La UE convierte las etiquetas de IA en un control real: no es un aviso, es gobierno operativo

El 2 de agosto dejó de ser una fecha de abogados y pasó a ser una fecha de producto. Desde este verano, las empresas que operan en la UE tienen que avisar cuando un cliente está hablando con una máquina, identificar determinados contenidos generados o manipulados por IA y, sobre todo, demostrar que saben dónde demonios están usando IA dentro de su propia organización. Eso último es el detalle incómodo. Y el verdaderamente importante.

La comparación con los banners de cookies tiene gracia, pero se queda corta. Los avisos de cookies acabaron siendo una molestia visual y un festival de fatiga regulatoria. Las obligaciones de transparencia del AI Act pueden degenerar en lo mismo si las compañías las tratan como una capa de texto legal pegada a última hora sobre el front-end. Si hacen eso, no habrán entendido nada. Aquí no se trata de poner una etiqueta. Se trata de construir un inventario, asignar responsables, versionar contenidos, revisar contratos con proveedores y decidir qué usos de IA merecen quedarse y cuáles están pidiendo a gritos un incidente reputacional.

La Comisión Europea ya puede empezar a imponer sanciones por incumplimientos del AI Act en los tramos aplicables, y las obligaciones de transparencia que han entrado en fase de aplicación visible para consumidores son el primer choque entre la norma y la realidad comercial. Chatbots de atención al cliente, imágenes sintéticas en campañas, audio generado para publicidad, avatares, asistentes de compra y sistemas que editan o transforman contenido a escala: de repente, todo eso tiene que llevar trazabilidad, no solo entusiasmo.

La ironía es evidente. Durante dos años, media Europa corporativa habló de IA generativa como si fuera una función más de marketing y productividad. Ahora descubre que la parte difícil no era generar el contenido. Era poder explicarlo, etiquetarlo y gobernarlo.

Tesis editorial

Mi tesis es simple: el llamado “momento banner de cookies” de la IA no va de transparencia estética, sino de control interno. Las obligaciones de etiquetado del AI Act son, en la práctica, un examen de madurez operativa. La empresa que no pueda identificar qué chatbot atiende a qué clientes, qué proveedor genera qué piezas creativas o qué contenido ha sido alterado sintéticamente ya tiene un problema de compliance. Y bastante antes de que llegue la multa, tendrá uno de auditoría, reputación y gestión de riesgo.

Eso explica por qué el debate empresarial está mal enfocado cuando se reduce a si la etiqueta molestará al usuario o frenará la conversión. Puede que sí. También molestan las cláusulas de outsourcing, los registros de tratamiento del GDPR o los controles de DORA. No están para decorar. Están para obligar a que la organización haga visible lo que preferiría dejar difuso.

El AI Act, en sus artículos sobre transparencia, no pide amor. Pide capacidad de identificación, información al usuario y diseño de procesos. En concreto, el artículo 50 del Reglamento (UE) 2024/1689 establece obligaciones para proveedores y desplegadores de ciertos sistemas de IA: informar cuando una persona interactúa con un sistema de IA, salvo que resulte obvio por el contexto; marcar contenidos sintéticos de imagen, audio, vídeo o texto en supuestos concretos; y cumplir requisitos específicos para deepfakes y sistemas de reconocimiento de emociones o categorización biométrica cuando proceda. La norma no inventa la necesidad de gobernanza. La expone sin anestesia.

Lo que de verdad cambia con el artículo 50 del AI Act

Conviene bajar del titular a la letra pequeña. El artículo 50 del AI Act no regula “toda la IA” ni obliga a etiquetar cualquier contenido generado automáticamente. Regula supuestos concretos de transparencia, y ahí está la clave práctica. Primero, si un sistema está destinado a interactuar directamente con personas físicas, estas deben ser informadas de que están interactuando con IA, salvo que sea obvio para una persona razonablemente informada, observadora y prudente. Traducido: si tu chatbot parece un agente humano, toca avisar. Si tu sistema ya se presenta claramente como asistente virtual, quizá el reto no sea el aviso, sino la consistencia con la que aparece en todos los canales.

