Hace once días entró en vigor una parte importante del Reglamento Europeo de Inteligencia Artificial y, sin embargo, en las conversaciones que tengo con clientes y colegas del sector casi nadie lo tiene claro. Algunos me dicen que «Bruselas ha aplazado la ley de IA hasta 2027». Otros asumen que, como usan ChatGPT o Claude y no desarrollan modelos, esto no les afecta. Las dos cosas son medias verdades peligrosas.
El 2 de agosto de 2026 no fue una fecha simbólica. Fue el día en que empezaron a ser exigibles las obligaciones de transparencia del artículo 50 del AI Act: avisar cuando alguien interactúa con un sistema de IA, marcar contenido sintético de forma detectable, informar sobre reconocimiento emocional o categorización biométrica, etiquetar deepfakes y ciertos textos de interés público. No hace falta que tu sistema sea de «alto riesgo» para caer aquí. Si tienes un chatbot en la web, generas imágenes con IA para el blog o automatizas respuestas a clientes, ya estás en el radar.
Lo que ha generado la confusión es el Ómnibus Digital sobre IA, aprobado el 27 de julio. Ese paquete de reformas sí ha retrasado las obligaciones más pesadas para sistemas de alto riesgo del Anexo III — la auditoría externa independiente pasa al 2 de diciembre de 2027, y los integrados en productos regulados al 2 de agosto de 2028. Pero el artículo 50 no se ha movido. Como resume Economist & Jurist, el Reglamento no está suspendido: está reformulado, con plazos distintos según el tipo de obligación, pero una parte sustancial ya es Derecho aplicable.
En foros y blogs anglosajones llevan semanas diciéndolo con más claridad que muchos resúmenes en español. El análisis de NicFab lo deja muy explícito: tratar el 2 de agosto como una fecha neutra es el principal obstáculo para planificar el cumplimiento. Y el despacho Goodwin habla de «present-day regulatory requirement», no de algo que viene en el futuro. Cuando la información técnica va por delante en inglés y el mercado hispano se queda con el titular del aplazamiento, acabas con empresas que relajan el cumplimiento justo cuando empiezan las multas.
Lo que sí aplica desde agosto (y lo que no)
Para no liarse, conviene separar tres capas. Primera: las ocho prácticas prohibidas del artículo 5, activas desde febrero de 2025. Segunda: las obligaciones para modelos de propósito general (GPAI), en vigor desde agosto de 2025 si eres proveedor de un modelo grande. Tercera: transparencia del artículo 50, desde el 2 de agosto de 2026 para casi todo el mundo que despliega IA generativa o conversacional.
La única concesión real es estrecha: los proveedores de sistemas generativos que ya estaban en el mercado antes del 2 de agosto tienen hasta el 2 de diciembre de 2026 para implementar el marcado técnico machine-readable del artículo 50.2. Cuatro meses extra, solo para eso, solo para sistemas ya desplegados. Las obligaciones de quien implementa — el chatbot visible, la etiqueta en deepfakes, avisar sobre biometría — no tienen ese colchón. Como detalla Meridian Data, el calendario ya no se resume en «todo el 2 de agosto de 2026»; hay hitos distintos, pero transparencia no es uno de los aplazados.
Y las sanciones no son teóricas. Hablamos de hasta 35 millones de euros o el 7% de la facturación global, según la gravedad. España, además, ya tiene su AESIA desde mayo de 2026. El marco europeo deja claro que los Estados miembros deben supervisar y aplicar la norma; la Comisión Europea publicó directrices sobre transparencia el 20 de julio, justo antes del hito. No es un borrador olvidado en un cajón.
Por qué esto te afecta aunque no entrenes modelos
El error más habitual en pymes y agencias web es pensar que el AI Act es cosa de OpenAI, Anthropic o Meta. No lo es. Si eres «deployer» — implementador —, tienes deberes propios. Pones un asistente en la landing que responde dudas comerciales: tienes que informar de que es IA. Publicas un post con texto generado sobre una materia de interés público sin revisión humana sustancial: tienes que marcarlo. Creas imágenes sintéticas de productos para un ecommerce: entra el marcado detectable.
En mi experiencia, la mayoría de webs que reviso no cumplen ni siquiera lo más básico: un aviso visible en el primer mensaje del chatbot. Muchos plugins de WordPress que integran IA no lo incluyen por defecto. Los equipos legales piden informes; los equipos técnicos asumen que «el proveedor del modelo ya cumple». Spoiler: el proveedor cumple su parte, tú la tuya. Son responsabilidades encadenadas, no delegables con un checkbox en los términos de servicio.
Lo irónico es que algunos de los mismos proveedores que presionaron por flexibilizar el calendario de alto riesgo — el famoso Ómnibus — ya están implementando marcas de agua y metadatos en sus salidas. Anthropic, por ejemplo, ha empezado a marcar contenido de Claude. Eso no te exime de avisar a tus usuarios ni de documentar qué sistemas usas y cómo. Cumplir en la capa del modelo no es lo mismo que cumplir en la capa de tu producto.
La trampa del «ya lo haremos en 2027»
He visto demasiados planes de cumplimiento que posponen todo al aplazamiento de alto riesgo. Es una trampa. El artículo 50 no depende de clasificar tu sistema como crítico para contratación laboral o scoring crediticio. Aplica por el tipo de interacción y de contenido, no por el anexo en el que encajes.
Los despachos internacionales lo repiten: la prioridad inmediata es confirmar que las obligaciones del 2 de agosto están cubiertas. Inventario de sistemas de IA, revisión de contratos con proveedores, cláusulas de transparencia, registro de qué contenido se genera automáticamente y qué pasa por revisión humana. No hace falta montar un departamento de compliance de cincuenta personas; hace falta dejar de fingir que la fecha no ha llegado.
Lo que me preocupa no es tanto la multa inicial — aunque duele — sino el efecto dominó. Un cliente enterprise que te pida auditoría de proveedores y no puedas demostrar cumplimiento del artículo 50 te sacará del concurso. Un hosting o una pasarela que empiece a exigir declaraciones de IA en sus términos te pillará desprevenido si no has documentado nada. En un sector donde vendemos «soluciones digitales» a terceros, exportar el riesgo legal al cliente final no es una estrategia; es un problema que vuelve en forma de baja confianza o de reclamación.
Tampoco ayuda el ruido mediático. Titulares del tipo «Europa aplaza la IA» generan clics pero no contexto. El mercado hispano necesita más traducción honesta de lo que dicen los analistas en inglés y menos resúmenes de tres líneas en LinkedIn. Si tu proveedor de hosting, tu agencia o tu SaaS favorito no ha publicado una nota clara sobre qué han hecho desde el 2 de agosto, pregúntales. En serio.
Yo no voy a venderte un checklist infalible aquí — cada caso depende de qué despliegas y cómo — pero sí una idea simple: si usas IA de cara al público y no sabes qué apartado del artículo 50 te toca, ya vas tarde. No porque vayan a multar mañana a la panadería de la esquina con chatbot, sino porque el estándar de mercado se está moviendo más rápido que la percepción de las pymes.
Si mañana un cliente te pidiera demostrar que tu chatbot avisa de que es IA, que el contenido sintético del blog lleva marcado detectable y que tienes registrado qué sistemas usas, ¿podrías enseñar algo más que una captura del panel de OpenAI?