Reglamento de inteligencia artificial de la UE: calendario 2026, etiquetado de contenidos de IA y prácticas prohibidas

El reglamento de inteligencia artificial de la Unión Europea (AI Act) regula los sistemas de IA según sus características, riesgos y formas de uso. Para empresas y profesionales que utilizan IA generativa, esto no significa que todo contenido de IA necesite una etiqueta visible, que todo vídeo generado sea un deepfake o que toda IA generativa sea de alto riesgo; las reglas aplicables dependen del papel jurídico, el uso concreto, el tipo de contenido y las condiciones y excepciones previstas en cada disposición. 

La norma de referencia es el Reglamento (UE) 2024/1689, que entró en vigor en 2024. Por tanto, hablar del «EU AI Act 2026» no significa que la Unión Europea haya creado un nuevo AI Act en 2026.

Lo que ocurre es que distintas disposiciones empiezan a aplicarse en fechas diferentes. Además, el Reglamento (UE) 2026/1744 introdujo modificaciones relevantes en el calendario y en determinadas disposiciones del Reglamento de IA.

Por eso conviene distinguir entre la entrada en vigor de la norma, la fecha de aplicación de una obligación concreta y los períodos transitorios.

El calendario distingue entre aplicación y períodos transitorios

La información actualizada sobre la norma puede consultarse directamente en EUR-Lex — Reglamento (UE) 2024/1689. Las modificaciones de 2026 están recogidas en Reglamento (UE) 2026/1744.

Una de las primeras cuestiones que conviene resolver antes de aplicar el Reglamento de IA es qué papel desempeña cada participante.

El Reglamento distingue, entre otros sujetos, al proveedor y al responsable del despliegue. Esta distinción es especialmente importante porque diferentes obligaciones pueden corresponder a sujetos distintos.

El usuario de una herramienta de IA no se convierte automáticamente en responsable del despliegue

De forma simplificada, el proveedor es quien desarrolla un sistema de IA, o encarga su desarrollo, y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca.

El responsable del despliegue, por su parte, utiliza un sistema de IA bajo su autoridad, salvo determinados usos personales de carácter no profesional.

Esto significa que usuario y responsable del despliegue no son términos jurídicamente intercambiables.

Por ejemplo, el hecho de que una persona utilice una herramienta de IA en una empresa no significa necesariamente que esa persona sea, individualmente, el responsable del despliegue. Deben analizarse la organización, la autoridad bajo la que se utiliza el sistema y el contexto concreto.

Esta distinción también debe mantenerse cuando se utilizan servicios como GenApe: el nombre de una función o la condición de «usuario» de un servicio no determina por sí solo el papel jurídico bajo el Reglamento de IA.

El artículo 50 es especialmente relevante para la IA generativa porque regula varias situaciones de transparencia. No obstante, no establece una única regla universal de «etiquetado de contenido de IA».

Es importante separar al menos tres cuestiones: la transparencia cuando una persona interactúa directamente con determinados sistemas de IA, el marcado técnico de determinados contenidos generado por el proveedor y determinadas obligaciones de información que pueden corresponder al responsable del despliegue.

La interacción directa con determinados sistemas de IA puede requerir transparencia

El artículo 50(1) establece obligaciones para los proveedores de determinados sistemas destinados a interactuar directamente con personas físicas.

El objetivo es que la persona sea informada de que está interactuando con un sistema de IA, salvo cuando esto resulte evidente para una persona razonablemente informada, atenta y perspicaz teniendo en cuenta las circunstancias y el contexto de uso.

Por ello, utilizar una función denominada AI Chat o AI Agent no permite concluir automáticamente cuál debe ser la forma concreta de información al usuario. Hay que comprobar cómo funciona realmente el sistema y en qué contexto se utiliza.

El marcado legible por máquina no equivale a una marca de agua visible

El artículo 50(2) regula determinados sistemas de IA, incluidos sistemas de IA de uso general, que generan contenido sintético de audio, imagen, vídeo o texto.

Los proveedores afectados deben garantizar que los resultados estén marcados en un formato legible por máquina y sean detectables como generados o manipulados artificialmente.

Sin embargo, un marcado legible por máquina no es sinónimo de una marca de agua de IA visible a simple vista. Las soluciones técnicas pueden adoptar distintas formas y deben interpretarse conforme a los requisitos del artículo 50.

En la implementación técnica deben considerarse factores como la viabilidad técnica, las características y limitaciones de los diferentes tipos de contenido, los costes de implementación y el estado de la técnica generalmente reconocido.

Además, el propio artículo contempla límites a su ámbito de aplicación. En particular, la obligación de marcado no se aplica cuando el sistema realiza una función de asistencia para la edición estándar o cuando no altera sustancialmente los datos de entrada facilitados por el responsable del despliegue ni su semántica. 

Por tanto, el mero hecho de que un contenido haya sido creado con IA no permite afirmar que todos los contenidos deban llevar exactamente el mismo marcado técnico.

La Comisión Europea ha publicado sus directrices sobre las obligaciones de transparencia del artículo 50, que ayudan a interpretar estas obligaciones.

La información del responsable del despliegue es distinta del marcado del proveedor

El artículo 50 también contiene obligaciones relacionadas con determinados usos realizados por responsables del despliegue.

Entre ellos se encuentran determinadas situaciones relacionadas con deepfakes y determinados textos generados o manipulados por IA que se publican con la finalidad de informar al público sobre asuntos de interés público, siempre atendiendo a las condiciones y excepciones correspondientes.

