AI Act: cuenta atrás para el 2 de agosto de 2026, qué deben hacer las empresas

Actualizado en julio de 2026.

Cada día una empresa publica una imagen generada por IA, deja que un chatbot responda a sus clientes o edita un anuncio con una voz sintética. Hasta hace poco eran decisiones creativas. Desde el 2 de agosto de 2026 también se convierten en obligaciones regulatorias. Esa es la fecha en la que el AI Act, el Reglamento (UE) 2024/1689, hace aplicables las obligaciones de transparencia del artículo 50 y activa el régimen sancionador: quien produce o distribuye contenido generado por IA debe hacerlo reconocible, y quien no lo haga se expone a multas de hasta el 3 % de la facturación mundial. Si buscabas qué exige realmente el plazo del ai act agosto 2026, esta es la respuesta práctica.

Buena parte del debate reciente ha girado en torno al llamado AI/Digital Omnibus, que ha retrasado algunos plazos. Lee el detalle: ese aplazamiento afecta a los sistemas de alto riesgo, no a la transparencia. La fecha del 2 de agosto de 2026 se mantiene. Este artículo es la lista operativa para ese plazo: qué obligaciones del AI Act para las empresas se aplican, quién hace qué, qué contenido hay que etiquetar y qué tareas debes cerrar antes de que se agote el tiempo.

La respuesta corta, si tienes poco tiempo para prepararte: mapea los sistemas de IA que usas, define quién es proveedor y quién es responsable del despliegue, haz reconocible el contenido sintético que distribuyes, guarda registro de lo que has generado y cómo, e informa a los usuarios cuando interactúan con una máquina. El detalle, a continuación.

Qué cambia el 2 de agosto de 2026: obligaciones GPAI y artículo 50 en resumen

El 2 de agosto de 2026 las obligaciones de transparencia del artículo 50 pasan a ser aplicables y entra en vigor el régimen sancionador de los artículos 99 y 101. A partir de esa fecha, las autoridades nacionales pueden actuar ante los incumplimientos e imponer multas.

El artículo 50 del Reglamento (UE) 2024/1689 establece dos categorías de transparencia. La primera se refiere a la interacción: quien pone a disposición un sistema de IA que habla con las personas, como un chatbot, debe garantizar que el usuario sepa que está tratando con una máquina, salvo que resulte evidente. La segunda se refiere al contenido: las imágenes, el audio, el vídeo y el texto generados o manipulados por IA deben marcarse en un formato legible por máquina y ser reconocibles como artificiales. El marcado puede adoptar varias formas, desde metadatos hasta marcas de agua o identificadores criptográficos, siempre que sea eficaz, interoperable y robusto en la medida en que sea técnicamente viable. Para los deepfakes y para el texto publicado con el fin de informar al público sobre asuntos de interés general, el deber de revelar la naturaleza artificial es explícito. Las obligaciones de transparencia se aplican con independencia del nivel de riesgo del sistema: rigen incluso para usos que el AI Act no clasifica como de alto riesgo.

La misma fecha marca otro cambio: la plena aplicación de las obligaciones para los modelos GPAI, los modelos de IA de uso general cuyas normas empezaron a aplicarse el 2 de agosto de 2025. Los proveedores de estos modelos deben preparar documentación técnica, respetar los derechos de autor y publicar un resumen del contenido usado para el entrenamiento. Quien introdujo un modelo GPAI en el mercado antes del 2 de agosto de 2025 dispone de un periodo transitorio para adaptarse: el cumplimiento se exige a más tardar el 2 de agosto de 2027. Para ver cómo funcionan en la práctica las reglas de etiquetado del artículo 50, consulta nuestro análisis dedicado al etiquetado del contenido sintético.

Proveedores y responsables del despliegue: quién hace qué y qué contenido debe etiquetarse

Las obligaciones recaen sobre dos roles, y una misma empresa puede tener ambos. Un proveedor es quien desarrolla un sistema de IA o lo introduce en el mercado con su propio nombre. Un responsable del despliegue es quien usa ese sistema en su actividad profesional. No hace falta ser un gigante tecnológico: una empresa que usa una herramienta de generación de imágenes para marketing es un responsable del despliegue, con obligaciones propias.

