Desde el 2 de agosto de 2026, el artículo 50 del AI Act establece obligaciones específicas de transparencia para quien suministra o utiliza determinados sistemas de IA, entre ellos chatbots y sistemas generativos. Piensa en una empresa de mobiliario que en primavera puso en su web un asistente virtual para responder a las preguntas sobre plazos de entrega. Funciona bien, los clientes lo usan, el equipo de atención al cliente respira. Después, en julio, alguien pregunta en una reunión: "¿Tenemos que escribir en algún sitio que es una inteligencia artificial?". La respuesta es sí, y es precisamente el artículo 50 el que lo exige.

De todas las obligaciones de transparencia del AI Act, el Reglamento (UE) 2024/1689, las del artículo 50 son las más cercanas al día a día de las empresas. Afectan a chatbots, imágenes y textos generados, deepfakes y sistemas que leen emociones. Es decir, a las herramientas que marketing, atención al cliente y comunicación han adoptado en los últimos dos años, a menudo sin pasar por el departamento legal.

En el verano de 2026 llegaron tres piezas que por fin hacen legible el panorama: el Digital Omnibus, que movió algunos plazos; el Código de buenas prácticas sobre el marcado y el etiquetado de los contenidos generados, publicado por la Comisión el 10 de junio; y las directrices sobre el artículo 50, aprobadas el 20 de julio. Aquí abajo encontrarás qué dice la norma, cómo la están leyendo los profesionales, dónde quedan zonas grises y por dónde empezar si eres una pyme.

Qué establece el artículo 50 del AI Act, en palabras sencillas

¿Qué es el artículo 50 del AI Act? Es la disposición del reglamento europeo sobre inteligencia artificial que impone obligaciones de transparencia a quien suministra o usa chatbots, sistemas generativos, deepfakes y sistemas de reconocimiento de emociones. Se aplica desde el 2 de agosto de 2026 y afecta tanto a quien desarrolla los sistemas como a quien los utiliza en su trabajo.

La idea de fondo es fácil de captar: las personas tienen derecho a saber cuándo al otro lado hay una máquina, y cuándo un contenido que parece real ha sido fabricado o retocado por un algoritmo. El reglamento traduce ese principio en cuatro obligaciones distintas, cada una con un destinatario preciso.

El apartado 1 se refiere a los sistemas que interactúan con las personas. Chatbots, asistentes de voz, agentes que responden correos: quien los suministra debe diseñarlos de modo que el usuario sepa que está hablando con una IA, salvo que resulte evidente por el contexto a una persona razonablemente atenta.

El apartado 2 se refiere a los sistemas que generan contenidos sintéticos, es decir textos, imágenes, audio y vídeo. Quien los suministra debe garantizar que la salida lleve un marcado legible por máquinas que permita reconocerla como artificial.

El apartado 3 se refiere a quien usa sistemas de reconocimiento de emociones o de categorización biométrica: hay que informar a las personas expuestas.

El apartado 4 se refiere a quien publica deepfakes y a quien publica textos generados o manipulados por IA para informar al público sobre asuntos de interés público: debe declararse.

Cierra el apartado 5, válido para todos: la información debe darse con claridad, a más tardar en la primera interacción o en la primera exposición al contenido, y debe ser accesible también para personas con discapacidad.

Proveedor o responsable del despliegue: en qué papel está tu empresa

Todo el artículo 50 se apoya en una distinción que conviene aclarar enseguida, porque de ella depende lo que hay que hacer. El proveedor es quien desarrolla un sistema de IA y lo introduce en el mercado con su propio nombre o marca. El responsable del despliegue (deployer) es quien lo utiliza bajo su propia autoridad, con fines profesionales.

