Obligaciones de transparencia si trabajas con IA

Si trabajas con IA estas son las obligaciones a cumplir

Los sistemas de Inteligencia Artificial (IA) forman ya parte de la atención al cliente, la creación de contenidos, los procesos de selección, el marketing y la gestión interna de numerosas organizaciones.

Sin embargo, muchas personas no saben cuándo están hablando con una máquina o cuándo una imagen, un audio, un vídeo o un texto han sido generados mediante IA.

Para afrontar este riesgo, el artículo 50 del Reglamento (UE) 2024/1689 (RIA) establece obligaciones específicas de transparencia. La Comisión Europea publicó el 20 de julio de 2026 sus directrices definitivas para aclarar cómo deben interpretarse estas obligaciones, que comienzan a aplicarse con carácter general el 2 de agosto de 2026.

El objetivo es sencillo: que las personas puedan reconocer una interacción o un contenido artificial y valorar adecuadamente su fiabilidad.

Para las empresas, en cambio, la aplicación exige identificar correctamente su papel, revisar cada uso de IA y adaptar interfaces, procesos, contratos y evidencias.

¿A qué empresas afecta el artículo 50?

Puede afectar tanto a quienes desarrollan o comercializan sistemas de IA como a quienes los utilizan en su actividad profesional.

• El proveedor es, en términos generales, quien desarrolla un sistema —o encarga su desarrollo— y lo comercializa o pone en servicio bajo su nombre o marca.
• El responsable del despliegue es la empresa u organización que utiliza el sistema bajo su autoridad.

Una misma entidad puede ocupar ambos papeles en operaciones distintas. Además, una empresa que modifica sustancialmente una herramienta, cambia su finalidad prevista o la ofrece bajo su propia marca puede llegar a asumir obligaciones propias del proveedor.

Contratar una herramienta de IA de un tercero no elimina las responsabilidades de la empresa usuaria. Debe comprobarse qué obligaciones corresponden al fabricante y cuáles recaen sobre quien despliega la solución.

Los cuatro supuestos que deben revisarse

.

1. Chatbots y asistentes que interactúan directamente con personas

Los proveedores deben diseñar estos sistemas para que las personas sepan que están interactuando con IA, salvo que resulte evidente para una persona razonablemente informada, atenta y perspicaz, teniendo en cuenta el contexto.

En la práctica, un chatbot de atención al cliente, un asistente de voz o un agente virtual con apariencia humana deberían mostrar un aviso claro al inicio de la interacción. Ocultarlo en las condiciones de uso o en una política de privacidad extensa difícilmente cumplirá la finalidad de la norma.

Un texto sencillo podría ser: «Estás interactuando con un asistente basado en inteligencia artificial». Si la conversación pasa posteriormente a una persona, conviene identificar también ese cambio.

2. Contenidos generados o manipulados mediante IA

Los proveedores de sistemas que generen audio, imagen, vídeo o texto sintético deben asegurar que las salidas estén marcadas en un formato legible por máquina y que puedan detectarse como generadas o manipuladas artificialmente.

Las soluciones técnicas deben ser eficaces, interoperables, robustas y fiables en la medida en que sea técnicamente viable. Pueden utilizarse, entre otras posibilidades, metadatos, credenciales de contenido, marcas de agua o técnicas criptográficas.

La obligación no se aplica, en la medida correspondiente, cuando la IA realiza una función meramente auxiliar de edición estándar o no altera sustancialmente los datos aportados ni su significado. No toda corrección ortográfica o ajuste básico convierte un contenido en material sintético sujeto a marcado.

3. Reconocimiento de emociones y categorización biométrica

La empresa que despliegue un sistema de reconocimiento de emociones o categorización biométrica debe informar sobre su funcionamiento a las personas expuestas. Esta obligación de transparencia no legitima por sí misma el tratamiento de datos personales.

Será necesario analizar además el cumplimiento de la Normativa de Protección de Datos (RGPD y la LOPDGDD): base jurídica, posibles datos biométricos, categorías especiales, evaluación de impacto, minimización, conservación, seguridad y ejercicio de derechos.

También hay que recordar que determinados usos de reconocimiento de emociones están prohibidos por el Reglamento de IA, como su utilización en centros de trabajo y educativos, salvo finalidades médicas o de seguridad. Informar sobre un sistema no convierte en lícito un uso prohibido.

4. Deepfakes y textos sobre asuntos de interés público

Quien utilice IA para generar o manipular imágenes, audios o vídeos que constituyan un deepfake debe revelar que el contenido es artificial. Cuando forme parte de una obra artística, creativa, satírica o ficticia, la forma de comunicarlo puede adaptarse para no perjudicar su exhibición o disfrute, pero la obligación no desaparece.

