Lo esencial
- Las obligaciones de transparencia IA del artículo 50 del reglamento europeo de inteligencia artificial se aplican desde el 2 de agosto de 2026 y alcanzan a casi cualquier organización que ponga ante el público un asistente conversacional, un modelo generativo o una imagen sintética.
- El reglamento (UE) 2026/1744, el llamado Digital Omnibus, aplazó al 2 de diciembre de 2027 las obligaciones de alto riesgo del anexo III sin tocar el artículo 50. Para la mayoría de las empresas es hoy el único capítulo del reglamento realmente exigible.
- Queda un plazo por delante: los sistemas ya introducidos en el mercado antes del 2 de agosto de 2026 disponen hasta el 2 de diciembre de 2026 para cumplir la obligación de marcado legible por máquina del artículo 50, apartado 2.
- Dos deberes recaen sobre el proveedor y dos sobre el responsable del despliegue, y el reparto no sigue la lógica presupuestaria. Quien publica el resultado producido por el modelo de un tercero es responsable del despliegue, con obligaciones propias.
- La sanción puede alcanzar los 15 millones de euros o el 3 por ciento del volumen de negocio anual mundial. Lo que una autoridad de vigilancia pedirá no es el aviso publicado, sino el rastro escrito de la decisión que lo originó.
Obligaciones de transparencia IA: los cuatro deberes del artículo 50
Las obligaciones de transparencia IA están formuladas de forma breve. El artículo se compone de cuatro deberes distintos y de una única regla sobre la forma de entregar la información. Leerlo como una sola prescripción constituye el error más extendido, ya que cada deber se dirige a un sujeto diferente y se activa en una situación diferente.
Qué debe el proveedor
El artículo 50, apartado 1 afecta a los proveedores de sistemas de IA destinados a interactuar directamente con personas físicas. El sistema debe diseñarse de modo que la persona sepa que se dirige a una máquina. La obligación reside en el diseño y no en un guion de atención al cliente, lo que la asigna a quien construye el asistente o lo comercializa con su propia marca, y no al equipo que lo activa después. El artículo 50, apartado 2 afecta a los proveedores de sistemas que generan contenido sintético, ya sea audio, imagen, vídeo o texto, incluidos los modelos de IA generativa. Las salidas deben llevar un marcado legible por máquina que permita detectar su naturaleza artificial. El reglamento exige que la solución técnica sea eficaz, interoperable y fiable en la medida en que ello resulte técnicamente viable, atendiendo al estado de la técnica y a los límites propios de cada tipo de contenido.
Qué debe el responsable del despliegue
El artículo 50, apartado 3 afecta a quienes despliegan un sistema de reconocimiento de emociones o de categorización biométrica, obligados a informar a las personas expuestas del funcionamiento del sistema y a tratar los datos personales conforme al RGPD. El artículo 50, apartado 4 cubre dos supuestos. Cuando un sistema genera o manipula imágenes, audio o vídeo que constituyen una ultrafalsificación, el responsable del despliegue debe declarar que el contenido ha sido generado o manipulado artificialmente. Cuando se publica un texto generado o manipulado con el fin de informar al público sobre asuntos de interés público, se impone la misma declaración. El artículo 50, apartado 5 regula la forma de las cuatro informaciones. Deben llegar a la persona afectada de manera clara y distinguible, a más tardar en el momento de la primera interacción o exposición, y respetar los requisitos de accesibilidad aplicables. Una línea en las condiciones generales no basta. Tampoco basta una mención en gris que aparece después de que el usuario ya haya actuado sobre la respuesta.
