Desde el 2 de agosto la Ley de IA de la UE exige transparencia en chatbots y contenido con IA. Multas de hasta 35 millones. Claves para cumplir.

La Ley de IA europea estrena hoy su tramo de transparencia: qué obliga, cómo cumplir y qué multas prevé

Desde este 2 de agosto de 2026 es exigible un nuevo bloque de obligaciones del Reglamento europeo de Inteligencia Artificial. El grueso recae sobre la transparencia: chatbots que deben identificarse, contenidos "deepfake" que hay que etiquetar y sistemas de reconocimiento emocional que deben avisar. Las temidas obligaciones para la IA de "alto riesgo", en cambio, se han retrasado hasta 2027 y 2028.

Bruselas, 2 de agosto de 2026.- Conviene empezar deshaciendo un equívoco muy repetido estos días: la Ley de IA de la Unión Europea —el Reglamento (UE) 2024/1689— no "entra hoy en vigor". Entró en vigor el 1 de agosto de 2024. Lo que ocurre este 2 de agosto de 2026 es que se activa otro peldaño de su calendario escalonado de aplicación, es decir, un conjunto de obligaciones que a partir de ahora pueden ser inspeccionadas y sancionadas.

Y ese peldaño ha quedado más ligero de lo que se esperaba. El Digital Omnibus on AI, la primera reforma del Reglamento, firmado el 8 de julio de 2026, aplazó buena parte de los deberes más exigentes. Mucho del material publicado antes del verano describe, por tanto, una situación jurídica que ya no existe.

Qué cambia exactamente hoy

Lo que sí es exigible desde hoy son las obligaciones de transparencia del artículo 50, que afectan a un abanico amplísimo de organizaciones, no solo a las grandes tecnológicas:

Chatbots y asistentes que se identifiquen. Quien ofrezca un sistema de IA pensado para interactuar con personas debe dejar claro que se está tratando con una máquina, salvo que resulte obvio por el contexto. Cualquier empresa con un chatbot de marca propia entra aquí.
Contenido sintético marcado. Los proveedores que generen texto, imagen, audio o vídeo con IA deben asegurarse de que ese contenido quede marcado en un formato legible por máquina y sea detectable como generado artificialmente.
"Deepfakes" declarados. Quien despliegue o difunda imágenes, audios o vídeos manipulados o generados con IA debe revelar que son artificiales.
Reconocimiento emocional y categorización biométrica. Los sistemas que reconozcan emociones o clasifiquen a las personas por rasgos biométricos deben informar a quienes queden expuestos a ellos.

Existe un único respiro: para el marcado técnico del contenido sintético, los sistemas que ya estuvieran en el mercado antes de hoy disponen de un periodo de gracia hasta el 2 de diciembre de 2026.

Además, a partir de hoy las autoridades nacionales de vigilancia del mercado adquieren sus poderes de ejecución. En la práctica, la capacidad real de inspeccionar dependerá de que cada Estado tenga esas autoridades operativas, algo en lo que buena parte de los países —España incluida— llega con retraso.

Lo que ya era obligatorio (y sigue siéndolo)

El Reglamento lleva más de un año desplegándose por tramos. Ya eran exigibles antes de hoy:

Prácticas prohibidas y alfabetización en IA, desde el 2 de febrero de 2025. Quedan vetados usos como la puntuación social, la manipulación subliminal, la explotación de personas vulnerables o el reconocimiento emocional en el trabajo. Y toda organización debe formar a su plantilla en un uso competente de la IA.
Obligaciones de los modelos de propósito general (GPAI), desde el 2 de agosto de 2025, dirigidas sobre todo a los desarrolladores de grandes modelos de lenguaje.

Lo que se ha aplazado

Aquí está el cambio de fondo del Digital Omnibus. Las obligaciones para los sistemas de alto riesgo —los que se usan en ámbitos sensibles como selección de personal, concesión de crédito o infraestructuras críticas— no arrancan hoy, como estaba previsto. Se han retrasado a:

2 de diciembre de 2027 para los sistemas autónomos del Anexo III (basados en su uso).
2 de agosto de 2028 para la IA integrada en productos ya regulados del Anexo I (equipos médicos, ascensores, radioequipos…).

El aplazamiento busca dar tiempo a que los organismos europeos de normalización (CEN y CENELEC) publiquen las normas técnicas armonizadas, previstas para finales de 2026, que servirán de "manual" para demostrar el cumplimiento.

Cómo cumplir

Para la mayoría de empresas, la hoja de ruta razonable pasa por varios pasos:

Inventariar los sistemas de IA. Qué herramientas se usan, de qué proveedor, en qué contexto y con qué nivel de riesgo. Es la base de todo lo demás.
Aplicar ya la transparencia. Avisar de forma clara cuando el usuario habla con un chatbot, etiquetar el contenido generado con IA y advertir del reconocimiento emocional o la categorización biométrica. La mayoría de organizaciones tendrá que apoyarse en las soluciones de marcado que ofrezcan sus proveedores de modelos.
Seguir las guías oficiales. La Comisión Europea ha publicado directrices sobre estas obligaciones y ha puesto en marcha códigos de buenas prácticas de adhesión voluntaria —como el Código de Buenas Prácticas para la IA de propósito general, estructurado en transparencia, derechos de autor y seguridad— que permiten demostrar el cumplimiento con mayor seguridad jurídica.
Formar a la plantilla en el uso de estas tecnologías, obligación vigente para proveedores y desplegadores.
Prepararse para el alto riesgo con antelación a 2027-2028: sistema de gestión de riesgos, gobernanza de datos, documentación técnica (Anexo IV), supervisión humana y evaluación de conformidad. Son deberes difíciles de improvisar una vez lanzado un producto.

Conviene recordar que el Reglamento de IA convive con el RGPD: cuando un sistema trata datos personales, se aplican ambos marcos en paralelo; ninguno sustituye al otro.

Las sanciones: tres tramos y un matiz para las pymes

El régimen sancionador (artículo 99) gradúa las multas en tres niveles, tomando siempre la cuantía mayor:

Prácticas prohibidas: hasta 35 millones de euros o el 7 % del volumen de negocio mundial anual.
Incumplimiento del resto de obligaciones —proveedores de alto riesgo, desplegadores, transparencia del artículo 50, deberes de los modelos GPAI—: hasta 15 millones o el 3 %.
Facilitar información incorrecta o engañosa a las autoridades: hasta 7,5 millones o el 1 %.

Hay una regla de modulación que casi nunca se cita y que importa a las pequeñas empresas: para pymes y startups se aplica el importe menor de las dos cifras, no el mayor. Y las sanciones más probables para el pequeño negocio no serán las estelares por prácticas prohibidas, sino las más cotidianas: un chatbot que no se identifica como IA o un contenido sintético sin marcar.

El escenario en España

Quien impone las multas son las autoridades nacionales de vigilancia del mercado. En España, la referencia es la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), con sede en A Coruña y en funcionamiento desde 2023. La ley española que concreta el cuadro de infracciones y designa autoridades sigue siendo, por ahora, un proyecto de ley en tramitación. Ese retraso no suspende nada: el Reglamento europeo es directamente aplicable, y las obligaciones que hoy entran en juego son exigibles con o sin norma nacional aprobada.

Fuente: Reglamento (UE) 2024/1689 y Digital Omnibus on AI; Comisión Europea (digital-strategy.ec.europa.eu) y análisis jurídico especializado.