La mayoría de las pymes que usan herramientas como ChatGPT, Gemini, Copilot o un generador de imágenes son responsables del despliegue. La cosa cambia cuando la empresa construye algo propio sobre un modelo de terceros y lo ofrece a sus clientes: una software house que integra un asistente conversacional en su propio ERP y lo vende con su marca pasa a ser proveedor de ese sistema, con todas las obligaciones de diseño que ello implica. Para una agencia que desarrolla un chatbot para un cliente, el papel debe verificarse caso por caso: lo que cuenta es quién introduce el sistema en el mercado o lo pone en servicio con su propio nombre o marca. La mera entrega «llave en mano» no aclara, por sí sola, quién es el proveedor. Ocurre a menudo que la misma empresa sea responsable del despliegue para unas herramientas y proveedor para otras, de modo que el papel debe evaluarse herramienta por herramienta.

Desde cuándo se aplica el artículo 50 y qué cambió el Digital Omnibus

El 2 de agosto de 2026 era la fecha marcada en rojo en el calendario del AI Act: aplicación general del reglamento, inicio del régimen de los sistemas de alto riesgo, obligaciones de transparencia. A finales de junio el calendario se reescribió, pero solo en parte.

El Digital Omnibus sobre IA fue propuesto por la Comisión el 19 de noviembre de 2025, adoptado por el Parlamento Europeo el 16 de junio de 2026 y aprobado definitivamente por el Consejo el 29 de junio. Se firmó el 8 de julio. El aplazamiento más sustancial afecta a los sistemas de alto riesgo: los del Anexo III, usados por ejemplo para seleccionar personal, evaluar la solvencia crediticia o en educación, pasan al 2 de diciembre de 2027. Los integrados en productos regulados por el Anexo I, como maquinaria y productos sanitarios, al 2 de agosto de 2028.

Sobre el artículo 50, en cambio, el legislador fue mucho más prudente. La única flexibilización afecta al apartado 2, el marcado técnico de los contenidos: quien suministra sistemas generativos ya presentes en el mercado antes del 2 de agosto de 2026 tiene hasta el 2 de diciembre de 2026 para adaptarse. Para los sistemas introducidos en el mercado a partir de agosto, el marcado es exigible de inmediato. Todo lo demás, es decir avisos en los chatbots, etiquetas en los deepfakes, declaración de los textos de interés público e información sobre el reconocimiento de emociones, se aplica desde el 2 de agosto.

En las últimas semanas circula bastante la idea de que "el AI Act se ha aplazado". Es una lectura equivocada y además algo peligrosa, porque lleva a posponer precisamente las obligaciones más sencillas de cumplir. Conviene recordar además que el artículo 4, aplicable desde el 2 de febrero de 2025 y modificado por el Digital Omnibus, exige a proveedores y responsables del despliegue adoptar medidas que apoyen el desarrollo de competencias en materia de IA del personal y de quienes usan los sistemas por cuenta de ellos. No impone garantizar a cada persona un nivel específico de competencia. La supervisión de esta obligación comenzó en agosto de 2026.

Chatbots y AI Act: la obligación de decir que se habla con una IA

Aquí la obligación formal recae sobre el proveedor del chatbot, que debe diseñarlo de forma transparente. En la práctica, sin embargo, la cuestión llega directamente al escritorio de quien instala el chatbot en su propia web, porque es la empresa la que da la cara ante el cliente.

La excepción de la "evidencia" hay que manejarla con cuidado. Un asistente con un nombre de fantasía, un avatar sonriente y un tono muy natural puede confundirse fácilmente con un operador humano, y en ese caso la excepción decae. Incluso un bot claramente robótico puede parecer evidente a ti, que lo configuraste, y mucho menos a un cliente de 70 años que escribe desde el móvil. La opción que sugiere la mayoría de los asesores es la más sencilla: poner siempre un aviso y quitárselo de la lista de preocupaciones.

¿Cómo se redacta un buen aviso? Debe aparecer al abrirse la conversación, antes de que el usuario introduzca información, en una posición visible y con palabras comprensibles. Algo como "Hola, soy el asistente virtual de [nombre de la empresa], un sistema basado en inteligencia artificial. Si prefieres hablar con una persona, escribe 'operador'". Esconder la información en las condiciones de uso o en un enlace a pie de página va contra el espíritu de la norma. En los canales telefónicos, el aviso debe darse al inicio de la llamada.

