Artículo 50 del AI Act: obligaciones de transparencia para IA generativa antes del 2 de agosto de 2026

El artículo 50 del Reglamento (UE) 2024/1689 establece obligaciones de transparencia para determinados sistemas de IA. Su lógica es sencilla de enunciar: las personas tienen derecho a saber cuándo están interactuando con una IA y cuándo un contenido ha sido generado o manipulado artificialmente. No prohíbe generar contenido sintético ni usar chatbots; exige que no se hagan pasar por lo que no son.

Para entender quién debe hacer qué, hay que separar los dos roles que maneja el reglamento. El proveedor (provider) es quien desarrolla el sistema de IA y lo pone en el mercado: el fabricante del modelo o de la herramienta de generación. El responsable del despliegue (deployer) es quien utiliza ese sistema bajo su autoridad: la empresa que genera un vídeo con un avatar, publica textos asistidos por IA o pone un chatbot delante de sus clientes. La mayoría de las empresas españolas son deployers, y a los deployers les corresponden obligaciones concretas y propias, no delegables en su proveedor de IA.

El reparto de obligaciones queda así:

El AI Act entró en vigor el 1 de agosto de 2024, pero su aplicación es escalonada. Las prohibiciones y las obligaciones de alfabetización en IA del artículo 4 aplican desde el 2 de febrero de 2025; las reglas para modelos de propósito general, desde el 2 de agosto de 2025. El 2 de agosto de 2026 llega la fecha de aplicación general del reglamento, y con ella el artículo 50: desde ese día, las obligaciones de transparencia son exigibles, no recomendables.

El incumplimiento tiene régimen sancionador propio. El artículo 99.4 sitúa las infracciones de las obligaciones de transparencia del artículo 50 en el tramo de hasta 15 millones de euros o el 3 % del volumen de negocio mundial anual, la cifra que sea mayor. No es el tramo máximo del reglamento (reservado a las prácticas prohibidas), pero es una sanción que ninguna dirección puede tratar como riesgo asumible. Y hay un segundo coste, menos cuantificable y más rápido: el reputacional. Un deepfake corporativo sin etiquetar o un contenido sintético descubierto por terceros antes de que lo declares tú es una crisis de confianza, con o sin multa.

Conviene decirlo sin dramatismo pero sin ambigüedad: no queda margen para esperar. Entre el inventario de sistemas, la revisión de workflows de contenido, los contratos con proveedores y la formación de los equipos, el trabajo de adecuación de una organización mediana consume fácilmente los meses que faltan.

1. 1 de agosto de 2024

   entrada en vigor del AI Act.

2. 2 de febrero de 2025

   prácticas prohibidas y alfabetización en IA (artículo 4) aplicables.

3. 2 de agosto de 2025

   obligaciones para modelos de IA de propósito general (GPAI) aplicables.

4. Julio de 2026

   la Comisión Europea y el AI Board validan el Código de Buenas Prácticas sobre Transparencia.

5. 2 de agosto de 2026

   aplicación general del reglamento; el artículo 50 pasa a ser exigible.

La primera obligación es la más visible: cuando un sistema de IA interactúa directamente con personas —un chatbot de soporte, un asistente de voz, un agente comercial automatizado—, la persona debe saber que habla con una IA, salvo que resulte evidente para un usuario razonablemente informado. En la práctica: el aviso debe existir, ser claro y llegar como muy tarde en la primera interacción. Esconder que el interlocutor es una máquina deja de ser una decisión de diseño discutible y pasa a ser una infracción.

La segunda recae en los proveedores de sistemas generativos, incluidos los modelos de propósito general: los resultados sintéticos —audio, imagen, vídeo y texto— deben salir marcados en un formato legible por máquina que permita detectar que son artificiales. Es la base técnica sobre la que se apoya todo lo demás: si el contenido nace marcado, la detección y el etiquetado posteriores son posibles. Hay excepciones acotadas, como las funciones de asistencia a la edición que no alteran sustancialmente el contenido de entrada.

La tercera es la que más afecta al deployer medio: los deepfakes. El reglamento los define como contenido de imagen, audio o vídeo generado o manipulado por IA que se asemeja a personas, objetos, lugares o acontecimientos reales y que puede parecer falsamente auténtico o veraz a una persona. Quien los difunda debe declarar que el contenido es artificial. Ojo al matiz: no hace falta intención de engañar para que algo sea un deepfake a efectos del AI Act; basta el realismo. Un vídeo corporativo con un avatar hiperrealista del CEO entra en esta categoría aunque sea perfectamente legítimo. Para contenido claramente artístico, creativo o satírico, la obligación se modula: hay que declarar la existencia de contenido generado de forma que no estropee la obra.

La cuarta cubre el texto: cuando se publica texto generado o manipulado por IA con la finalidad de informar al público sobre asuntos de interés público, hay que declararlo. La excepción es relevante para medios y gabinetes de comunicación: no aplica cuando el texto ha pasado revisión humana o control editorial y una persona física o jurídica asume la responsabilidad editorial de la publicación. Es decir: el flujo redacción-asistida-por-IA más edición y responsabilidad humanas puede quedar fuera de la obligación de etiquetado; el volcado automático de textos generados a un portal de noticias, no.