Segundo, los proveedores de sistemas de IA que generen contenido sintético de imagen, audio, vídeo o texto deben garantizar que las salidas estén marcadas en formato legible por máquina y sean detectables como generadas o manipuladas artificialmente, cuando la obligación aplique. No es un detalle menor. La exigencia se mueve del copy visible al terreno de los metadatos, la procedencia y la persistencia técnica de la marca. Si la campaña se redistribuye, recorta, recomprime o publica en otra plataforma, ¿sigue existiendo esa señal? Aquí empiezan los dolores de cabeza reales.

Tercero, cuando un sistema genere o manipule imagen, audio o vídeo que constituya un deepfake, la persona expuesta debe ser informada de que el contenido ha sido generado o manipulado artificialmente, con excepciones ligadas a contextos como la detección, prevención, investigación o enjuiciamiento de infracciones penales, o al ejercicio de libertades de expresión y de las artes bajo determinadas condiciones. Esta parte importa mucho a medios, publicidad, entretenimiento y plataformas, pero también a banca y seguros: un vídeo sintético en una campaña comercial o un avatar hiperrealista para onboarding puede no parecer “deepfake” a ojos del equipo de negocio, pero sí activar obligaciones regulatorias.

Cuarto, el AI Act no vive solo. Las obligaciones para modelos de propósito general, recogidas en otras partes del reglamento, han disparado la atención, pero la primera obligación que ve el consumidor no es la documentación técnica del modelo. Es el aviso. Por eso estas reglas son tan potentes políticamente: materializan el AI Act en la interfaz.

La consecuencia práctica es brutalmente sencilla. Si no tienes un inventario de usos de IA por canal, proveedor, finalidad y tipo de salida, no puedes cumplir bien el artículo 50. Puedes improvisar una frase legal, sí. Pero no podrás garantizar coherencia, cobertura ni evidencia.

Por qué esto se parece menos al GDPR de lo que muchos creen

La referencia automática al mundo cookies es comprensible. Europa impone una obligación de información al usuario y el mercado responde con interfaces estándar, fricción y plantillas copiadas a toda prisa. Ya lo hemos visto. El problema es que el paralelismo puede adormecer a las empresas. Porque aquí no basta con mostrar un pop-up y archivar una captura de pantalla.

Con el GDPR, muchas obligaciones de transparencia descansan en artículos como el 12, 13 y 14: informar de manera concisa, transparente, inteligible y de fácil acceso sobre el tratamiento de datos personales. En seguridad, el 32 exige medidas técnicas y organizativas apropiadas, y el 33 impone la notificación de violaciones de datos personales a la autoridad de control en 72 horas cuando proceda. Todo eso generó procesos internos, sí, pero el síntoma visible fueron los avisos de privacidad y las cookies, impulsadas además por la ePrivacy. Con la IA, el síntoma visible vuelve a ser un aviso, pero la patología subyacente es distinta: falta de trazabilidad de modelos, prompts, activos creativos, proveedores y decisiones automatizadas.

Dicho de otro modo: en privacidad, el problema clásico era que las empresas trataban demasiados datos sin explicarlo bien. En IA, el problema emergente es que las empresas usan demasiadas capacidades generativas y conversacionales sin saber exactamente cómo se componen, dónde aparecen y quién responde por ellas. Parece parecido. No lo es.

Hay además una diferencia de mercado. Los banners de cookies podían desplegarse casi en bloque porque la tecnología publicitaria era más homogénea de lo que parecía. La IA está mucho más fragmentada. Un retailer puede tener un chatbot en la web, un resumidor de reseñas en la app, generación de creatividades con tres proveedores distintos, voces sintéticas en campañas de audio, traducción automática de fichas de producto y un copiloto interno para agentes de soporte. ¿Vas a poner la misma etiqueta en todo? Suerte con eso.

El primer efecto no será la multa. Será la carrera por descubrir dónde está la IA

La primera oleada de trabajo no es jurídica. Es forense, casi arqueológica. Muchas organizaciones no tienen un mapa fiable de sus usos de IA porque la adopción ha sido descentralizada: marketing contrata una herramienta creativa, atención al cliente enchufa un bot, e-commerce activa recomendaciones conversacionales, RRHH prueba asistentes de redacción y el equipo de fraude experimenta con análisis de señales. Luego compliance pregunta “¿qué sistemas de IA tenemos en producción?” y la sala se queda extrañamente silenciosa.

