El 2 de agosto de 2026 marca una fecha clave para cualquiera que utilice, desarrolle o distribuya inteligencia artificial en Europa. Ese día entra en aplicación el grueso del Reglamento europeo de Inteligencia Artificial —conocido como AI Act—, la primera legislación integral del mundo que regula esta tecnología según su nivel de riesgo. Aunque la norma entró en vigor en agosto de 2024 y algunas prohibiciones ya se aplican desde febrero de 2025, es ahora cuando las obligaciones de transparencia, las reglas para sistemas de alto riesgo y el aparato sancionador empiezan a tener efectos reales sobre empresas, plataformas y administraciones públicas. Si usas un chatbot en tu trabajo, generas imágenes con IA o consumes contenido en redes, esto te afecta directamente.
La arquitectura del reglamento se basa en un modelo de riesgo escalonado: cuanto mayor es el peligro potencial de un sistema de IA, más estrictas son las reglas que debe cumplir. En la cúspide están las prácticas directamente prohibidas —como la manipulación subliminal o la vigilancia biométrica masiva no autorizada—, que ya son ilegales desde febrero de 2025. Justo debajo se sitúan los sistemas de alto riesgo, empleados en ámbitos como la contratación laboral, la evaluación crediticia, la identificación biométrica o la gestión de infraestructuras críticas. A partir de agosto de 2026, sus proveedores deberán superar evaluaciones de conformidad, mantener documentación técnica exhaustiva y registrar los sistemas en una base de datos europea. Pero la categoría que más organizaciones va a tocar es, sin duda, la de riesgo limitado, donde se encuadran los sistemas de IA generativa —desde ChatGPT hasta generadores de imagen o voz— y donde las obligaciones de transparencia son ahora el gran protagonista.
Etiquetado obligatorio: el fin del contenido IA invisible
El artículo 50 del reglamento es probablemente la disposición que más impacto tendrá en el día a día de empresas y usuarios. Establece cuatro obligaciones de transparencia que entran en vigor en agosto de 2026. Primero, cualquier sistema de IA diseñado para interactuar con personas —un chatbot de atención al cliente, un asistente virtual— deberá informar al usuario de que está conversando con una máquina. Segundo, los proveedores de herramientas de IA generativa tendrán que marcar todo el contenido producido —textos, imágenes, audio, vídeo— en un formato legible por máquina, mediante técnicas como marcas de agua digitales o metadatos integrados. Tercero, los deepfakes y los textos generados por IA que traten asuntos de interés público deberán llevar una etiqueta visible para el usuario final. Y cuarto, los sistemas de reconocimiento de emociones o categorización biométrica deberán declarar su naturaleza al interactuar con personas.
Para dar forma técnica a estas exigencias, la Comisión Europea publicó un primer borrador del Código de Conducta sobre marcado y etiquetado de contenido generado por IA, cuya versión final se espera para junio de 2026. El código propone un enfoque multicapa: metadatos en la cabecera del archivo, marcas de agua imperceptibles y, en el caso de deepfakes, un icono visual armonizado a escala de la UE con las siglas "AI" (o "IA" en español). Uno de los matices más relevantes es que incluso el contenido artístico o satírico que emplee deepfakes no queda totalmente exento: debe incluir una divulgación mínima, por ejemplo un icono durante los primeros cinco segundos de un vídeo.
Deepfakes sexuales: hacia la prohibición explícita
Más allá de la transparencia, la UE se prepara para ampliar las prácticas expresamente prohibidas. En marzo de 2026, tanto el Consejo como el Parlamento Europeo respaldaron incluir en la reforma del reglamento —dentro del llamado Ómnibus Digital— el veto a la generación mediante IA de imágenes o voces de personas para material sexual no consentido o de carácter pedófilo. La iniciativa ha sido impulsada especialmente por Francia y España y cuenta con un apoyo político amplio: la Eurocámara la aprobó con 569 votos a favor. Aunque esta modificación aún debe ser negociada entre Parlamento y Consejo, la señal es clara: la generación de desnudos falsos sin consentimiento se dirige a ser clasificada como práctica de riesgo inaceptable, lo que la situaría al mismo nivel que la manipulación subliminal y la vigilancia masiva.
Este punto resulta especialmente relevante para un público joven. La proliferación de herramientas gratuitas para crear deepfakes hiperrealistas ha convertido este tipo de contenido en un problema cotidiano en institutos y universidades, con víctimas mayoritariamente mujeres y menores. La regulación europea pretende atacar el problema desde el origen: no solo penalizar la difusión, sino prohibir la propia generación del contenido.
Multas que superan al RGPD
El régimen sancionador del AI Act es el más severo de cualquier normativa tecnológica europea hasta la fecha. El artículo 99 del reglamento establece tres niveles de multas. Por infringir las prácticas prohibidas, hasta 35 millones de euros o el 7 % de la facturación mundial anual, lo que sea mayor. Por incumplir las obligaciones para sistemas de alto riesgo u otras disposiciones generales, hasta 15 millones o el 3 %. Y por proporcionar información incorrecta a las autoridades, hasta 7,5 millones o el 1 %. Para las pymes, la norma prevé que se aplique siempre el importe inferior entre la cifra fija y el porcentaje, lo que supone un cierto alivio pero no una exención.
Además de las multas, las autoridades de vigilancia del mercado pueden ordenar la retirada de un sistema de IA o la suspensión de su funcionamiento, una medida potencialmente más dañina que la propia sanción económica para empresas cuyo negocio depende de la tecnología.
España, pionera con la AESIA
En el plano nacional, España se posicionó como el primer país de la UE en crear su autoridad de supervisión. La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, ya opera con capacidad inspectora y ha publicado 16 guías de cumplimiento para empresas. La agencia acaba de lanzar su Laboratorio de Ideas, un órgano asesor compuesto por una treintena de expertos de universidades, patronales y sindicatos que abordará en su primer año temas como el impacto de la IA en la imagen de las mujeres, la desinformación y el mercado laboral.
El panorama para los próximos meses es de aceleración regulatoria. Las directrices de la Comisión sobre transparencia llegarán en el segundo trimestre de 2026, las negociaciones del Ómnibus Digital arrancan en abril y cada Estado miembro debe tener operativo al menos un sandbox regulatorio. Para cualquier empresa que use herramientas de IA —y eso incluye a la mayoría del tejido productivo español, según los últimos datos del INE— el mensaje es inequívoco: el tiempo de "estamos probando" ha terminado. A partir de agosto, toca demostrar que se usa la inteligencia artificial de forma gobernada, documentada y transparente. Quienes no se adapten se exponen no solo a sanciones económicas, sino a perder la confianza de unos usuarios cada vez más informados sobre sus derechos digitales.