La Ley europea de Inteligencia Artificial ha alcanzado este domingo 2 de agosto uno de los hitos centrales de su aplicación. Desde ahora, empresas, administraciones públicas y proveedores tecnológicos deben cumplir nuevas obligaciones de transparencia que cambiarán la forma en la que los ciudadanos interactúan con chatbots, asistentes virtuales, imágenes sintéticas y otros contenidos generados mediante inteligencia artificial.
El despliegue, sin embargo, es menos amplio de lo que preveía el calendario original debido a la reforma aprobada a través del Ómnibus Digital sobre IA que ha retrasado buena parte de las exigencias para los sistemas considerados de alto riesgo, que comenzarán a aplicarse entre diciembre de 2027 y agosto de 2028. Por tanto, el nuevo paso regulatorio se centra sobre todo en identificar la presencia de la IA, reforzar la información que reciben los usuarios y ampliar las capacidades de supervisión de las autoridades.
La AI Act entró oficialmente en vigor en agosto de 2024, aunque su aplicación se diseñó por etapas. Las primeras prohibiciones comenzaron en febrero de 2025 e incluyeron prácticas consideradas de riesgo inaceptable, como la manipulación perjudicial, la puntuación social o determinados usos del perfilado biométrico. En agosto de ese mismo año llegaron las obligaciones para los modelos de propósito general, entre ellos ChatGPT, Gemini, Claude o Llama.
Ahora, una de las consecuencias más visibles para el ciudadano será la obligación de informar de forma clara cuando una persona interactúe con un sistema de inteligencia artificial. Los chatbots de atención al cliente, asistentes conversacionales y herramientas similares deberán indicar que el usuario habla con una máquina, salvo que esa circunstancia resulte evidente por el propio contexto.
El artículo 50 exige que los proveedores de sistemas generativos incorporen mecanismos que permitan identificar los contenidos creados o manipulados mediante IA
El artículo 50 también exige que los proveedores de sistemas generativos incorporen mecanismos que permitan identificar los contenidos creados o manipulados mediante IA. Esta obligación afecta a textos, imágenes, vídeos y audios sintéticos, que deberán contar con marcas o señales capaces de revelar su origen artificial.
No obstante, la aplicación de esta medida contará con un matiz importante para la industria: el Ómnibus Digital ha introducido un periodo transitorio adicional para las herramientas y modelos generativos que ya estaban comercializados antes del 2 de agosto. Estas soluciones dispondrán de un margen técnico extra para implementar los sistemas de marcado y etiquetado sin verse obligadas a interrumpir su servicio de inmediato.
Además, las empresas y administraciones que publiquen textos generados mediante IA para informar al público deberán comunicar ese uso. La medida puede alcanzar desde notas de prensa hasta comunicaciones dirigidas a inversores, siempre que el contenido tenga una finalidad informativa y no se encuentre sometido a una revisión humana que atribuya la responsabilidad editorial a una persona u organización.
Las advertencias deberán aparecer de manera clara, visible y comprensible. Por tanto, no bastará con ocultar la información dentro de unas condiciones legales extensas o en apartados secundarios difíciles de localizar. Google y Meta ya se han adherido a un código voluntario de buenas prácticas destinado a facilitar el cumplimiento de estas exigencias.
La misma obligación de transparencia se extiende a los deepfakes y a los sistemas utilizados para reconocer emociones o realizar categorizaciones biométricas
La misma obligación de transparencia se extiende a los deepfakes y a los sistemas utilizados para reconocer emociones o realizar categorizaciones biométricas. En la práctica, una empresa que recurra a una herramienta de análisis emocional durante una entrevista de trabajo deberá informar de ello al candidato. También deberán identificarse las imágenes artificiales utilizadas en campañas publicitarias, informativas o políticas.
El etiquetado pretende limitar la difusión de contenidos engañosos y reducir la tendencia a atribuir emociones, intenciones o capacidades humanas a los sistemas de IA.
