La Ley de IA de la UE comienza a exigir transparencia, pero las etiquetas son solo la mitad de la prueba
La Ley de IA de la UE alcanza un plazo decisivo el 2 de agosto, cuando las divulgaciones para chatbots y el etiquetado de contenido generado por IA pasan a aplicarse activamente en todo el bloque. Las normas abordan una carencia básica de información: a menudo, las personas no pueden saber si están hablando con software o viendo contenido sintético.
Los requisitos inmediatos parecen sencillos. Los chatbots deben identificarse cuando su naturaleza artificial no sea ya evidente. Los proveedores de sistemas generativos deben hacer que los resultados sintéticos o manipulados sean detectables en un formato legible por máquinas.
Los responsables del despliegue también afrontan obligaciones de divulgación visible para los deepfakes y determinados materiales de interés público. Sin embargo, la verdadera pugna no es entre las empresas de IA. Es entre la promesa de contenidos sintéticos reconocibles y la realidad técnica de marcas que pueden desaparecer, entrar en conflicto o perder todo significado.
La Comisión Europea publicó orientaciones definitivas antes del plazo, ofreciendo a las empresas una interpretación más clara del artículo 50. La aplicación recaerá principalmente en las autoridades nacionales de vigilancia del mercado, mientras que la Oficina Europea de IA tiene competencia sobre un grupo más reducido de sistemas.
Esta distinción importa para desarrolladores, editores, plataformas y compradores empresariales. El 2 de agosto no se limita a introducir otro aviso junto a una política de privacidad. Lleva las decisiones sobre procedencia y divulgación a las interfaces de producto, los flujos de producción de medios, los contratos con proveedores y los registros de auditoría.
Qué cambia con la Ley de IA de la UE el 2 de agosto
El artículo 50 convierte la identidad de la IA y la procedencia de los medios sintéticos de decisiones de producto en obligaciones legales.
La Ley de IA de la UE entró en vigor el 1 de agosto de 2024, pero sus disposiciones siguen un calendario de aplicación escalonado. El artículo 50 y la mayoría de las normas restantes empiezan a aplicarse el 2 de agosto de 2026.
El texto operativo cubre cuatro situaciones, en lugar de todos los usos de la inteligencia artificial. Su primera norma se refiere a sistemas diseñados para interactuar directamente con personas. Los proveedores deben garantizar que los usuarios sepan que están interactuando con IA, salvo que ese hecho ya sea evidente.
Un asistente de atención al cliente, bot de selección de personal, acompañante virtual o agente de soporte automatizado puede quedar incluido en ese requisito. La divulgación debe producirse durante la interacción, no permanecer oculta en términos y condiciones remotos.
La prueba también depende del contexto. La ley pregunta qué reconocería una persona razonablemente informada y observadora dadas las circunstancias. Un personaje de videojuego claramente ficticio plantea un caso distinto al de un agente de soporte financiero con apariencia humana.
El segundo requisito aborda los sistemas que generan o manipulan texto, imágenes, audio o vídeo. Los proveedores deben diseñar sus sistemas de modo que los resultados incorporen indicaciones legibles por máquinas de su origen artificial.
El texto legal exige que esas medidas técnicas sean eficaces, interoperables, sólidas y fiables, en la medida en que sea técnicamente viable. También permite a los reguladores considerar los costes de implementación y las normas técnicas generalmente aceptadas.
Esta obligación para los proveedores difiere de la etiqueta visible exigida en determinados escenarios de despliegue. Una marca legible por máquinas está dirigida al software y a las herramientas de verificación. Una divulgación visual o sonora está dirigida a la persona que encuentra el contenido.
La tercera categoría abarca los sistemas de reconocimiento de emociones y categorización biométrica. Las organizaciones que utilicen dichos sistemas deben informar a las personas expuestas a ellos, con excepciones limitadas para la aplicación de la ley.
La cuarta categoría se aplica cuando los responsables del despliegue publican deepfakes o texto generado por IA sobre asuntos de interés público. Las imágenes, el audio y los vídeos deepfake generalmente requieren una divulgación clara de que el material fue generado o manipulado artificialmente.
