La AI Act entra en modo policía: desde el 2 de agosto Bruselas exige avisos, etiquetas y trazabilidad del contenido generado por IA

La obligación más subestimada de la AI Act no es la de los modelos fundacionales ni la de los sistemas de alto riesgo. Es otra mucho más prosaica y, precisamente por eso, mucho más peligrosa para quien la trate como una nota al pie: decirle claramente al usuario que está interactuando con una máquina.

No suena épico. No hay laboratorio, ni chips, ni cumbres internacionales. Pero aquí es donde muchas empresas van a tropezar. Porque una cosa es desplegar chatbots, asistentes de voz, avatares comerciales o flujos de atención automatizada. Otra, bastante distinta, es hacerlo con una capa de transparencia que resista el escrutinio de compliance, legal, UX, auditoría interna y, llegado el caso, del regulador.

La AI Act de la UE no prohíbe que una empresa use IA para hablar con clientes. Lo que hace es poner una condición elemental: que el usuario sepa que está tratando con un sistema de IA, salvo que eso resulte obvio por el contexto. La aparente sencillez del mandato es engañosa. En la práctica abre una batería de preguntas operativas que no se resuelven con un banner improvisado ni con una línea enterrada en los términos de uso.

Aquí está el problema real: muchas organizaciones siguen abordando la transparencia de IA como si fuera una cuestión de copy. No lo es. Es una cuestión de diseño de proceso, evidencia, gobernanza y coherencia regulatoria.

Lo que exige realmente la AI Act cuando una IA interactúa con personas

El anclaje jurídico está en el art. 50 del Reglamento (UE) 2024/1689, la AI Act. Ese artículo impone obligaciones de transparencia en varios supuestos. El que ahora importa es el del art. 50.1: los proveedores deben garantizar que los sistemas de IA destinados a interactuar directamente con personas físicas se diseñen y desarrollen de tal modo que las personas afectadas sean informadas de que están interactuando con un sistema de IA, salvo que ello resulte obvio para una persona razonablemente bien informada, observadora y perspicaz, teniendo en cuenta las circunstancias y el contexto de uso.

Hay dos palabras que cambian todo: circunstancias y contexto. El reglamento no ofrece una plantilla universal. Ofrece un principio y deja a las organizaciones con el trabajo de traducirlo a interfaces, canales y recorridos de usuario concretos. Justo el tipo de detalle donde empiezan las fricciones internas: producto quiere fluidez, marketing quiere conversión, legal quiere cubrirse, y compliance intenta evitar que la empresa acabe explicando a posteriori por qué pensó que era “obvio” lo que para un cliente no lo era en absoluto.

La excepción de obviedad no es una puerta trasera para ahorrar avisos. Es una excepción estrecha que obliga a valorar cómo percibe la interacción una persona razonablemente informada. Un avatar hiperrealista en una web comercial, un asistente conversacional integrado en una app bancaria o un agente de voz que suena natural pueden reducir, no aumentar, la obviedad. Cuanto más fricción quite el diseño, más difícil será defender que la naturaleza artificial del interlocutor estaba clara por sí sola.

Eso tiene una derivada práctica muy poco glamurosa: la carga de la prueba, en la vida real, no se gana con intuiciones. Se gana con criterios documentados.

La trampa del “ya se nota que es un bot”

Una parte del mercado sigue instalada en una confianza un poco temeraria: si el usuario habla con un chatbot en una esquina de la pantalla, ya entenderá que no hay un humano al otro lado. Puede que a veces sí. Puede que a veces no. El problema es que “puede que” no es una estrategia regulatoria seria.

La AI Act utiliza el estándar de la persona “razonablemente bien informada, observadora y perspicaz”. No habla del usuario experto. Tampoco del diseñador que conoce el producto por dentro. Habla de un criterio objetivo, contextual y, por eso mismo, discutible. Si tu entidad quiere apoyarse en la obviedad, necesita justificar por qué en ese canal concreto, con esa interfaz concreta y para ese perfil de usuario concreto, la condición se cumple.

