AI Act desde el 2 de agosto de 2026: qué deben hacer las empresas

Actualizado en noviembre de 2026.

Cada día una empresa publica una imagen generada por IA, deja que un chatbot responda a sus clientes o edita un anuncio con una voz sintética. Hasta este verano eran decisiones creativas. Desde el 2 de agosto de 2026 también son obligaciones regulatorias. Es la fecha desde la que el AI Act, el Reglamento (UE) 2024/1689, hace aplicables las obligaciones de transparencia del artículo 50: los proveedores deben marcar los resultados en un formato legible por máquina, y quienes los utilizan deben declarar los deepfakes y los textos de interés público generados por IA. Los incumplimientos pueden costar hasta 15 millones de euros o, para las empresas, hasta el 3 % de la facturación mundial anual, si esta cifra es superior; para las pymes se aplica el importe más bajo. Si buscabas qué exige realmente el plazo del ai act agosto 2026, esta es la respuesta práctica.

El Reglamento (UE) 2026/1744, el Ómnibus digital sobre IA en vigor desde el 27 de julio de 2026, retrasó los plazos de los sistemas de alto riesgo y, en transparencia, una sola obligación: el marcado legible por máquina del artículo 50, apartado 2, que para los sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026 es exigible desde el 2 de diciembre de 2026. Las demás obligaciones del artículo 50 se aplican desde el 2 de agosto de 2026. Este artículo es la lista operativa para esas obligaciones: qué obligaciones del AI Act para las empresas se aplican, quién hace qué, qué contenido hay que etiquetar y qué tareas debes cerrar.

La respuesta corta, si todavía tienes que adaptarte: mapea los sistemas de IA que usas, define quién es proveedor y quién es responsable del despliegue, haz reconocible el contenido sintético que distribuyes, guarda registro de lo que has generado y cómo, e informa a los usuarios cuando interactúan con una máquina. El detalle, a continuación.

Qué cambia desde el 2 de agosto de 2026: obligaciones GPAI y artículo 50 en resumen

Desde el 2 de agosto de 2026 las obligaciones de transparencia del artículo 50 son aplicables, y para sus incumplimientos el Reglamento fija multas de hasta 15 millones de euros o el 3 % de la facturación mundial anual, si esta cifra es superior (artículo 99). Desde la misma fecha la Comisión puede multar a los proveedores de modelos GPAI conforme al artículo 101. La única excepción al artículo 50 es el marcado legible por máquina de los sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026, exigible desde el 2 de diciembre de 2026 (artículo 111, apartado 4, añadido por el Reglamento (UE) 2026/1744).

El artículo 50 del Reglamento (UE) 2024/1689 establece dos categorías de transparencia. La primera se refiere a la interacción: quien pone a disposición un sistema de IA que habla con las personas, como un chatbot, debe garantizar que el usuario sepa que está tratando con una máquina, salvo que resulte evidente. La segunda se refiere al contenido: las imágenes, el audio, el vídeo y el texto generados o manipulados por IA deben marcarse en un formato legible por máquina y ser reconocibles como artificiales. El marcado puede adoptar varias formas, desde metadatos hasta marcas de agua o identificadores criptográficos, siempre que sea eficaz, interoperable y robusto en la medida en que sea técnicamente viable. Para los deepfakes y para el texto publicado con el fin de informar al público sobre asuntos de interés general, el deber de revelar la naturaleza artificial es explícito. Las obligaciones de transparencia se aplican con independencia del nivel de riesgo del sistema: rigen incluso para usos que el AI Act no clasifica como de alto riesgo.

La misma fecha marca otro cambio para los modelos GPAI, los modelos de IA de uso general cuyas normas se aplican desde el 2 de agosto de 2025: desde el 2 de agosto de 2026 la Comisión también puede hacerlas cumplir con multas. Los proveedores de estos modelos deben preparar documentación técnica, respetar los derechos de autor y publicar un resumen del contenido usado para el entrenamiento. Quien introdujo un modelo GPAI en el mercado antes del 2 de agosto de 2025 dispone de un periodo transitorio para adaptarse: el cumplimiento se exige a más tardar el 2 de agosto de 2027. Para ver cómo funcionan en la práctica las reglas de etiquetado del artículo 50, consulta nuestro análisis dedicado al etiquetado del contenido sintético.