El texto de interés público recibe una norma más limitada. La divulgación es obligatoria cuando se publica texto generado o manipulado por IA para informar al público sin revisión humana ni responsabilidad editorial.
Esa excepción protege los flujos de trabajo editoriales habituales de ser tratados como publicación completamente automatizada. No elimina la necesidad de examinar quién revisó el material y quién asumió la responsabilidad de publicarlo.
La Comisión afirma que el objetivo es reducir el engaño y la manipulación, al tiempo que ayuda a las personas a formarse juicios informados. Sus orientaciones de transparencia traducen ese principio en expectativas más específicas para proveedores y responsables del despliegue.
El plazo presiona a más actores que los creadores de chatbots
La carga de cumplimiento sigue al sistema de IA desde su desarrollador hasta la organización que presenta su resultado ante el público.
Los desarrolladores de modelos atraen la mayor atención, pero el artículo 50 divide la responsabilidad entre proveedores y responsables del despliegue. Un proveedor desarrolla un sistema de IA o lo comercializa bajo su propio nombre. Un responsable del despliegue utiliza ese sistema bajo su autoridad.
Esa división presiona a proveedores de software, minoristas, bancos, editores, anunciantes, organismos públicos y equipos de tecnología en el lugar de trabajo. Deben determinar qué obligaciones corresponden al proveedor y cuáles siguen recayendo en el cliente.
Pensemos en un minorista en línea que añade un asistente conversacional. El proveedor de software debe diseñar el sistema para divulgar su identidad como IA cuando sea necesario. El minorista debe mantener esa divulgación en lugar de presentar al bot como un empleado.
Una agencia de medios afronta otra cadena de responsabilidad. Su generador de imágenes debería producir resultados sintéticos detectables, mientras que la agencia podría tener que etiquetar un deepfake al publicar la campaña final.
El requisito se vuelve más difícil cuando varias herramientas intervienen en el mismo archivo. Una imagen puede pasar por generación, retoque, redimensionamiento, programación para redes sociales y distribución de contenido antes de llegar a un espectador.
Cada paso puede alterar los metadatos o eliminar una señal técnica. Eso convierte la contratación y las pruebas de los flujos de trabajo en tareas centrales de cumplimiento, incluso cuando la etiqueta final parece sencilla.
Los compradores empresariales deberían preguntar ahora a los proveedores si las marcas legibles por máquinas sobreviven a la exportación, la edición, la transcodificación y los sistemas de publicación habituales. También necesitan pruebas que respalden esas afirmaciones.
Una declaración de marketing sobre «IA responsable» aporta poco valor de auditoría. La documentación técnica, los archivos de muestra, los historiales de versiones y las pruebas repetibles ofrecen evidencia más sólida de que un sistema se comporta como promete.
Las organizaciones también necesitan un inventario de las interacciones de IA orientadas al público. Una empresa puede hacer seguimiento de su chatbot principal mientras pasa por alto agentes de ventas automatizados, sistemas de voz, asistentes de incorporación o funciones de IA integradas por contratistas.
El mismo problema aparece en la publicación. Los equipos deben identificar qué flujos de trabajo crean deepfakes, cuáles producen texto de interés público y dónde se realiza una revisión humana significativa.
La revisión humana no puede convertirse en una casilla ceremonial. Las organizaciones deberían documentar quién examinó el resultado, qué evaluó y quién asumió la responsabilidad editorial.
Este mantenimiento de registros es especialmente importante porque la Comisión no actúa como único regulador de primera línea. Las autoridades nacionales de vigilancia del mercado gestionarán la mayor parte de la aplicación, lo que crea una estructura de supervisión distribuida.
La Oficina Europea de IA tiene un papel de aplicación más limitado. Puede supervisar sistemas pertinentes basados en modelos de IA de uso general cuando el proveedor también suministra el sistema y el modelo subyacente.
También tiene competencia en determinados casos que involucran plataformas en línea o motores de búsqueda muy grandes. El Supervisor Europeo de Protección de Datos gestiona los sistemas cubiertos utilizados por las instituciones de la UE.