Un consejo práctico para quien compra el chatbot a un proveedor: antes de firmar, pide por escrito cómo gestiona el producto el aviso previsto por el artículo 50, si el texto es personalizable y en qué idiomas. Ya que estás, haz lo mismo con el tratamiento de los datos personales recogidos en las conversaciones, que sigue sujeto al RGPD.

Contenidos generados por IA y artículo 50: el marcado legible por máquinas

El marcado previsto por el apartado 2 es una obligación técnica para quien desarrolla sistemas generativos. En esencia, cada imagen, vídeo, audio o texto producido debe llevar consigo una señal que las herramientas automáticas puedan leer para rastrear su origen artificial.

El Código de buenas prácticas describe un enfoque por capas. Por un lado, los metadatos incorporados al archivo; por otro, las marcas de agua digitales insertadas en el propio contenido, más resistentes a la eliminación. Como apoyo, técnicas como el fingerprinting y el registro de las salidas. El reglamento exige soluciones eficaces, interoperables, sólidas y fiables en la medida en que lo permita el estado de la técnica, teniendo en cuenta también las diferencias entre tipos de contenido y los costes. Es una forma de admitir que la tecnología perfecta todavía no existe, sobre todo para los textos, donde la marca de agua es mucho más frágil que en una imagen.

Existe además una exención que interesa a muchas empresas: el marcado queda excluido para los sistemas que desempeñan una función de asistencia a la edición estándar o que dejan sustancialmente inalterados los datos facilitados por el usuario. Un corrector gramatical puede entrar en la exención; para una herramienta que reformula el texto hay que valorar cuánto cambia el contenido y si sigue desempeñando una función de edición estándar.

Para una pyme que usa herramientas generativas comerciales, conviene hacer dos comprobaciones. La primera es elegir proveedores que declaren la conformidad con el artículo 50. La segunda es evitar eliminar los metadatos durante la posproducción: ocurre más a menudo de lo que se piensa, por ejemplo cuando una imagen se exporta y se comprime para la web con ajustes que limpian el archivo. Quien en cambio desarrolla y distribuye su propia herramienta generativa, aunque se base en un modelo de terceros, debe implementar el marcado por sí mismo.

Deepfakes y textos de interés público: las etiquetas que exige el AI Act

Esta es la parte que más interesa a quien trabaja en comunicación. La obligación de declaración prevista por el apartado 4 corresponde al responsable del despliegue del sistema que genera o manipula el contenido. El Código de buenas prácticas le dedica una sección entera.

Cuándo un contenido es un deepfake

El AI Act define como deepfake una imagen o un contenido de audio o vídeo generado o manipulado por IA que se asemeja a personas, objetos, lugares, entidades o acontecimientos existentes y que a una persona le parecería falsamente auténtico. La palabra clave es "falsamente auténtico". Una ilustración estilizada de una oficina imaginaria difícilmente engaña a nadie. La foto realista de tu planta con una línea de producción aún por construir, el vídeo del CEO leyendo un mensaje nunca grabado, la voz clonada de un embajador de marca: todos son casos que deben etiquetarse.

El Código indica cómo y dónde colocar la etiqueta, prevé la posibilidad de usar un icono común de la UE o una etiqueta equivalente y sugiere alternativas como un aviso sonoro para los contenidos solo de audio, donde una etiqueta visual es imposible. En las campañas en redes sociales el punto delicado es la permanencia: la etiqueta debe acompañar al contenido incluso cuando se comparte o se vuelve a publicar.

Si un contenido que constituye deepfake forma parte de una obra manifiestamente artística, creativa, satírica o de ficción, la declaración puede hacerse de modo que no obstaculice el disfrute de la obra. Un contenido claramente fantástico, en cambio, podría no ser un deepfake: hay que valorar si, en el contexto en que se muestra, puede parecer falsamente auténtico.

Textos generados y el papel de la revisión humana

Los textos generados o manipulados por IA y publicados para informar al público sobre asuntos de interés público deben declararse. El reglamento prevé, sin embargo, una salida importante: la obligación decae si el texto ha sido sometido a revisión humana o a control editorial y si una persona física o jurídica ha asumido la responsabilidad editorial.

