Se ha vuelto a modificar el calendario de aplicación de la Ley de IA de la UE: nuevas normas sobre el etiquetado de la IA generativa y la regulación de la IA de alto riesgo

Resumen

La Ley de IA de la UE es una normativa integral de la Unión Europea que regula la inteligencia artificial en función del riesgo. Tras la aprobación definitiva por parte del Consejo de la UE, el 29 de junio de 2026, de un reglamento que simplifica y reordena las normas sobre IA, ha vuelto a cobrar importancia la distinción entre los plazos de aplicación y las obligaciones que las empresas deben preparar en la práctica.

Hay dos aspectos que merecen especial atención en este cambio.

1. Obligaciones de transparencia para la IA generativa, los chatbots y los deepfakes, que entrarán en vigor el 2 de agosto de 2026
2. Ajuste de las fechas de aplicación para los sistemas de IA de alto riesgo: los sistemas independientes, a partir del 2 de diciembre de 2027; los integrados en productos, a partir del 2 de agosto de 2028

Es decir, no todas las obligaciones relacionadas con la IA entran en vigor el mismo día. Las empresas no estarán sujetas a las mismas obligaciones por el mero hecho de «utilizar IA», sino que deberán clasificarse en función de si el sistema en cuestión interactúa con los usuarios, genera contenido, crea deepfakes, se utiliza en ámbitos de alto riesgo o está relacionado con la normativa de seguridad de los productos.

Resumen de las fechas clave

Obligaciones de transparencia en materia de IA generativa aplicables a partir del 2 de agosto de 2026

A partir del 2 de agosto de 2026, las empresas deberán prestar especial atención a las obligaciones de transparencia de la Ley de IA. Esta obligación no significa que «se prohíba incondicionalmente todo resultado generado por la IA», sino que su objetivo es que se indique, notifique y divulgue para que los usuarios y la sociedad puedan saber si ha intervenido la IA.

1. Chatbots e IA interactiva: notificación para que no se confunda con una conversación con una persona

Cuando el usuario interactúe directamente con un sistema de IA, el proveedor o distribuidor deberá garantizar que el usuario sea consciente de que está interactuando con una IA.

Por ejemplo, podrían verse afectados los siguientes servicios:

• Chatbots de atención al cliente
• Sistemas de asesoramiento y reservas basados en IA
• Asistentes de IA interactivos en sitios web
• IA de respuesta automática basada en voz
• Interfaces de IA generativa que responden al usuario como si se tratara de un agente humano

En la práctica, se puede considerar la posibilidad de indicar claramente que «esta respuesta la genera un sistema de IA» a través de la pantalla inicial, el mensaje de inicio de la conversación, las indicaciones de voz, la descripción del servicio o las etiquetas de la interfaz de usuario.

2. Contenido generado por IA: indicación legible por máquinas y detectabilidad

Cuando la IA genere o manipule contenido sintético, como imágenes, audio, vídeo o texto, es necesario indicar que dicho contenido ha sido generado o manipulado artificialmente.

Es importante destacar que no basta con mostrar una simple frase, sino que, en la medida en que sea técnicamente posible, puede exigirse una indicación legible por máquinas o detectable. Se trata de un mecanismo destinado a que los motores de búsqueda, las plataformas, las herramientas de verificación y los sistemas de IA puedan reconocer el origen y la naturaleza de dicho contenido.

Las formas posibles de implementación pueden variar en función del tipo de contenido.

No obstante, en el ámbito jurídico son importantes las excepciones y el alcance. Por ejemplo, las funciones que no alteran sustancialmente el significado de la entrada —como el simple retoque, la corrección gramatical o la ayuda estándar a la edición— pueden recibir un trato diferente al de la obligación de divulgar los «deepfakes» o los contenidos sintéticos.

3. Deepfakes: obligación de revelar claramente que se trata de una manipulación

El término «deepfake» se refiere a contenidos sintéticos o manipulados que hacen que personas, objetos, lugares o sucesos reales parezcan auténticos. La obligación de transparencia de la Ley de IA se centra en revelar que se trata de un deepfake para que el usuario no lo confunda con un documento real.

