Reglamento de IA de la UE en agosto de 2026: sanciones para GPAI y transparencia del artículo 50

Las obligaciones que conservaron la fecha del 2 de agosto de 2026¶

El Omnibus reabrió el artículo 113, que fija cuándo comienza a aplicarse cada parte del Reglamento de IA de la UE, y trasladó las fechas de aplicación de los sistemas de alto riesgo. Dejó el capítulo de transparencia y el mecanismo sancionador de los modelos de IA de uso general en el calendario original. La tabla muestra el panorama completo en torno al 2 de agosto de 2026.

El artículo 101 permite sancionar a los proveedores de modelos de IA de uso general¶

El capítulo V se aplica desde el 2 de agosto de 2025. Desde esa fecha, el proveedor de un modelo de IA de uso general debe conservar la documentación técnica del proceso de entrenamiento y pruebas conforme al artículo 53(1)(a), la documentación para los proveedores posteriores que integren el modelo conforme al artículo 53(1)(b), una política para cumplir el Derecho de la UE en materia de derechos de autor y un resumen público del contenido utilizado para el entrenamiento. Los modelos entrenados por encima del umbral de cómputo del artículo 51 tienen además las obligaciones de riesgo sistémico del artículo 55: evaluación del modelo con pruebas adversariales, evaluación y mitigación del riesgo, notificación de incidentes graves a la Oficina de IA y protección de la ciberseguridad.

Lo que llega el 2 de agosto de 2026 es el instrumento que hace cumplir todo ello. El artículo 113 aplicó el capítulo XII desde el 2 de agosto de 2025 y exceptuó el artículo 101 de esa fecha. La excepción termina el 2 de agosto de 2026. Desde entonces, la Comisión puede imponer a un proveedor de un modelo de IA de uso general una multa de hasta el 3 % de su volumen de negocios anual total mundial del ejercicio financiero anterior o 15 millones de EUR, lo que sea mayor. La Comisión debe determinar que el proveedor actuó intencionadamente o por negligencia, por alguno de cuatro motivos: infringir las disposiciones pertinentes del Reglamento, incumplir una solicitud de documento o información conforme al artículo 91, incumplir una medida solicitada conforme al artículo 93 o no proporcionar el acceso necesario para evaluar el modelo conforme al artículo 92.

Los proveedores de modelos de IA de uso general introducidos en el mercado antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 para ponerlos en conformidad, conforme al artículo 111(3). El Omnibus mantuvo esa fecha. Es un periodo transitorio que exige avances demostrables, y la facultad sancionadora alcanza desde el primer día a todos los modelos que el proveedor haya introducido en el mercado desde el 2 de agosto de 2025.

El Código de buenas prácticas para los modelos de IA de uso general es la vía que la Comisión señala a los firmantes. La Oficina de IA considera que un firmante que trabaja de buena fe en sus compromisos cumple el Código, y el artículo 101(1) exige que la Comisión tenga en cuenta los compromisos asumidos en un código de buenas prácticas al fijar una multa. Las obligaciones legales de los artículos 53 y 55 se mantienen.

El artículo 50 llega a todo lo que ve el cliente¶

El artículo 50 se aplica desde el 2 de agosto de 2026 a proveedores y responsables del despliegue, en todos los niveles de riesgo. Alcanza a chatbots, copilotos y agentes ordinarios que nunca entrarían en una clasificación de alto riesgo.

• Proveedor, interacción directa. El artículo 50(1) atribuye esta obligación al proveedor. Un sistema de IA diseñado para interactuar con personas debe informarles de que están tratando con un sistema de IA, de forma clara y distinguible, como muy tarde en la primera interacción. La excepción en la que puede apoyarse un responsable del despliegue comercial es estrecha: la situación debe resultar evidente para una persona razonablemente informada, atenta y prudente, teniendo en cuenta las circunstancias y el contexto de uso.
• Proveedor, contenido sintético. Un sistema que genera audio, imágenes, vídeo o texto sintéticos debe marcar sus resultados en un formato legible por máquina y hacer detectable que han sido generados o manipulados artificialmente, en la medida en que sea técnicamente viable. El artículo 50(2) excluye la obligación cuando el sistema cumple una función de asistencia para la edición estándar o deja los datos de entrada y su semántica sustancialmente inalterados.
• Responsable del despliegue, ultrafalsificaciones. Un responsable del despliegue que publique contenido de imagen, audio o vídeo que constituya una ultrafalsificación, es decir, contenido generado o manipulado para parecerse a personas, lugares o acontecimientos reales, debe indicar que el contenido es artificial. Cuando el contenido forma parte de una obra evidentemente artística, creativa, satírica o ficticia, la obligación se limita a indicar que existe contenido generado, de manera que no se obstaculice la presentación o disfrute de la obra.
• Responsable del despliegue, texto de interés público. Debe indicarse el texto generado o manipulado por IA que se publique para informar al público sobre asuntos de interés público. La excepción exige las dos condiciones: que el contenido haya pasado por un proceso de revisión humana o control editorial y que una persona física o jurídica asuma la responsabilidad editorial de la publicación.
• Responsable del despliegue, reconocimiento de emociones y categorización biométrica. Las personas expuestas a esos sistemas deben ser informadas de su funcionamiento, junto con las obligaciones de protección de datos que correspondan.

