El AI Act endurece sus reglas: la transparencia en la IA ya es obligatoria en la UE
Desde el pasado 2 de agosto de 2026, las obligaciones de transparencia del artículo 50 del Reglamento Europeo de Inteligencia Artificial (AI Act) son plenamente aplicables. Los chatbots, los contenidos generados por IA y los deepfakes deben identificarse de forma clara, y las empresas que no cumplan se exponen a sanciones de hasta el 3 % de su facturación mundial. La era de la IA invisible ha terminado en Europa.
El AI Act entró en vigor el 1 de agosto de 2024 y desde entonces se ha aplicado por fases: las prohibiciones de prácticas consideradas inaceptables y la obligación de alfabetización en IA llegaron en febrero de 2025, y las normas de gobernanza y los deberes de los modelos de propósito general, en agosto de 2025. La siguiente gran etapa era precisamente la que acaba de activarse: las obligaciones de transparencia del artículo 50, el corazón operativo del reglamento.
Qué exige el artículo 50
El artículo 50 obliga a los proveedores e implantadores de determinados sistemas de IA a informar a las personas cuando interactúan con una máquina. Si un usuario habla con un chatbot de atención al cliente, debe saber que no está hablando con un humano, salvo que resulte evidente. También obliga a señalizar los contenidos sintéticos: una imagen, un vídeo o una voz generados o manipulados artificialmente deben marcarse como tales, y los deepfakes que traten asuntos de interés público no pueden presentarse como auténticos.
Además, cuando la IA se utilice para el reconocimiento de emociones o la categorización biométrica, las personas afectadas deben ser informadas, salvo que concurran fines legales. La Comisión Europea publicó el 10 de junio un Código de buenas prácticas sobre transparencia de contenidos generados por IA, con un sistema de marcado en doble capa y marcas de agua. La adhesión al código es voluntaria, pero las obligaciones del artículo 50 son exigencias legales, no recomendaciones.
El aplazamiento del alto riesgo no aplaza la transparencia
Conviene aclarar un malentendido habitual. El llamado Digital Omnibus, aprobado por el Parlamento Europeo el 16 de junio, ha retrasado las normas de los sistemas de alto riesgo: los sistemas autónomos del anexo III pasan a diciembre de 2027 y los integrados en productos con regulación sectorial, a agosto de 2028. Ese respiro ha llevado a muchas empresas a pensar que el AI Act vuelve a esperar. Es un error: el aplazamiento no suspende las prácticas prohibidas, ni la alfabetización en IA, ni las obligaciones sobre modelos de propósito general, ni el artículo 50.
De hecho, existe un plazo transitorio hasta el 2 de diciembre de 2026 para el marcado de contenidos generados por sistemas ya comercializados antes del 2 de agosto, pero se refiere a un perímetro concreto: para todo lo demás, la transparencia es ya exigible y sancionable.
El verdadero riesgo: la IA que ya está en la empresa
El mayor peligro para muchas organizaciones no es el gran proyecto de IA presentado ante el comité de dirección, sino la IA que ya está instalada sin que nadie la haya cartografiado: funciones inteligentes activadas en un CRM, un módulo de puntuación en una herramienta de marketing, un asistente de selección de personal, un generador de contenidos en comunicación o un copiloto ofimático desplegado sin control.
El último informe de Deloitte sobre el estado de la IA en la empresa muestra que menos de seis de cada diez trabajadores con acceso a herramientas corporativas de IA las usan a diario. Eso significa que muchas compañías no saben ni siquiera qué IA utilizan, quién la usa y para qué. Sin ese mapa, es imposible cumplir con el AI Act, y desde el 2 de agosto la exposición es legal, no teórica. El artículo 4, además, obliga a garantizar un nivel suficiente de conocimientos de IA entre la plantilla: la formación ya no es solo una ventaja competitiva, es un deber normativo.
Qué deben hacer las empresas ahora
El cumplimiento no exige un departamento de compliance ni grandes inversiones. La Comisión no impone un currículo rígido ni un número mínimo de horas. Basta con poder demostrar tres cosas: un inventario básico de las herramientas de IA en uso, una nota interna con reglas por equipo o puesto, y un registro de formación, aunque sea semestral. El patrón recuerda al RGPD de 2018: años de avisos ignorados, primeras sanciones y carreras de última hora.
El AI Act no ha llegado para complicar la vida de las empresas, sino para forzar lo que ya debería haberse hecho: saber qué IA se usa, entender sus riesgos, avisar a los usuarios y formar a las personas que manejan las herramientas. La fecha ya ha pasado. Ahora toca demostrar, no prometer.