Por ejemplo, hay que prestar especial atención a los siguientes contenidos:

• Vídeos en los que se simula que una persona real ha dicho algo que en realidad no ha dicho
• Imágenes sintéticas de personas que parecen fotografías reales
• Contenido en el que se reproduce la voz de políticos, empresarios o famosos
• Vídeos generados para que parezcan grabaciones de sucesos reales

La forma de divulgación debe ajustarse al contexto del contenido. En las plataformas de vídeos cortos, puede ser necesario incluir una etiqueta en pantalla y una nota en el campo de descripción, mientras que en los contenidos informativos o de noticias es importante que el responsable de edición los revise y que se indique claramente que se trata de contenido generado o manipulado.

El significado de los «deepfakes» sexuales sin consentimiento y de la IA que genera material de explotación sexual infantil

Un ámbito que debe distinguirse por separado en este debate es el de los «deepfakes» sexuales sin consentimiento y la IA para la generación de material de explotación sexual infantil. No se trata simplemente de que «como se ha creado con IA, basta con indicarlo».

Deepfakes sexuales sin consentimiento

Los deepfakes sexuales sin consentimiento se refieren a la síntesis o manipulación de imágenes, vídeos o grabaciones de carácter sexual sin el consentimiento de los interesados. Este ámbito está directamente relacionado con los derechos de la personalidad, el derecho a la autodeterminación sexual, la intimidad, el honor y la seguridad de las víctimas.

Por lo tanto, las empresas no deben tratarlo únicamente como un contenido generativo más sujeto a etiquetado. Los distribuidores de plataformas, herramientas de generación, API y modelos deben considerar las siguientes medidas de control:

• Bloqueo de solicitudes de creación de deepfakes sexuales
• Prevención del uso indebido de la síntesis de rostros de famosos y personas comunes
• Establecimiento de procedimientos de denuncia, eliminación y bloqueo
• Sancionar a las cuentas que incumplan repetidamente las normas
• Establecer medidas de seguridad en las rutas de almacenamiento y uso compartido de los contenidos generados
• Bloquear las solicitudes relacionadas con menores o con personas cuyo consentimiento no pueda verificarse

IA para la generación de material de explotación sexual infantil

El material de explotación sexual infantil, ya sea que tenga como objeto a niños reales o haya sido sintetizado o generado mediante IA, constituye un ámbito ilegal y peligroso de extrema gravedad. El hecho de que la IA no haya filmado directamente a las víctimas reales no significa que el riesgo desaparezca. Esto se debe a que la IA generativa puede ser utilizada indebidamente como herramienta para generar o difundir a gran escala imágenes de explotación sexual infantil.

Por lo tanto, en este ámbito, lo fundamental no es la indicación de transparencia, sino la prevención de la generación, el bloqueo del acceso, los sistemas de denuncia y la cooperación con las fuerzas del orden. Las empresas deben ejercer un control que abarque no solo la política de contenidos, sino también la seguridad de los modelos, el filtrado de las indicaciones, la revisión de los resultados, la gestión de los datos de entrenamiento y la prevención del uso indebido de las API.

¿Cómo ha cambiado el momento de aplicación de la IA de alto riesgo?

La IA de alto riesgo se refiere a aquella que puede tener un impacto significativo en los derechos, la seguridad, las oportunidades y el acceso a servicios esenciales de las personas. La Ley de IA impone a estos sistemas obligaciones estrictas en materia de gestión de riesgos, gobernanza de datos, documentación técnica, conservación de registros, transparencia, supervisión humana, precisión, robustez y ciberseguridad.

La clave de este ajuste de plazos radica en que la IA de alto riesgo se divide en sistemas autónomos y sistemas integrados en productos, lo que da lugar a diferentes fechas de aplicación.

IA de alto riesgo autónoma: 2 de diciembre de 2027

La IA de alto riesgo autónoma se refiere a los sistemas de IA utilizados para fines específicos de alto riesgo, aunque no estén directamente vinculados a la certificación de seguridad de los productos. Por ejemplo, pueden verse afectados los siguientes ámbitos:

• Apoyo a la toma de decisiones relacionadas con el empleo, como la contratación, los ascensos y los despidos
• Admisión en centros educativos, evaluación y valoración del rendimiento académico
• Acceso a servicios privados esenciales, como la evaluación crediticia, los préstamos y los seguros
• Acceso a prestaciones públicas, la seguridad social y los servicios públicos esenciales
• Apoyo en materia de aplicación de la ley, gestión de la inmigración y las fronteras, y procedimientos judiciales y democráticos
• Ámbitos de uso sensibles, como la identificación y clasificación basadas en datos biométricos

Estos sistemas deben prepararse para cumplir con las obligaciones relativas a la IA de alto riesgo que entrarán en vigor el 2 de diciembre de 2027. No basta con limitarse a explicar que el modelo tiene un buen rendimiento; es necesario documentar la finalidad de uso, los datos, la gestión de riesgos, la supervisión humana, los registros y los responsables.