El propio artículo 50 encarga a la Oficina de IA (AI Office) fomentar códigos de buenas prácticas a escala de la Unión para facilitar la aplicación efectiva de las obligaciones de detección y etiquetado. El Código de Buenas Prácticas sobre Transparencia es el resultado de ese mandato, y la validación de la Comisión Europea y el AI Board lo confirma como instrumento adecuado para demostrar cumplimiento del artículo 50.

Hay que entender bien la naturaleza del instrumento, porque se presta a dos lecturas erróneas. La primera: "es voluntario, luego puedo ignorarlo". Falso a medias: la adhesión al código es voluntaria, pero las obligaciones del artículo 50 son ley exigible desde el 2 de agosto de 2026, te adhieras o no. El código no crea las obligaciones; te da una forma acreditada de cumplirlas. La segunda lectura errónea: "es un trámite formal más". Tampoco: para una organización que genera y difunde contenido con IA, adherirse —o al menos alinearse con él— es la vía práctica de demostrar diligencia ante autoridades, clientes y auditores, con un marco común europeo en lugar de interpretaciones fragmentadas por Estado miembro.

El código cubre las tres piezas operativas de la transparencia del contenido generado por IA: el marcado (que el contenido nazca identificable), la detección (que terceros puedan verificarlo) y el etiquetado (que las personas lo vean). Para una empresa, su valor es que convierte un artículo de reglamento en prácticas concretas contra las que puedes auditarte.

La conversación regulatoria se vuelve técnica muy rápido, y conviene tener los conceptos ordenados porque los contratos con proveedores y las decisiones de arquitectura dependen de ellos. El marcado es la señal incrustada en el propio contenido en formato legible por máquina: metadatos de procedencia (el estándar C2PA/Content Credentials es la referencia más extendida), marcas de agua invisibles resistentes a transformaciones (como las que aplican los grandes generadores de imagen y vídeo) o huellas digitales que permiten reconocer un contenido aunque le hayan quitado los metadatos. El reglamento pide soluciones eficaces, interoperables, robustas y fiables "en la medida en que sea técnicamente viable" — reconoce que el estado del arte es imperfecto, especialmente en texto, pero no acepta la inacción.

El etiquetado es la capa humana: el aviso visible que informa a la persona de que el contenido es sintético. Una mención junto al vídeo, una marca en la imagen, una nota en el pie del artículo. Aquí el estándar es de claridad, no de criptografía: la información debe ser clara, distinguible y llegar como muy tarde en el primer contacto con el contenido, cumpliendo además los requisitos de accesibilidad aplicables.

La detección cierra el triángulo: la capacidad de terceros —plataformas, verificadores, autoridades— de comprobar si un contenido está marcado. Es la razón por la que la interoperabilidad importa tanto: un marcado propietario que solo tu herramienta sabe leer no cumple la función. Para el deployer, la consecuencia práctica es directa: al elegir herramientas de IA generativa, la pregunta "¿cómo marcan sus salidas y con qué estándar?" debe entrar en el checklist de compra, al mismo nivel que el precio o la calidad de generación.

• Marcado (proveedor): señal técnica incrustada en el contenido — metadatos C2PA, marcas de agua, huellas digitales. Legible por máquina.
• Etiquetado (deployer): aviso visible para personas — claro, distinguible, en el primer contacto y accesible.
• Detección (ecosistema): posibilidad de que terceros verifiquen el origen artificial. Exige estándares interoperables, no soluciones propietarias.

La adecuación al artículo 50 no es un proyecto jurídico que Legal pueda resolver solo: cruza marketing, comunicación, producto, compras y tecnología. La secuencia razonable empieza por saber qué se genera y dónde acaba, sigue por políticas y contratos, y termina en formación y evidencias. Este es el plan de trabajo en diez pasos:

• Inventariar los sistemas de IA generativa en uso, tanto internos como de cara a terceros — incluyendo el Shadow AI que nadie ha declarado.
• Mapear los contenidos generados: texto, imagen, audio, vídeo y formatos híbridos, y por qué canales se difunden.
• Identificar si se generan o difunden deepfakes o contenido sintético realista: avatares, voces clonadas, imágenes fotorrealistas.
• Definir la política de etiquetado, marcado y trazabilidad: qué se etiqueta, con qué fórmula, quién lo aprueba.
• Evaluar la adhesión al Código de Buenas Prácticas sobre Transparencia, o al menos el alineamiento documentado con él.
• Revisar los workflows de marketing, comunicación, medios y redes sociales, que es donde el contenido sintético sale al mundo.
• Implantar revisión humana y responsabilidad editorial en las publicaciones de interés público, para operar dentro de la excepción del texto.
• Actualizar los contratos con proveedores de IA generativa: marcado conforme a estándares, soporte de detección, reparto de responsabilidades.
• Formar a Legal, DPO, CISO, Compliance, Producto y Comunicación en las obligaciones del artículo 50 y su aplicación práctica.
• Preparar evidencias documentales del proceso completo antes del 2 de agosto de 2026: la diligencia que no está documentada no existe ante una inspección.