25 de octubre de 2026

El artículo 50 del AI Act: quién tiene que avisar y de qué

El verano pasado ocurrió algo curioso. El Ómnibus Digital aplazó las obligaciones de los sistemas de alto riesgo y buena parte del sector respiró: «ya no toca, tenemos tiempo hasta 2027». El titular era cierto y la conclusión, falsa. Porque el mismo 2 de agosto de 2026, sin que casi nadie se diera cuenta, empezó a aplicarse el artículo 50 — y ese no lo tocó nadie.

Qué aplazó el Ómnibus y qué no

El Reglamento (UE) 2026/1744, el Ómnibus Digital de IA, entró en vigor el 27 de julio de 2026, seis días antes de la fecha que debía poner en marcha medio reglamento. Lo que movió es concreto:

Dicho de otra manera: lo que se ha aplazado es la parte cara y documentalmente pesada, la que obliga a montar sistemas de gestión del riesgo, documentación técnica y evaluaciones de conformidad. Lo que ya se aplica es la parte barata — y justamente por eso es la que cuesta justificar cuando no se ha hecho.

Los cuatro deberes del artículo 50, y de quién son

Esta es la confusión más habitual que me encuentro: se habla de «la obligación de marcar el contenido de IA» como si fuera una sola cosa que afecta a todos por igual. No lo es. El artículo reparte cuatro deberes entre dos papeles distintos.

Si tú usas herramientas de terceros —y ese es el caso de prácticamente toda organización pequeña— tus deberes son el 50.3 y el 50.4. El marcado técnico del 50.2 es trabajo de OpenAI, de Google o de quien te haya vendido la herramienta. No es que puedas desentenderte del todo, porque el proveedor que no cumple te deja con un problema; pero la obligación no es tuya.

50.1 — «avisa de que eres un bot»

El reglamento pide que el sistema esté diseñado para que la persona sepa que interactúa con una IA, salvo que resulte obvio desde el punto de vista de una persona razonablemente informada, atenta y perspicaz, teniendo en cuenta las circunstancias y el contexto de uso.

Esta cláusula de obviedad es más estrecha de lo que la gente cree. Un asistente con nombre de persona, tono conversacional y avatar con cara no es obvio. Y la prueba no es qué piensas tú, sino qué pensaría esa persona razonablemente atenta que nunca se dedica a esto.

50.2 — el marcado que no es tuyo

Los proveedores de sistemas que generan audio, imagen, vídeo o texto sintético deben marcar sus salidas en un formato legible por máquina y detectable como generada o manipulada artificialmente. El reglamento admite aquí una dosis de realismo: la solución debe ser efectiva, interoperable, robusta y fiable en la medida en que sea técnicamente factible, teniendo en cuenta los costes y el estado de la técnica.

Y hay una excepción importante: no se aplica cuando el sistema cumple una función auxiliar de edición estándar o no altera sustancialmente los datos de entrada ni su significado. El corrector del procesador de textos, por tanto, no entra aquí.

50.3 — emociones y biometría

Si usas un sistema de reconocimiento de emociones o de categorización biométrica, debes informar a las personas expuestas y tratar sus datos conforme al RGPD. Conviene recordar que en el lugar de trabajo y en los centros educativos el reconocimiento de emociones ya no es una cuestión de transparencia: está prohibido desde febrero de 2025, con contadas excepciones de seguridad y salud. El artículo 50.3 cubre el resto de contextos.

50.4 — deepfakes y textos

Quien despliega un sistema que genera o manipula imagen, audio o vídeo que constituye un deepfake debe revelar que el contenido es artificial. Con dos modulaciones que vale la pena conocer:

• Si el contenido forma parte de una obra manifiestamente artística, creativa, satírica o de ficción, basta con revelar la existencia del contenido generado de una manera que no estropee la visualización o el disfrute de la obra. No hace falta un rótulo encima de cada plano.
• Para el texto, la obligación solo alcanza a lo que se publica con el fin de informar al público sobre asuntos de interés público. No a cualquier texto.

La excepción que casi nadie lee

Y aquí viene la parte que, para mí, es la más interesante de todo el artículo. El deber de revelar el texto generado con IA decae cuando el contenido ha pasado por un proceso de revisión humana o control editorial y hay una persona física o jurídica que asume la responsabilidad editorial.

Leído con atención, eso no es una rendija para escaquearse: es una declaración sobre qué le importa de verdad al legislador. No le preocupa que una máquina haya escrito un borrador. Le preocupa que se publique algo de lo que nadie responde. Si hay un nombre detrás que responde del contenido, el aviso deja de tener sentido, porque la cadena de responsabilidad ya está cerrada.

Es exactamente el mismo criterio que usa cualquier redacción desde hace décadas, y es el que yo aplico en este blog: las herramientas que use son irrelevantes mientras yo me haga responsable de lo que sale — y mientras corrija públicamente, con fecha, lo que resulte estar mal.

