Obligaciones de transparencia del AI Act desde agosto de 2026: qué deben revisar las empresas
Desde el 2 de agosto de 2026, las obligaciones de transparencia del AI Act han dejado de ser una fecha lejana para muchas empresas. La cuestión práctica no es solo poner una etiqueta, sino saber cuándo hay que informar, qué contenido debe marcarse, qué usos internos afectan a clientes, empleados o terceros y qué evidencias conviene conservar.
La Comisión Europea ha publicado directrices sobre las obligaciones de transparencia del artículo 50 del AI Act y recuerda que estas reglas ayudan a que las personas puedan reconocer cuándo interactúan con un sistema de IA o están expuestas a contenido generado o manipulado por IA.
Para una empresa que usa ChatGPT, Copilot, asistentes conversacionales, herramientas de marketing, sistemas de atención al cliente o generadores de imagen, audio o vídeo, el primer paso no debería ser redactar un aviso genérico. El primer paso es entender dónde se está usando IA realmente.
1. Qué cambia desde el 2 de agosto de 2026
El AI Act se aplica de forma progresiva. Desde el 2 de agosto de 2026 empiezan a aplicarse, entre otras, obligaciones de transparencia relevantes para determinados proveedores y desplegadores de sistemas de IA.
En la práctica, esto obliga a mirar con más atención varios escenarios:
- Sistemas que interactúan directamente con personas.
- Contenido generado o manipulado por IA.
- Deepfakes o contenidos sintéticos que puedan inducir a error.
- Sistemas de reconocimiento de emociones o categorización biométrica, con cautelas especiales.
- Usos empresariales de IA que se mezclan con tratamientos de datos personales.
No todos los usos exigen lo mismo. Una herramienta interna para resumir documentos no plantea el mismo escenario que un chatbot público, una campaña con imágenes generadas por IA o un sistema que influye en decisiones sobre personas. Pero ignorar el mapa de usos deja a la empresa sin control.
2. La diferencia entre proveedor y empresa usuaria importa
Muchas empresas no desarrollan modelos de IA. Usan herramientas de terceros. Eso no significa que puedan olvidarse de sus propias obligaciones.
El proveedor puede tener obligaciones técnicas, de diseño, documentación o información sobre el sistema. La empresa que despliega o utiliza la herramienta en un proceso concreto debe revisar cómo se usa, ante quién, con qué datos, con qué finalidad y con qué impacto.
Preguntas útiles:
- ¿La empresa desarrolla IA, integra una herramienta de terceros o solo la usa?
- ¿El sistema interactúa directamente con clientes, empleados, candidatos, usuarios o proveedores?
- ¿La salida de la IA se publica, se envía a terceros o se usa para tomar decisiones?
- ¿Hay datos personales?
- ¿Existe revisión humana real o la automatización opera de forma opaca?
- ¿El proveedor permite conservar evidencias suficientes sobre el funcionamiento y las condiciones de uso?
Esta distinción evita dos errores frecuentes: pensar que el AI Act solo afecta a quien programa modelos y pensar que todo queda resuelto porque el proveedor dice que cumple.
3. Interacciones directas con sistemas de IA
Uno de los casos más claros es la interacción directa entre una persona y un sistema de IA. Por ejemplo:
- Chatbots de atención al cliente.
- Asistentes en una web o app.
- Formularios inteligentes que generan respuestas automáticas.
- Agentes conversacionales en canales de soporte.
- Herramientas que simulan una conversación humana.
La transparencia debe aparecer en el flujo real de interacción. No basta con esconder una frase en una política legal que nadie ve en el momento relevante.
La persona debería poder entender, de forma clara, que está interactuando con un sistema de IA, salvo que sea evidente por el contexto. Además, si el sistema trata datos personales, esa información debe coordinarse con el RGPD: identidad del responsable, finalidad, base jurídica, categorías de datos, destinatarios, plazos y derechos cuando proceda.
4. Contenido generado o manipulado por IA
Otro bloque importante es el contenido generado o manipulado por IA. Aquí entran textos, imágenes, audio, vídeo, documentos, creatividades, anuncios, publicaciones y materiales que salen de la empresa hacia terceros.
No todo uso interno de una herramienta generativa exige marcar públicamente el resultado. Pero sí conviene tener un criterio documentado para diferenciar:
- Borradores internos asistidos por IA.
- Contenido final generado sustancialmente por IA.
- Imágenes o vídeos sintéticos.
- Material manipulado de forma que pueda inducir a error.
- Piezas donde se imita a una persona, voz, imagen o situación real.
El problema no es solo jurídico. También es reputacional. Una empresa que publica contenido generado con IA sin criterio puede perder confianza, especialmente si el contenido afecta a personas, servicios profesionales, salud, empleo, educación, finanzas o decisiones relevantes.
5. Deepfakes y contenidos sintéticos
Los deepfakes y contenidos sintéticos merecen una revisión específica. El riesgo no está solo en vídeos espectaculares. También puede aparecer en:
- Voces clonadas para campañas o atención telefónica.
- Imágenes de personas inexistentes usadas como si fueran reales.
- Vídeos explicativos generados con avatares.
- Testimonios, recreaciones o escenas que puedan confundirse con hechos reales.
- Material comercial donde la manipulación no sea evidente.
La regla práctica es sencilla: si una persona razonable puede creer que está viendo, escuchando o leyendo algo real cuando en realidad ha sido generado o manipulado por IA, hay que revisar transparencia, contexto y evidencias.
