En resumen
El 2 de agosto de 2026 la Oficina de IA de la Comisión y las autoridades nacionales empezaron a aplicar la Ley de IA, y entraron en vigor las obligaciones de transparencia del artículo 50. La competencia se reparte entre tres sujetos: la Oficina de IA sobre los modelos de uso general, las autoridades nacionales competentes sobre los demás sistemas en su territorio, el Supervisor Europeo de Protección de Datos sobre las instituciones de la Unión.
El reparto, que es lo primero que hay que saber
Nadie vigila todo, y por eso la pregunta «quién me controla» no tiene una respuesta única. La Oficina de IA de la Comisión se ocupa directamente de los modelos de uso general, con poder para pedir documentación técnica, realizar evaluaciones, imponer medidas correctoras y aplicar sanciones. Las autoridades nacionales competentes siguen los demás sistemas que operan en el territorio de su Estado. El Supervisor Europeo vigila a las propias instituciones europeas.
- Tu cliente desarrolla o pone a disposición un modelo de uso general: responde ante la Oficina de IA
- Tu cliente usa un sistema de IA en su actividad: responde ante la autoridad nacional designada en su Estado
- Tu cliente es una institución u organismo de la Unión: responde ante el SEPD
- Tu cliente es un responsable que trata datos personales con ese sistema: responde también ante la autoridad de protección de datos, que es una vía paralela y no alternativa
Qué pasó a ser obligatorio el 2 de agosto
Las obligaciones de transparencia del artículo 50 son la parte que afecta al mayor número de empresas, porque no atañen a quien construye los modelos sino a quien los usa para hablar con el público. Los sistemas deben decir al usuario que está interactuando con una máquina y cuándo un contenido ha sido generado o modificado por IA.
- Los chatbots deben identificarse como sistemas automatizados
- Los deepfakes deben ir etiquetados
- Los contenidos generados o modificados automáticamente deben llevar una marca legible por máquina, para poder ser detectados
- Las sanciones por estas infracciones llegan a 15 millones de euros o al 3% del volumen de negocio mundial anual, si es superior
Para los proveedores de modelos de uso general la obligación es distinta: documentar determinada información y ponerla a disposición de las autoridades competentes y de los proveedores posteriores, adoptar una política de derechos de autor y publicar un resumen suficientemente detallado de los contenidos usados para el entrenamiento. Los proveedores de los modelos más avanzados deben además afrontar los riesgos de daño a gran escala: incidentes químicos, biológicos, radiológicos y nucleares, pérdida de control, ofensiva cibernética, manipulación dañina, amenazas a los derechos fundamentales.
Las «primeras multas» que circulan no constan en ninguna fuente oficial
Desde hace semanas circulan cifras precisas: dieciocho millones a una empresa de tecnología de recursos humanos, quince a una cadena de tiendas por reconocimiento de emociones, catorce a un proveedor de scoring crediticio, todas impuestas por la Oficina de IA pocos días después del 2 de agosto. Esas cifras aparecen solo en sitios de contenido promocional y nunca en un comunicado de la Comisión. Contienen además un error de estructura que las delata: la Oficina de IA no sanciona a quien utiliza un sistema de IA, se ocupa de los modelos de uso general; sobre los usuarios intervienen las autoridades nacionales. Lo que ocurrió el 2 de agosto es que los poderes sancionadores se volvieron ejercitables, no que se ejercieran.
El código de conducta sobre transparencia
Junto al inicio de la aplicación, la Comisión publicó una primera lista de más de ciento ochenta organizaciones firmantes del código de conducta sobre transparencia de los contenidos generados por IA. El código es voluntario, pero las obligaciones que hay debajo son ley en cualquier caso: firmarlo sirve para documentar cómo se cumplen, no para sustituirlas.
Lo que todavía no ha llegado
- Los requisitos para los sistemas de alto riesgo se han trasladado al 2 de diciembre de 2027
- Los de los sistemas de alto riesgo integrados en productos ya regulados van al 2 de agosto de 2028
- Desde el 2 de diciembre de 2026 estarán prohibidos los sistemas que generen contenido sexualmente explícito no consentido o material de abuso sexual infantil
Lo concreto que hacer ahora
Para cada cliente con un chatbot, un asistente en la web o un generador de contenidos, comprueba una sola cosa: si el usuario entiende que habla con una máquina antes de empezar, y si los contenidos producidos llevan marca. No hace falta una evaluación de impacto para responder, hace falta abrir el sitio y mirar. Es la obligación más simple de toda la Ley de IA y la que más a menudo falta.
Conviene recordar que la Comisión ya había usado otros instrumentos antes de esta fecha: en enero de 2026 abrió una investigación formal sobre X por su herramienta Grok, con base en el Reglamento de Servicios Digitales.
Fuente oficial:Commissione europea - Commission starts enforcing AI Act rules and new transparency requirements on 2 AugustFuente oficial:Commissione europea - Il quadro di applicazione dell'AI ActFuente oficial:AI Act, art. 50 - Obblighi di trasparenza¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