Las fechas: 2 de agosto de 2026, 2 de diciembre de 2026, y lo que el Omnibus no movió
Es en el calendario donde buena parte de los análisis publicados sobre las obligaciones de transparencia IA resulta hoy incorrecta, porque una parte considerable se redactó antes del verano de 2026. Las obligaciones de transparencia IA se aplican desde el 2 de agosto de 2026, según el calendario fijado por el reglamento original. El 20 de julio de 2026, menos de dos semanas antes, la Comisión Europea adoptó en su versión definitiva sus directrices sobre las obligaciones de transparencia, un documento de 51 páginas dirigido tanto a las autoridades competentes como a proveedores y responsables del despliegue. Las directrices no vinculan jurídicamente, y solo el Tribunal de Justicia puede ofrecer una interpretación autorizada del reglamento, pero las autoridades nacionales de vigilancia del mercado se guiarán por ellas con toda probabilidad. Sigue abierta una ventana transitoria. Los proveedores de sistemas que generan contenido sintético y que ya estaban introducidos en el mercado antes del 2 de agosto de 2026 disponen hasta el 2 de diciembre de 2026 para cumplir la obligación de marcado. Esa fecha es hoy el dato más útil en materia de obligaciones de transparencia IA, y falta en casi todas las guías actualmente posicionadas sobre el asunto. El contraste con el resto del reglamento explica la urgencia. El reglamento (UE) 2026/1744, Digital Omnibus sobre IA, entró en vigor el 27 de julio de 2026. Trasladó al 2 de diciembre de 2027 las obligaciones autónomas de alto riesgo del anexo III y al 2 de agosto de 2028 las del anexo I. No tocó las obligaciones de transparencia IA. Una empresa que hubiera calibrado su programa de cumplimiento al calendario de alto riesgo se ha quedado atrás, sin advertirlo, precisamente en el único capítulo ya exigible.
Proveedor o responsable del despliegue: quién debe qué
Los papeles de proveedor y de responsable del despliegue se definen en el artículo 3, y las obligaciones de transparencia IA se reparten estrictamente a lo largo de esa línea. El proveedor desarrolla un sistema de IA, o hace que se desarrolle, y lo introduce en el mercado de la Unión o lo pone en servicio con su propio nombre o marca. El responsable del despliegue utiliza un sistema bajo su propia autoridad en un contexto profesional.
La cadena de valor en la práctica
La mayoría de las organizaciones ocupa ambas posiciones a la vez. Una empresa de software que ajusta un modelo fundacional y lo distribuye como producto es proveedora a efectos de los apartados 1 y 2. Esa misma empresa, cuando publica en su blog un análisis de mercado redactado por IA, es responsable del despliegue a efectos del apartado 4. Ambos deberes se valoran por separado y ninguno absorbe al otro. El papel también puede cambiar sin previo aviso. Poner el propio nombre o la propia marca sobre un sistema de un tercero, o modificarlo sustancialmente, puede bastar para convertirse en su proveedor, con el catálogo completo de obligaciones que ello conlleva. Los equipos que tratan la integración de un modelo como un asunto de compras y no de gobernanza lo descubren tarde. Es justo el punto en el que un inventario vivo de sistemas de IA deja de ser un lujo.
El caso de la empresa que solo usa un asistente comercial
La situación más frecuente sigue siendo la de una organización que no construye nada y se limita a emplear un asistente generativo del mercado. La tentación es concluir que todos los deberes recaen sobre el proveedor del modelo. Es cierto a medias. El marcado del apartado 2 corresponde efectivamente al proveedor. Ahora bien, si esa organización publica un texto generado por IA sobre un asunto de interés público sin control editorial humano, el apartado 4 es un deber propio que ningún contrato de suministro transfiere. Si activa una centralita telefónica automatizada, sigue obligada a verificar que el proveedor haya implantado realmente la información del apartado 1, porque una autoridad que recibe una reclamación partirá del sistema con el que el público entró en contacto. Las declaraciones del proveedor tienen su lugar en el expediente, junto a la diligencia debida sobre proveedores: constituyen un elemento de prueba, no una exoneración.
