AI Act: qué debe hacer tu empresa antes del 2 de agosto
El AI Act sí se ha retrasado, pero solo en su parte de alto riesgo. Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026 sin cambios: si tu empresa tiene un chatbot, debe avisar de que es una IA, y el contenido que genere debe ir marcado. Eso te afecta ya.
Durante las últimas semanas el titular ha sido “Bruselas retrasa el reglamento de IA”. Es cierto a medias, y la mitad que no es cierta es justo la que toca a la mayoría de empresas. Esto no es un análisis jurídico: es la lista de lo que hay que cambiar en tu producto, escrita por alguien que construye estos sistemas.
¿Se ha retrasado el AI Act o no?
Se ha retrasado una parte concreta. El Digital Omnibus sobre IA, aprobado por el Parlamento Europeo el 16 de junio de 2026 y por el Consejo el 29 de junio, firmado el 8 de julio, aplaza las obligaciones de los sistemas de alto riesgo: los sistemas autónomos del Anexo III pasan del 2 de agosto de 2026 al 2 de diciembre de 2027, y los integrados en productos regulados del Anexo I, al 2 de agosto de 2028.
El motivo no fue político: no llegaron a tiempo las normas armonizadas, las autoridades competentes designadas ni los organismos de evaluación de la conformidad. Sin esa infraestructura, el requisito no era aplicable en la práctica.
Lo que no se ha movido:
| Obligación | Desde cuándo |
|---|---|
| Alfabetización en IA (art. 4) | 2 de febrero de 2025, ya en vigor |
| Prácticas prohibidas (art. 5) | 2 de febrero de 2025, ya en vigor |
| Modelos de uso general (cap. V) | 2 de agosto de 2025, ya en vigor |
| Transparencia (art. 50) | 2 de agosto de 2026 |
Si tu empresa tiene un chatbot de atención al cliente, un asistente interno o un sistema que genera texto o imágenes, tu fecha es la última. No la de 2027.
¿Qué te obliga el artículo 50 si tienes un chatbot?
Cuatro obligaciones, y la primera cosa que hay que aclarar es cuál te toca a ti. El reglamento distingue entre el proveedor (quien desarrolla el sistema y lo pone en el mercado, también si lo hace bajo tu marca) y el responsable del despliegue (quien lo usa bajo su autoridad).
Si eres proveedor:
- Avisar de que es una IA (art. 50.1). Los sistemas destinados a interactuar directamente con personas deben diseñarse para que la persona sepa que está hablando con una IA, salvo que resulte evidente. La información se da al inicio de la primera interacción, de forma clara y distinguible.
- Marcar el contenido sintético (art. 50.2). El audio, imagen, vídeo o texto generado por tu sistema debe ir marcado en un formato legible por máquina y ser detectable como generado artificialmente. Quedan fuera las funciones de asistencia a la edición, el código fuente, las secuencias cortas de símbolos y las salidas máquina a máquina que ninguna persona ve.
Si eres responsable del despliegue:
- Reconocimiento de emociones y categorización biométrica (art. 50.3). Hay que informar a las personas expuestas al sistema.
- Deepfakes y textos de interés público (art. 50.4). Si publicas contenido generado o manipulado por IA para informar al público sobre asuntos de interés público, hay que declararlo. Con una excepción importante: si el contenido ha pasado por revisión humana o control editorial y alguien asume la responsabilidad, la obligación de etiquetar decae. Un corrector ortográfico no cuenta como revisión.
Aquí está el error más común que veo: creer que compras el chatbot y con eso te desentiendes. Si lo encargas a un tercero pero sale bajo tu marca, asumes obligaciones de proveedor. Y las de responsable del despliegue son tuyas en cualquier caso.
¿Basta con ponerlo en los términos y condiciones?
No. El texto exige que la información se dé a más tardar en el momento de la primera interacción, de forma clara y distinguible. Un aviso enterrado en la política de privacidad no cumple ese criterio.
En la práctica, esto son cambios de producto pequeños y concretos:
- El primer mensaje del bot dice que es un asistente automático. No un pie de página gris de 10px.
- El aviso sobrevive a los puntos de entrada laterales: si el usuario entra por un enlace directo, por WhatsApp o por un widget embebido, también lo ve.
- Si el sistema genera imágenes o audio, la marca legible por máquina va en los metadatos de salida, no en un texto que el usuario puede recortar. El reglamento no impone un formato técnico concreto, así que la decisión de implementación es tuya y conviene documentarla.
