El 2 de agosto de 2026 entra en aplicación el artículo 50 del Reglamento europeo de Inteligencia Artificial, la parte del texto que obliga a avisar cuando una máquina genera o manipula lo que un usuario ve, oye o lee. No es una recomendación ni una guía de buenas prácticas: es una obligación directamente aplicable en toda la Unión, con multas que pueden alcanzar el 3% de la facturación mundial. Y, a diferencia del grueso del reglamento, alcanza a sistemas que ya están en producción desde el primer día.
La reacción habitual en un comité de dirección es dar por hecho que esto va con quien fabrica los modelos: OpenAI, Google, Anthropic. Ese supuesto se cae en cuanto se lee el texto: reparte deberes entre quien desarrolla el sistema —el proveedor— y quien lo usa por su cuenta, lo que el reglamento llama responsable del despliegue (en inglés, deployer). Si tu empresa tiene un asistente conversacional en la web, genera piezas de marketing con IA o publica textos redactados por un modelo, el deber de transparencia también recae sobre ti.
Lo esencial
- Desde el 2 de agosto de 2026, el artículo 50 obliga a informar de cuatro cosas: que se está hablando con una IA, que un contenido es sintético, que un sistema reconoce emociones o clasifica datos biométricos, y que una imagen, audio, vídeo o texto es un ultrafalso o se ha generado con IA.
- Los deberes se reparten entre el proveedor (quien desarrolla) y el responsable del despliegue (quien usa el sistema). Una empresa sin IA de alto riesgo puede tener obligaciones solo por operar un chatbot o publicar contenido generado.
- La Comisión Europea publicó el 20 de julio de 2026 las directrices finales sobre el artículo 50 y dio por válido el Código de buenas prácticas sobre transparencia del contenido generado por IA.
- El incumplimiento se sanciona con hasta 15 millones de euros o el 3% de la facturación mundial anual, la cifra que sea mayor; para pymes y empresas emergentes se aplica la menor.
- El contenido generado antes del 2 de agosto no hay que reetiquetarlo: cuenta la fecha de generación. Para el marcado de sistemas que ya estaban en el mercado hay margen hasta el 2 de diciembre de 2026.
Qué exige el artículo 50, en concreto
El artículo distingue cuatro situaciones, y en cada una fija quién tiene que hablar. La primera es la interacción directa: un chatbot, un agente o un avatar que conversa con una persona. Aquí el deber es del proveedor, que debe diseñar el sistema para que quede claro que se está tratando con una IA, salvo que resulte evidente por el contexto.
La segunda es el contenido sintético. Quien produce imágenes, audio, vídeo o texto con IA generativa debe marcar la salida en un formato legible por máquina —marca de agua, metadatos, procedencia tipo C2PA— de modo que un tercero pueda detectar que es artificial. Es una obligación técnica del proveedor del modelo o la herramienta, y la parte con más peso de ingeniería.
La tercera cubre el reconocimiento de emociones y la categorización biométrica: cuando una organización usa uno de estos sistemas, el responsable del despliegue tiene que informar a las personas expuestas. La cuarta es la más comentada: los ultrafalsos —los deepfakes— y los textos de interés público. Quien despliega un sistema que genera o manipula imágenes, audio o vídeo que parecen reales debe declararlo; y los textos generados o manipulados por IA que se publican para informar al público sobre asuntos de interés general deben divulgarse como tales, con algunas salvedades cuando existe control o revisión editorial humana.
El calendario condiciona el margen de maniobra: la aplicación arranca el 2 de agosto de 2026 conforme al artículo 113 del reglamento. Para el marcado y la detección de contenido en sistemas que ya estaban en el mercado antes de esa fecha, el cumplimiento se exige a partir del 2 de diciembre de 2026. Y la Comisión Europea publicó sus directrices finales apenas dos semanas antes de que las obligaciones empezaran a aplicarse, un margen que deja poco tiempo para improvisar.
La objeción: “esto es para las grandes tecnológicas”
La objeción merece respuesta, porque es la que más se oye y no es del todo infundada. Muchas empresas medianas razonan así: no entrenamos modelos, no tenemos sistemas de la lista de alto riesgo, y las herramientas de IA que usamos —el chatbot de atención, el generador de imágenes de la agencia, el asistente que resume correos— son de terceros. De ahí saltan a la conclusión de que el cumplimiento es problema del fabricante.
El razonamiento tiene una base real. Durante dos años el debate público sobre el reglamento giró en torno a los modelos fundacionales y a la lista de usos de alto riesgo, no sobre el widget de chat de una web corporativa. Y la palabra “IA” evoca un laboratorio, no el asistente que ya lleva meses respondiendo dudas de clientes. El problema es que el artículo 50 no funciona por esa lógica.
Por qué sí te aplica
El primer punto es de alcance: el artículo 50 no se limita a la IA de alto riesgo. Según recogen las directrices de la Comisión y confirma el análisis del despacho Bird & Bird, cubre chatbots, IA generativa, reconocimiento de emociones y ultrafalsos con independencia de su nivel de riesgo. Que tu sistema no esté en la lista de alto riesgo no lo saca del artículo 50.