Para una empresa que publica artículos de blog, newsletters o comunicados escritos con apoyo de IA, la pregunta es doble. ¿El contenido informa sobre un asunto de interés público? Una guía normativa, un comentario sobre una nueva ley, un artículo sobre un tema sanitario probablemente sí. ¿Una persona competente ha verificado el contenido en cuanto al fondo, comprobando hechos y fuentes, y alguien asume la responsabilidad editorial? En ese caso la etiqueta puede omitirse. Una simple corrección gramatical o una aprobación formal no bastan. Conviene conservar la versión revisada, las correcciones y el nombre de quien aprobó la publicación.

Código de buenas prácticas y directrices de la Comisión sobre el artículo 50

El texto del artículo 50 es breve y deja mucho margen de interpretación. Por eso la Comisión acompañó el reglamento con dos instrumentos pensados para quien debe aplicarlo en la práctica.

El Código de buenas prácticas sobre el marcado y el etiquetado de los contenidos generados por IA, publicado en versión final el 10 de junio de 2026, es fruto de un trabajo iniciado en noviembre de 2025 con expertos independientes y centenares de participantes de la industria, la universidad y la sociedad civil. Tiene dos secciones: la primera, sobre marcado y detección, se dirige a los proveedores de sistemas generativos; la segunda, sobre el etiquetado de deepfakes y textos de interés público, a los responsables del despliegue. Es voluntario. El Código fue valorado positivamente por la Comisión y por el Comité Europeo de Inteligencia Artificial. Quien lo suscribe puede remitirse a sus medidas para demostrar la conformidad con las obligaciones de marcado y etiquetado. Quien elija otras vías tendrá que demostrar por sí mismo que sus medidas son adecuadas.

Las directrices de la Comisión sobre el artículo 50, adoptadas el 20 de julio de 2026, aclaran el ámbito de aplicación de las obligaciones de transparencia. Se dirigen a proveedores, responsables del despliegue y autoridades de vigilancia, y abordan los casos que en el texto del reglamento quedan difusos: qué cuenta como interacción, cuándo un contenido es un deepfake, cómo funciona la excepción editorial, cómo se coordina la transparencia con otras normas. Para quien debe decidir sobre casos concretos, las directrices ofrecen ejemplos y aclaraciones prácticas que conviene leer junto al reglamento.

Sanciones por incumplir el artículo 50 y autoridades de control

El artículo 99 del AI Act prevé, para la infracción de las obligaciones de transparencia del artículo 50, sanciones de hasta 15 millones de euros o hasta el 3% del volumen de negocios mundial anual, si esta cifra es superior. Para pymes y empresas emergentes rige la regla opuesta: se aplica el menor de los dos importes. Es una diferencia que cuenta, y que el legislador quiso precisamente para evitar sanciones desproporcionadas sobre las empresas pequeñas.

En Italia, la ley 132 de 2025, en vigor desde el 10 de octubre de 2025, designó a la Agencia para la Italia Digital y a la Agencia de Ciberseguridad Nacional como autoridades nacionales para la inteligencia artificial. La Autoridad de protección de datos sigue siendo competente en todo lo que afecta a datos personales, y es fácil prever que muchas denuncias sobre transparencia pasarán también por ahí, dado que chatbots y reconocimiento de emociones tratan datos. En España el marco de autoridades sigue su propio calendario de designación.

Al cuantificar una sanción, las autoridades atienden a la gravedad y la duración de la infracción, al comportamiento de la empresa, a su cooperación y a las medidas adoptadas para limitar el daño. Traducido: una empresa que ha hecho un inventario, ha redactado un procedimiento y ha formado a su gente parte de una posición muy distinta a la de quien llega a la inspección con las manos vacías.

Cómo adaptarse al artículo 50 del AI Act: el plan de trabajo de una pyme

La buena noticia es que adaptarse al artículo 50 es sobre todo un trabajo de organización. Hacen falta orden y algo de método, más que inversiones tecnológicas.

