Llevamos meses recibiendo el mismo mensaje en el buzón, con distintas palabras: "nos han dicho que en agosto hay que poner un aviso de IA en toda la web". Y no. Rotundamente no.
Para entender qué obliga el AI Act desde el 2 de agosto de 2026, hay que ir al artículo 50 del reglamento europeo de inteligencia artificial: informar cuando alguien interactúa con un sistema de IA y etiquetar el contenido sintético. No a "usar IA". No a redactar un texto con ayuda de un modelo. No a tener un plugin que optimiza imágenes.
Aquí desmontamos las tres creencias que más dinero y más tiempo nos hemos visto tirar a la basura en los últimos catorce meses de auditorías.
¿De verdad hay que etiquetar todo?
No. El reglamento europeo de IA no exige avisar de que has usado un modelo generativo para escribir, programar o diseñar. Solo pide claridad cuando una persona puede confundirse: al hablar con una máquina creyendo que habla con alguien, o al ver un contenido sintético creyendo que es real.
Esa es la lógica entera del precepto. Protege la percepción del receptor, no la pureza del proceso creativo.
El pasado abril auditamos 31 sitios de clientes con la lupa puesta en este punto. Veintidós tenían chatbot; solo cuatro avisaban de su naturaleza automatizada de forma inequívoca. Y ninguno de los 31 estaba obligado a poner el famoso banner genérico de "contenido asistido por IA" (que tanto se ha vendido estos meses, curiosamente siempre con presupuesto adjunto).
Los cuatro supuestos del artículo 50, en claro
Desde la aplicación general de la norma, el deber de informar alcanza solo cuatro situaciones: hablar con una máquina, ver contenido sintético que reproduce algo real, leer texto publicado sobre asuntos de interés público y quedar expuesto a sistemas que leen emociones o rasgos biométricos. Fuera de ahí, no hay revelación obligatoria.
- Interacción con personas: avisar de que responde una máquina.
- Contenido sintético: revelar imagen, audio o vídeo manipulado.
- Texto de interés público: revelar salvo revisión humana responsable.
- Emociones y biometría: informar a quien queda expuesto.
Vamos con la parte que importa. Son cuatro cajones y tu situación cae en uno, en varios o en ninguno.
Interacción con personas: chatbots, voz y atención telefónica
Si tu web tiene un asistente conversacional, un bot de WhatsApp o una centralita con voz sintética, la persona debe saber que no habla con un humano. La norma admite una excepción de sentido común: cuando resulte obvio para un usuario razonablemente informado.
¿Y cuándo es obvio? Ahí está la trampa que casi todos pisamos. Un widget que se llama "Asistente virtual" y contesta en 200 milisegundos es obvio. Un bot bautizado "Laura" que escribe con emojis, dice "déjame que lo mire" y tarda seis segundos en responder, no lo es. Nosotros aplicamos una regla interna: si el diseño imita deliberadamente el comportamiento humano, el aviso deja de ser opcional.
Imagen, audio y vídeo sintéticos: el caso deepfake
Aquí conviven dos capas distintas y confundirlas sale caro. La primera es técnica y recae en quien crea la herramienta: lo generado debe llevar un sello detectable por máquina, tipo marca de agua o metadatos de procedencia (el estándar C2PA es el que más tracción tiene). La segunda es informativa y recae en quien publica: si difundes una imagen o un vídeo que muestra a personas, lugares o hechos reales manipulados, hay que revelarlo.
Imagina que subes a Instagram el retrato hiperrealista de un cliente ficticio para una campaña. Eso entra. Imagina que ilustras un artículo con una textura abstracta generada. Eso no muestra nada real, y se queda fuera.
Texto publicado sobre asuntos de interés público
Este cajón es el más estrecho y el peor entendido de los cuatro. Solo cubre texto generado o manipulado por IA que se publica con la finalidad de informar al público sobre asuntos de interés público. Elecciones, sanidad, seguridad, medio ambiente, decisiones institucionales.
La ficha de producto de tu tienda de calzado no informa sobre asuntos de interés público. El post de tu blog corporativo explicando ventajas de un servicio, tampoco. Y aun cayendo dentro, existe una salida que veremos más abajo y que casi nadie usa correctamente.
Detección de emociones y biometría
Cuarto cajón, el que menos empresas tienen y el que más rápido se resuelve: si usas un sistema de reconocimiento de emociones o de categorización biométrica, debes informar a las personas expuestas a él. Aquí el deber cae en quien lo despliega, no en quien lo fabrica.
Software de análisis de expresiones faciales en pruebas de usabilidad, control de accesos que clasifica por rasgos, herramientas de RRHH que puntúan entrevistas grabadas. Y ojo: parte de estos usos ya está directamente prohibida desde febrero de 2025 en el trabajo y en la educación, así que antes de redactar el aviso, comprueba que el sistema sea legal.
Lo que nadie te cuenta: el paquete correctivo cambió el calendario
Aquí viene lo bueno, y es la razón por la que buena parte de los artículos que circulan están desactualizados sin saberlo.