Proveedores y responsables del despliegue: quién hace qué y qué contenido debe etiquetarse

Las obligaciones recaen sobre dos roles, y una misma empresa puede tener ambos. Un proveedor es quien desarrolla un sistema de IA o lo introduce en el mercado con su propio nombre. Un responsable del despliegue es quien usa ese sistema en su actividad profesional. No hace falta ser un gigante tecnológico: una empresa que usa una herramienta de generación de imágenes para marketing es un responsable del despliegue, con obligaciones propias.

En el AI Act la distinción entre proveedor y responsable del despliegue decide quién responde de qué. El proveedor debe diseñar el sistema para que marque automáticamente el contenido generado con una señal legible por máquina, según el artículo 50(2). El responsable del despliegue, regulado también por el artículo 26 para los sistemas de alto riesgo, tiene deberes de transparencia hacia sus propios usuarios: debe revelar cuándo un contenido es un deepfake y, para el texto sobre asuntos de interés público, que el contenido se generó de forma artificial. En la práctica, el proveedor incorpora el marcado técnico en el origen, mientras que el responsable del despliegue garantiza la divulgación visible aguas abajo. Ten en cuenta, sin embargo, que si un responsable del despliegue modifica sustancialmente un sistema o lo introduce en el mercado con su propia marca, puede asumir él mismo el rol de proveedor, con las obligaciones que ello conlleva. La responsabilidad no es excluyente: ambos responden, cada uno por su parte, y la misma organización es a menudo responsable del despliegue de herramientas de terceros y proveedora del contenido que publica.

Qué contenido debe etiquetarse

El etiquetado se aplica al contenido generado o modificado sustancialmente por un sistema de IA. Abarca las imágenes producidas por generadores de texto a imagen, el vídeo y el audio sintéticos, las voces clonadas, los deepfakes que retratan a personas reales en situaciones que nunca ocurrieron y el texto publicado para informar al público sobre asuntos de interés general. Deja fuera los usos puramente asistenciales o de edición estándar que no alteran materialmente el contenido, y los usos autorizados por la ley, por ejemplo en investigaciones penales. Para situar un uso concreto dentro de su categoría de riesgo, el mapa de las categorías de riesgo del AI Act es una referencia útil.

Los pasos de cumplimiento pendientes

Esto es lo que hay que hacer, en orden, si aún no se ha hecho: las obligaciones del ai act agosto 2026 ya se aplican. La lógica es sencilla: primero entiende qué usas, luego clasifícalo, y después implanta la transparencia y el registro de la información.

Prepararse para el AI Act se descompone en seis pasos operativos. Primero, el mapeo: un inventario de todos los sistemas de IA en uso en la empresa, internos y de terceros, con su finalidad anotada. Segundo, la clasificación de riesgo de cada sistema según las categorías del Reglamento (UE) 2024/1689, para saber qué obligaciones se aplican. Tercero, el etiquetado reconocible del contenido sintético que produces o distribuyes, en un formato legible tanto por personas como por máquinas. Cuarto, la conservación de la información sobre qué se ha generado, con qué sistema y cuándo. Quinto, la información a los usuarios cuando interactúan con un chatbot o reciben contenido generado por IA. Sexto, la gobernanza interna, con roles, responsabilidades y formación del personal. Estos seis pasos no son un ejercicio puntual: hay que documentarlos y mantenerlos actualizados, porque tu inventario de sistemas y los riesgos asociados cambian con cada nueva herramienta que la empresa adopta.

Tres de estos puntos merecen una mirada más atenta.

El inventario es la base de todo. Sin saber qué herramientas funcionan en marketing, recursos humanos, atención al cliente y el equipo jurídico, cualquier evaluación de cumplimiento es ciega. Muchas empresas descubren en esta fase un uso de la IA mucho más amplio de lo que suponían.

Conservar la información no es una formalidad por sí misma. En caso de impugnación o litigio, poder demostrar qué sistema generó un contenido, con qué datos y en qué momento, es lo que hace defendible la posición de una empresa. Lo hemos tratado en un análisis aparte sobre los requisitos de conservación de registros del AI Act.

