Obligaciones de transparencia en Inteligencia Artificial: guía práctica sobre la aplicación del artículo 50 del IA Act

Las directrices delimitan los actores responsables del cumplimiento de las obligaciones de transparencia, distinguiendo entre dos figuras clave: el proveedor y el responsable del despliegue.

Los proveedores son personas físicas o jurídicas, autoridades públicas, agencias u otros organismos que desarrollan sistemas de IA, o los hacen desarrollar, y los introducen en el mercado de la Unión o los ponen en servicio bajo su propio nombre o marca comercial, con independencia de si están establecidos dentro o fuera de la Unión. Por su parte, los responsables del despliegue son quienes utilizan sistemas de IA bajo su autoridad, salvo que dicho uso se realice en el marco de una actividad personal no profesional.

Un mismo sujeto obligado puede ostentar simultáneamente ambas condiciones.

No obstante, los actores cuyo papel se limita a la difusión o transmisión de contenido generado por IA creado por terceros, incluidas las plataformas en línea, no se consideran responsables del despliegue en el sentido del AI Act, si bien se les alienta a preservar el marcado y etiquetado del contenido.

Asimismo, las directrices aclaran que los proveedores de modelos de IA de uso general (GPAI) establecidos fuera de la Unión también están sujetos al AI Act si los resultados de su sistema de IA se utilizan en la Unión. Desde una perspectiva de cadena de valor, esto genera una responsabilidad compartida que exige una coordinación contractual y técnica entre proveedores de modelos fundacionales, proveedores de sistemas y responsables del despliegue.

Las directrices introducen un criterio basado en si resulta evidente, para una persona razonablemente informada, que está interactuando con un sistema de IA. En caso de que esta circunstancia no resulte evidente, el sistema queda sujeto a las obligaciones de transparencia del artículo 50.

Conforme a este enfoque, la obligación de informar surge cuando existe la posibilidad de que una persona perciba la interacción como si se tratara de otro ser humano. Este criterio resulta especialmente relevante en sistemas conversacionales avanzados, como chatbots o asistentes virtuales, diseñados para simular un comportamiento humano. Las directrices establecen que la evaluación de la evidencia se realiza en dos fases: en primer lugar, se evalúa el público destinatario y, en segundo lugar, se examina en qué medida un miembro medio de ese grupo es razonablemente informado, atento y perspicaz. Cuando el sistema esté destinado a interactuar con personas pertenecientes a grupos vulnerables por razón de edad (menores o personas mayores) o discapacidad, las características de estas personas deben tenerse en cuenta en la implementación de las medidas de notificación, debiendo adaptarse la información en formatos accesibles y, en el caso de menores, ser adecuada a su edad y fácilmente comprensible. También se confirma expresamente que los agentes de IA entran en el ámbito de aplicación del artículo 50.1 y que, cuando el proveedor no pueda predecir con certeza si el agente interactuará con un ser humano, deberá diseñarlo para revelar su naturaleza de IA en todas las situaciones.

Por el contrario, cuando la naturaleza automatizada del sistema resulta evidente por sí misma, la obligación de transparencia puede flexibilizarse. Las directrices ofrecen ejemplos concretos de esta excepción: asistentes de codificación de IA disponibles exclusivamente para desarrolladores profesionales, sistemas interactivos de IA destinados únicamente a profesionales sanitarios debidamente formados, o interacciones con personajes no jugadores (NPCs) en videojuegos. No obstante, esta excepción no debe interpretarse de forma extensiva y no resulta aplicable, por ejemplo, a robots de compañía que imiten mascotas reales, sistemas de IA integrados en entornos inmersivos con avatares realistas, o chatbots integrados en plataformas de asistencia en línea.

En consecuencia, las organizaciones deberán analizar caso por caso si sus sistemas podrían generar confusión en el usuario, priorizando la transparencia siempre que exista duda razonable sobre la percepción que el destinatario pueda tener de la interacción.