Esto obliga a abandonar una costumbre bastante extendida en proyectos de IA aplicada: decidir temas jurídicos en reuniones de producto por sensación general. La conversación correcta no es “yo creo que se entiende”, sino algo más incómodo: “¿cómo demostraríamos ante auditoría, ante el consejo o ante una autoridad que aquí la naturaleza artificial era inequívoca?”

Si esa pregunta deja silencios largos, la respuesta seguramente sea que no era tan inequívoca.

No es solo una frase: es diseño, momento y trazabilidad

La obligación del art. 50.1 no prescribe en el texto legal una frase concreta, un formato cerrado ni una posición única del aviso. Y precisamente por eso el reto es mayor. La empresa debe convertir un deber de transparencia en una experiencia comprensible y defendible.

Hay tres capas que conviene separar.

La primera es la capa de información: el usuario debe recibir un aviso claro de que interactúa con IA, salvo obviedad. La claridad aquí importa más que la creatividad. Los eufemismos de marca del tipo “asistente virtual avanzado” o “experiencia inteligente” sirven para una presentación comercial, no necesariamente para cumplir una obligación regulatoria. Si el mensaje permite que el usuario siga dudando sobre si hay una persona al otro lado, el diseño falla en lo esencial.

La segunda es la capa de momento: la transparencia llega tarde si aparece cuando la interacción relevante ya ha ocurrido. La AI Act no detalla un punto exacto de inserción para todos los canales, pero sí obliga a que la persona sea informada de que interactúa con un sistema de IA. Eso empuja a diseñar avisos que acompañen el inicio o el punto material de la interacción, no escondidos en documentos laterales que casi nadie leerá.

La tercera es la capa de evidencia: si mañana alguien cuestiona el cumplimiento, la organización necesitará demostrar cómo informó, en qué versiones del canal, con qué texto, desde qué fecha y bajo qué criterio consideró que existía o no obviedad. Esta parte suele llegar tarde en los proyectos. Error clásico. Sin evidencia, el cumplimiento se convierte en relato retrospectivo. Y los relatos retrospectivos suelen envejecer fatal.

La Comisión apunta a la implementación, pero no te va a hacer el trabajo

Una lectura apresurada del despliegue europeo sobre IA lleva a una conclusión cómoda: ya habrá guías, códigos de conducta y preguntas frecuentes que terminarán concretando lo que hoy es ambiguo. Algo de eso ocurrirá, sin duda. Pero confiar en que Bruselas aterrice cada decisión de interfaz es una fantasía muy corporativa: la de esperar una nota aclaratoria que elimine la necesidad de criterio interno.

La realidad regulatoria europea funciona de otro modo. El reglamento fija obligaciones; después llegan estándares interpretativos, orientaciones y prácticas de mercado; y, entre medias, cada organización toma decisiones que luego tendrá que defender. Quien espere al último documento para empezar a diseñar controles, llegará tarde. Quien improvise controles sin gobierno documental, también.

La pregunta sensata no es si habrá más orientación, sino si tu empresa puede operar desde ya con un criterio razonable, consistente y auditable sobre cuándo, cómo y dónde avisar al usuario.

El error de tratar la transparencia como un tema exclusivo de legal

Hay una tendencia corporativa muy reconocible: alguien detecta que la AI Act obliga a informar al usuario y el asunto se deriva a legal para que redacte una frase. Legal redacta la frase. Producto la encaja como puede. Diseño protesta porque rompe el flujo. Marketing pide suavizar el lenguaje. Y nadie se ocupa de lo más delicado: si la implementación final mantiene el sentido del requisito.

Esa secuencia produce pseudocumplimiento. La organización puede enseñar un texto y decir que “el aviso existe”. Otra cosa es que el aviso funcione de verdad. Otra, que se active en todas las superficies relevantes. Otra, que no desaparezca en una actualización menor. Y otra, más incómoda, que haya una decisión explícita sobre los casos en los que se invoca la excepción de obviedad.

La transparencia de IA toca, como mínimo, a legal, compliance, producto, UX, ingeniería, seguridad y operaciones. Si la organización está en un sector regulado, también deberían entrar riesgo no financiero, auditoría interna y, en bastantes casos, atención al cliente. No porque quede bonito en un comité. Porque cada una de esas funciones controla una parte distinta del problema: el texto, el canal, la experiencia, la persistencia del control, la evidencia y la respuesta cuando algo sale mal.