Por tanto, las empresas afrontan un marco normativo compartido, pero relaciones de supervisión potencialmente distintas. Esto aumenta el valor de una documentación interna coherente entre productos y mercados de los Estados miembros.
Las respuestas sobre el artículo 50 de la Comisión indican que las multas pueden alcanzar los 15 millones de euros o el 3 por ciento de la facturación anual mundial. La proporcionalidad se aplica a las empresas más pequeñas.
El riesgo de aplicación no es la única preocupación. Una divulgación deficiente también puede generar problemas de protección del consumidor, reputación, contratos o políticas de plataformas antes de que un regulador imponga una sanción.
Las etiquetas deben sobrevivir a la cadena de suministro de contenido
La disyuntiva central es clara: divulgación transparente frente a un sistema de medios fragmentado que puede eliminar u ocultar la procedencia.
El artículo 50 utiliza dos mecanismos complementarios. Las etiquetas orientadas a las personas indican al público lo que está viendo. Las marcas legibles por máquinas permiten al software reconocer y rastrear contenido artificial a escala.
Ninguno de los dos mecanismos basta por sí solo. Una etiqueta visible puede recortarse de una imagen, separarse de un vídeo republicado u omitirse de una captura de pantalla. Una señal legible por máquinas puede volverse inaccesible para la persona que visualiza la obra.
La procedencia técnica también puede romperse de forma involuntaria. Las plataformas sociales recomprimen imágenes, las aplicaciones de mensajería alteran archivos y los servicios de vídeo transcodifican las cargas a nuevos formatos.
Las herramientas de edición introducen otro punto de fallo. Un registro de procedencia válido en el momento de la generación no garantiza que el archivo final exportado conserve la misma información.
Por ello, la Comisión hace hincapié en la fiabilidad a lo largo del ciclo de vida del contenido. Los proveedores deben tener en cuenta las formas previsibles en que sus resultados se almacenarán, editarán, distribuirán y detectarán.
Legible por máquinas no significa que la ley exija una única tecnología universal en todos los casos. La obligación se centra en el resultado, mientras que las normas y prácticas del sector pueden orientar la implementación.
Un enfoque utiliza metadatos de procedencia firmados que registran el origen y el historial de edición de un archivo. Otro incorpora una señal imperceptible dentro del propio contenido multimedia.
Los metadatos pueden contener información detallada, pero el procesamiento habitual puede eliminarlos. Las marcas de agua integradas pueden sobrevivir a algunas transformaciones, aunque la precisión de detección y la durabilidad varían según el tipo de medio.
Un diseño por capas puede combinar esos métodos con divulgación visible. La ventaja es la redundancia. Si una señal desaparece, otra todavía puede comunicar el origen del contenido.
Este enfoque genera costes y compromisos de diseño. Las marcas de agua deben seguir siendo detectables sin deteriorar perceptiblemente el resultado legítimo. Los registros de procedencia deben resistir la manipulación sin exponer información personal o comercial innecesaria.
Las herramientas de detección también necesitan acceso fiable a los datos de verificación pertinentes. Una marca que solo su creador puede interpretar ofrece un valor limitado a plataformas, investigadores, periodistas y clientes posteriores.
Los falsos positivos plantean otra preocupación. Un detector que etiqueta incorrectamente contenido auténtico como sintético puede perjudicar a los creadores y debilitar la confianza en todo el sistema.
Los falsos negativos generan el problema opuesto. El contenido manipulado puede circular sin ser detectado, incluso cuando un generador conforme añadió originalmente una marca.
La Ley reconoce estas limitaciones mediante su lenguaje sobre viabilidad técnica. Esa salvedad es práctica, pero también plantea una cuestión de aplicación: ¿cuánta resiliencia se considera suficiente?
Las empresas tendrán que demostrar su razonamiento. Un proceso defendible debería identificar las transformaciones esperadas, probar si las marcas sobreviven a ellas y registrar fallos y medidas correctivas.
El código voluntario de transparencia ofrece una vía estructurada para demostrar el cumplimiento. No sustituye al artículo 50 ni convierte la ley subyacente en opcional.