Las directrices establecen que la información debe presentarse de manera clara, visible y comprensible, evitando formulaciones ambiguas o excesivamente técnicas. No resulta suficiente incluir referencias genéricas en políticas de privacidad o en condiciones contractuales de carácter general. Se requiere una comunicación directa y contextualizada que permita al usuario identificar la intervención de la IA de forma inmediata y sin necesidad de realizar indagaciones adicionales. Las directrices ofrecen ejemplos concretos de técnicas apropiadas: declaraciones textuales al inicio de la interacción (p. ej., soy un asistente de IA), indicaciones sonoras o auditivas, señales visuales o gráficas persistentes (iconos, marcas de agua, marcos de color) y combinaciones multimodales de texto, audio y elementos visuales.

Por el contrario, las directrices identifican expresamente técnicas que, por sí solas, no se consideran adecuadas para cumplir la obligación de transparencia: divulgaciones contenidas únicamente en términos y condiciones, URLs o documentación; marcas legibles por máquina (como metadatos o marcas de agua) que no son perceptibles por los usuarios en el punto de interacción; y señales poco claras o ambiguas.

En concreto, conforme al artículo 50.5 del AI Act (requisito horizontal aplicable a todas las obligaciones de los apartados 1 a 4), la información se considerará clara cuando resulte perceptible y fácil de comprender por la persona interesada, incluidas aquellas con necesidades de accesibilidad. Se considerará distinguible cuando sea fácilmente identificable como separada de otra información y del entorno en el que se presenta el contenido. No se cumplirá con este requisito si la información se incluye únicamente como parte de un manual o se oculta bajo múltiples capas de opciones de menú en una interfaz en línea. Adicionalmente, los proveedores y responsables del despliegue deben cumplir con los requisitos de accesibilidad aplicables, incluyendo los derivados de las Directivas (UE) 2016/2102 y (UE) 2019/882.

Adicionalmente, la obligación de información se activa a más tardar en el momento de la primera interacción o exposición (artículo 50.5 AI Act). Este concepto no se refiere exclusivamente a la primera persona que interactúa con el sistema, sino a cada primera interacción de cualquier persona física con el sistema o con el contenido generado por IA. Asimismo, en el contexto de interacciones sostenidas o en evolución, especialmente en situaciones sensibles o donde exista riesgo de que el usuario forme vínculos emocionales (p. ej., asistentes de compañía o companions), pueden resultar necesarios recordatorios periódicos y divulgaciones adaptadas al contexto.

Las organizaciones deben tener presentes los siguientes hitos regulatorios: el 2 de febrero de 2025 entraron en vigor las prohibiciones relativas a prácticas inaceptables de IA (artículo 5); en junio de 2026 se espera la finalización del Código de Buenas Prácticas sobre contenidos generados por IA; y el 2 de agosto de 2026 se aplicarán plenamente las obligaciones de transparencia del artículo 50 a proveedores y responsables del despliegue. A partir de esta última fecha, todos los sistemas de IA incluidos en el ámbito de aplicación deberán ser conformes, con independencia de cuándo fueron introducidos en el mercado.

El incumplimiento de las obligaciones de transparencia establecidas en el artículo 50 del AI Act conlleva consecuencias económicas significativas. Según las directrices, los proveedores y responsables del despliegue que no observen dichas obligaciones podrán ser sancionados con multas de hasta 15.000.000 de euros o, en el caso de empresas, de hasta el 3 % de su volumen de negocios anual total a nivel mundial correspondiente al ejercicio financiero anterior, aplicándose la cifra que resulte más elevada.

Por su parte, las instituciones, órganos y organismos de la Unión Europea que infrinjan estas obligaciones podrán ser objeto de multas administrativas de hasta 750.000 euros.

Adicionalmente, las directrices contemplan la posibilidad de que los proveedores y responsables del despliegue demuestren el cumplimiento de sus obligaciones mediante la adhesión a un código de prácticas que haya sido evaluado como adecuado por la Oficina de IA. En tales casos, las autoridades de vigilancia del mercado centrarán sus actividades de supervisión en verificar la adhesión efectiva a dicho código, beneficiándose las entidades adheridas de una mayor confianza por parte de la Comisión y de las autoridades competentes.

Paralelamente a las directrices, la Comisión Europea está desarrollando un Código de Buenas Prácticas sobre el marcado y etiquetado de contenidos generados por IA, cuya versión definitiva está prevista para junio de 2026. Aunque formalmente voluntario, el Código ofrecerá a las organizaciones signatarias una presunción de conformidad con las obligaciones del artículo 50, lo que en la práctica genera un efecto gravitatorio significativo: las empresas que lo suscriban e implementen sus medidas se presumirán conformes, mientras que las que opten por vías alternativas deberán justificar cómo sus medidas garantizan un nivel equivalente de cumplimiento, pudiendo estar sujetas a un mayor número de solicitudes de información y acceso por parte de las autoridades.

