En las últimas semanas circula por el sector una sensación de alivio: “Las normas de transparencia del Reglamento de IA de la UE (AI Act) se aplazaron a diciembre, así que no hay prisa”. Esta percepción es errónea, y el malentendido se está convirtiendo en un grave riesgo de responsabilidad para toda agencia que entrega resultados de IA al mercado de la UE. La realidad es esta: las obligaciones generales de transparencia del artículo 50 del Reglamento de IA están en vigor desde el 2 de agosto de 2026 y no se han aplazado.
En este artículo explicamos con detalle técnico qué cambió exactamente, cuál es la única excepción que existe de verdad, por qué afecta directamente a una agencia con sede fuera de la UE y qué pasos concretos debe dar hoy una empresa que entrega soluciones de IA a sus clientes. El objetivo no es sembrar el pánico, sino cerrar la brecha real de cumplimiento que ha abierto el discurso de “tranquilos, se ha aplazado”.
Aclaremos el calendario: qué está en vigor y qué se encuentra en periodo transitorio
La confusión surge porque se han mezclado dos cosas distintas bajo un mismo titular. Hagamos la distinción con claridad:
- Las obligaciones generales del artículo 50 —aviso en chatbots, marcado de contenido, información sobre el reconocimiento de emociones y etiquetado de deepfakes (ultrasuplantaciones)— están plenamente en vigor desde el 2 de agosto de 2026. No se aplazaron.
- La única excepción afecta solo a la subobligación de marca de agua / marcado legible por máquina del artículo 50, apartado 2, y se aplica únicamente a los sistemas de IA generativa introducidos en el mercado antes del 2 de agosto de 2026. Para esos sistemas se concedió un periodo transitorio, hasta el 2 de diciembre de 2026, a fin de completar el cumplimiento en materia de marcado.
Atención: este periodo transitorio se redujo de seis a tres meses. Por tanto, “hay un periodo transitorio” no significa “siéntese a esperar”; al contrario, el calendario se ha acortado. Este cambio se formalizó con el paquete Ómnibus Digital (Digital Omnibus): el Parlamento Europeo lo aprobó el 16 de junio de 2026 y el Consejo de la UE, el 29 de junio de 2026.
El punto crítico es este: para todo sistema de IA generativa introducido en el mercado después del 2 de agosto de 2026, todas las obligaciones, incluidas la marca de agua y el marcado, se aplican desde el primer día. El periodo transitorio solo cubre los sistemas heredados (legacy). Si hoy está poniendo en marcha un nuevo chatbot, un nuevo pipeline de generación de imágenes o un nuevo asistente de voz, no cuenta con ningún “periodo de gracia”.
Qué cambió exactamente el 2 de agosto: cuatro ámbitos de obligaciones
El artículo 50 establece obligaciones de transparencia para cuatro situaciones distintas. Es probable que los productos que entrega a sus clientes entren en más de uno de estos ámbitos.
1. Sistemas de IA que interactúan directamente con personas
La IA que interactúa directamente con una persona (chatbots, asistentes de voz, sistemas automatizados de llamadas y contacto) debe informarle de que está interactuando con una inteligencia artificial. La única excepción se da cuando esto resulta evidente para una persona razonablemente informada, dado el contexto; en la práctica, confiar en esa excepción es arriesgado.
2. Contenido generado o manipulado por IA
El contenido generado o alterado de forma sintética, incluidos texto, imágenes, audio y video, debe estar marcado en un formato legible por máquina y poder detectarse como generado o manipulado por IA. Esta es una obligación técnica del lado del proveedor (provider).
3. Reconocimiento de emociones y categorización biométrica
Una organización que utilice un sistema de reconocimiento de emociones o de categorización biométrica debe informar a las personas físicas expuestas a él sobre el funcionamiento del sistema. Las obligaciones del RGPD siguen aplicándose en paralelo.