Las organizaciones no tienen que firmar el código. Quienes no lo suscriban deberán seguir demostrando el cumplimiento mediante otras medidas adecuadas y pueden esperar un escrutinio más exhaustivo de su enfoque elegido.
La Comisión ha señalado que las autoridades pueden solicitar información más detallada a quienes no suscriban el código. Una comparación documentada con el código puede ayudar a explicar por qué otra implementación ofrece una protección equivalente.
Aquí es donde el plazo de agosto transforma la ingeniería de producto. La procedencia ya no es solo una función de la plataforma. Se convierte en una propiedad integral que debe sobrevivir a las condiciones reales de distribución.
La divulgación de deepfakes tiene límites importantes
Las normas se dirigen a la ambigüedad engañosa, pero no exigen que toda obra asistida por IA lleve la misma advertencia visible.
Un deepfake en virtud de la Ley comprende imágenes, audios o vídeos generados o manipulados mediante IA que se asemejan a personas, objetos, lugares, entidades o acontecimientos existentes. El material debe aparentar falsamente ser auténtico o veraz.
Esa definición abarca riesgos conocidos como voces clonadas, vídeos políticos fabricados e imágenes realistas que retratan acontecimientos que nunca ocurrieron. Es más específica que el «contenido creado con IA».
Una ilustración de fantasía evidente no se convierte automáticamente en un deepfake. Una grabación sintética que suplanta a un director ejecutivo durante una solicitud de pago plantea un caso mucho más claro.
Quienes desplieguen sistemas deben divulgar que el material deepfake cubierto fue generado o manipulado artificialmente. La divulgación debe ser clara y distinguible cuando la audiencia encuentre el contenido por primera vez.
Las obras artísticas, creativas, satíricas, ficticias y comparables reciben un tratamiento adaptado. La divulgación sigue siendo necesaria, pero no debe obstaculizar la exhibición o el disfrute de la obra.
Esa disposición reconoce un difícil problema de diseño. Una advertencia prominente puede evitar el engaño, pero un aviso intrusivo puede distorsionar una película, una actuación, un juego o una obra de arte visual.
El contexto se vuelve esencial. Una etiqueta adecuada para un clip de noticias puede no encajar en un estreno cinematográfico, y una divulgación de audio puede funcionar de manera distinta que un pie de imagen.
La norma sobre textos de interés público crea otro límite importante. Por lo general, los textos totalmente automatizados publicados para informar al público requieren divulgación cuando la IA los generó o manipuló.
Sin embargo, el requisito no se aplica cuando una persona revisa el texto o ejerce control editorial y alguien asume la responsabilidad de la publicación.
Esa excepción no debe interpretarse como una exención universal para cualquier contenido que haya pasado por un editor. Las cuestiones de fondo se refieren a una revisión, control y rendición de cuentas significativos.
Una redacción que utiliza IA para transcripción o sugerencias de texto se encuentra en una posición distinta a la de un sitio automatizado que publica resúmenes políticos sin revisar. El flujo de trabajo final importa más que una etiqueta genérica de «asistido por IA».
La ley también contiene excepciones para determinados sistemas de aplicación de la ley autorizados legalmente. Esas excepciones incluyen salvaguardias y no convierten las herramientas públicas de denuncia de delitos en interfaces de IA ocultas.
Las organizaciones deben evitar etiquetarlo todo en exceso como respuesta defensiva. Las advertencias generales pueden hacer que los avisos significativos sean más difíciles de percibir y enseñar a los usuarios a ignorarlos.
Una mejor divulgación indica a la audiencia lo que importa en el momento relevante. Identifica la interacción o manipulación artificial sin abrumar a los usuarios con detalles técnicos.
Los datos rápidos de la Comisión separan las obligaciones de los proveedores de las obligaciones de quienes despliegan sistemas. Esa distinción ayuda a los equipos a evitar tratar una etiqueta genérica como un programa completo de cumplimiento.
Por ejemplo, una plataforma de vídeo puede necesitar preservar la procedencia técnica de un generador ascendente. La persona que publica un vídeo sintético engañoso puede tener, por separado, la obligación de realizar una divulgación visible.