El 19 de noviembre de 2025 la Comisión Europea presentó un paquete de simplificación digital que toca directamente el calendario de aplicación. Cuando escribimos esto sigue en tramitación entre Parlamento y Consejo, así que la redacción final puede moverse. Pero la dirección está clara: retrasar los bloques más pesados y dar aire a la parte técnica.
Durante seis semanas de octubre nosotros trabajamos con la hipótesis contraria. Dábamos por hecho que el bloque de alto riesgo del Anexo III entraría sin tocar y planificamos tres proyectos de cumplimiento en consecuencia. Cuando salió la propuesta, tuvimos que rehacer dos hojas de ruta completas y devolver parte de un presupuesto. Lección aprendida (a un precio bastante concreto): en materia regulatoria, no cierres entregables contra fechas que aún puede cambiar el legislador.
Qué se mantiene el 2 de agosto y qué salta a 2027
Esta es la foto que usamos internamente para decidir qué se toca ahora y qué espera:
| Bloque | Situación |
|---|---|
| Prácticas prohibidas y alfabetización en IA | Aplicables desde febrero de 2025. Sin cambios. |
| Modelos de propósito general, gobernanza y sanciones | Aplicables desde agosto de 2025. Sin cambios. |
| Transparencia de los cuatro supuestos | Se mantiene en la fecha prevista para 2026. |
| Alto riesgo del Anexo III | La propuesta correctiva plantea desplazarlo más allá de 2027. |
| IA como componente de seguridad de productos regulados | Agosto de 2027, con posible desplazamiento adicional. |
Si tu duda es exactamente cuál de estos bloques respira y cuál no, merece la pena revisar el desglose de qué se aplaza y qué no en el calendario europeo, un seguimiento que actualizamos con cada movimiento del expediente y que te ahorra una mañana entera leyendo considerandos.
El periodo de gracia del etiquetado técnico
La pieza más práctica del paquete correctivo es un transitorio para el sello técnico de los contenidos sintéticos. Según la propuesta, todavía no aprobada, los sistemas ya comercializados antes de la aplicación general dispondrían de un margen adicional para incorporar la marca de agua o los metadatos de procedencia. La duración concreta de ese margen es precisamente lo que se está discutiendo, así que cualquier cifra que leas hoy es provisional.
¿Significa esto que puedes ignorarlo? Si eres proveedor, no: significa que tienes espacio para hacerlo bien en lugar de improvisar un parche en julio.
Y si solo publicas contenido con herramientas de terceros, tu deber no es implementar la marca. Es no eliminarla. Un detalle que se pasa por alto constantemente cuando se recomprime un vídeo o se reexporta una imagen y los metadatos se van por el desagüe (nos pasó con un carrusel entero antes de que lo detectáramos).
¿Proveedor o simple usuario? Tu obligación cambia según el papel
La mitad de los errores que vemos nacen de aquí. La norma distingue entre quien pone el sistema en el mercado (proveedor) y quien lo utiliza bajo su autoridad en un contexto profesional (responsable del despliegue). No son lo mismo y no cargan con lo mismo.
Contratas un chatbot SaaS y lo pones en tu web: eres responsable del despliegue, y tu deber es que el aviso llegue al usuario final. La trazabilidad técnica del contenido sintético, en cambio, corresponde al proveedor de la herramienta.
Ahora la vuelta de tuerca. Si personalizas ese sistema, lo pones bajo tu marca o modificas sustancialmente su finalidad, puedes convertirte en proveedor sin haberlo pretendido. Nos ocurrió con una startup de formación que había hecho fine-tuning de un modelo abierto, lo rebautizó y lo vendía como producto propio. Habían asumido que seguían siendo meros clientes. No lo eran, y descubrirlo en la primera reunión les cambió el proyecto entero.
La forma de salir de esa niebla no es un dictamen jurídico de 40 páginas: es un inventario. Antes de decidir qué te toca conviene tener listado cada sistema, quién lo suministra, para qué se usa y qué evidencia guardas, y ese trabajo está descrito paso a paso en nuestra guía de inventario de IA y evidencias, la primera fase que aplicamos en todos los proyectos antes de tocar una sola línea de aviso legal. Sin ese mapa, cualquier decisión posterior es a ciegas.
Las excepciones que casi nadie aplica bien (revisión humana y uso editorial)
Existen dos vías de escape legítimas, y las vemos invocar mal casi siempre.
La primera: el texto sobre asuntos de interés público queda exento cuando el contenido ha sido sometido a revisión humana o control editorial y una persona física o jurídica asume la responsabilidad editorial sobre la publicación. Fíjate en el verbo. Asumir responsabilidad no es pasar el corrector ortográfico. Implica que alguien identificable responde de lo publicado.
La segunda afecta a las obras manifiestamente artísticas, creativas, satíricas o de ficción: la revelación debe hacerse de un modo que no estorbe la exhibición o el disfrute de la obra. Un cortometraje con actores digitales puede llevar la mención en créditos, no rotulada sobre cada plano.