4. Deepfakes y textos generados por IA sobre asuntos de interés público
Un responsable del despliegue (deployer) que cree un deepfake debe hacer público de forma clara que el contenido se ha generado o manipulado artificialmente. Del mismo modo, el texto generado por IA que se publica para informar al público sobre asuntos de interés público debe etiquetarse con claridad (salvo excepciones limitadas, como el contenido sometido a control editorial humano).
Aviso en chatbots y asistentes de voz: dónde y cómo colocarlo, y por qué no bastan los términos y condiciones
Aquí empieza el error más frecuente de las agencias. Pone en marcha un chatbot, agrega a los términos y condiciones o a la política de privacidad una línea que dice “algunos de nuestros servicios pueden prestarse mediante inteligencia artificial” y da por hecho que ya cumple la norma. Esto es insuficiente.
El espíritu del artículo 50 es que el aviso debe ser perceptible dentro de la propia interacción, en el momento en que se produce. Criterios concretos:
- No basta con una cláusula oculta en un contrato o en los términos y condiciones. Una mención escondida en un documento que nadie lee no se considera “informar al usuario”.
- No basta con una etiqueta vaga de “asistente”. Mostrar simplemente “Asistente de soporte” en la ventana de chat no le dice con claridad a la otra parte que está hablando con una IA. El texto debe indicar sin rodeos que se trata de un sistema automatizado o basado en IA.
- El aviso debe aparecer al inicio de la interacción, antes del primer mensaje del usuario o al mismo tiempo; en los asistentes de voz, debe darse de forma oral al comienzo de la llamada.
En la práctica, la arquitectura correcta consiste en colocar una capa de aviso persistente y visible en la interfaz del chatbot: un texto del tipo “Esta conversación la lleva a cabo una inteligencia artificial”, fijado en la cabecera del chat y repetido en el mensaje de bienvenida. Esta capa debe ser independiente del canal: hay que aplicarla por separado en el widget web, en WhatsApp y en la línea de voz.
Para las agencias que operan un flujo de soporte basado en Claude a través de WhatsApp, esta capa de aviso es un componente de cumplimiento pequeño pero obligatorio que debe agregarse a la infraestructura existente. Explicamos las bases técnicas de esta arquitectura en nuestro artículo sobre atención al cliente con la WhatsApp Business Cloud API y Claude; agregar a ese flujo la capa de aviso del Reglamento de IA es un ejemplo concreto de cómo entregar el cumplimiento de forma invisible.
Marcado legible por máquina del contenido generado por IA: por qué una marca de agua no basta por sí sola
El segundo gran malentendido está en el marcado de contenido. Muchos equipos colocan una etiqueta visible de “generado por IA” en una esquina de la imagen, o adjuntan una etiqueta de metadatos al archivo, y dan el trabajo por terminado. Lo que exige realmente el artículo 50, apartado 2, va más allá.
- Una marca de agua en los metadatos no es suficiente por sí sola. Los campos simples de metadatos se pierden con facilidad al copiar, hacer capturas de pantalla, recodificar o subir a plataformas. La obligación exige que el marcado sea fiable, interoperable y eficaz.
- La referencia de la obligación son la viabilidad técnica y las normas del sector. Por eso, en la práctica, se adopta un método de marcado basado en C2PA / procedencia del contenido (content provenance): firmado criptográficamente, vinculado al archivo y verificable.
- El marcado debe integrarse dentro del pipeline de producción; no puede dejarse en manos del etiquetado manual tras la entrega. Cada pipeline que produce imágenes, video o audio debe adjuntar automáticamente los datos de procedencia en el momento en que se genera el resultado.
La solución correcta es integrar un pipeline de marcado C2PA / legible por máquina en su flujo de producción de contenidos: cada resultado sintético se entrega con un manifiesto firmado que registra el modelo generador, el momento de creación y el historial de edición. Con ello se cumple el Reglamento de IA y, además, se puede demostrar la procedencia del contenido, lo que refuerza la credibilidad de la marca.