- Guardas evidencia. Para demostrar que cumples necesitas registros de qué se mostró y cuándo, que es exactamente la trazabilidad que un sistema en producción debería tener de todas formas.
Hay un matiz útil sobre plazos: según el texto acordado del ómnibus, los sistemas generativos que ya estuvieran en el mercado antes del 2 de agosto de 2026 disponen hasta el 2 de diciembre de 2026 para cumplir el marcado legible por máquina del artículo 50.2. El resto de obligaciones no tiene esa prórroga, y el contenido generado antes de la fecha no hay que reetiquetarlo hacia atrás.
¿Y la obligación de formación que casi nadie ha cumplido?
El artículo 4 obliga a proveedores y responsables del despliegue a garantizar un nivel suficiente de alfabetización en IA entre el personal que opera y usa estos sistemas, teniendo en cuenta sus conocimientos, el contexto de uso y las personas afectadas.
Está en vigor desde el 2 de febrero de 2025. Lleva año y medio siendo exigible y es, con diferencia, la que menos empresas han trabajado. No pide un certificado oficial ni un curso concreto: pide un nivel adecuado y demostrable. Una formación interna documentada, con fecha y asistentes, es una respuesta razonable y barata.
¿Cuánto cuesta incumplir?
El incumplimiento de las obligaciones de transparencia del artículo 50 entra en el régimen sancionador general: hasta 15.000.000 € o el 3% del volumen de negocios anual mundial del ejercicio anterior, la cuantía que sea mayor.
El detalle que casi nunca se cuenta y que cambia el cálculo para una pyme: el artículo 99.6 invierte la regla para las pymes, incluidas las empresas emergentes. Para ellas la multa se limita a la cuantía o al porcentaje que sea menor de los dos. Para una empresa pequeña, el techo real es el 3% de su facturación, no los 15 millones.
La condición de pyme se aprecia caso por caso según la definición europea, así que conviene confirmarla antes de dar por bueno el cálculo.
Las sanciones son aplicables desde el 2 de agosto de 2025, pero una infracción del artículo 50 solo puede sancionarse desde que el artículo 50 es aplicable, es decir, desde el 2 de agosto de 2026.
En España, la autoridad de vigilancia del mercado es la AESIA. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, publicado por el Congreso el 12 de junio de 2026, sigue en tramitación parlamentaria: conviene seguirlo, pero el reglamento europeo se aplica de forma directa sin esperar a esa ley.
¿Qué hago esta semana?
Una lista corta y ejecutable:
- Inventaría. Qué sistemas de IA tienes en contacto con personas: chatbots, asistentes internos, generadores de contenido, clasificadores que envían respuestas automáticas.
- Decide tu papel en cada uno. Proveedor, responsable del despliegue o los dos. De ahí sale qué obligación es tuya.
- Revisa el primer mensaje. ¿Se identifica como IA desde la primera interacción y por todos los puntos de entrada?
- Mira las salidas generativas. ¿Sale marca legible por máquina? Si el sistema ya estaba en el mercado, tienes hasta el 2 de diciembre.
- Documenta la formación del equipo que usa estos sistemas. Fecha, contenido y asistentes.
- Guarda las trazas. Sin registro no hay forma de demostrar nada.
Si al hacer el punto 1 descubres que no sabes cuántos sistemas hay ni quién responde por ellos, ese es el trabajo real y no lo resuelve un abogado. Es lo primero que miro en una auditoría de IA para empresas, junto con la trazabilidad y el coste por ejecución. Y si el sistema en cuestión es un chatbot de atención al cliente, cumplir el artículo 50 son unas horas de trabajo si está bien construido, o un rediseño si nadie pensó en registrar nada.
La fecha del 2 de agosto no va a moverse para el artículo 50. La del alto riesgo ya se movió, y por eso mucha empresa ha bajado la guardia justo en la parte que sí le aplica.
Fuentes
- Reglamento (UE) 2024/1689 (AI Act), texto consolidado en EUR-Lex
- Comisión Europea: obligaciones de transparencia del artículo 50
- Comisión Europea: marco regulador de la IA y calendario de aplicación
Este artículo explica requisitos técnicos y de producto, no es asesoramiento jurídico. Soy Iván López, Ingeniero IA. Si tienes un chatbot o un agente en producción y no sabes si cumple, cuéntame tu caso y lo revisamos.