Nuestro criterio de trabajo, después de discutirlo bastante: si no puedes señalar con el dedo a la persona que revisó y aprobó, no tienes excepción. Tienes un deseo.
El error de creer que basta con una nota al pie
Una línea en gris claro a 11 píxeles, en el footer, tras siete scrolls. La hemos visto en 18 de los 31 sitios auditados y no sirve para nada.
El estándar legal es que la información se facilite de manera clara y distinguible, a más tardar en el momento de la primera interacción o exposición. Traducido a diseño: en el punto y en el instante en que la persona se encuentra con el sistema o el contenido.
El aviso del asistente conversacional va dentro del widget, en el primer mensaje, no en la política de privacidad. La revelación del vídeo sintético va en el propio reproductor o en la descripción visible, no en un PDF de condiciones. Y si tienes que explicar dónde está el aviso, ya no es distinguible.
Añade el factor económico: incumplir este deber puede llegar a 15 millones de euros o el 3% del volumen de negocio anual mundial, la cifra que sea mayor.
Para una pyme española el techo teórico es irrelevante. El requerimiento de la autoridad, el plazo de subsanación y el coste reputacional no lo son en absoluto.
Cómo dejarlo resuelto en una tarde: revisión mínima viable
Total, que después de todo lo anterior la pregunta operativa es: ¿qué hago yo el lunes? Esto es lo que ejecutamos nosotros en sesiones de tres a cuatro horas.
- Inventaria cada sistema de IA en uso.
- Define tu papel en cada uno.
- Comprueba si encaja en algún supuesto.
- Revisa el mensaje inicial del asistente.
- Verifica que no borras metadatos al reexportar.
- Documenta quién revisa y aprueba contenidos.
- Guarda evidencia fechada de cada decisión.
El paso siete es el que todos se saltan y el único que te salva en un requerimiento. Sin registro fechado, tu cumplimiento es una afirmación tuya contra una pregunta de la autoridad.
De los 31 casos que revisamos, 19 se cerraron con cambios que no llegaron a dos horas de desarrollo: reescribir el mensaje inicial del bot, ajustar un pie de vídeo, documentar el flujo de aprobación editorial. Otros 9 necesitaron entre uno y tres días por temas de metadatos en el pipeline de imágenes. Solo 3 requirieron análisis jurídico externo, y en los tres el motivo era el mismo: se habían convertido en proveedores sin darse cuenta.
Preguntas frecuentes
¿Tengo que avisar si escribo mis artículos con ayuda de un modelo generativo?
Salvo que el texto informe al público sobre asuntos de interés público, no. Y aun en ese caso, la revisión humana con responsabilidad editorial asumida te exime. Usar IA como herramienta de redacción comercial o divulgativa ordinaria no genera deber de revelación.
¿Qué pasa exactamente el 2 de agosto de 2026?
Empieza la aplicación general del reglamento, incluidos los cuatro supuestos descritos aquí. El bloque de sistemas de alto riesgo del Anexo III es el que el paquete correctivo propone desplazar, y el sello técnico de contenidos contaría con un transitorio adicional.
¿Se ha aplazado la parte de sistemas de alto riesgo?
Está propuesto, no aprobado. La iniciativa de simplificación de noviembre de 2025 plantea llevar el Anexo III más allá de 2027, pero sigue en tramitación entre Parlamento y Consejo. Hasta que se publique el texto final, la fecha vigente es la original.
¿El aviso del chatbot vale en el aviso legal?
No. Debe facilitarse a más tardar en la primera interacción y de forma clara y distinguible. Lo correcto es el propio widget: nombre que no imite a una persona y mensaje inicial que identifique su naturaleza automatizada. El aviso legal es complemento, nunca sustituto.
Si uso una herramienta de terceros, ¿la responsabilidad es suya?
Parcialmente. La trazabilidad técnica del contenido corresponde al proveedor; la información al usuario final y el uso conforme te corresponden a ti. Si además personalizas el sistema, lo rebautizas o cambias su finalidad, puedes pasar a ser considerado proveedor con todas sus cargas.
¿Cuánto pueden multarme por no informar?
El régimen sancionador prevé hasta 15 millones de euros o el 3% del volumen de negocio anual mundial, aplicándose la cifra superior. Las prácticas prohibidas suben a 35 millones o el 7%. En pymes pesan más el requerimiento y el plazo de subsanación.
Conclusión
El AI Act no te pide que confieses cada uso de la tecnología. Te pide que nadie se confunda sobre con quién habla y sobre qué está viendo.
Ese cambio de enfoque lo resuelve casi todo. Deja de buscar un banner universal y empieza por el mapa de sistemas, el papel que juegas en cada uno y las evidencias. Con eso encima de la mesa, la mayoría de negocios descubre que su exposición real es mucho menor de lo que le habían contado, y que el trabajo pendiente cabe en una tarde bien organizada.
Lo que no cabe es dejarlo para julio.