos textos comerciales ordinarios necesitarán su propio análisis, pero no se convierten automáticamente en publicaciones de interés público a efectos de este apartado.

La disposición contiene una excepción relevante cuando el contenido generado por IA ha pasado por revisión humana o control editorial y una persona física o jurídica asume la responsabilidad editorial de la publicación. Un vistazo de cortesía ofrece una base débil. Un proceso más sólido identifica al editor, deja constancia de la revisión, comprueba las afirmaciones materiales y confirma quién responde por la decisión de publicar.

Por eso un registro de control editorial puede resultar más útil que una etiqueta decorativa. Si la organización se acoge a la excepción, debería poder demostrar qué se revisó, quién lo hizo, con qué criterio y antes de qué decisión de publicación. Es posible que sigan aplicándose otros deberes de información o normas sectoriales; el artículo 50 no los elimina.

No olvides el reconocimiento de emociones y la categorización biométrica

El artículo 50 suele resumirse como una norma de etiquetado de contenidos, pero su apartado 3 se dirige a responsables del despliegue de sistemas de reconocimiento de emociones y categorización biométrica. Deben informar de su funcionamiento a las personas expuestas y tratar los datos personales conforme al marco europeo de protección de datos aplicable.

El punto es relevante para herramientas laborales, analítica de audiencias, control de accesos e investigación de clientes. Algunos usos también pueden entrar en las prácticas prohibidas o en las reglas sobre alto riesgo de otras partes de la Ley. Cumplir el artículo 50 no hace desaparecer el resto del Reglamento.

Un plan de implantación de 30 días

Días 1 a 7: sistemas y responsables

Reúne las herramientas que crean o utilizan compras, IT, producto, marketing, recursos humanos, legal y seguridad, incluidas funciones integradas. Registra finalidad, modalidades, geografía, personas expuestas y propietario.

Días 8 a 14: papeles y resultados

Clasifica el papel de la organización y comprueba interacción directa, generación sintética, manipulación sustancial, biometría, ultrafalsificaciones y publicación de interés público. Anota el apartado aplicable.

Días 15 a 21: controles y evidencias del proveedor

Revisa el primer aviso, la accesibilidad, el marcado legible por máquina, la conservación de procedencia al exportar, la información visible y las pruebas de revisión editorial. Pregunta qué formatos conservan las marcas, qué las elimina y cómo se prueba la detección.

Días 22 a 30: correcciones y revisión continua

Implanta avisos, actualiza los procedimientos y asigna un responsable a cada excepción. Revisa ante cambios de modelo, modalidad, marca, canal, edición o territorio.

La pregunta que sí sirve

La pregunta pobre es «¿dónde ponemos la etiqueta de IA?». La útil es «¿qué sistema, papel, resultado y audiencia nos sitúan en qué parte del artículo 50?».

Cuando la respuesta queda documentada, las etiquetas y marcas técnicas se convierten en decisiones de implantación, no en conjeturas. El trabajo de IA y automatización de Enclave Guard puede ayudar a mapear sistemas y controles técnicos, mientras que nuestro servicio de CISO virtual puede apoyar la asignación de responsabilidades y la preparación de evidencias. Los equipos que evalúan la seguridad de servicios con IA también pueden consultar nuestro análisis de Security Bench antes de contactar con Enclave Guard para plantear una revisión acotada.

Este artículo tiene fines exclusivamente informativos y no constituye asesoramiento jurídico. La aplicación de la Ley de IA de la UE depende de los hechos, el papel de cada actor, el diseño del sistema, la jurisdicción y el contexto de uso. Solicita asesoramiento jurídico cualificado para las circunstancias de tu organización.