La responsabilidad también puede solaparse. Una empresa que desarrolla un sistema y lo despliega bajo su propia autoridad puede tener obligaciones en ambos roles.
La lección práctica es que las organizaciones deben clasificar los usos, no solo a los proveedores. El mismo modelo generativo puede servir para retoques de imagen de bajo riesgo, entretenimiento ficticio o suplantación engañosa.
Un proceso de revisión útil debe registrar el propósito, la audiencia, el grado de realismo, el sujeto representado, la supervisión humana y el contexto de publicación. Esos hechos determinan qué divulgación es pertinente.
La mayor incertidumbre es si la transparencia funcionará
El cumplimiento puede hacer que los medios sintéticos sean más fáciles de identificar sin lograr que el engaño desaparezca.
Los actores decididos pueden utilizar herramientas que no cumplen, eliminar divulgaciones visibles, grabar los resultados mediante otro dispositivo o distribuir el material fuera de plataformas colaboradoras. El artículo 50 no puede eliminar esas tácticas.
En cambio, la ley modifica los incentivos y establece una base de referencia para proveedores y responsables del despliegue legítimos. Los grandes servicios que operan en Europa deben incorporar divulgación y procedencia al comportamiento habitual de sus productos.
Esto puede mejorar la información disponible para plataformas, investigadores y audiencias. También puede hacer que la ausencia de procedencia esperada sea una señal de advertencia útil.
Sin embargo, la ausencia no es prueba de fabricación. Los archivos antiguos, las capturas de pantalla, las cámaras heredadas y los flujos de trabajo que preservan la privacidad pueden carecer de procedencia por motivos totalmente legítimos.
Un sistema de detección fiable debe comunicar la incertidumbre. Debe distinguir entre procedencia confirmada, información faltante, credenciales dañadas y manipulación sospechada.
La misma cautela se aplica a los usuarios. Una etiqueta visible de IA confirma la participación artificial, pero no establece que una afirmación sea falsa o perjudicial.
A la inversa, los medios auténticos pueden presentar los acontecimientos de forma selectiva o sin contexto. La procedencia respalda la evaluación, pero no puede sustituir al periodismo, la verificación de fuentes ni al juicio crítico.
La aplicación transfronteriza crea otra incertidumbre. Las autoridades nacionales comparten la misma regulación, pero las primeras investigaciones pueden diferir en prioridades, personal y capacidad técnica.
Las orientaciones de la Comisión deberían reducir las interpretaciones incoherentes, aunque los casos difíciles seguirán requiriendo decisiones de supervisión y posiblemente litigios. Los equipos de producto deben esperar que las prácticas de implementación evolucionen.
También hay una particularidad temporal para los sistemas existentes. Los sistemas de IA generativa comercializados antes del 2 de agosto reciben una transición limitada para la obligación de marcado legible por máquina.
Esos sistemas deben cumplir esa obligación específica antes del 2 de diciembre de 2026. El período de gracia no pospone de forma general el artículo 50 ni elimina otras obligaciones de divulgación aplicables.
El contenido generado y puesto a disposición antes del 2 de agosto no requiere etiquetado retroactivo. La Comisión fomenta el etiquetado voluntario cuando sea viable, pero no es obligatorio.
Esta transición limitada importa porque plazos más amplios de la Ley de IA cambiaron durante el proceso de simplificación de la UE. Algunos requisitos para sistemas de alto riesgo siguen ahora fechas posteriores.
Las organizaciones no deben interpretar esos cambios como un retraso de todas las normas de transparencia. El calendario oficial de implementación mantiene intacta la fecha de aplicación del artículo 50, el 2 de agosto.
Es probable que la prueba de cumplimiento se centre en un diseño de sistemas razonable, avisos claros, resiliencia técnica y pruebas de que las organizaciones evaluaron sus obligaciones. El cumplimiento meramente cosmético será más fácil de cuestionar.
Una divulgación de chatbot que aparezca solo después de una conversación larga puede no cumplir su propósito. Una marca de procedencia que desaparece durante el proceso normal de exportación del proveedor plantea una preocupación diferente.