Deepfakes: etiquetado obligatorio “incluso sin intención”
El matiz que las agencias pasan por alto en la obligación sobre deepfakes es este: el requisito de etiquetado no depende de la intención de engañar. Una imagen o un video sintético realista que produzca para una campaña, con fines totalmente legítimos, humorísticos o creativos, también entra en la definición de deepfake si se parece a una persona, un lugar o un acontecimiento reales, y el carácter artificial del contenido debe hacerse público de forma clara.
Esto afecta directamente a las agencias de publicidad y de contenidos. Las imágenes publicitarias “fotorrealistas” generadas por IA, los presentadores sintéticos en demostraciones de productos y las locuciones producidas con clonación de voz entran todos en el ámbito de aplicación. La información debe darse en la primera exposición al contenido y de forma perceptible. Hay otro punto que conviene subrayar: los modelos de código abierto no están exentos, y el hecho de que un sistema no sea de alto riesgo no lo excluye del ámbito del artículo 50. Las obligaciones de transparencia alcanzan a casi todos los que producen contenido sintético, con independencia de la clasificación de riesgo.
Por qué afecta a una agencia fuera de la UE: alcance extraterritorial
La suposición más común, y la más peligrosa, es: “Tenemos la sede fuera de la UE, así que un reglamento de la UE no nos obliga”. Es falso. El Reglamento de IA tiene efecto extraterritorial. Lo que importa no es dónde está establecida su empresa, sino dónde se utilizan los resultados de la IA.
- Si produce chatbots, contenido de IA o deepfakes para clientes que atienden al mercado de la UE, está dentro del ámbito de aplicación.
- Las agencias con sede fuera de la UE que atienden, en particular, al mercado alemán (DE) son un ejemplo típico: el cliente está en la UE, el usuario final está en la UE y el resultado se utiliza en la UE. Tener la sede en Estambul no otorga ninguna exención.
- Si el resultado, o el resultado del sistema, lo utilizan personas dentro de la UE, producirlo fuera de la UE no elimina la obligación.
Dicho de otro modo, “no estamos en la UE” no es una defensa, sino un indicador de riesgo. Una agencia de fuera de la UE que hoy entrega resultados de IA al mercado de la UE debe asumir la responsabilidad del cumplimiento, ya sea en solitario o compartida con su cliente.
¿Proveedor o responsable del despliegue? La distinción debe quedar resuelta en el contrato
El Reglamento de IA reparte las obligaciones entre dos funciones, y en la relación entre agencia y cliente a menudo no está claro a quién corresponde cada una. Esa ambigüedad es la brecha más costosa en cuanto llega una auditoría o una reclamación.
- Proveedor (provider): la parte que desarrolla el sistema de IA o lo introduce en el mercado. Las obligaciones técnicas y de producción, como el marcado del contenido en un formato legible por máquina, recaen principalmente aquí.
- Responsable del despliegue (deployer): la parte que utiliza el sistema de IA bajo su propia autoridad. Las obligaciones de uso, como dar el aviso del chatbot, hacer público un deepfake e informar sobre el reconocimiento de emociones, recaen principalmente aquí.
Si una agencia desarrolla un chatbot y lo entrega a un cliente, en la mayoría de los casos la agencia es el proveedor y el cliente, el responsable del despliegue; pero si la agencia opera el sistema en su propio nombre, las funciones pueden cambiar. Por eso, cada contrato entre agencia y cliente debe indicar claramente quién responde de cada obligación del artículo 50. Cuando decide qué tipo de solución entregar, este reparto de funciones determina a la vez la arquitectura técnica y los límites de la responsabilidad; puede plantearlo siguiendo el marco de decisión que exponemos en nuestra comparación entre software a medida y software estándar.
El panorama de sanciones: el costo del incumplimiento
La multa administrativa prevista para las infracciones de transparencia del artículo 50 es considerable:
- 15 millones de euros o el 3 % de la facturación anual mundial, lo que sea mayor.