Hay además una obligación cuyo plazo ya ha vencido pero que a menudo se pasa por alto: la alfabetización en IA. El artículo 4 exige, desde el 2 de febrero de 2025, que cualquiera que use IA en nombre de la organización tenga un nivel adecuado de competencia en ella. Es un elemento de gobernanza que, donde falte, hay que cerrar de inmediato.

Sanciones y calendario

Las sanciones del AI Act se calibran según la gravedad de la infracción y, como el RGPD, tienen un tope expresado como porcentaje de la facturación mundial. Los incumplimientos de las obligaciones de transparencia son sancionables desde el 2 de agosto de 2026.

El artículo 99 del Reglamento (UE) 2024/1689 gradúa las sanciones en tres niveles. Las prácticas de IA prohibidas conllevan multas de hasta 35 millones de euros o el 7 % de la facturación anual mundial total, la cifra que sea mayor. Infringir otras obligaciones, incluidos los deberes de transparencia del artículo 50, llega hasta 15 millones de euros o el 3 % de la facturación. Facilitar información incorrecta o engañosa a las autoridades cuesta hasta 7,5 millones de euros o el 1 % de la facturación. Para cada franja se aplica la mayor entre la suma fija y el porcentaje de facturación, y son las autoridades nacionales de supervisión las que imponen las multas. Para los proveedores de modelos GPAI, el artículo 101 fija sanciones de hasta el 3 % de la facturación mundial o 15 millones de euros. El Reglamento exige a las autoridades tener en cuenta la proporcionalidad y, en particular, los intereses de las pymes y las empresas emergentes al fijar el importe.

La aplicación funciona en dos niveles. Las autoridades nacionales de supervisión de cada Estado miembro gestionan la mayoría de las obligaciones, mientras que la Oficina Europea de IA supervisa los modelos GPAI. Los porcentajes siguen la misma lógica que popularizó el RGPD, de modo que los equipos que ya lidian con multas de protección de datos tienen una referencia para la magnitud de la exposición.

Calendario de plazos

Matriz de sanciones

Por qué etiquetar el contenido sintético no basta

El etiquetado responde a la mitad del problema. Declara que un contenido es artificial, pero no prueba que otro contenido sea auténtico. Y la propia etiqueta es información frágil: un campo de metadatos o una marca de agua puede eliminarse con la compresión, un screenshot o un recorte. Quien quiere engañar retira la etiqueta; quien cumple las normas se queda sin prueba cuando necesita demostrar que su propio material es genuino. Está además la otra mitad de lo que una empresa publica cada día: las fotos reales de un producto, un vídeo grabado in situ, un screenshot de una conversación. Precisamente estos materiales, cuando se convierten en prueba en un litigio, necesitan garantías de origen e integridad que el etiquetado de lo sintético no ofrece. La transparencia sobre lo sintético, por tanto, debe completarse con la prueba de lo auténtico: una certificación que empieza en el origen y se mantiene defendible en el tiempo.

Aquí es donde entra TrueScreen. TrueScreen cubre la mitad que la etiqueta deja al descubierto: certifica fotos, vídeos, audio, capturas de pantalla y documentos con una metodología forense, fijando su origen y su integridad en el momento de la captura en lugar de reconstruirlos a posteriori, para prevenir fraudes, manipulaciones e impugnaciones. La certificación se cierra con un sello electrónico cualificado y un sello de tiempo cualificado, de modo que el contenido certificado tiene fecha cierta e integridad verificable. Donde el etiquetado del artículo 50 señala lo que está generado por IA, la certificación en el origen documenta cómo se capturó el contenido real, cerrando la otra mitad del problema de la transparencia.

Un ejemplo concreto. El equipo de marketing de una empresa lanza una campaña que mezcla tomas reales de producto con imágenes generadas por IA. A estas últimas les aplica la etiqueta de contenido sintético, como exige el AI Act. A las primeras, las fotos auténticas del producto y de la planta, les aplica una certificación forense que fija origen, fecha e integridad: si mañana un competidor impugna la autenticidad de esas imágenes, o si un contenido se vuelve a publicar de forma manipulada, la empresa dispone de una prueba defendible de lo que realmente produjo. Una etiqueta en lo falso, una certificación en lo real. Para ver cómo funciona la captura certificada, un buen punto de partida es el Forensic Browser o la visión general de las soluciones de TrueScreen.