En el AI Act la distinción entre proveedor y responsable del despliegue decide quién responde de qué. El proveedor debe diseñar el sistema para que marque automáticamente el contenido generado con una señal legible por máquina, según el artículo 50(2). El responsable del despliegue, regulado también por el artículo 26 para los sistemas de alto riesgo, tiene deberes de transparencia hacia sus propios usuarios: debe revelar cuándo un contenido es un deepfake y, para el texto sobre asuntos de interés público, que el contenido se generó de forma artificial. En la práctica, el proveedor incorpora el marcado técnico en el origen, mientras que el responsable del despliegue garantiza la divulgación visible aguas abajo. Ten en cuenta, sin embargo, que si un responsable del despliegue modifica sustancialmente un sistema o lo introduce en el mercado con su propia marca, puede asumir él mismo el rol de proveedor, con las obligaciones que ello conlleva. La responsabilidad no es excluyente: ambos responden, cada uno por su parte, y la misma organización es a menudo responsable del despliegue de herramientas de terceros y proveedora del contenido que publica.

Qué contenido debe etiquetarse

El etiquetado se aplica al contenido generado o modificado sustancialmente por un sistema de IA. Abarca las imágenes producidas por generadores de texto a imagen, el vídeo y el audio sintéticos, las voces clonadas, los deepfakes que retratan a personas reales en situaciones que nunca ocurrieron y el texto publicado para informar al público sobre asuntos de interés general. Deja fuera los usos puramente asistenciales o de edición estándar que no alteran materialmente el contenido, y los usos autorizados por la ley, por ejemplo en investigaciones penales. Para situar un uso concreto dentro de su categoría de riesgo, el mapa de las categorías de riesgo del AI Act es una referencia útil.

Los pasos de cumplimiento antes del plazo

Esto es lo que hay que hacer, en orden, para llegar al plazo del ai act agosto 2026. La lógica es sencilla: primero entiende qué usas, luego clasifícalo, y después implanta la transparencia y el registro de la información.

Prepararse para el AI Act se descompone en seis pasos operativos. Primero, el mapeo: un inventario de todos los sistemas de IA en uso en la empresa, internos y de terceros, con su finalidad anotada. Segundo, la clasificación de riesgo de cada sistema según las categorías del Reglamento (UE) 2024/1689, para saber qué obligaciones se aplican. Tercero, el etiquetado reconocible del contenido sintético que produces o distribuyes, en un formato legible tanto por personas como por máquinas. Cuarto, la conservación de la información sobre qué se ha generado, con qué sistema y cuándo. Quinto, la información a los usuarios cuando interactúan con un chatbot o reciben contenido generado por IA. Sexto, la gobernanza interna, con roles, responsabilidades y formación del personal. Estos seis pasos no son un ejercicio puntual: hay que documentarlos y mantenerlos actualizados, porque tu inventario de sistemas y los riesgos asociados cambian con cada nueva herramienta que la empresa adopta.

Tres de estos puntos merecen una mirada más atenta.

El inventario es la base de todo. Sin saber qué herramientas funcionan en marketing, recursos humanos, atención al cliente y el equipo jurídico, cualquier evaluación de cumplimiento es ciega. Muchas empresas descubren en esta fase un uso de la IA mucho más amplio de lo que suponían.

Conservar la información no es una formalidad por sí misma. En caso de impugnación o litigio, poder demostrar qué sistema generó un contenido, con qué datos y en qué momento, es lo que hace defendible la posición de una empresa. Lo hemos tratado en un análisis aparte sobre los requisitos de conservación de registros del AI Act.

Hay además una obligación cuyo plazo ya ha vencido pero que a menudo se pasa por alto: la alfabetización en IA. El artículo 4 exige, desde el 2 de febrero de 2025, que cualquiera que use IA en nombre de la organización tenga un nivel adecuado de competencia en ella. Es un elemento de gobernanza que, donde falte, hay que cerrar de inmediato.