Ese silencio sale caro. El AI Act obliga a distinguir entre proveedor, importador, distribuidor y desplegador, con obligaciones distintas en varios títulos del reglamento. Una empresa puede pensar que solo “usa” IA de terceros, pero si modifica de forma relevante el sistema, lo integra de determinada manera o lo presenta bajo su marca, la discusión sobre su papel regulatorio se complica. No siempre es una simple relación cliente-proveedor. Y cuanto más opaca sea la cadena de suministro, peor.

Por eso las etiquetas están forzando tres movimientos internos muy concretos este año.

El primero es el inventario. No un inventario poético, sino uno utilizable: sistema, proveedor, finalidad, población afectada, canal, tipo de salida, base contractual, capacidad de override humano, registro de cambios y criterio de etiquetado. Si esto te suena a gobierno de terceros y de activos tecnológicos, es porque lo es.

El segundo es la revisión del ciclo creativo y comercial. Antes, una pieza de marketing pasaba por marca, legal y quizá protección de datos. Ahora, si hay IA generativa, hay que añadir una pregunta adicional: ¿esta salida exige identificación visible, metadatos detectables, ambos o ninguno? La respuesta no se improvisa cinco minutos antes del lanzamiento.

El tercero es la evidencia. Cuando un regulador pregunte o un cliente reclame, la empresa tendrá que demostrar que sabía qué sistema generó qué contenido, qué etiqueta aplicó, cuándo, con qué lógica y bajo qué control de calidad. Ahí nace una nueva clase de registro de compliance para IA, mucho más cercano a un log operativo que a una política bonita en PDF.

El problema técnico que nadie ve en el aviso visible: metadatos, persistencia y procedencia

La parte más subestimada del nuevo régimen de transparencia no es el texto que ve el usuario. Es la supervivencia técnica de la marca. El AI Act empuja hacia señales legibles por máquina y detectables. Eso abre una discusión nada trivial sobre estándares, interoperabilidad y degradación del marcado cuando el contenido circula entre plataformas.

Si una imagen generada por IA sale de una suite creativa con metadatos de procedencia, pero luego se exporta, se comprime, se recorta o se republica en otra red, esos metadatos pueden perderse. Si un audio sintético se inserta en una campaña programática, ¿quién preserva la señal? Si un vídeo se edita en cadena con varios proveedores, ¿quién responde por la integridad del marcado? El cumplimiento no termina al pulsar “publicar”. Empieza ahí.

Las compañías que ya trabajaban con iniciativas de procedencia de contenido, marcas de agua, registros de activos y control de versiones llevan ventaja. El resto descubrirá que el cumplimiento de transparencia se parece bastante a un problema de supply chain digital. No es casual. La UE lleva años moviendo la regulación hacia la trazabilidad: pasa en ciberresiliencia, pasa en datos, pasa en sostenibilidad y ahora pasa en IA.

La incomodidad adicional es que un marcado demasiado visible puede afectar al rendimiento comercial y uno demasiado técnico puede ser irrelevante para el usuario medio. Encontrar el equilibrio no es una cuestión de UX sin más. Es una decisión de riesgo legal y reputacional. Si el aviso es críptico, el regulador puede cuestionar su eficacia. Si es excesivamente intrusivo, negocio se quejará. Bienvenidos al compliance de verdad: nadie sale completamente feliz.

Marketing, atención al cliente y retail: donde la transparencia deja de ser abstracta

Las primeras empresas que están sintiendo la presión no son necesariamente los laboratorios que entrenan modelos, sino los negocios que tocan consumidor a escala. Retail, viajes, plataformas, publicidad, telecomunicaciones y servicios financieros minoristas están en primera línea porque su uso de IA es visible y repetitivo.