6. Transparencia AI Act y transparencia RGPD no son lo mismo
La AEPD ha explicado una diferencia importante: la transparencia del AI Act se refiere a sistemas de IA, mientras que la transparencia del RGPD se refiere a tratamientos de datos personales.
En una empresa, ambos planos pueden coincidir. Un chatbot puede ser un sistema de IA y, al mismo tiempo, formar parte de un tratamiento de datos personales. Una herramienta de transcripción con IA puede generar información útil, pero también tratar voz, identidad, opiniones o categorías de datos sensibles según el contexto.
Por eso no conviene revisar el AI Act en un documento aislado. Hay que cruzarlo con:
- Registro de actividades de tratamiento.
- Política de privacidad.
- Contratos con encargados y proveedores.
- Evaluaciones de impacto si el riesgo lo exige.
- Medidas de seguridad.
- Procedimientos de derechos de las personas.
Si la empresa avisa de que usa IA pero no informa correctamente sobre datos personales, el cumplimiento queda incompleto. Y si informa de datos personales pero oculta que hay una interacción con IA, también puede quedar corto.
7. Checklist práctico para empresas
Una revisión inicial no tiene por qué empezar con un documento enorme. Puede empezar con un inventario breve y útil.
Checklist recomendado:
- Inventariar herramientas y procesos con IA.
- Identificar cuáles interactúan con personas.
- Separar usos internos y usos externos.
- Detectar contenido generado o manipulado por IA que se publique o envíe a terceros.
- Revisar si hay voz, imagen, vídeo, biometría, emociones o categorías sensibles.
- Confirmar si se tratan datos personales.
- Diferenciar proveedor, integrador y empresa usuaria.
- Revisar avisos, etiquetas y disclaimers.
- Comprobar que el aviso aparece en el punto real de interacción.
- Documentar cuándo se marca contenido como generado por IA y cuándo no.
- Revisar contratos, condiciones y evidencias de proveedores.
- Actualizar la política interna de uso de IA generativa.
- Formar a marketing, ventas, atención al cliente, RRHH, comunicación, legal e IT.
La clave es que el inventario sea operativo. Debe servir para decidir, no para decorar una carpeta.
8. Errores frecuentes
En revisiones de IA empresarial suelen repetirse varios errores:
- Pensar que solo afecta a empresas que desarrollan IA.
- Usar avisos genéricos que nadie ve o entiende.
- Publicar contenido generado con IA sin criterio interno.
- No distinguir entre borrador asistido por IA y contenido sintético final.
- Separar AI Act y RGPD como si fueran mundos desconectados.
- Delegarlo todo en el proveedor.
- No conservar evidencias de la decisión tomada.
- Revisar una vez y olvidarse, aunque las herramientas cambien cada mes.
La transparencia debe ser comprensible, visible y proporcional al contexto. No se trata de inundar al usuario con textos legales, sino de informar donde importa.
9. Cómo aterrizarlo sin burocracia excesiva
Un enfoque razonable para una pyme o empresa mediana puede ser:
- Crear una matriz sencilla de usos de IA.
- Priorizar usos externos, datos personales y decisiones con impacto en personas.
- Revisar primero chatbots, marketing, RRHH, atención al cliente y contenidos publicados.
- Preparar textos de aviso reutilizables por canal.
- Definir cuándo se etiqueta contenido generado por IA.
- Guardar evidencias mínimas: herramienta, finalidad, responsable, proveedor, aviso aplicado y fecha de revisión.
- Revisar trimestralmente cambios de herramientas y nuevos flujos.
La empresa no necesita convertir cada uso de IA en un expediente interminable. Necesita control, criterio y trazabilidad.
10. Qué debería revisar dirección
La transparencia del AI Act no es solo un asunto jurídico. Afecta a cómo la empresa adopta tecnología.
Dirección debería poder responder:
- Qué herramientas de IA usa la organización.
- Qué equipos las usan.
- Qué usos afectan a clientes, empleados o terceros.
- Qué datos se introducen.
- Qué proveedores participan.
- Qué avisos se han implantado.
- Qué riesgos se han priorizado.
- Quién valida nuevos usos.
Sin esa foto, cualquier política interna llega tarde.
Fuentes útiles
Para contrastar la revisión conviene acudir a fuentes oficiales y actualizadas:
- Comisión Europea: directrices sobre obligaciones de transparencia del artículo 50 del AI Act.
- Comisión Europea: preguntas frecuentes sobre transparencia bajo el artículo 50.
- Comisión Europea: reglas de transparencia para sistemas de IA.
- AEPD: materiales sobre inteligencia artificial, transparencia y RGPD.
- AEPD: criterios sobre calidad, exactitud, finalidad y minimización de datos personales en tratamientos con IA.
Conclusión
Desde agosto de 2026, la transparencia del AI Act obliga a pasar de la adopción informal de IA a una adopción con criterio. Para muchas empresas, el primer movimiento no es prohibir herramientas ni redactar textos largos. Es saber qué se está usando, dónde hay interacción con personas, qué contenido sale al exterior, qué datos personales intervienen y qué evidencia se conserva.
Si tu empresa ya usa ChatGPT, Copilot, chatbots, automatizaciones o herramientas que generan contenido, una revisión inicial puede evitar improvisaciones. Podemos ayudarte a mapear usos de IA, obligaciones AI Act/RGPD y medidas mínimas de transparencia, documentación y control.