Resumen
La Ley de IA de la UE es una normativa integral de la Unión Europea que regula la inteligencia artificial en función del riesgo. Tras la aprobación definitiva por parte del Consejo de la UE, el 29 de junio de 2026, de un reglamento que simplifica y reordena las normas sobre IA, ha vuelto a cobrar importancia la distinción entre los plazos de aplicación y las obligaciones que las empresas deben preparar en la práctica.
Hay dos aspectos que merecen especial atención en este cambio.
- Obligaciones de transparencia para la IA generativa, los chatbots y los deepfakes, que entrarán en vigor el 2 de agosto de 2026
- Ajuste de las fechas de aplicación para los sistemas de IA de alto riesgo: los sistemas independientes, a partir del 2 de diciembre de 2027; los integrados en productos, a partir del 2 de agosto de 2028
Es decir, no todas las obligaciones relacionadas con la IA entran en vigor el mismo día. Las empresas no estarán sujetas a las mismas obligaciones por el mero hecho de «utilizar IA», sino que deberán clasificarse en función de si el sistema en cuestión interactúa con los usuarios, genera contenido, crea deepfakes, se utiliza en ámbitos de alto riesgo o está relacionado con la normativa de seguridad de los productos.
Resumen de las fechas clave
| Categoría | Contenido principal | Fecha de aplicación |
|---|---|---|
| Obligaciones de transparencia sobre IA generativa, chatbots y deepfakes | Notificación de la interacción con la IA, indicación de contenidos generados por IA, divulgación de deepfakes, etc. | 2 de agosto de 2026 |
| Sistemas de IA independientes de alto riesgo | Sistemas independientes en ámbitos específicos de alto riesgo, como la contratación, la educación, los servicios esenciales y la aplicación de la ley | 2 de diciembre de 2027 |
| Sistemas de IA de alto riesgo integrados en productos | Componentes de IA combinados con normativas de seguridad de máquinas, equipos y productos | 2 de agosto de 2028 |
| Códigos y directrices voluntarios | Normas voluntarias que facilitan las prácticas de identificación y etiquetado | No sustituyen a las obligaciones legales propiamente dichas |
Obligaciones de transparencia en materia de IA generativa aplicables a partir del 2 de agosto de 2026
A partir del 2 de agosto de 2026, las empresas deberán prestar especial atención a las obligaciones de transparencia de la Ley de IA. Esta obligación no significa que «se prohíba incondicionalmente todo resultado generado por la IA», sino que su objetivo es que se indique, notifique y divulgue para que los usuarios y la sociedad puedan saber si ha intervenido la IA.
1. Chatbots e IA interactiva: notificación para que no se confunda con una conversación con una persona
Cuando el usuario interactúe directamente con un sistema de IA, el proveedor o distribuidor deberá garantizar que el usuario sea consciente de que está interactuando con una IA.
Por ejemplo, podrían verse afectados los siguientes servicios:
- Chatbots de atención al cliente
- Sistemas de asesoramiento y reservas basados en IA
- Asistentes de IA interactivos en sitios web
- IA de respuesta automática basada en voz
- Interfaces de IA generativa que responden al usuario como si se tratara de un agente humano
En la práctica, se puede considerar la posibilidad de indicar claramente que «esta respuesta la genera un sistema de IA» a través de la pantalla inicial, el mensaje de inicio de la conversación, las indicaciones de voz, la descripción del servicio o las etiquetas de la interfaz de usuario.
2. Contenido generado por IA: indicación legible por máquinas y detectabilidad
Cuando la IA genere o manipule contenido sintético, como imágenes, audio, vídeo o texto, es necesario indicar que dicho contenido ha sido generado o manipulado artificialmente.
Es importante destacar que no basta con mostrar una simple frase, sino que, en la medida en que sea técnicamente posible, puede exigirse una indicación legible por máquinas o detectable. Se trata de un mecanismo destinado a que los motores de búsqueda, las plataformas, las herramientas de verificación y los sistemas de IA puedan reconocer el origen y la naturaleza de dicho contenido.
Las formas posibles de implementación pueden variar en función del tipo de contenido.
| Tipo de contenido | Ejemplos de formas de indicación posibles |
|---|---|
| Imagen | Metadatos, marca de agua, pie de foto, etiqueta en la pantalla de publicación |
| Vídeo | Etiqueta en pantalla, metadatos, indicación de si se trata de un contenido sintético, aviso en el campo de descripción |
| Audio | Indicación de voz, metadatos del archivo, aviso en la página de publicación |
| Texto | Aviso de generación por IA en la pantalla de redacción o publicación, metadatos, indicación de la responsabilidad editorial |
No obstante, en el ámbito jurídico son importantes las excepciones y el alcance. Por ejemplo, las funciones que no alteran sustancialmente el significado de la entrada —como el simple retoque, la corrección gramatical o la ayuda estándar a la edición— pueden recibir un trato diferente al de la obligación de divulgar los «deepfakes» o los contenidos sintéticos.
3. Deepfakes: obligación de revelar claramente que se trata de una manipulación
El término «deepfake» se refiere a contenidos sintéticos o manipulados que hacen que personas, objetos, lugares o sucesos reales parezcan auténticos. La obligación de transparencia de la Ley de IA se centra en revelar que se trata de un deepfake para que el usuario no lo confunda con un documento real.