Un chatbot de postventa que se presenta con nombre humano y tono empático ya no puede vivir en esa ambigüedad encantadora donde el usuario sospecha, pero la marca no confirma. Un avatar comercial hiperrealista en una campaña de moda o belleza no es solo una decisión estética; puede activar obligaciones de identificación si el contenido es sintético o manipulado de forma material. Un resumen de opiniones de producto generado por IA plantea otra cuestión delicada: aunque el artículo 50 no convierte automáticamente cualquier texto sintetizado en un riesgo alto, sí obliga a pensar cuándo la naturaleza artificial de esa salida debe quedar clara para no inducir a error.

Aquí aparece una fricción interesante con el derecho de consumo. La Directiva sobre prácticas comerciales desleales y el régimen general de protección del consumidor ya prohibían engaños y omisiones relevantes. El AI Act no sustituye ese marco; le añade una capa específica sobre IA. Una empresa podría cumplir de forma literal con un aviso mínimo y, aun así, acabar bajo escrutinio si el diseño global induce al usuario a atribuir autenticidad humana o testimonial a contenido que no la tiene. La transparencia formal no cura una estrategia creativa tramposa.

El caso del marketing generado por IA merece una mención aparte. Durante 2024 y 2025, muchas marcas europeas se movieron entre dos extremos: ocultar el uso de IA por miedo a la reacción del público o presumir de ello como si fuese una innovación en sí misma. En 2026 eso ya no basta. La pregunta no es si dices que usas IA, sino dónde, cómo, con qué granularidad y con qué evidencia. Ese desplazamiento de la conversación, de la narrativa a la trazabilidad, es exactamente el punto.

Impacto regulatorio cruzado

Quedarse solo en el AI Act sería un error de manual. Estas etiquetas viven en un ecosistema regulatorio más amplio, y las compañías que lo entiendan llegarán antes a un modelo operativo sostenible.

Con GDPR, la conexión es inmediata. Si un chatbot atiende a clientes y trata datos personales, las obligaciones de información del AI Act se suman a las del GDPR, no las sustituyen. Además, si el sistema perfila, personaliza o influye de forma significativa en decisiones sobre individuos, entran en juego principios de minimización, limitación de finalidad y, según el caso, el artículo 22 sobre decisiones individuales automatizadas. Si el bot alucina y expone datos de otro cliente, el problema deja de ser de transparencia y pasa a ser también de seguridad y potencial brecha notificada en 72 horas bajo el artículo 33.

Con DORA, el paralelismo es menos obvio pero más útil para financieras. DORA obliga a gestionar el riesgo de terceros TIC, con artículos como el 28 sobre principios clave para una gestión sólida del riesgo de terceros proveedores de servicios TIC, y a mantener marcos de gestión del riesgo, clasificación de incidentes y pruebas de resiliencia. Cuando una entidad financiera integra chatbots, herramientas generativas o motores de contenido con proveedores externos, la cuestión no es solo si etiqueta bien. Es si ha evaluado dependencia, continuidad, derechos de auditoría, subcontratación en cadena y concentración de proveedor. La IA generativa metida en procesos de atención, ventas o back-office puede parecer un tema de experiencia digital. Bajo DORA, también es un tema de riesgo operacional.

Con NIS2, especialmente en entidades esenciales e importantes, la conexión pasa por la gobernanza y la seguridad de la cadena de suministro. El artículo 21 exige medidas técnicas, operativas y organizativas apropiadas, incluyendo gestión de riesgos, manejo de incidentes, continuidad, seguridad en la adquisición, desarrollo y mantenimiento de redes y sistemas, y seguridad de la cadena de suministro. Si tu organización consume servicios de IA de múltiples proveedores y no sabe qué componentes procesan información sensible o soportan funciones críticas, el problema no es teórico. Es una grieta de gobernanza.

Con eIDAS 2.0, el vínculo emergente está en la confianza digital y la atribución. A medida que crecen los contenidos sintéticos y los avatares, la necesidad de acreditar origen, identidad y autenticidad de determinados flujos gana peso. No porque eIDAS resuelva por sí sola el etiquetado de IA, sino porque la economía digital europea se está reconfigurando alrededor de señales verificables: identidad, firma, sellado, procedencia, trazabilidad.