La única concesión y la sanción que la acompaña¶

Los sistemas de IA generativa ya introducidos en el mercado antes del 2 de agosto de 2026 tienen un periodo transitorio de cuatro meses, hasta el 2 de diciembre de 2026, para la obligación de marcado legible por máquina. Un sistema introducido en el mercado el 2 de agosto de 2026 o después no tiene periodo transitorio, y ninguna de las demás obligaciones del artículo 50 lo tiene.

El artículo 99(4)(g) sitúa el incumplimiento de las obligaciones de transparencia del artículo 50 en el nivel intermedio de sanciones: hasta 15 millones de EUR o el 3 % del volumen de negocios anual mundial total, lo que sea mayor. Cuando el infractor es una pyme, incluida una empresa emergente, el artículo 99(6) limita cada multa del artículo al importe menor entre el porcentaje y la cantidad fija. Las autoridades nacionales de vigilancia del mercado aplican este nivel. La cifra máxima coincide con la multa del artículo 101 para un proveedor de modelos, y el límite del artículo 99(6) solo alcanza las multas fijadas en el artículo 99. La lista de comprobación del artículo 50 para chatbots, copilotos y agentes desarrolla el diseño de controles.

Lista de comprobación: proveedor de un modelo de IA de uso general¶

Este es el rol con menos margen. Las obligaciones llevan un año vigentes; lo nuevo es la aplicación de sanciones.

• Documentación técnica del proceso de entrenamiento y pruebas y de los resultados de evaluación, conforme a la lista de contenidos del anexo XI y lista para entregarla a la Oficina de IA cuando la solicite.
• Documentación para proveedores posteriores conforme al artículo 53(1)(b), suficiente para que un integrador comprenda las capacidades y limitaciones del modelo y cumpla sus propias obligaciones, con los elementos del anexo XII.
• Una política de derechos de autor que identifique y respete las reservas de derechos expresadas conforme a la excepción de minería de textos y datos de la Directiva (UE) 2019/790.
• El resumen público del contenido utilizado para el entrenamiento, en la plantilla de la Oficina de IA.
• Para un modelo por encima del umbral del artículo 51, el paquete del artículo 55: evaluación del modelo con pruebas adversariales, evaluación y mitigación del riesgo sistémico, seguimiento y notificación de incidentes graves y protección de la ciberseguridad del modelo y su infraestructura física.
• Una persona responsable de las comunicaciones con la Comisión y un procedimiento probado para entregar la información solicitada dentro del plazo. No entregar la información solicitada es un motivo independiente de multa conforme al artículo 101.
• Una decisión documentada sobre el Código de buenas prácticas. Firmarlo cambia la forma en que la Comisión supervisa el modelo y puede reducir una multa. Las obligaciones legales se mantienen.
• Para un modelo introducido en el mercado antes del 2 de agosto de 2025, un plan que consiga la conformidad el 2 de agosto de 2027, con evidencia del avance.

Lista de comprobación: responsable del despliegue de chatbots, copilotos y agentes orientados al cliente¶

Un responsable del despliegue es una organización que utiliza un sistema de IA bajo su propia autoridad. La mayoría de las empresas son responsables del despliegue, y aquí se concentra gran parte del trabajo del 2 de agosto de 2026.

• Un inventario de cada superficie en la que un sistema de IA habla con una persona: chat web, copilotos dentro del producto, agentes de voz, correo y mensajería y cualquier elemento que un socio inserte en su nombre.
• El artículo 50(1) atribuye al proveedor la información en la interacción directa. Cuando la organización controla la interfaz, servirla es una responsabilidad operativa; cuando la controla un proveedor, el contrato debe recogerla. En cada superficie debe aparecer como muy tarde en la primera interacción, de forma clara y distinguible, y cumplir los requisitos de accesibilidad aplicables al resto de la interfaz.
• Texto de aviso en cada idioma que sirva la superficie. Un aviso en inglés para un cliente francófono no es una información clara para ese cliente.
• Aviso de ultrafalsificación en las imágenes, el audio o el vídeo publicados que la organización genere o manipule y que constituyan una ultrafalsificación, es decir, contenido parecido a personas, lugares o acontecimientos reales. Los activos de marketing entran en el ámbito cuando cumplen ese criterio.
• Una regla para el texto generado por IA que se publique para informar al público sobre asuntos de interés público. Para aplicar la excepción deben constar las dos condiciones: la revisión humana o el control editorial y la persona física o jurídica responsable editorialmente de la publicación.
• Avisos para cualquier reconocimiento de emociones o categorización biométrica en uso y una comprobación de que la práctica subyacente no incurre en las prohibiciones del artículo 5.
• Evidencia de que se activó cada control. El artículo 50 exige informar a la persona y no impone un registro por sesión. Conservar un registro de que se sirvió el aviso es un control útil para demostrarlo después, ajustado a lo que permita conservar la legislación de protección de datos.
• Una prueba de regresión, porque un rediseño puede eliminar silenciosamente el aviso. Vincule la información a una prueba que se ejecute en cada lanzamiento.