• Puntos ciegos en la cadena de valor: una perspectiva de negocio

La práctica asesora revela que el artículo 50 puede ser simultáneamente sobreestimado e infraestimado, dependiendo de la posición de la organización en la cadena de valor. Conviene distinguir tres perfiles de riesgo diferenciados:

- En primer lugar, los proveedores de modelos de IA GPAI tienden a concentrar su atención regulatoria en las obligaciones del artículo 53 del AI Act (documentación técnica, políticas de copyright), asumiendo erróneamente que, si cumplen dichos requisitos, no tienen obligaciones adicionales. Sin embargo, el artículo 50.2 les exige implementar técnicas de marcado (como marcas de agua) a nivel de modelo antes de su introducción en el mercado, con implicaciones técnicas significativas que no deben subestimarse.

- En segundo lugar, los proveedores de sistemas GPAI que integran modelos de terceros (por ejemplo, vía API) sin entrenar ni modificar el modelo base constituyen, en muchos casos, el punto más ciego del mercado. Estas empresas no suelen considerarse proveedores de modelos, por lo que las obligaciones reforzadas del artículo 53 no les resultan directamente aplicables. No obstante, en tanto proveedores de un sistema de IA de uso general, son plenamente responsables en virtud del artículo 50.2 de garantizar que el contenido generado por su sistema esté debidamente marcado.

- En tercer lugar, los responsables del despliegue, desde agencias de marketing hasta despachos de abogados que utilizan herramientas de IA para generar contenido, no soportan la carga técnica del marcado por marca de agua, pero afrontan las obligaciones visibles de etiquetado de deepfakes y textos de interés público conforme al artículo 50.4. Aunque estas obligaciones son técnicamente menos invasivas, comportan un riesgo reputacional elevado que no debe minimizarse. 

El borrador del Código introduce elementos de especial relevancia: una etiqueta normalizada de la UE para contenidos generados por IA, consistente en un símbolo visual “AI” (adaptado como “KI” en alemán o “IA” en francés y español); una taxonomía de dos niveles que distingue entre contenido “generado íntegramente por IA” y contenido “asistido por IA”, con distintos requisitos de divulgación; normas técnicas para herramientas de marcas de agua, metadatos y procedencia; y orientaciones sobre etiquetado específico por formato (etiquetas permanentes para vídeo, etiquetas visibles para imágenes y avisos audibles para audio).

Desde una perspectiva de negocio, el Código traslada las obligaciones técnicas a lo largo de la cadena de valor. Los proveedores de modelos fundacionales deben incorporar el marcado de contenidos por diseño antes de introducir el modelo en el mercado, lo que convierte esta exigencia en una dependencia crítica para los proveedores de sistemas que integran dichos modelos. Además, el Código exige preservar las marcas e impedir su eliminación, incluidas salvaguardas contra la manipulación y restricciones contractuales en las condiciones de uso, así como poner a disposición herramientas de detección gratuitas con indicadores de confianza para usuarios y terceros.

• Interacción con otras normativas de la Unión

Las obligaciones de transparencia del artículo 50 se aplican sin perjuicio de la normativa europea vigente en materia de protección de consumidores, protección de datos y legislación digital. En particular, la Directiva sobre Prácticas Comerciales Desleales (Directiva 2005/29/CE) exige que los comerciantes no induzcan a error sobre las características principales de un producto o servicio; si un servicio está impulsado por IA (como un chatbot por suscripción o una aplicación de acompañamiento virtual), la funcionalidad de IA puede considerarse una característica esencial que debe comunicarse antes de la contratación. La Directiva 2011/83/UE sobre derechos de los consumidores impone igualmente obligaciones de información precontractual sobre las características principales del servicio. Estas obligaciones de Derecho de consumo se aplican con independencia de que la interacción se considere evidente a efectos del artículo 50.1 AI Act. Asimismo, el DSA incluye obligaciones de transparencia complementarias para plataformas en línea sobre moderación de contenidos, sistemas de recomendación y prácticas publicitarias.