El punto de partida es saber qué herramientas de IA se usan realmente en la empresa, incluidas las que los empleados adoptaron por su cuenta. Quien hace este ejercicio por primera vez suele descubrir el doble de herramientas de las que imaginaba: la extensión del navegador que resume los correos, el generador de imágenes que usa el comercial para las presentaciones, la transcripción automática de las reuniones. De cada una conviene anotar quién la usa, para qué, qué datos acaban dentro y qué tipo de contenido produce.

Con el inventario en la mano, se asigna a cada herramienta el papel de la empresa (proveedor o responsable del despliegue) y las obligaciones del artículo 50 que se derivan. Aquí emergen las acciones concretas: configurar el aviso del chatbot, definir cuándo hay que etiquetar las imágenes, establecer quién revisa los textos antes de publicarlos, pedir a los proveedores las declaraciones de conformidad.

Después hace falta alguien que lleve las riendas, mantenga el inventario al día y apruebe la llegada de nuevas herramientas. En una pyme puede ser una persona que ya está: a menudo el responsable de IT, el referente de privacidad o quien ya se ocupa de los sistemas de gestión. A esa persona conviene acompañarla con una política interna sobre el uso de la IA, dos o tres páginas escritas de forma comprensible, que diga a los compañeros qué se puede usar, con qué datos y con qué reglas de transparencia.

La última pieza es la formación, que cubre a la vez el artículo 50 y la obligación de alfabetización del artículo 4. Quien escribe contenidos debe saber cuándo hace falta una etiqueta, quien gestiona la atención al cliente debe conocer los avisos, quien compra software debe saber leer las declaraciones de los proveedores. Registros de formación, versiones de la política, aprobaciones de contenidos y contratos se convierten en las evidencias que mostrar si alguien pregunta.

ISO 42001 y AI Act: por qué un sistema de gestión hace demostrable la transparencia

Todo lo que exige el artículo 50 funciona mientras alguien se ocupe de ello. El riesgo real, para muchas empresas, es que el inventario se haga una vez y luego se quede quieto mientras las herramientas cambian cada mes.

La ISO/IEC 42001, el estándar internacional sobre sistemas de gestión de la inteligencia artificial, sirve exactamente para eso: convertir el cumplimiento de un proyecto puntual en un proceso que se actualiza solo. Pide mapear los sistemas de IA, evaluar sus riesgos e impactos, definir funciones y responsabilidades, controlar a los proveedores, garantizar la transparencia hacia las partes interesadas y verificarlo todo con auditorías periódicas. Son los mismos ingredientes que necesita el artículo 50, organizados en una estructura que aguanta en el tiempo.

La certificación ISO 42001 acredita la calidad del sistema de gestión, mientras que la conformidad legal con el AI Act debe evaluarse obligación por obligación. Dicho esto, una empresa certificada ya tiene inventario, procedimientos y evidencias en orden, y ante un cliente enterprise o una autoridad eso marca una diferencia enorme. Para quien ya tiene la ISO 27001 el paso es corto, porque ambas normas comparten la misma estructura armonizada y muchos procesos, desde la gestión de proveedores hasta las auditorías internas.

Cómo te acompañamos hacia la conformidad con el AI Act y la ISO 42001

Normalmente empezamos justo por ahí: por el inventario de las herramientas de IA que usas cada día y por la definición del papel que tu empresa desempeña con cada una. A partir de ahí construimos juntos los procedimientos que el artículo 50 realmente exige: avisos para los chatbots, reglas de etiquetado de contenidos, flujo de revisión editorial, control de proveedores. Nuestra plataforma reúne documentos y evidencias en un único lugar y vigila los plazos, de modo que el inventario se mantiene al día incluso cuando llegan herramientas nuevas. Si quieres dar un paso más, te acompañamos hasta la certificación ISO 42001 con la auditoría del organismo certificador. Y si tus sistemas de IA tratan datos personales, nuestro servicio de DPO externo cubre también el lado del RGPD, con el mismo interlocutor.