También debe revelarse el origen artificial de los textos publicados para informar al público sobre asuntos de interés público. Existe una excepción cuando el contenido ha sido objeto de revisión humana o control editorial y una persona física o jurídica asume la responsabilidad editorial.

La revisión no debería ser meramente formal. Si una empresa quiere utilizar esta excepción, conviene documentar quién revisó el texto, qué fuentes comprobó, qué modificaciones realizó y quién asume la responsabilidad sobre la publicación.

¿Cómo debe facilitarse la información?

El aviso debe ser claro, distinguible y accesible, y facilitarse como máximo en el momento de la primera interacción o exposición. Esto obliga a integrar la transparencia en el diseño real del servicio o del contenido.

• Debe emplearse un lenguaje directo y comprensible.
• El aviso debe ser visible y estar próximo a la interacción o al contenido.
• No debe condicionarse su lectura a que el usuario abra documentos legales extensos.
• La etiqueta debe acompañar al contenido cuando este pueda compartirse fuera de su contexto original.
• Deben cumplirse los requisitos de accesibilidad: contraste, alternativas textuales y compatibilidad con tecnologías de apoyo.

Transparencia de la IA y Protección de datos: obligaciones diferentes

Un error frecuente consiste en pensar que basta con actualizar la política de privacidad. El aviso previsto en el artículo 50 del Reglamento de IA y la información exigida por los artículos 13 y 14 del RGPD son obligaciones distintas.

Cuando exista tratamiento de datos personales, la organización deberá atender simultáneamente ambos marcos. Esto puede exigir revisar el Registro de Actividades (RAT), la base jurídica, los contratos con Encargados del tratamiento (ET), las transferencias internacionales, las medidas de seguridad, la Evaluación de impacto (EIPD) y la posible existencia de decisiones automatizadas.

Los avisos pueden coordinarse para evitar repeticiones, pero ninguno sustituye al otro.

¿Es obligatorio adherirse al Código de Buenas Prácticas?

No. La adhesión al Código de Buenas Prácticas sobre Transparencia de los Contenidos Generados por IA es voluntaria. Sin embargo, la Comisión y el Comité de IA lo consideran una herramienta adecuada para acreditar el cumplimiento de las obligaciones de marcado y etiquetado.

Las empresas que no se adhieran pueden utilizar medidas alternativas, pero deberán poder demostrar que son igualmente adecuadas. Por tanto, la decisión no debe adoptarse únicamente por razones formales: conviene comparar el coste de adhesión con la carga técnica y probatoria de justificar un sistema propio.

¿Qué riesgos existen si no se cumple?

El incumplimiento puede dar lugar, con carácter general, a multas administrativas de hasta 15 millones de euros o, en el caso de empresas, hasta el 3 % de su volumen de negocios mundial total anual del ejercicio anterior, si esta cuantía fuera superior. El régimen prevé criterios de proporcionalidad y reglas específicas para pymes.

Además, una misma actuación puede producir consecuencias bajo el RGPD, la normativa de consumidores, los derechos de imagen, la propiedad intelectual o la regulación sectorial aplicable.

Qué deberían hacer ahora las empresas

1. Inventariar los chatbots, asistentes, herramientas generativas y sistemas biométricos utilizados, incluidos pilotos y funciones integradas en aplicaciones de terceros.
2. Determinar en cada caso si la empresa actúa como proveedor, responsable del despliegue o ambos.
3. Clasificar cada uso dentro de los supuestos del artículo 50 y justificar por escrito cualquier excepción.
4. Diseñar avisos y etiquetas específicos para cada canal, verificando su visibilidad y accesibilidad.
5. Revisar los contratos para asegurar que el proveedor incorpora el marcado técnico y facilita las evidencias necesarias.
6. Establecer un proceso real de revisión humana y responsabilidad editorial para las publicaciones sobre asuntos de interés público.
7. Coordinar el análisis con el RGPD y la LOPDGDD, especialmente cuando se utilicen datos biométricos, perfiles o decisiones automatizadas.
8. Conservar pruebas: capturas de avisos, versiones, informes técnicos, contratos, decisiones jurídicas y registros de revisión.

Prepararse antes de desplegar, no después

La transparencia debe incorporarse desde el diseño. Intentar añadir avisos o recuperar metadatos cuando el sistema ya está funcionando puede ser técnicamente complejo y jurídicamente insuficiente.

Las organizaciones deberían utilizar la entrada en aplicación del artículo 50 para ordenar su gobernanza de IA: disponer de un inventario, fijar responsables, revisar proveedores, formar a los equipos y establecer controles antes de publicar o desplegar nuevas soluciones.

Business Adapter® puede ayudar a su organización a identificar los sistemas afectados, coordinar las obligaciones del Reglamento de IA con el RGPD y la LOPDGDD, revisar contratos y preparar las evidencias necesarias para acreditar el cumplimiento.