IA de alto riesgo integrada en productos: 2 de agosto de 2028

La IA de alto riesgo integrada en productos puede referirse a la IA incorporada en las funciones de seguridad de productos físicos o sujetos a regulación, como máquinas, equipos y productos relacionados con la medicina, la industria y la seguridad. En este caso, las obligaciones de la Ley de IA se entrelazan con la normativa vigente de la UE en materia de seguridad de los productos, la evaluación de la conformidad, el marcado CE y los sistemas de gestión de la calidad.

La razón por la que la fecha de aplicación se ha ajustado al 2 de agosto de 2028 es que hay más elementos que preparar que en el caso de los simples servicios de software. Se requiere un período de transición más largo, ya que está relacionado con el diseño de los productos, la cadena de suministro, la integración del hardware, los ensayos, los procedimientos de los organismos de certificación y los ciclos de lanzamiento.

¿Por qué se ha ajustado el calendario?

El ajuste del calendario por parte de la UE no es tanto una medida destinada a suavizar o invalidar la normativa sobre IA, sino que tiene un carácter más marcado de conciliar la viabilidad de la aplicación real con la capacidad de preparación de las empresas. En particular, las obligaciones relativas a la IA de alto riesgo no son algo que pueda cumplirse con un simple aviso.

Las empresas deben prepararse en los siguientes aspectos:

• Determinar si se trata de un sistema de IA de alto riesgo
• Elaborar un inventario de los sistemas de IA y definir sus fines de uso
• Gestionar el origen y la calidad de los conjuntos de datos
• Establecer un sistema de gestión de riesgos
• Diseñar procedimientos de supervisión humana
• Garantizar el registro de logs y la trazabilidad
• Verificar la precisión, la robustez y la ciberseguridad
• Delimitar las responsabilidades entre proveedores, distribuidores, importadores y usuarios
• Preparación de la documentación técnica y la evaluación de conformidad

Si las obligaciones entran en vigor sin que estos elementos estén suficientemente definidos, tanto las empresas como las autoridades de supervisión podrían tener dificultades para interpretarlas y aplicarlas. Por lo tanto, el ajuste del calendario puede entenderse como una medida que concede un periodo de preparación a los sujetos regulados y, al mismo tiempo, permite una aplicación efectiva.

Por qué hay que distinguir entre los códigos voluntarios y las obligaciones legales efectivas

La Comisión Europea está presentando códigos de buenas prácticas y documentos de orientación para la identificación y el etiquetado de contenidos generados por IA. Estos códigos son útiles para que las empresas sepan cómo etiquetar, indicar la fuente de los contenidos e informar a los usuarios.

Sin embargo, los códigos deontológicos y las obligaciones legales no son lo mismo.

Por lo tanto, las empresas no deben considerar que han cumplido todas sus obligaciones legales por el mero hecho de «haber participado en un código voluntario». Por el contrario, aunque no participen en un código voluntario, deben cumplir por separado las obligaciones de transparencia, documentación y gestión de riesgos exigidas por la ley.

Lista de comprobación para empresas: ¿qué hay que verificar ahora?

1. ¿Incluye nuestro servicio la interacción con la IA?

• ¿El usuario conversa directamente con un chatbot, un bot de voz o una IA de atención al cliente?
• ¿El usuario puede confundir a un agente humano con la IA?
• ¿Se proporciona un aviso sobre la IA en la primera pantalla o al inicio de la conversación?
• ¿Son claros los criterios para pasar de una respuesta automatizada a un asesor humano?

2. ¿Creamos o distribuimos contenido generado por IA?