¿Quieres saber qué obligaciones del artículo 50 afectan a tu empresa? Escríbenos y te ponemos en contacto con uno de nuestros Lead Auditors.

Preguntas frecuentes sobre el artículo 50 del AI Act

¿Tengo que indicar que un artículo del blog se ha escrito con IA?

Depende del tema y del proceso editorial. La obligación afecta a los textos generados o manipulados por IA y publicados para informar al público sobre asuntos de interés público. La etiqueta puede omitirse si el contenido ha sido verificado en cuanto al fondo por una persona competente o sometido a un control editorial efectivo, y alguien asume la responsabilidad editorial. Conviene conservar rastro de la revisión y de la aprobación: una simple corrección gramatical no basta.

El chatbot que usamos solo con los empleados, ¿debe llevar el aviso?

En principio sí, porque la obligación del apartado 1 afecta a cualquier sistema que interactúe con personas físicas, empleados incluidos. La excepción vale cuando la naturaleza artificial es evidente por el contexto, y para una herramienta interna presentada a todos como asistente de IA a menudo lo es. Una línea de aviso al abrirla elimina en todo caso cualquier duda y cuesta muy poco.

¿El Digital Omnibus aplazó el artículo 50?

Casi nada. Las obligaciones de transparencia se aplican desde el 2 de agosto de 2026. La única prórroga afecta al marcado técnico de los contenidos generados previsto en el apartado 2, y solo para los sistemas ya presentes en el mercado antes de esa fecha, que tienen hasta el 2 de diciembre de 2026. El aplazamiento amplio afecta a los sistemas de alto riesgo, trasladados a 2027 y 2028.

Usamos ChatGPT para escribir los posts: ¿somos proveedores o responsables del despliegue?

Responsables del despliegue, a efectos del artículo 50. Usáis un sistema desarrollado por otros en el marco de vuestra actividad profesional. Pasaríais a ser proveedores si integrarais el modelo en un producto o servicio distribuido con vuestra marca, por ejemplo un asistente vendido a clientes. Para los posts, las obligaciones relevantes son las relativas a deepfakes y a textos de interés público, con la excepción de la revisión humana.

¿Las imágenes generadas con IA para una campaña hay que etiquetarlas siempre?

No siempre. La obligación de declaración del artículo 50, apartado 4, afecta a las imágenes que constituyen deepfakes: contenidos capaces de parecer falsamente auténticos o veraces respecto a personas, objetos, lugares, entidades o acontecimientos reales o plausibles. Una ilustración claramente fantástica, que no puede confundirse con una representación auténtica, normalmente no es un deepfake. Si en cambio un deepfake aparece en una obra manifiestamente artística, creativa, satírica o de ficción, la declaración puede hacerse de modo que no obstaculice el disfrute de la obra. El marcado técnico legible por máquinas es una obligación distinta, que recae sobre el proveedor del sistema.

¿Quién controla el cumplimiento del artículo 50?

Cada Estado miembro designa sus autoridades nacionales. En Italia, la ley 132 de 2025 designó a AgID y ACN como autoridades nacionales para la inteligencia artificial, mientras la Autoridad de protección de datos sigue siendo competente en los aspectos vinculados a datos personales, que en el caso de chatbots y reconocimiento de emociones están casi siempre presentes.

¿Cuánto arriesga una pyme que incumple las obligaciones de transparencia?

Para las infracciones del artículo 50 el techo previsto por el AI Act es de 15 millones de euros o del 3% del volumen de negocios mundial anual. Para las pymes se aplica el menor de los dos valores. El importe real depende de la gravedad, la duración, el comportamiento de la empresa y las medidas adoptadas, y es aquí donde un procedimiento documentado marca la diferencia.

¿Basta la ISO 42001 para cumplir con el AI Act?

La certificación acredita que la empresa tiene un sistema de gestión de la IA sólido y verificado. La conformidad con el AI Act sigue siendo un requisito legal que debe comprobarse obligación por obligación. En la práctica, sin embargo, quien tiene un sistema ISO 42001 en funcionamiento ya dispone de casi todo el material necesario para demostrarla.