Qué pasa el 2 de diciembre de 2026

Verás circular esta fecha como si fuera un nuevo plazo general. No lo es. Por lo que indican los análisis publicados sobre el régimen transitorio, el 2 de diciembre de 2026 termina el periodo de gracia del marcado legible por máquina del artículo 50.2 para los sistemas generativos que ya estaban en el mercado antes del 2 de agosto de 2026. Los que se han puesto en el mercado a partir de esa fecha tenían que cumplir desde el primer día.

O sea: es una fecha de proveedores de modelos y sistemas generativos, no de empresas que los usan. Si tienes una pyme, el 2 de diciembre no te pide nada nuevo. Lo que sí te conviene es saber que a partir de entonces deberías poder esperar que las herramientas que usas marquen lo que generan — y preguntárselo a tu proveedor si no lo hace.

Hay otra fecha en el horizonte, febrero de 2027, relacionada con las soluciones de interoperabilidad para detectar ese marcado. Cuando se acerque y se sepa más, volveré a hablar de ello.

Cómo se cumple, de verdad

El apartado 5 es corto y es el que más se pasa por alto. Dice que la información de los apartados 1 a 4 debe darse:

• de manera clara y distinguible;
• a más tardar en el momento de la primera interacción o exposición;
• y cumpliendo los requisitos de accesibilidad aplicables.

Las tres cosas tienen consecuencias prácticas. «Clara y distinguible» descarta el aviso escondido en las condiciones de uso. «A más tardar en la primera interacción» descarta avisar al final de la conversación. Y la accesibilidad descarta un aviso que solo exista como imagen sin texto alternativo, o con un contraste que no se puede leer.

Desde la gobernanza: qué conviene dejar documentado

Hasta aquí, lo que dice la norma. Ahora, la parte que me toca más de cerca por oficio: cumplir y poder demostrar que se cumple no son el mismo trabajo. Si un día alguien lo pregunta —una autoridad, un cliente grande en una licitación, un periodista—, lo que sirve es un registro, no un recuerdo.

Con cuatro cosas, basta:

1. Inventario de los puntos de contacto con personas. Qué sistemas tuyos hablan con alguien, generan contenido publicado o procesan biometría. Con el papel que haces en cada uno: proveedor o responsable del despliegue.
2. Captura de los avisos. Una imagen de cómo se ve el aviso en el chatbot o en el contenido, con fecha. Si cambia el diseño, una captura nueva. Es el documento más barato que existe y el que más se echa en falta.
3. Lo que dice tu proveedor. Pídele por escrito si marca las salidas conforme al artículo 50.2 y guarda la respuesta. Si no te da ninguna, eso también es información.
4. Quién asume la responsabilidad editorial. Si publicas contenido, deja escrito quién lo revisa y quién responde de él. Es lo que activa la excepción del 50.4, y no vale como declaración retrospectiva.

Nada de esto pide una herramienta ni un presupuesto. Pide la disciplina de escribirlo mientras se hace, que es siempre la parte difícil.

Un ejemplo concreto

Una tienda en línea de ocho personas. Tiene un chatbot de atención al cliente con un nombre simpático, publica fichas de producto redactadas con ayuda de IA y, por Navidad, hace un vídeo promocional con una voz generada.

• El chatbot: hace falta el aviso del 50.1. Como es el proveedor quien debe diseñarlo así, comprueba que la herramienta que has contratado lo trae; si no, pon tú una primera línea que lo diga.
• Las fichas de producto: no son texto publicado para informar al público sobre asuntos de interés público. Quedan fuera del 50.4. (Eso no significa que no debas revisarlas: significa que la ley no te obliga a etiquetarlas.)
• El vídeo con voz generada: si la voz imita a una persona real de manera que pueda parecer auténtica, es un deepfake y hay que revelarlo. Si es una voz sintética que no imita a nadie, el supuesto no se activa.
• Formación: sigue vigente el artículo 4, ahora en la versión suavizada por el Ómnibus. Hablé de ello en el artículo sobre la formación obligatoria.

Y si no se cumple

Incumplir el artículo 50 entra en el tramo sancionador de hasta 15 millones de euros o el 3 % de la facturación mundial anual — y, para pymes y start-ups, el reglamento prevé expresamente la cifra menor de las dos. Lo digo para que conste, no para hacer de ello el argumento: el aparato de vigilancia del mercado todavía se está desplegando y el riesgo realista para una organización pequeña, hoy, no es una multa.

El riesgo realista es otro: que alguien descubra que hablaba con un bot sin saberlo, o que un contenido que le presentaron como auténtico no lo era. Eso no se paga con dinero, se paga con credibilidad, y es mucho más caro de recuperar. La transparencia del artículo 50 es, mirada desde aquí, una de las pocas obligaciones que protege tanto a quien la cumple como a quien la recibe.

Este artículo es información divulgativa, no asesoramiento jurídico. Para una decisión concreta con consecuencias legales, consulta con un profesional del derecho. El texto de referencia es el artículo 50 del Reglamento (UE) 2024/1689, en la versión vigente tras el Reglamento (UE) 2026/1744.