El marcado legible por máquina es una afirmación técnica, no una casilla
El apartado 2 es el deber que con más frecuencia se reduce a una línea en el plan de proyecto. No debería serlo, porque el reglamento lo formula como una afirmación de rendimiento referida a un artefacto técnico. El marcado debe ser legible por máquina y hacer que el contenido resulte detectable como generado o manipulado artificialmente. Los adjetivos escogidos por el texto, eficaz, interoperable y fiable en la medida técnicamente viable, no son adornos. Un campo de metadatos que cualquier recodificación elimina probablemente no es nada de eso. Una marca de agua visible que una captura de pantalla suprime fracasa de entrada en el criterio de legibilidad automática, porque quien lee un pie de foto no es una máquina que analiza una señal. El estado de la técnica varía notablemente según el tipo de contenido, y el reglamento lo reconoce. La imagen y el vídeo disponen de opciones solventes, desde el manifiesto de procedencia firmado criptográficamente hasta la marca de agua estadística incorporada en el momento de la generación. El audio es practicable. El texto sigue siendo el caso difícil, y los equipos técnicos honestos lo admiten: ningún método ampliamente desplegado sobrevive a una reformulación, a una traducción o a un copiar y pegar hacia otro editor. El reglamento pide lo que resulta técnicamente viable, de modo que la posición defendible, en el caso del texto, consiste en documentar las opciones examinadas, la elección adoptada y las razones por las que se descartaron las demás. De ello se derivan dos consecuencias prácticas. El marcado debe aplicarse en la generación, dentro de la cadena de proceso, y no injertarse en la publicación, cuando el contenido ya se ha separado de su procedencia. Y debe comprobarse en lugar de presumirse. Una prueba breve y repetible, que someta la salida marcada a las transformaciones que sus contenidos atraviesan realmente, recodificación, recorte, carga en una plataforma, y confirme la supervivencia de la marca, es el artefacto que convierte una afirmación en elemento de prueba.
Las exenciones son más estrechas de lo que parecen
Cada exención a las obligaciones de transparencia IA está redactada de forma restrictiva, y cada una constituye una decisión que debe quedar registrada, no una puerta que se cruza en silencio.
Evidencia, edición asistida, obras artísticas y satíricas
El deber del apartado 1 decae cuando la interacción resulta evidente para una persona razonablemente informada, atenta y perspicaz. Se trata de un estándar objetivo, no de una apreciación sobre los propios usuarios, y se vuelve tanto más difícil de satisfacer cuanto mejor imitan el habla humana los sistemas conversacionales. El apartado 2 no se aplica cuando el sistema cumple una función de asistencia a la edición estándar sin alterar sustancialmente los datos de entrada ni su significado. La corrección gramatical queda dentro de la exención. Un modelo que reescribe un párrafo cambiando su tesis, no. Las preguntas frecuentes de la Comisión sitúan además fuera de la obligación de marcado las secuencias de caracteres breves, el código fuente, los intercambios de máquina a máquina y los usos industriales en circuito cerrado. Cuando una ultrafalsificación se inserta en una obra manifiestamente artística, creativa, satírica o de ficción, el deber del apartado 4 queda atenuado y no suprimido: el responsable del despliegue sigue señalando la existencia del contenido generado, de una forma que no menoscabe el disfrute de la obra.
Control editorial humano y responsabilidad editorial
La exención aplicable al texto es la que con más frecuencia se sobrestima. Un texto generado por IA y publicado para informar al público sobre asuntos de interés público escapa a la declaración cuando el contenido se ha sometido a revisión humana o control editorial y una persona física o jurídica asume la responsabilidad editorial de la publicación. Ambas condiciones cuentan. Un revisor que ojea y aprueba no ejerce de manera reconocible un control editorial, y un proceso anónimo no asume responsabilidad alguna. Las organizaciones que se apoyan en esta exención deberían poder nombrar a la persona, demostrar que la revisión tuvo lugar y que precedió a la publicación. La cuestión es organizativa antes que jurídica, y se acerca a los dispositivos de supervisión humana que el reglamento ya exige en otros pasajes.
El apartado 3 es una trampa: compruebe antes el artículo 5
El apartado 3 pide a quienes despliegan sistemas de reconocimiento de emociones y de categorización biométrica que informen a las personas expuestas. Leído de forma aislada parece una autorización acompañada de formalidades. No lo es. El artículo 5, apartado 1, letra f), prohíbe la introducción en el mercado, la puesta en servicio y el uso de sistemas de IA destinados a inferir las emociones de una persona física en el lugar de trabajo y en los centros educativos, con excepciones estrechas por motivos médicos o de seguridad. La prohibición está en vigor desde el 2 de febrero de 2025 y la Comisión publicó el 4 de febrero de 2025 unas directrices sobre prácticas prohibidas que precisan su alcance. Para los dos terrenos en los que los proveedores empujan con más gusto la analítica emocional, la vigilancia de la plantilla y el aula, la primera pregunta no es cómo informar. Es si el despliegue resulta lícito siquiera. El apartado 3 solo gobierna el espacio que el artículo 5 deja abierto. En España se añade una segunda capa: el artículo 64.4.d) del Estatuto de los Trabajadores obliga a informar al comité de empresa sobre los parámetros y las reglas de los algoritmos que puedan incidir en las condiciones de trabajo, y la AEPD conserva su competencia sobre el tratamiento. Invertir la secuencia produce un aviso impecable colocado sobre una práctica prohibida, y la sanción vinculada al artículo 5 se sitúa en otro nivel. Es la secuencia que una clasificación de riesgos debería resolver antes de cualquier reflexión sobre la forma del mensaje.