La nueva fase de la normativa obliga a numerosas organizaciones a revisar cómo utilizan la inteligencia artificial en sus procesos internos y en sus relaciones con clientes, trabajadores o ciudadanos. Esto implica documentar herramientas, asignar responsabilidades, evaluar proveedores, definir políticas de uso y formar a los equipos encargados de desplegar estos sistemas.
Paralelamente, la Comisión Europea y las autoridades nacionales ganan más capacidades para controlar el cumplimiento de la ley. La norma abre la puerta a que Bruselas pueda solicitar información técnica, investigar a los proveedores, auditar modelos y exigir medidas correctoras cuando detecte riesgos o incumplimientos.
Las sanciones pueden alcanzar los 15 millones de euros o el 3% de la facturación global de una empresa
Las sanciones pueden alcanzar los 15 millones de euros o el 3% de la facturación global de una empresa. Además, la Comisión podrá restringir, retirar o bloquear el acceso al mercado europeo de aquellos modelos que representen un peligro o incumplan las obligaciones exigidas.
Para ello, la aplicación se repartirá entre varias autoridades. Por un lado, la Oficina Europea de IA supervisará los modelos de propósito general y los sistemas integrados en grandes plataformas digitales y buscadores; por otro lado, las autoridades nacionales controlarán el resto de aplicaciones dentro de cada Estado miembro, mientras que el Supervisor Europeo de Protección de Datos vigilará el uso de la IA dentro de las propias instituciones comunitarias.
“La IA es una tecnología transformadora que puede aportar beneficios extraordinarios a nuestros ciudadanos y a nuestras empresas”
Asimismo, un panel científico compuesto por 60 expertos independientes asesorará en las decisiones técnicas más complejas. La normativa también incorpora canales de denuncia para ciudadanos y herramientas específicas de protección para trabajadores que informen de posibles incumplimientos desde el interior de una empresa tecnológica.
“La IA es una tecnología transformadora que puede aportar beneficios extraordinarios a nuestros ciudadanos y a nuestras empresas”, ha señalado Henna Virkkunen, vicepresidenta de la Comisión responsable de Soberanía Tecnológica. No obstante, ha reconocido que también pueden producirse daños cuando los sistemas no se diseñan o utilizan de forma adecuada y que los modelos más avanzados plantean riesgos “a una escala totalmente nueva”.
El 2 de agosto debía marcar originalmente la entrada en aplicación de buena parte de las obligaciones destinadas a los sistemas de alto riesgo. Sin embargo, el Ómnibus Digital sobre IA ha modificado el calendario para retrasar esos requisitos y dar más tiempo al desarrollo de normas técnicas, mecanismos de supervisión y estándares comunes.
Los sistemas autónomos utilizados en ámbitos como el empleo, la educación, la biometría, el acceso a servicios esenciales, la migración o la administración de justicia deberán cumplir las obligaciones específicas desde el 2 de diciembre de 2027. Estas incluirán evaluaciones de riesgo, documentación técnica, supervisión humana y controles sobre la calidad de los datos. Por su parte, los sistemas de IA integrados en productos regulados, como determinados dispositivos médicos, maquinaria y equipos industriales, dispondrán de plazo hasta el 2 de agosto de 2028.
Nuevas prohibiciones específicas, entre ellas las destinadas a combatir determinados contenidos sexuales explícitos no consentidos creados mediante IA, llegarán en fases posteriores
También se han aplazado algunas obligaciones técnicas relacionadas con los sistemas generativos y el despliegue de los espacios nacionales controlados de pruebas regulatorias a agosto de 2027. Además, nuevas prohibiciones específicas, entre ellas las destinadas a combatir determinados contenidos sexuales explícitos no consentidos creados mediante IA, llegarán en fases posteriores.
La AI Act mantiene así su enfoque basado en el riesgo: prohíbe los usos considerados inaceptables, impone controles estrictos a las aplicaciones de alto riesgo, exige transparencia a los sistemas de riesgo limitado y deja fuera de requisitos adicionales a las herramientas de riesgo mínimo.