Esta sanción resulta disuasoria tanto para una agencia pequeña como para un gran cliente corporativo; además, el cálculo basado en la facturación puede superar fácilmente los 15 millones de euros en las grandes empresas. El cumplimiento no es algo meramente “deseable”: es un imperativo comercial.
Lista de verificación urgente de cumplimiento: inventario + análisis de brechas
Pasos concretos para empezar hoy:
- Elabore un inventario de productos de IA. Enumere todos los sistemas de IA que entrega a sus clientes y que utiliza internamente: chatbots, asistentes de voz, pipelines de generación de imágenes, video y audio, campañas con deepfakes y herramientas de reconocimiento de emociones o biometría.
- Asigne cada producto a los cuatro ámbitos de obligaciones. ¿Qué producto interactúa con personas, cuál produce contenido sintético, cuál contiene deepfakes, cuál trata datos biométricos?
- Aplique la prueba de la fecha. ¿El producto se introdujo en el mercado antes del 2 de agosto de 2026? Solo los sistemas generativos heredados disponen de un periodo transitorio hasta el 2 de diciembre de 2026 para el marcado del artículo 50, apartado 2; todo lo demás se aplica hoy.
- Realice un análisis de brechas. ¿El aviso del chatbot es visible en la interacción o está oculto en los términos y condiciones? ¿El marcado de contenido se basa en C2PA y es persistente, o son metadatos que desaparecen? ¿Se hacen públicos los deepfakes?
- Actualice sus contratos. Incluya en cada contrato con clientes las funciones de proveedor y responsable del despliegue y el reparto de obligaciones.
- Establezca un registro de auditoría. Quién vio qué aviso y cuándo; qué contenido se marcó y cómo: conserve todo esto en un registro de auditoría conforme al RGPD.
Nota: este artículo tiene fines exclusivamente informativos y no constituye asesoramiento jurídico. Para su caso concreto, debe solicitar una evaluación individual a una asesoría jurídica.
Una arquitectura para entregar el cumplimiento de forma invisible
El mensaje central puede resumirse en una sola frase: no basta con hacer funcionar la IA; desde el 2 de agosto de 2026, hay que entregarla de forma conforme a la ley. Y debe hacerlo mientras escala sus flujos de trabajo autónomos. Al poner en marcha un agente de IA o un flujo de automatización, es mucho más recomendable convertir la capa de transparencia en una parte natural de la arquitectura que parchearla después; puede entenderlo como una extensión de la disciplina de diseño que analizamos en nuestro artículo sobre qué es un agente de IA y los flujos de trabajo autónomos.
Una arquitectura que entrega el cumplimiento de forma invisible incluye estos puentes:
- Una capa de aviso para chatbots: información visible sobre el uso de IA dentro de la propia interacción, en los canales web, WhatsApp y de voz.
- Un pipeline de marcado de contenido C2PA / legible por máquina: un manifiesto de procedencia firmado y persistente en cada resultado sintético.
- Una capa de cumplimiento para el soporte existente con WhatsApp + Claude: aviso y registro agregados sin interrumpir los flujos en marcha.
- Un registro de auditoría conforme al RGPD: constancia verificable de los eventos de aviso y marcado.
Cómo le ayuda Partnerfy
Partnerfy es el socio tecnológico invisible de agencias y grandes empresas. Construimos la capa de aviso para chatbots conforme al Reglamento de IA, el pipeline de marcado de contenido basado en C2PA, la actualización de cumplimiento de los flujos de soporte con WhatsApp + Claude y el registro de auditoría conforme al RGPD, todo de marca blanca (white-label): el producto permanece bajo su marca, dentro de su relación con el cliente. Usted conserva al cliente; nosotros asumimos la carga del cumplimiento. No basta con hacer funcionar la IA; desde el 2 de agosto hay que entregarla de forma conforme a la ley, y nosotros lo hacemos en su nombre.
Para revisar el cumplimiento del Reglamento de IA en los productos de IA que entrega, reserve una llamada. Elaboremos su inventario, realicemos juntos el análisis de brechas e incorporemos el cumplimiento a su marca de forma invisible.