Si el despliegue se queda en una revisión legal de la copy, prepárate para una sorpresa desagradable cuando alguien pregunte por el inventario de sistemas conversacionales, las versiones publicadas o la justificación formal de por qué en ciertos flujos no se avisó al usuario.

Qué deberían estar haciendo ya las empresas

La forma más eficaz de cumplir el art. 50.1 no es discutir indefinidamente sobre teorías de transparencia. Es bajar la obligación a un programa operativo. Sin adornos.

• Inventariar todos los sistemas de IA que interactúan directamente con personas físicas: chatbots en web, asistentes en apps, agentes de voz, avatares, herramientas internas con impacto externo y soluciones de terceros embebidas en journeys del cliente.
• Clasificar cada caso según el canal, el tipo de usuario, el grado de antropomorfismo, el objetivo de la interacción y la posibilidad real de que una persona crea que está tratando con un humano.
• Definir criterios internos de obviedad por escrito. No un “se verá caso por caso”, que en traducción corporativa suele significar “nadie ha decidido nada”. Criterios concretos, aprobados y reutilizables.
• Diseñar mecanismos de aviso coherentes con el canal, documentando por qué la solución elegida permite entender la naturaleza de la interacción.
• Conservar evidencia de textos, pantallas, lógica de activación, versiones y aprobaciones. Si el control cambia en producción, el rastro tiene que sobrevivir.
• Revisar contratos con proveedores cuando la interfaz o el motor de interacción dependan de un tercero. Si el sistema está desplegado en tu canal, el problema regulatorio terminará llamando a tu puerta antes que a la del proveedor.

No hay magia aquí. Hay higiene de governance. La mala noticia es que muchas organizaciones siguen sin tener siquiera el mapa completo de sus interacciones automatizadas. Han comprado piezas de IA por equipos, países o líneas de negocio, y ahora descubren que la transparencia regulatoria exige una visión consolidada. Justo lo que no montaron cuando estaban corriendo para lanzar pilotos.

La conexión con privacidad: no confundas transparencia de IA con transparencia de datos

Otro error habitual consiste en mezclar dos obligaciones distintas y pensar que una tapa a la otra. No funciona así.

La AI Act, en su art. 50.1, exige informar a la persona de que interactúa con un sistema de IA. El GDPR, por su lado, impone deberes de información sobre el tratamiento de datos personales en los arts. 12, 13 y 14, y regula ciertas decisiones automatizadas en el art. 22. Son planos relacionados, pero no equivalentes.

Traducido a castellano de oficina: incluir en la política de privacidad una referencia genérica a herramientas automatizadas no satisface por sí sola la obligación de informar durante la interacción que exige la AI Act. Del mismo modo, avisar de que el usuario está ante una IA no agota las exigencias del GDPR si hay recogida de datos, perfilado, entrenamiento posterior, monitorización o decisiones con efectos relevantes.

La tentación de consolidarlo todo en un texto mastodóntico de privacidad es comprensible. También es mala idea. La transparencia eficaz distingue capas: una para que el usuario entienda con quién o con qué está interactuando; otra para explicar qué datos se tratan, con qué base jurídica, con qué fines y con qué derechos. Mezclarlo todo suele producir una pieza ilegible y, para colmo, menos defendible.

Si la interacción automatizada puede derivar en una decisión relevante o alimentar procesos de evaluación individual, la coordinación entre AI Act y GDPR deja de ser una cuestión elegante de arquitectura documental y se convierte en un control material de riesgo.

La frontera difusa entre transparencia y manipulación

La discusión sobre avisar al usuario no va solo de honestidad formal. Va también de asimetría conductual. Cuanto más natural, empático o persuasivo sea un sistema conversacional, mayor es la probabilidad de que un usuario le atribuya cualidades humanas que no tiene: comprensión, juicio, discreción, intención benevolente o incluso autoridad.