Por ejemplo, hay que prestar especial atención a los siguientes contenidos:
- Vídeos en los que se simula que una persona real ha dicho algo que en realidad no ha dicho
- Imágenes sintéticas de personas que parecen fotografías reales
- Contenido en el que se reproduce la voz de políticos, empresarios o famosos
- Vídeos generados para que parezcan grabaciones de sucesos reales
La forma de divulgación debe ajustarse al contexto del contenido. En las plataformas de vídeos cortos, puede ser necesario incluir una etiqueta en pantalla y una nota en el campo de descripción, mientras que en los contenidos informativos o de noticias es importante que el responsable de edición los revise y que se indique claramente que se trata de contenido generado o manipulado.
El significado de los «deepfakes» sexuales sin consentimiento y de la IA que genera material de explotación sexual infantil
Un ámbito que debe distinguirse por separado en este debate es el de los «deepfakes» sexuales sin consentimiento y la IA para la generación de material de explotación sexual infantil. No se trata simplemente de que «como se ha creado con IA, basta con indicarlo».
Deepfakes sexuales sin consentimiento
Los deepfakes sexuales sin consentimiento se refieren a la síntesis o manipulación de imágenes, vídeos o grabaciones de carácter sexual sin el consentimiento de los interesados. Este ámbito está directamente relacionado con los derechos de la personalidad, el derecho a la autodeterminación sexual, la intimidad, el honor y la seguridad de las víctimas.
Por lo tanto, las empresas no deben tratarlo únicamente como un contenido generativo más sujeto a etiquetado. Los distribuidores de plataformas, herramientas de generación, API y modelos deben considerar las siguientes medidas de control:
- Bloqueo de solicitudes de creación de deepfakes sexuales
- Prevención del uso indebido de la síntesis de rostros de famosos y personas comunes
- Establecimiento de procedimientos de denuncia, eliminación y bloqueo
- Sancionar a las cuentas que incumplan repetidamente las normas
- Establecer medidas de seguridad en las rutas de almacenamiento y uso compartido de los contenidos generados
- Bloquear las solicitudes relacionadas con menores o con personas cuyo consentimiento no pueda verificarse
IA para la generación de material de explotación sexual infantil
El material de explotación sexual infantil, ya sea que tenga como objeto a niños reales o haya sido sintetizado o generado mediante IA, constituye un ámbito ilegal y peligroso de extrema gravedad. El hecho de que la IA no haya filmado directamente a las víctimas reales no significa que el riesgo desaparezca. Esto se debe a que la IA generativa puede ser utilizada indebidamente como herramienta para generar o difundir a gran escala imágenes de explotación sexual infantil.
Por lo tanto, en este ámbito, lo fundamental no es la indicación de transparencia, sino la prevención de la generación, el bloqueo del acceso, los sistemas de denuncia y la cooperación con las fuerzas del orden. Las empresas deben ejercer un control que abarque no solo la política de contenidos, sino también la seguridad de los modelos, el filtrado de las indicaciones, la revisión de los resultados, la gestión de los datos de entrenamiento y la prevención del uso indebido de las API.
¿Cómo ha cambiado el momento de aplicación de la IA de alto riesgo?
La IA de alto riesgo se refiere a aquella que puede tener un impacto significativo en los derechos, la seguridad, las oportunidades y el acceso a servicios esenciales de las personas. La Ley de IA impone a estos sistemas obligaciones estrictas en materia de gestión de riesgos, gobernanza de datos, documentación técnica, conservación de registros, transparencia, supervisión humana, precisión, robustez y ciberseguridad.
La clave de este ajuste de plazos radica en que la IA de alto riesgo se divide en sistemas autónomos y sistemas integrados en productos, lo que da lugar a diferentes fechas de aplicación.
IA de alto riesgo autónoma: 2 de diciembre de 2027
La IA de alto riesgo autónoma se refiere a los sistemas de IA utilizados para fines específicos de alto riesgo, aunque no estén directamente vinculados a la certificación de seguridad de los productos. Por ejemplo, pueden verse afectados los siguientes ámbitos:
- Apoyo a la toma de decisiones relacionadas con el empleo, como la contratación, los ascensos y los despidos
- Admisión en centros educativos, evaluación y valoración del rendimiento académico
- Acceso a servicios privados esenciales, como la evaluación crediticia, los préstamos y los seguros
- Acceso a prestaciones públicas, la seguridad social y los servicios públicos esenciales
- Apoyo en materia de aplicación de la ley, gestión de la inmigración y las fronteras, y procedimientos judiciales y democráticos
- Ámbitos de uso sensibles, como la identificación y clasificación basadas en datos biométricos
Estos sistemas deben prepararse para cumplir con las obligaciones relativas a la IA de alto riesgo que entrarán en vigor el 2 de diciembre de 2027. No basta con limitarse a explicar que el modelo tiene un buen rendimiento; es necesario documentar la finalidad de uso, los datos, la gestión de riesgos, la supervisión humana, los registros y los responsables.
IA de alto riesgo integrada en productos: 2 de agosto de 2028
La IA de alto riesgo integrada en productos puede referirse a la IA incorporada en las funciones de seguridad de productos físicos o sujetos a regulación, como máquinas, equipos y productos relacionados con la medicina, la industria y la seguridad. En este caso, las obligaciones de la Ley de IA se entrelazan con la normativa vigente de la UE en materia de seguridad de los productos, la evaluación de la conformidad, el marcado CE y los sistemas de gestión de la calidad.
La razón por la que la fecha de aplicación se ha ajustado al 2 de agosto de 2028 es que hay más elementos que preparar que en el caso de los simples servicios de software. Se requiere un período de transición más largo, ya que está relacionado con el diseño de los productos, la cadena de suministro, la integración del hardware, los ensayos, los procedimientos de los organismos de certificación y los ciclos de lanzamiento.