El segundo es el reparto de deberes. El marcado técnico de la salida es responsabilidad del proveedor, cierto, pero la divulgación del ultrafalso y del texto de interés público recae sobre quien despliega el sistema. Es decir: aunque el chatbot o el generador de imágenes sea de un proveedor externo, quien lo pone a hablar con clientes en la UE o publica sus resultados es responsable de que la información llegue al usuario. No hay un traslado automático de responsabilidad al fabricante.
El tercero es geográfico. El reglamento alcanza a proveedores y responsables del despliegue establecidos fuera de la Unión cuando la salida del sistema se utiliza dentro de ella. Una empresa de fuera de la UE que lanza campañas generadas con IA a público europeo, o que opera un asistente que atiende a clientes en la Unión, entra en el ámbito. Un ejemplo concreto lo aclara: un equipo de marketing que genera piezas sintéticas para una campaña europea activa el apartado 50.2 y, si en la pieza aparece una persona real, el deber de etiquetado de deepfake del apartado 50.4. La misma tecnología que crea esas piezas alimenta también el fraude de suplantación por voz, aunque a ese uso delictivo ninguna obligación de etiquetado va a alcanzar.
Qué hacer para llegar preparado
El trabajo no es jurídico, es de inventario y de proceso. El primer paso es saber dónde hay IA de cara al usuario: asistentes conversacionales, generadores de contenido, herramientas que publican de forma automática, sistemas biométricos. No se puede etiquetar lo que nadie sabe que existe, y aquí se cruza con un problema que muchas organizaciones ya tienen encima, el de la IA en la sombra: equipos que han adoptado herramientas generativas sin pasar por seguridad ni por legal.
Con el inventario hecho, cuatro comprobaciones marcan la diferencia: que el asistente conversacional declare desde el inicio que es una IA, y no en la letra pequeña; que la salida de las herramientas de IA generativa lleve marca legible por máquina, exigida por contrato al proveedor y probada frente a un recorte o una recompresión; que exista un procedimiento para declarar los ultrafalsos y los textos de interés público generados por IA; y que todo quede documentado —qué sistemas hay, qué avisos se dan y qué proveedores marcan la salida—, porque es lo que pedirá una autoridad de vigilancia del mercado si pregunta.
Encajar esta transparencia en un sistema de gestión de IA bajo ISO/IEC 42001 evita construir un proceso paralelo, y quien ya afronta la adecuación al Reglamento de IA puede tratar el artículo 50 como un control más dentro de ese marco. Ayuda además coordinarlo con quien ya lleva NIS2, DORA o ENS: mismos comités, misma cadencia de evidencias, y así el gobierno de la IA no nace como un silo aparte. Lo mismo aplica a la relación con proveedores, que se solapa con la gestión de riesgo de terceros.
Hay un deber que suele pasarse por alto y que recae sobre las mismas personas que operan estos sistemas: el artículo 4 del reglamento exige a proveedores y responsables del despliegue garantizar un nivel suficiente de alfabetización en IA de su plantilla. Está en vigor desde el 2 de febrero de 2025, se aplica con independencia del nivel de riesgo y no tiene multa propia, pero la Comisión ha dejado claro que un único vídeo de bienvenida no basta, y desde el 2 de agosto de 2025 una formación insuficiente puede pesar en la responsabilidad si un mal uso causa un daño. Quien inventaría sus sistemas para el artículo 50 tiene ya media tarea hecha para el artículo 4: son los mismos sistemas y las mismas personas.
Lo que cuesta ignorarlo
La sanción europea por incumplir el artículo 50 llega, según el artículo 99 del reglamento, hasta los 15 millones de euros o el 3% de la facturación mundial anual, la cifra que resulte mayor; para pymes y empresas emergentes se aplica la menor de las dos, lo que cambia bastante la exposición real. No es el tramo más alto del reglamento —ese se reserva para los usos prohibidos—, pero tampoco es simbólico.
En España hay una capa adicional. El anteproyecto de Ley Orgánica de IA, aprobado por el Consejo de Ministros y todavía en tramitación parlamentaria, añade un régimen sancionador propio con multas de hasta 35 millones de euros o el 7% para las infracciones más graves —entre ellas, no etiquetar un ultrafalso— y designa a la AESIA como autoridad coordinadora, aunque no será la única competente. Importa una distinción: el reglamento europeo es directamente aplicable desde el 2 de agosto con independencia de que la ley española culmine su tramitación, así que esperar a la norma nacional no aplaza la obligación.
Más allá de la multa, hay un coste de confianza. Publicar contenido sintético sin marcar o desplegar un asistente que se hace pasar por humano son prácticas que, cuando salen a la luz, dañan la credibilidad de la marca de una forma difícil de reparar. Cumplir cuesta menos que recomponer esa confianza una vez perdida.
El artículo 50 no obliga a dejar de usar IA; obliga a decir cuándo se está usando. Para una organización que ya trata la ciberseguridad y el cumplimiento como una sola disciplina —y no como dos departamentos que solo se cruzan en el pasillo—, es un control de gobierno más: saber qué sistemas hablan en su nombre, qué publican y con qué marca salen. El inventario del 2 de agosto separa un ajuste menor de una carrera improvisada. Para situar esta obligación dentro del rumbo europeo, ayuda leerla junto al Plan de Acción de la UE sobre ciberseguridad e IA y junto a la responsabilidad que NIS2 ya traslada al consejo de administración.