Lista de comprobación: comprador empresarial¶

Un comprador asume las obligaciones del responsable del despliegue el día en que un sistema entra en funcionamiento y no recibe nada útil del proveedor salvo que el contrato lo exija.

• Pregunte qué modelos de IA de uso general utiliza el producto, quiénes son sus proveedores y si esos proveedores han firmado el Código de buenas prácticas.
• Solicite la documentación posterior del artículo 53(1)(b) o el resumen del proveedor basado en ella. Un proveedor que no puede producirla tiene un problema ascendente que se convierte en suyo.
• Confirme por escrito qué obligaciones del artículo 50 cumple el proveedor en el producto y cuáles recaen en usted. La información en la interacción directa es obligación del proveedor conforme al artículo 50(1): indique quién la crea y quién la sirve. El aviso de ultrafalsificaciones y de texto de interés público son obligaciones del responsable del despliegue y recaen en usted.
• Para cualquier función generativa, pregunte si los resultados llevan hoy marcado legible por máquina e incluya el 2 de diciembre de 2026 en el plan de los productos introducidos en el mercado antes del 2 de agosto de 2026.
• Solicite los registros. Antes de firmar, establezca que puede exportar evidencia de que se sirvió un aviso y se activó un control, en un formato que pueda entregar a un supervisor.
• Mantenga las preguntas de alto riesgo en el contrato aunque el anexo III se aplique desde el 2 de diciembre de 2027. Especifique clasificación, registros y supervisión humana al comprar; incorporarlos en 2027 cuesta más.

Dos fechas más en diciembre de 2026¶

El Omnibus añadió dos prácticas prohibidas al artículo 5. Desde el 2 de diciembre de 2026 quedan prohibidos los sistemas de IA que generen o manipulen material de abuso sexual infantil y los sistemas que generen o manipulen imágenes sexuales o íntimas realistas de una persona identificable sin su consentimiento. La prohibición alcanza al proveedor cuando ese resultado es la finalidad prevista del sistema o un resultado razonablemente previsible y reproducible sin una modificación técnica significativa.

Las infracciones del artículo 5 pertenecen al nivel superior de sanciones del artículo 99(3): hasta 35 millones de EUR o el 7 % del volumen de negocios anual mundial total, lo que sea mayor. Para una pyme, incluida una empresa emergente, el artículo 99(6) limita la multa al importe menor entre ambos. Todo equipo que lance generación de imágenes o vídeo debería realizar ya pruebas de equipo rojo contra estas dos categorías y conservar los resultados.

La segunda fecha de diciembre es el cierre del marcado legible por máquina para los sistemas generativos que ya estaban introducidos en el mercado. Ambas fechas son el 2 de diciembre de 2026, lo que convierte el cuarto trimestre de 2026 en una única ventana de entrega.

De dónde procede la evidencia¶

En el momento de una inspección, cada obligación anterior se reduce a una pregunta: demuestre que el control funcionó el día que importaba. Un registro de la interacción concreta, escrito mientras ocurría, es lo que responde.

Los controles del artículo 50 viven en la superficie que mira al cliente. La ventana de chat muestra el aviso; la canalización de generación aplica el marcado. Corresponden al equipo propietario del producto. Cuando una conversación se convierte en una acción, KLA opera en la capa subyacente. Las obligaciones de los artículos 50 y 101 aún no están modeladas como controles en el producto.

• KLA Policy Engine evalúa una Decision Request antes de ejecutar una llamada de herramienta gobernada y vuelve a evaluar el resultado de la herramienta antes de que llegue al modelo. El resultado es allow, warn, require_approval o block.
• Cuando el servicio de decisiones no está disponible, el punto de aplicación devuelve un resultado retenido o bloqueado con el código de motivo policy_engine_unavailable. No tiene una ruta que convierta una decisión inalcanzable en allow.
• Decision Desk es donde espera un resultado require_approval. La ejecución permanece pausada hasta que decide un aprobador, se rechaza la solicitud propia del solicitante por separación de funciones y el registro conserva quién decidió, cuándo y qué roles tenía en ese momento.
• Evidence Room produce un Sealed Evidence Bundle: un manifiesto canónico, un SHA-256 por artefacto bajo una raíz de Merkle, dos firmas ES256 y las claves públicas necesarias para comprobarlas. Un verificador independiente repite esas comprobaciones sin acceso a la red.
• Control Mapping cubre los artículos 9, 10, 11, 12, 14, 15, 17 y 72 del Reglamento de IA de la UE junto con controles de SOC 2, ISO 27001, DORA y AMLR. Los artículos 9, 10, 11, 12, 14 y 15 son requisitos del capítulo III para sistemas de alto riesgo; el artículo 17 es la obligación de gestión de la calidad del proveedor del capítulo III; y el artículo 72 es la obligación de seguimiento posterior a la comercialización del capítulo IX. Los tres grupos siguen el calendario de alto riesgo hasta el 2 de diciembre de 2027 para los sistemas del anexo III, y el trabajo de agosto los alimenta.