El código voluntario también llega cerca del plazo. Las empresas contaban antes con el texto central de la regulación, pero la orientación operativa detallada deja poco tiempo para los ajustes finales.
Ese calendario refuerza la conveniencia de una corrección por etapas. Los equipos deberían abordar primero el engaño directo al usuario y después probar la procedencia en sus flujos de trabajo de medios con mayor volumen.
También deberían conservar pruebas de las decisiones y limitaciones no resueltas. Los reguladores pueden evaluar de manera distinta una restricción técnica documentada que una afirmación sin respaldo de que el marcado era imposible.
Tres señales mostrarán si las normas tienen fuerza real
Los próximos tres meses revelarán si el artículo 50 se convierte en infraestructura operativa o en otro aviso que los usuarios dejan de ver.
La primera señal es la orientación de aplicación de las autoridades nacionales de vigilancia del mercado. Sus primeros avisos, investigaciones y prácticas de coordinación mostrarán cómo interpretan una divulgación adecuada.
Los primeros casos también revelarán qué fallos atraen atención. Las identidades ocultas de chatbots, los deepfakes sin etiquetar y las marcas legibles por máquina frágiles plantean distintos retos probatorios y de aplicación.
Una actuación nacional coherente reforzaría el argumento de que el artículo 50 establece una base europea práctica. Una divergencia amplia encarecería el cumplimiento y haría los resultados menos predecibles.
La segunda señal es la supervivencia técnica en las principales plataformas de contenido. Los proveedores y responsables del despliegue deben comprobar si la procedencia persiste en los flujos de trabajo habituales de imagen, audio y vídeo.
Los archivos deben revisarse después de la edición, compresión, carga, descarga, captura de pantalla y transcodificación. Los resultados importan más que la afirmación de un proveedor de admitir un formato concreto.
Si las principales plataformas preservan y muestran la procedencia de forma coherente, el marcado legible por máquina adquiere valor práctico. Si la eliminan de forma rutinaria, la divulgación visible soportará una mayor carga.
La tercera señal es el plazo de transición del 2 de diciembre para los sistemas generativos antiguos. Esa fecha mostrará si los productos heredados pueden adoptar el marcado sin grandes problemas de compatibilidad.
Los proveedores deben divulgar qué productos cumplen los requisitos de transición y cuándo llegarán las actualizaciones. Los clientes empresariales necesitan esas fechas para su propia planificación de riesgos.
Las actualizaciones exitosas reforzarían el enfoque por capas de la UE. Un retraso generalizado o una interoperabilidad débil pondrían de manifiesto una brecha entre el requisito legal y la infraestructura disponible.
Los lectores también deberían observar las interfaces de producto. Los cambios más reveladores pueden aparecer como pequeños avisos de identidad, paneles de procedencia, ajustes de exportación y solicitudes de divulgación.
Esos detalles muestran si las empresas integraron el cumplimiento en el diseño del producto o lo añadieron después del desarrollo. También determinan si los usuarios reciben información útil en el momento adecuado.
Para los trabajadores del conocimiento, el plazo crea un motivo para preservar el contexto de origen junto con el material asistido por IA. Una base de conocimientos de IA con capacidad de búsqueda puede ayudar a conservar los archivos originales, las notas de revisión y las decisiones de publicación.
Esa práctica no establece por sí sola el cumplimiento legal. Sí facilita la verificación posterior cuando el contenido pasa por varias personas y herramientas.
Los desarrolladores deben probar toda la ruta de salida, no solo el punto de generación. Los compradores empresariales deben exigir pruebas de que la divulgación y la procedencia sobreviven al uso normal.
Los editores deben definir una revisión humana significativa y documentar la responsabilidad editorial. Los usuarios de IA deben tratar las etiquetas como evidencia sobre el origen, no como juicios automáticos sobre la verdad.
La pregunta después del 2 de agosto ya no es si Europa quiere transparencia en la IA. Es si los productos, las plataformas y las organizaciones pueden lograr que esa transparencia sobreviva al contacto con la internet real.