El código de buenas prácticas, los iconos y lo que aporta la adhesión
El apartado 7 encargaba a la Oficina de IA impulsar códigos de buenas prácticas sobre la detección y el etiquetado de los contenidos generados. Ya existe uno. El código de buenas prácticas sobre transparencia de los contenidos generados por IA fue considerado adecuado por la Comisión el 8 de julio de 2026 y por el Comité de IA el 9 de julio de 2026, en relación con los apartados 2, 4 y 5. A finales de julio de 2026 lo habían firmado alrededor de 190 organizaciones. Dos aspectos merecen atención. Es actualmente el único instrumento práctico a escala de la Unión formalmente reconocido como adecuado para esos apartados, lo que convierte la adhesión en la manera menos costosa de mostrar a una autoridad de vigilancia que su planteamiento es razonable. Quien no lo firma no incurre en infracción, pero soporta la carga de demostrar medios de eficacia equivalente. El código aporta además un vocabulario visual compartido. Los firmantes se comprometen a señalar la existencia del marcado mediante un conjunto de iconos genéricos facilitado por la Oficina de IA, acompañado de la indicación de si el contenido fue creado o manipulado. Un conjunto de iconos compartido pesa más de lo que parece: una transparencia que cada organización expresa a su manera no es transparencia legible para el público. Adoptar esos iconos es una decisión de diseño menor que evita una discusión futura, y encaja sin fricción en una política de IA ya existente.
Las pruebas que pedirá una autoridad de vigilancia
Es aquí donde las obligaciones de transparencia IA dejan de ser una cuestión de contenidos y pasan a ser una cuestión de gobernanza. Los Estados miembros debían designar sus autoridades de vigilancia del mercado antes del 2 de agosto de 2025, y cerca de 2.000 autoridades nacionales figuran hoy notificadas en la Unión. En España esa función corresponde a la AESIA, creada por el Real Decreto 729/2023 y con sede en A Coruña, la primera agencia europea dedicada específicamente a la supervisión de la inteligencia artificial. Cuando abre un expediente, no pregunta si usted se considera conforme. Pregunta qué puede enseñar. Seis documentos soportan la mayor parte de la carga:
- Un inventario de avisos. Cada sistema afectado, el apartado aplicable, su papel respecto de ese sistema y el aviso efectivamente mostrado, con captura o enlace.
- Un registro de pruebas de marcado. Para cada sistema generativo, la técnica empleada, la fecha del ensayo, las transformaciones probadas y el resultado. Es el documento que convierte una referencia genérica a la marca de agua en una afirmación defendible.
- Un rastro de decisión sobre ultrafalsificaciones. Para cada publicación que incluya imagen, audio o vídeo generados, quién consideró necesaria la declaración y dónde figura.
- Un rastro de responsabilidad editorial. Para los textos de interés público publicados sin declaración, la persona nominalmente responsable y la prueba de que la revisión precedió a la publicación.
- Las justificaciones de las exenciones. Un razonamiento escrito para cada exención invocada, fechado y firmado. Una exención afirmada el día de la inspección y una exención documentada antes del despliegue no pesan igual.
- Las declaraciones de los proveedores. Para los sistemas de terceros, lo que el proveedor afirma sobre su implantación de los apartados 1 y 2, y la fecha de su última verificación.
Nada de esto es exótico. Es la disciplina que un modelo de cumplimiento aplica ya a las evaluaciones de riesgo y a los registros de incidentes, aplicada ahora a un capítulo que la mayoría de los equipos trataba como una tarea de diseño. Las organizaciones en dificultades en 2027 no serán las que carezcan de avisos. Serán las que los muestren sin saber quién decidió ponerlos.