En materia de protección de datos, las directrices subrayan que las soluciones técnicas de marcado y detección deben ser conformes con la legislación de protección de datos de la UE, incluyendo los principios de protección de datos desde el diseño y por defecto (artículo 25 RGPD), minimización de datos, limitación del plazo de conservación, seguridad y confidencialidad. Además, cuando los contenidos deepfake incluyan datos personales de una persona identificable, los responsables del despliegue deberán cumplir también con las obligaciones del RGPD en tanto responsables del tratamiento, incluyendo la identificación de una base jurídica adecuada para el tratamiento, la transparencia frente a los interesados y el respeto a los derechos de imagen y personalidad. En este sentido, la Comisión y el Comité Europeo de Protección de Datos están elaborando directrices conjuntas sobre la interacción entre el AI Act y la normativa de protección de datos de la UE.

• Implicaciones prácticas para responsables y usuarios corporativos. La conformidad con el artículo 50 exige un enfoque proactivo que trasciende la mera colocación de etiquetas. Las organizaciones deben integrar la transparencia en su estrategia de gobernanza de IA, adoptando un enfoque de compliance by design que considere, al menos, las siguientes actuaciones: (i) realizar un inventario exhaustivo de todos los sistemas de IA utilizados en la organización e identificar cuáles entran en el ámbito del artículo 50; (ii) verificar si resulta aplicable alguna exención o excepción; (iii) exigir contractualmente a los proveedores de IA el cumplimiento de las obligaciones de marcado y detección; (iv) establecer flujos de trabajo editoriales documentados con personas responsables identificadas para contenidos de interés público; y (v) revisar el diseño de las interfaces de usuario para garantizar que la información de transparencia sea clara, contextualizada y accesible.

Asimismo, resulta recomendable establecer comités de IA y flujos de aprobación previos al despliegue de herramientas que generen o manipulen contenido sintético, con revisiones periódicas y criterios de retirada. En el ámbito contractual, las organizaciones deben reforzar sus cláusulas con proveedores tecnológicos para incluir obligaciones específicas sobre marcado de contenidos, preservación de marcas, herramientas de detección, auditorías proporcionales y restricciones sobre usos secundarios.

• Lista de comprobación operativa (checklist)

A continuación, se propone una lista de verificación que las organizaciones pueden utilizar como punto de partida para evaluar su grado de conformidad con las obligaciones de transparencia del artículo 50:

- Identificar todos los sistemas de IA en uso e inventariar cuáles entran en el ámbito del artículo 50 (interactivos, generativos, biométricos, de emociones).

- Verificar si el sistema queda excluido del ámbito de aplicación (actividad personal no profesional, I+D) o si le resulta aplicable alguna excepción (evidencia de la interacción con IA, autorización legal para persecución de delitos). Nótese que los sistemas de IA de código abierto que entren en el ámbito del artículo 50 sí deben cumplir con las obligaciones de transparencia.

- Para sistemas de reconocimiento de emociones o categorización biométrica: verificar que se informa a todas las personas físicas expuestas y que el tratamiento de datos personales cumple con el RGPD y, en su caso, con la Directiva (UE) 2016/680.

- Evaluar si la naturaleza de IA del sistema resulta evidente para una persona razonablemente informada, atenta y perspicaz, aplicando el test de dos fases de las directrices.

- Para sistemas generativos: comprobar la capacidad técnica de marcado legible por máquina de los resultados sintéticos en todas las modalidades (audio, imagen, vídeo y texto), así como la disponibilidad de herramientas de detección.

- Para deepfakes y textos de interés público: diseñar las divulgaciones visibles desde el inicio del proceso de producción de contenido, incluyendo flujos de trabajo editorial documentados.

- Exigir contractualmente a los proveedores el cumplimiento de las obligaciones de marcado, preservación de marcas y disponibilidad de herramientas de detección, con auditorías proporcionales.

- Evaluar la conformidad con la normativa de protección de datos (RGPD), protección de consumidores y servicios digitales (DSA) de forma integrada con las obligaciones del artículo 50.

-  Seguir la evolución del Código de Buenas Prácticas y valorar la adhesión como vía de presunción de conformidad.