Con CSRD, el cruce no es jurídico en la superficie, pero sí de gobierno corporativo. Las empresas obligadas a reportar sostenibilidad y gobernanza llevan meses construyendo inventarios, controles y trazabilidad sobre métricas no financieras. La IA va por un carril paralelo: comités, roles, evidencias, apetito de riesgo, aseguramiento interno. Quien crea que son silos distintos aún no ha entendido cómo funciona una gran organización regulada.

Y con NIST CSF 2.0, aunque no sea norma europea vinculante, hay una lección operativa muy útil. El marco pivota sobre funciones como Govern, Identify, Protect, Detect, Respond y Recover. Las obligaciones de transparencia de IA encajan casi de forma quirúrgica con Govern e Identify: saber qué sistemas existen, qué riesgos introducen, qué dependencias tienen, quién decide sobre ellos y qué controles sostienen esas decisiones. Sin eso, no hay etiqueta que te salve.

Lo que banca y seguros deberían estar haciendo ya, aunque esto no vaya solo de banca y seguros

En servicios financieros, el riesgo de adopción de IA tiene una característica molesta: casi nunca aparece solo. Un chatbot comercial puede tocar datos personales, influir en decisiones de venta, afectar a colectivos vulnerables, depender de un proveedor cloud, integrarse con sistemas legacy y producir registros que acabarán revisando compliance, auditoría interna y, si las cosas van mal, el supervisor. Todo a la vez.

En banca minorista, las áreas de mayor exposición este año son cuatro. Atención al cliente, por el uso masivo de asistentes conversacionales. Marketing y captación, por creatividades y personalización generadas por IA. Gestión documental, por resumidores, clasificadores y extracción de información. Y fraude, por herramientas que añaden una capa automatizada a señales de riesgo o interacción con usuarios. En seguros, súmale suscripción, siniestros y comunicaciones automatizadas con tomadores y mediadores.

Los controles recomendables no son misteriosos, pero sí exigen disciplina. Primero, catálogo único de casos de uso con clasificación por criticidad, población afectada y dependencia de terceros. Segundo, revisión contractual específica para proveedores de IA: uso de datos, retención, entrenamiento secundario, subprocesadores, ubicación, auditoría, seguridad, fallback y salida. Tercero, criterios de transparencia por canal, no genéricos. Cuarto, control de cambios: si el proveedor actualiza el modelo o la interfaz, ¿quién revalida el etiquetado y el riesgo? Quinto, monitorización de errores materiales, sesgos, outputs engañosos y reclamaciones de clientes. Sexto, escalado al comité de riesgo tecnológico o de no financieros cuando el uso de IA afecte a procesos materiales.

Si tu entidad cree que esto es un asunto exclusivo del equipo de innovación, mala señal. En 2026, la IA que toca cliente sin pasar por compliance, seguridad, legal y riesgo operativo es una invitación al caos con membrete corporativo.

La objeción empresarial: “otra capa innecesaria”. La respuesta: no exactamente

Algunas compañías ya han reaccionado como era previsible: otra capa de regulación, otra exigencia europea, otra fricción frente a competidores menos encorsetados. La queja no carece de lógica. Etiquetar, documentar y mantener señales de procedencia tiene coste. También añade complejidad a campañas, productos y journeys de cliente.

Pero reducirlo a “Bruselas estorba” es una lectura perezosa. Lo que la norma está castigando no es la innovación, sino la opacidad operativa. Si una empresa no puede responder con precisión a preguntas tan básicas como qué contenido genera su IA, dónde se publica, con qué proveedor, bajo qué reglas y con qué etiqueta, el problema no lo creó el legislador. Solo lo hizo visible.

Hay además un punto competitivo que la crítica empresarial suele omitir. Cuando el uso de IA se normaliza, la confianza del usuario importa más, no menos. En mercados saturados, poder demostrar gobernanza, trazabilidad y límites claros puede convertirse en ventaja comercial, sobre todo en sectores donde la credibilidad vale dinero. Banca, seguros, salud, viajes, empleo. Justo los sectores donde un mal uso de IA no se archiva como anécdota creativa.

