Ley de IA de la Unión Europea: inicia su primera fase operativa
La Ley de Inteligencia Artificial de la Unión Europea (AI Act) ha activado este 2 de agosto de 2026 su primera fase operativa con obligaciones de transparencia que afectan a chatbots, generadores de contenido y modelos de inteligencia artificial de propósito general. El reglamento, aprobado en 2024, deja de ser texto normativo para convertirse en exigencia inspectable para empresas tecnológicas, desarrolladores de software y, en cascada, para los despachos y departamentos jurídicos que deben traducir estas reglas en contratos, políticas de cumplimiento y litigios. La Comisión Europea supervisa directamente los modelos de IA de uso general, mientras que cada Estado miembro asume el control de las herramientas desplegadas en su territorio.
El marco distingue entre modelos de propósito general (GPAI)que sirven de base para múltiples aplicaciones, y sistemas de riesgo específico. Para los primeros, Bruselas ha constituido la Oficina de IA de la Unión Europeadotada de facultades para requerir información, evaluar sistemas, imponer medidas correctivas y restringir la disponibilidad de productos en caso de incumplimiento. La Oficina coordina su actuación con las autoridades nacionales de cada país miembro y con el Supervisor Europeo de Protección de Datosque vigila el uso de IA en instituciones y agencias comunitarias.
Article 50: qué debe marcar el contenido generado por IA
El artículo 50 del reglamento establece las primeras obligaciones de transparencia en vigor desde el 2 de agosto. Los sistemas que generen o manipulen imágenes, vídeo, audio o texto deben incorporar mecanismos de marcado técnico que permitan identificar el contenido como producto de inteligencia artificial. Esta exigencia abarca los deepfakes y cualquier material sintético difundido con fines profesionales.
El uso profesional de contenido alterado por IA obliga a una declaración explícita sobre su origen artificial. No basta con la marca técnica insertada en metadatos; el destinatario final debe recibir información clara sobre la manipulación. Los asistentes conversacionales, por su parte, deben informar a los usuarios de que interactúan con una máquinaeliminando cualquier ambigüedad sobre la naturaleza no humana del interlocutor.
La Comisión ha complementado estas reglas con una infraestructura de apoyo al cumplimiento: un panel científico de 60 expertos independientesun asesor científico jefe y canales de denuncia para ciudadanos, empresas y desarrolladores de terceros que detecten infracciones.
Calendario de 2024 a 2028: tres fechas que estructuran el riesgo regulatorio
El AI Act no entra de golpe; su despliegue sigue una escalada temporal que distribuye la carga normativa según el nivel de riesgo de cada sistema. Esta progresión exige a los operadores jurídicos una planificación de compliance escalonada, no un único proyecto de adaptación.
El salto cualitativo del 2 de diciembre de 2027 merece atención particular: los sistemas de IA en sanidad, educación y empleo pasarán a clasificarse como de alto riesgo, con exigencias de evaluación de conformidad previa, registro en bases de datos europeas y supervisión post-comercialización. Los despachos especializados en tecnología y los departamentos legales de hospitales, universidades y plataformas de recursos humanos ya trabajan en la adaptación de sus flujos de aprobación internos.
¿Quién responde ante qué autoridad? El mapa de supervisión compartida
La arquitectura de control del AI Act reproduce la lógica de reparto de competencias del GDPR, pero con matices que complican el asesoramiento jurídico. La Oficina de IA de la Unión Europea gestiona directamente a los proveedores de modelos de propósito general que entran en el ámbito de competencia de la Comisión. Las autoridades nacionales designadas por cada Estado miembro asumen la vigilancia de las herramientas desplegadas en su territorio.
Esta dualidad genera fricciones de coordinación previsibles. Un modelo GPAI desarrollado en Estados Unidos pero operado a través de una filial irlandesa puede verse sometido simultáneamente a la Oficina de IA europea y a la autoridad irlandesa de mercado. El Supervisor Europeo de Protección de Datospor su parte, mantiene una competencia residual pero relevante sobre el uso de IA en el aparato institucional comunitario, un nicho que afecta a contratos públicos y licitaciones de la UE.