Aquí el art. 50.1 conversa de forma indirecta con el resto del reglamento. La AI Act no trata la transparencia como un adorno reputacional, sino como una condición para reducir el riesgo de engaño o confusión sobre la naturaleza de la interacción. Eso importa especialmente cuando el sistema puede influir en decisiones económicas, acceso a servicios, aceptación de condiciones o revelación de información sensible.

El punto incómodo para muchas marcas es que la optimización comercial y la transparencia pueden empujar en direcciones distintas. Un bot que parece demasiado humano puede convertir mejor. También puede aumentar la exposición regulatoria si la organización no puede defender que el usuario entendía con claridad que estaba hablando con IA. A veces el mejor diseño para negocio en el corto plazo es el peor diseño para compliance en el medio.

Y sí, esto va a generar debates internos bastante menos filosóficos de lo que parecen. Cuando una empresa haya invertido en una identidad conversacional hiperhumana, pedirle que reintroduzca señales claras de artificialidad no siempre se vivirá como una victoria del derecho. Se vivirá como una molestia para la conversión. Justo por eso el tema importa.

Contenido sintético y marcas legibles por máquina: otra obligación, otro lío distinto

La transparencia en interacciones persona-IA no es la única del art. 50. El mismo precepto introduce otros deberes para contenido sintético y determinados usos de manipulación audiovisual o textual. Conviene no mezclar bloques, porque los equipos suelen hacerlo y terminan construyendo controles defectuosos.

El art. 50.2 establece que los proveedores de sistemas de IA, incluidos los sistemas GPAI que generan contenido sintético de audio, imagen, vídeo o texto, deben garantizar que las salidas del sistema se marquen en un formato legible por máquina y sean detectables como generadas o manipuladas artificialmente. La obligación está formulada a nivel de resultado normativo general; el reglamento remite a que las soluciones técnicas sean eficaces, interoperables, robustas y fiables, en la medida en que sea técnicamente factible.

Aquí conviene frenar la imaginación. El texto legal exige marcación legible por máquina y detectabilidad, pero no convierte cualquier preferencia técnica de mercado en una obligación jurídica automática. Las organizaciones deberían evitar dos errores opuestos. El primero: minimizar la exigencia y pensar que cualquier etiqueta superficial servirá. El segundo: afirmar como mandato legal cerrado especificaciones que dependerán del desarrollo técnico, de estándares y de orientaciones adicionales.

La lección práctica es sencilla: si tu empresa genera o distribuye contenido sintético a escala, no metas en el mismo cajón el aviso al usuario de un chatbot y la señalización legible por máquina del contenido generado. Son controles distintos, con lógicas distintas y evidencias distintas.

Lo que cambia para banca, seguros y servicios financieros, incluso sin una regla sectorial específica aquí

La AI Act no necesita citar cada norma sectorial para complicarle la vida a una entidad financiera. Basta con mirar cómo funciona la supervisión real. En banca, pagos, inversión o seguros, un fallo de transparencia en la capa de IA rara vez se queda aislado. Se proyecta sobre gobierno del producto, información al cliente, gestión de incidencias, outsourcing tecnológico y control interno.

Si una entidad usa IA conversacional para atención al cliente, onboarding, soporte comercial o gestión de siniestros, el debate no termina en el art. 50 de la AI Act. Empieza allí. Luego aparecen preguntas muy concretas: quién aprobó el flujo, cómo se evaluó el riesgo de confusión, qué proveedor interviene, qué registros existen, cómo se escalan reclamaciones, si el sistema redirige a un humano cuando procede, y bajo qué políticas se audita el desempeño del canal.

La conexión con DORA también merece atención cuando estos servicios dependen de terceros TIC. DORA exige un marco de gestión del riesgo de TIC en los arts. 5 a 16 y establece obligaciones específicas para la gestión de terceros en los arts. 28 y siguientes. Si el canal conversacional descansa en un proveedor externo, la cuestión ya no es solo si el aviso existe, sino si la entidad puede gobernar el servicio, supervisar cambios, gestionar incidencias y mantener evidencia. El bot simpático de front office se convierte muy rápido en un asunto de resiliencia operativa y de terceros críticos.