Sanciones y calendario

Las sanciones del AI Act se calibran según la gravedad de la infracción y, como el RGPD, tienen un tope expresado como porcentaje de la facturación mundial. El régimen pasa a ser operativo para las obligaciones de transparencia el 2 de agosto de 2026.

El artículo 99 del Reglamento (UE) 2024/1689 gradúa las sanciones en tres niveles. Las prácticas de IA prohibidas conllevan multas de hasta 35 millones de euros o el 7 % de la facturación anual mundial total, la cifra que sea mayor. Infringir otras obligaciones, incluidos los deberes de transparencia del artículo 50, llega hasta 15 millones de euros o el 3 % de la facturación. Facilitar información incorrecta o engañosa a las autoridades cuesta hasta 7,5 millones de euros o el 1 % de la facturación. Para cada franja se aplica la mayor entre la suma fija y el porcentaje de facturación, y son las autoridades nacionales de supervisión las que imponen las multas. Para los proveedores de modelos GPAI, el artículo 101 fija sanciones de hasta el 3 % de la facturación mundial o 15 millones de euros. El Reglamento exige a las autoridades tener en cuenta la proporcionalidad y, en particular, los intereses de las pymes y las empresas emergentes al fijar el importe.

La aplicación funciona en dos niveles. Las autoridades nacionales de supervisión de cada Estado miembro gestionan la mayoría de las obligaciones, mientras que la Oficina Europea de IA supervisa los modelos GPAI. Los porcentajes siguen la misma lógica que popularizó el RGPD, de modo que los equipos que ya lidian con multas de protección de datos tienen una referencia para la magnitud de la exposición.

Calendario de plazos

Matriz de sanciones

Por qué etiquetar el contenido sintético no basta

El etiquetado responde a la mitad del problema. Declara que un contenido es artificial, pero no prueba que otro contenido sea auténtico. Y la propia etiqueta es información frágil: un campo de metadatos o una marca de agua puede eliminarse con la compresión, un screenshot o un recorte. Quien quiere engañar retira la etiqueta; quien cumple las normas se queda sin prueba cuando necesita demostrar que su propio material es genuino. Está además la otra mitad de lo que una empresa publica cada día: las fotos reales de un producto, un vídeo grabado in situ, un screenshot de una conversación. Precisamente estos materiales, cuando se convierten en prueba en un litigio, necesitan garantías de origen e integridad que el etiquetado de lo sintético no ofrece. La transparencia sobre lo sintético, por tanto, debe completarse con la prueba de lo auténtico: una certificación que empieza en el origen y se mantiene defendible en el tiempo.

Aquí es donde entra TrueScreen. TrueScreen es la Data Authenticity Platform que captura y certifica con valor legal fotos, vídeos, audio, screenshots y documentos, aplicando una metodología forense de certificación de datos: la prueba del origen y la integridad del contenido se fija en el momento de la captura, no se reconstruye a posteriori. En ese proceso de certificación, TrueScreen integra el sello electrónico y el sello de tiempo cualificado emitidos por terceros QTSP cualificados, de modo que el contenido certificado tiene fecha cierta e integridad verificable. Donde el etiquetado del artículo 50 señala lo que está generado por IA, la certificación en el origen garantiza lo que es real, cerrando la otra mitad del problema de la transparencia.

Un ejemplo concreto. El equipo de marketing de una empresa lanza una campaña que mezcla tomas reales de producto con imágenes generadas por IA. A estas últimas les aplica la etiqueta de contenido sintético, como exige el AI Act. A las primeras, las fotos auténticas del producto y de la planta, les aplica una certificación forense que fija origen, fecha e integridad: si mañana un competidor impugna la autenticidad de esas imágenes, o si un contenido se vuelve a publicar de forma manipulada, la empresa dispone de una prueba defendible de lo que realmente produjo. Una etiqueta en lo falso, una certificación en lo real. Para ver cómo funciona la captura certificada, un buen punto de partida es el Forensic Browser o la visión general de las soluciones de TrueScreen.