Preguntas frecuentes
¿Qué establece el artículo 50 del reglamento europeo de IA? El artículo 50 constituye el capítulo de transparencia del reglamento. Obliga a los proveedores a informar a las personas que interactúan directamente con un sistema de IA y a marcar de forma legible por máquina los contenidos sintéticos de audio, imagen, vídeo y texto. Obliga a los responsables del despliegue a informar a las personas expuestas a reconocimiento de emociones o categorización biométrica y a declarar las ultrafalsificaciones y los textos generados que se publiquen para informar al público sobre asuntos de interés público. Se aplica desde el 2 de agosto de 2026 y debe distinguirse del régimen de alto riesgo del capítulo III. ¿Se aplican las obligaciones de transparencia IA a empresas establecidas fuera de la Unión? Sí, en los supuestos que cubre el reglamento. Este se aplica a los proveedores que introducen sistemas en el mercado de la Unión, con independencia de dónde estén establecidos, y a los responsables del despliegue establecidos en la Unión. Alcanza asimismo a proveedores y responsables de terceros países cuando la salida producida por el sistema se utiliza en la Unión. Una sociedad estadounidense cuyo asistente conversacional atiende a usuarios europeos queda dentro del ámbito, y el lugar de constitución no altera la respuesta. ¿Qué son las directrices de la Comisión sobre el artículo 50? Son las directrices definitivas sobre las obligaciones de transparencia de proveedores y responsables del despliegue de determinados sistemas de IA, adoptadas el 20 de julio de 2026 y con una extensión de 51 páginas. Explican la lectura que hace la Comisión de cada apartado, de las exenciones y de la relación con el código de buenas prácticas. No vinculan jurídicamente, y solo el Tribunal de Justicia puede fijar el sentido del reglamento, pero las autoridades de vigilancia y la Oficina de IA las aplicarán en la práctica. ¿Qué ocurre el 2 de diciembre de 2026? Se cierra la ventana transitoria relativa al marcado legible por máquina. Los proveedores de sistemas generativos ya introducidos en el mercado antes del 2 de agosto de 2026 disponían hasta el 2 de diciembre de 2026 para alinearlos con el apartado 2. Para los sistemas introducidos a partir del 2 de agosto de 2026 no existía margen alguno. Pasada esa fecha, la obligación de marcado rige sin excepciones. ¿Qué sanciones acarrea incumplir el artículo 50? El incumplimiento de las obligaciones de transparencia IA puede dar lugar a multas de hasta 15.000.000 de euros o el 3 por ciento del volumen de negocio anual mundial total del ejercicio anterior, si esta cifra fuera superior. Se trata del tramo intermedio, por debajo del reservado a las prácticas prohibidas del artículo 5, y se aplica por infracción y no por organización. ¿Basta una marca de agua para cumplir el apartado 2? No por sí sola. El deber consiste en dotar a las salidas de un marcado legible por máquina que haga el contenido detectable como generado artificialmente, mediante soluciones eficaces, interoperables y fiables en la medida técnicamente viable. Una marca de agua meramente visible se dirige a personas y no a máquinas, y no sobrevive a una captura de pantalla. Un enfoque practicable combina por lo general una señal incorporada y un manifiesto de procedencia, aplicados en la generación y documentados con un registro de pruebas que acredite su resistencia a las transformaciones reales.
Conclusión
Lo interesante de las obligaciones de transparencia IA no es su dificultad. Cuatro deberes, una regla de forma, un puñado de exenciones redactadas de forma estrecha. Es su calendario. El Digital Omnibus regaló a las organizaciones europeas dieciséis meses adicionales en la clasificación de alto riesgo y nada en materia de transparencia, de modo que el capítulo que la mayoría de los equipos había archivado entre los asuntos fáciles es el que hoy está en vigor, con un plazo de marcado en diciembre. El trabajo que rinde no es el aviso publicado. Es la calificación del propio papel sistema por sistema, la comprobación del artículo 5 antes del apartado 3, el ensayo del marcado en lugar de su afirmación y la conservación de los seis documentos citados, para que la decisión siga siendo legible dentro de un año. Se trata de disciplina de gobernanza ordinaria apuntada a una obligación nueva, y es lo que convierte una declaración de conformidad en algo que se puede entregar a una autoridad. Para aplicar el mismo método al resto del reglamento, empiece por los marcos de gobernanza de la IA.