La verdadera objeción seria no es que la transparencia exista, sino si la UE conseguirá evitar que se convierta en un ritual vacío como pasó con tantos banners de consentimiento. Ahí sí hay debate. Si cada plataforma etiqueta de una forma distinta, si los avisos son demasiado frecuentes o incomprensibles y si el usuario deja de prestar atención, el efecto de protección se degradará. Esa es una crítica legítima. Pero no invalida la dirección regulatoria. Obliga a ejecutarla mejor.

Qué deberían revisar las empresas en agosto y septiembre si no quieren improvisar hasta que llegue una reclamación

Hay decisiones muy concretas que conviene tomar ya. No en el próximo comité trimestral. Ya.

La primera: designar un responsable operativo de transparencia de IA. No un “owner” simbólico, sino alguien con autoridad para pedir inventario, coordinar legal, producto, marketing, seguridad y proveedores, y bloquear despliegues que no estén claros. En empresas grandes, esto puede vivir entre compliance digital y riesgo tecnológico. En medianas, puede recaer en un tándem legal-producto. Lo que no funciona es dejarlo repartido entre cinco áreas sin árbitro.

La segunda: definir un estándar interno de etiquetado. ¿Cuándo se informa de interacción con IA? ¿Qué formatos visuales se usan? ¿Qué criterios aplican a imágenes, audio, vídeo y texto? ¿Qué metadatos o mecanismos de detección se preservan? ¿Qué excepciones se documentan? Si cada equipo improvisa su propia fórmula, el regulador acabará encontrando inconsistencias antes que la empresa.

La tercera: revisar procurement. Los contratos con proveedores de IA deben decir cómo soportan las obligaciones del artículo 50, qué evidencia ofrecen, qué cambios notifican y cómo gestionan la persistencia técnica del marcado. Si el proveedor responde con vaguedades de marketing sobre “AI governance”, ya tienes una respuesta útil: aún no está listo.

La cuarta: conectar quejas y reclamaciones con gobierno de IA. Cuando un cliente diga que no entendió que estaba hablando con una IA o que fue inducido por contenido sintético no claramente identificado, eso no puede quedarse en atención al cliente. Debe volver al registro de riesgos y al circuito de cambios. De lo contrario, la organización aprenderá exactamente nada.

La quinta: probar journeys reales. No basta con un documento de política. Hay que abrir la web, la app, el call center asistido, la campaña, el email y el flujo posventa, y ver dónde aparece la IA y cómo se informa. Muchas sorpresas desagradables solo se descubren haciendo ese recorrido de punta a punta.

Lo que viene después de las etiquetas

Las obligaciones de transparencia son solo la primera parte visible del ajuste europeo. El debate de 2026 no se quedará en “avisa al usuario”. Irá hacia pruebas de robustez, documentación sobre modelos de propósito general, evaluación de usos de alto riesgo, interacción con autoridades nacionales competentes y fricción entre innovación rápida y controles ex ante. Las etiquetas son el aperitivo, no el plato principal.

Pero precisamente por eso son tan relevantes. Porque fuerzan a las compañías a hacer el trabajo aburrido sin el cual el resto del AI Act será inmanejable. Si no sabes etiquetar correctamente un chatbot o una creatividad sintética, difícilmente estarás preparado para gobernar decisiones de mayor impacto. Lo pequeño delata lo grande.

También sirven como termómetro político. La UE quiere demostrar que su regulación de IA produce efectos concretos, visibles para el ciudadano. Y pocas cosas son más visibles que una interfaz que te dice: esto lo ha generado una máquina. Si ese mensaje funciona, Bruselas ganará legitimidad regulatoria. Si degenera en ruido visual inútil, crecerá la narrativa de que Europa regula mucho y cambia poco. El resultado dependerá menos del texto legal, que ya está, y más de la implementación empresarial y supervisora durante los próximos doce meses.

Aquí está el quid. Las etiquetas no son el fin. Son una auditoría encubierta del desorden interno con el que muchas empresas adoptaron IA. Algunas saldrán de esta fase con procesos mejores, mapas más claros y menos fe ciega en proveedores. Otras descubrirán que su estrategia de IA consistía, básicamente, en pulsar “activar” y rezar para que nadie preguntara demasiado.

Ese tiempo se ha acabado.