• ¿Generamos imágenes, vídeos, audio o texto mediante IA?
• ¿Se publican, comparten o venden los contenidos generados al público?
• ¿El usuario puede identificar fácilmente que el contenido ha sido generado o manipulado por IA?
• ¿Se han revisado los marcadores legibles por máquina, como metadatos, marcas de agua o etiquetas?

3. ¿Dispone de funciones de «deepfake» o de creación de personajes sintéticos?

• ¿Dispone de funciones para sintetizar el rostro, la voz o el comportamiento de personas reales?
• ¿Existe la posibilidad de que se produzcan confusiones en ámbitos de interés público, como la política, las finanzas, la sanidad o las catástrofes?
• ¿Puede ser objeto de uso indebido para la síntesis sexual sin consentimiento, la difamación, el fraude o la suplantación de identidad?
• ¿Existen procedimientos de denuncia, eliminación, bloqueo y sanción de cuentas?

4. ¿Podría considerarse una IA de alto riesgo?

• ¿Se utiliza en los ámbitos de la contratación, la educación, el crédito, los seguros, los servicios públicos, la aplicación de la ley, la inmigración o la justicia?
• ¿Afectan los resultados de la IA de forma sustancial a los derechos o las oportunidades de las personas?
• ¿Se trata de un software independiente o de una función de seguridad integrada en un producto?
• ¿Se ha diferenciado si la fecha de aplicación es el 2 de diciembre de 2027 o el 2 de agosto de 2028?

5. ¿Se está confundiendo el código autónomo con las obligaciones legales?

• ¿Se ha elaborado una lista de obligaciones legales, independientemente de la participación en el código autónomo?
• ¿Se utilizan los mismos criterios en las políticas internas, el diseño de productos y la revisión jurídica?
• ¿Se ha comprobado si se ofrece el servicio a usuarios de la UE o en el mercado de la UE?
• ¿Se han reflejado en los contratos los ámbitos de responsabilidad de los proveedores, distribuidores, proveedores de API y clientes?

Puntos que suelen dar lugar a malentendidos en la práctica

No significa que «todo el contenido generado por IA esté prohibido»

El contenido generado por IA no está prohibido en sí mismo. La clave es que el usuario debe poder saber que se trata de contenido generado o manipulado por IA. No obstante, los «deepfakes» sexuales sin consentimiento, el material de explotación sexual infantil y el contenido destinado al fraude, la suplantación de identidad o la violación de derechos deben gestionarse como áreas de riesgo grave independientes.

Tampoco significa que «basta con etiquetarlo para resolver todos los problemas»

El etiquetado es solo una parte de la obligación de transparencia. Si el contenido es ilegal, infringe los derechos de terceros, supone un riesgo para la seguridad o se utiliza para la toma de decisiones de alto riesgo, pueden surgir obligaciones adicionales o prohibiciones, independientemente de la etiquetación.

Esto no significa que «como se ha retrasado el calendario de la IA de alto riesgo, se pueda posponer la preparación»

Las obligaciones relativas a la IA de alto riesgo requieren un largo periodo de preparación. La gobernanza de datos, la gestión de riesgos, la documentación técnica y los sistemas de supervisión humana no son elementos adicionales que se puedan incorporar justo antes del lanzamiento del producto. Aunque se haya ajustado el calendario, lo más prudente es comenzar a elaborar la lista de sistemas y la clasificación de riesgos a partir de 2026.

Conclusión

El mensaje práctico más importante del nuevo calendario de la Ley de IA de la UE es claro: a partir del 2 de agosto de 2026 se aplicarán las obligaciones de transparencia relativas a la IA generativa y los chatbots, los chatbots y las obligaciones de transparencia sobre los «deepfakes»; por su parte, las obligaciones relativas a la IA de alto riesgo, que se dividen entre sistemas autónomos e integrados en productos, deben prepararse para el 2 de diciembre de 2027 y el 2 de agosto de 2028, respectivamente.

Para las empresas, no basta con contar únicamente con códigos de conducta, guías técnicas y principios éticos internos. Deben adaptar conjuntamente su inventario de IA, su sistema de etiquetado, la gestión de riesgos, la documentación y los procedimientos de bloqueo de contenidos prohibidos, basándose en cuándo se aplican las obligaciones legales efectivas, a qué sistemas y a qué tipos de operadores.