No hace falta exagerar para verlo. En una organización regulada, los controles de transparencia que parecen pequeños son precisamente los que revelan si el gobierno tecnológico es real o decorativo.

La excepción más peligrosa es la que parece más cómoda

Volvamos a la excepción del art. 50.1: no hace falta informar si resulta obvio que la persona interactúa con IA. Sobre el papel parece sensata. En la práctica puede convertirse en la escapatoria favorita de equipos que no quieren añadir fricción. Y ahí empieza el problema.

Las exenciones regulatorias basadas en contexto tienen una peculiaridad: exigen más juicio, no menos. Quien decide acogerse a la obviedad debería poder explicar, por escrito y con criterios reproducibles, por qué ese caso está claramente dentro de la excepción. No basta una sensación de diseño. Hace falta una posición de control.

Un buen test interno podría formularse así: si quitáramos todos los elementos que delatan técnicamente la herramienta y dejáramos solo la experiencia percibida por el usuario, ¿seguiría siendo inequívoco que habla con una IA? Si la respuesta es dudosa, probablemente no hay obviedad suficiente. Y si el negocio necesita una discusión de cuarenta minutos para sostener que el caso es obvio, casi seguro que no lo es.

La ironía regulatoria aquí es deliciosa: cuanto más se esfuerza una organización en que la IA parezca natural, menos conveniente le resulta apoyarse en la idea de que su artificialidad era evidente.

Qué debería pedir ahora mismo un consejo de administración o un comité de riesgo

Si el tema llega al consejo, la peor respuesta posible es “tenemos una política de IA en preparación”. Eso sirve para una diapositiva, no para gobernar un riesgo.

Un consejo o un comité de riesgo debería pedir, como mínimo, cinco cosas muy concretas. Primero, un inventario de sistemas de IA que interactúan con clientes o usuarios externos. Segundo, el criterio corporativo para determinar cuándo la interacción exige aviso y cuándo se considera obvia. Tercero, evidencia de implementación por canal. Cuarto, asignación clara de responsabilidades entre negocio, producto, legal, compliance y tecnología. Quinto, integración con los marcos ya existentes de terceros, privacidad, incidencias y cambio tecnológico.

Si alguna de esas piezas no existe, el problema no es solo de AI Act. Es de gobierno. Y los problemas de gobierno tienen la desagradable costumbre de reaparecer en auditorías, inspecciones, reclamaciones de clientes y comités de crisis, siempre en el peor momento posible.

La virtud de este enfoque es que evita una trampa frecuente: tratar la transparencia de IA como un proyecto aislado. No lo es. Es una prueba de madurez del sistema de control de la organización. Si sale bien, demuestra coordinación. Si sale mal, destapa costuras que seguramente ya estaban ahí.

La verdadera pregunta no es qué dice el bot, sino qué puede demostrar tu empresa

Mucho del debate público sobre IA se pierde en grandes principios. Aquí la realidad es bastante más concreta. Cuando una autoridad, un auditor o un cliente cuestione una interacción, la empresa no ganará la discusión por tener un manifiesto ético brillante. La ganará si puede demostrar tres cosas: que identificó correctamente el caso, que aplicó el art. 50.1 con criterios consistentes y que implementó un mecanismo de información comprensible o, en su defecto, una justificación sólida de obviedad.

Ese es el cambio de mentalidad que muchas organizaciones aún no han hecho. Siguen pensando la IA como una cuestión de despliegue tecnológico con revisión legal al final. La AI Act obliga a hacer lo contrario: incorporar desde el principio una lógica de diseño regulatorio, donde experiencia de usuario, comunicación y trazabilidad forman parte del producto, no del apéndice documental.

La transparencia en IA no va de poner una pegatina normativa sobre una interfaz ya cerrada. Va de admitir algo bastante elemental: si una máquina habla con una persona, la persona tiene derecho a saberlo. Y si una empresa cree que eso estorba demasiado a su estrategia comercial, el problema no es el reglamento. El problema es la estrategia.

Porque al final todo se resume en una pregunta brutalmente simple: cuando tu sistema converse con un cliente, ¿quedará claro que es IA? Si la respuesta depende de demasiados matices, ya sabes por dónde empezar.