Los 60 expertos del panel científico no tienen poder sancionador directo, pero sus dictámenes alimentarán las decisiones de la Oficina de IA. Su nombramiento y la figura del asesor científico jefe responden a la necesidad de dotar de legitimidad técnica una regulación que los operadores económicos criticaron por su velocidad de aprobación y su ambigüedad en conceptos clave como el "riesgo inaceptable".
Te puede interesar
Inteligencia Artificial: el primer estándar judicial en España
Impacto en la práctica: del desarrollador al cliente final
Las obligaciones de transparencia del artículo 50 afectan a tres perfiles con responsabilidades encadenadas: el proveedor que diseña el sistema de IA, el desplegador que lo integra en un servicio concreto, y el usuario profesional que genera contenido con la herramienta. Cada eslabón asume obligaciones distintas y, en caso de incumplimiento, sanciones que el reglamento tipifica en su capítulo XII.
Para los despachos y departamentos legales de empresala primera tarea operativa es auditar los contratos de licencia de software con proveedores de IA. Las cláusulas de garantía deben ahora cubrir explícitamente el cumplimiento del artículo 50, incluyendo la provisión de metadatos de marcado técnicamente verificables. Los contratos de servicios creativos que empleen generadores de imagen o texto requieren addendas que distribuyan la responsabilidad de la declaración de origen artificial.
Los chatbots de atención al clienteya sean propios o subcontratados, deben incorporar avisos de no humanidad en el primer intercambio con el usuario. La práctica de ocultar la naturaleza automatizada del servicio hasta que el cliente lo solicite expresamente ya no es una cuestión de ética comercial; es infracción sancionable.
El 2 de diciembre de 2027 marca el verdadero punto de inflexión
Mientras las obligaciones de transparencia actuales afectan principalmente a la capa de presentación de la IA, las normas de alto riesgo que entran en vigor en diciembre de 2027 penetrarán en los procesos operativos de sectores regulados. Los sistemas de IA para selección de personal, diagnóstico médico, evaluación educativa o gestión de infraestructuras críticas deberán someterse a evaluaciones de conformidad antes de su puesta en el mercado.
Esta segunda fase obligará a reconfigurar los sistemas de gestión de calidad de las empresas afectadas, integrando registros de datos de entrenamiento, métricas de rendimiento, protocolos de supervisión humana y mecanismos de corrección de sesgos. El plazo de dieciséis meses entre la fase actual y la de alto riesgo es, en la práctica, un horizonte ajustado para sectores como la sanidad, donde los ciclos de validación clínica superan con frecuencia los dos años.
La última fecha del calendario, el 2 de agosto de 2028extiende el reglamento a sistemas de IA incorporados en productos ya sujetos a regulación sectorial europea. Esta cláusula de integración evita la fragmentación normativa pero obliga a los fabricantes a actualizar sus declaraciones CE y sus procedimientos de vigilancia post-mercado.
¿Ha auditado ya su despacho o departamento jurídico los contratos con proveedores de herramientas de IA generativa para verificar quién asume la carga del marcado de contenido y la responsabilidad ante una inspección de la Oficina de IA o de una autoridad nacional?
Preguntas frecuentes
¿Qué sanciones prevé el AI Act por incumplir las obligaciones de transparencia?
El reglamento establece multas de hasta el 7% de la facturación mundial anual o 35 millones de euros, aplicando el importe más elevado. Las infracciones al artículo 50 de transparencia se sitúan en el escalón inferior, con sanciones de hasta el 1,5% de la facturación o 7,5 millones.
¿Debe un abogado español que usa IA para redactar informes declararlo al cliente?
Sí. El uso profesional de contenido alterado o generado por IA requiere declaración explícita de su origen artificial. El ICAM y otros colegios de abogados españoles están desarrollando protocolos específicos sobre confidencialidad y deber de información en este ámbito.
¿Cómo se diferencia la supervisión de un modelo GPAI de la de una herramienta de IA específica?
La Oficina de IA de la UE controla directamente a los proveedores de modelos de propósito general (como GPT-4 o Gemini) por su impacto sistémico transfronterizo. Las autoridades nacionales vigilan herramientas concretas desplegadas en su territorio, salvo que operen bajo regulación sectorial previa.
Información publicada originalmente por El Derecho.