Estas obligaciones no deben confundirse con el marcado legible por máquina que corresponde a determinados proveedores.

En otras palabras:

marcado legible por máquina del proveedor ≠ información del responsable del despliegue ≠ marca de agua visible universal.

Una de las interpretaciones que conviene evitar es convertir el artículo 50 en una regla según la cual «todo contenido creado con IA debe mostrar una etiqueta visible».

La obligación concreta depende del sujeto, del sistema, del contenido y de cómo se utiliza o publica.

Un vídeo generado por IA no es automáticamente un deepfake

El Reglamento de IA contiene una definición específica de deepfake. En términos generales, se refiere a determinados contenidos de imagen, audio o vídeo generados o manipulados por IA que se asemejan a personas, objetos, lugares, entidades o acontecimientos existentes y que podrían parecer falsamente auténticos o verídicos.

Por ello, vídeo generado por IA y deepfake no son categorías equivalentes.

También debe mantenerse separada otra cuestión importante: que un contenido pueda estar sujeto a una obligación de transparencia por tratarse de un deepfake no significa automáticamente que constituya una práctica prohibida por el artículo 5.

Del mismo modo, cumplir una obligación de transparencia no determina por sí solo que el contenido sea lícito desde cualquier otra perspectiva jurídica.

El artículo 5 no es una lista de tecnologías de IA prohibidas. Regula prácticas concretas que deben analizarse conforme a sus respectivos requisitos, efectos, finalidades, condiciones y excepciones.

Las prácticas prohibidas deben analizarse según sus requisitos concretos

La tabla resume las categorías principales, pero no significa que cualquier uso de una tecnología mencionada sea automáticamente ilegal.

La reforma de 2026 añade dos nuevas prácticas prohibidas

El Reglamento (UE) 2026/1744 añadió nuevas letras (ba) y (bb) al artículo 5(1), cuya aplicación comienza el 2 de diciembre de 2026.

Una de ellas se refiere a determinados contenidos realistas generados o manipulados mediante IA que representan las partes íntimas de una persona física identificable o a una persona identificable participando en actividades sexualmente explícitas, cuando no se cumplen los requisitos legales de consentimiento correspondientes.

La otra se refiere a la generación o manipulación mediante sistemas de IA de determinados materiales o representaciones comprendidos en las definiciones legales a las que remite el artículo 5(1)(bb), incluidas las referencias pertinentes a la Directiva 2011/93/UE, y debe interpretarse teniendo en cuenta las condiciones y excepciones aplicables.

Por ello, sería excesivo resumir estas reglas como «todo deepfake sin consentimiento está prohibido» o «todo contenido sexual generado por IA está prohibido».

La mera capacidad técnica de un sistema para generar este tipo de contenido no basta, por sí sola, para concluir que existe una práctica prohibida. El artículo 5(1a) establece condiciones distintas para la introducción en el mercado o puesta en servicio por proveedores y para el uso por responsables del despliegue, por lo que deben comprobarse los requisitos específicos aplicables en cada caso. 

GenApe reúne diferentes herramientas de IA para trabajar con chat, textos, imágenes y otros contenidos. Desde la perspectiva del Reglamento de IA, lo relevante no es únicamente el nombre de la función utilizada, sino cómo se utiliza, quién interviene, qué contenido se genera y qué condiciones jurídicas concurren.

Cada caso de uso requiere comprobar el papel, la finalidad, el contenido y las condiciones

Por ejemplo, utilizar una función de generación de imágenes no convierte automáticamente al usuario en proveedor ni hace que toda imagen generada sea un deepfake. Del mismo modo, una herramienta capaz de producir vídeo no determina por sí sola qué obligación jurídica será aplicable.

El Reglamento de IA establece un régimen específico para determinados sistemas de IA de alto riesgo, pero esta categoría no es equivalente a «IA generativa».

La clasificación de alto riesgo depende del artículo 6 y de los anexos

Para determinar si un sistema entra en la categoría de alto riesgo deben analizarse el artículo 6 y los anexos correspondientes.

Tras la reforma de 2026, las disposiciones pertinentes de las secciones 1 a 3 del capítulo III relacionadas con los sistemas contemplados en el artículo 6(2) y el anexo III pasan, con carácter general, a aplicarse el 2 de diciembre de 2027.

Para los sistemas vinculados al artículo 6(1) y al anexo I, la fecha correspondiente es el 2 de agosto de 2028.

Por tanto, utilizar una herramienta de IA generativa para redactar un texto o producir una imagen no permite concluir, sin más análisis, que se esté utilizando un sistema de IA de alto riesgo.

El Reglamento también contiene obligaciones específicas relacionadas con los modelos de IA de uso general (GPAI).

Estas obligaciones deben distinguirse de las que pueden afectar a quien simplemente utiliza un servicio construido sobre esos modelos.

El papel jurídico depende de lo que realmente hace cada participante

Una empresa que desarrolla y comercializa un modelo de IA de uso general puede asumir obligaciones propias de un proveedor de GPAI. En cambio, una empresa o persona que utiliza normalmente un servicio de terceros basado en ese modelo no se convierte automáticamente, por ese solo hecho, en proveedor del modelo.

El análisis puede cambiar cuando una organización modifica, integra, comercializa o pone en servicio sistemas o modelos de formas que alteran su posición jurídica. Por ello, la clasificación debe partir de las actividades reales y no únicamente de la tecnología utilizada.

El artículo 4 también debe tenerse en cuenta cuando proveedores y responsables del despliegue utilizan sistemas de IA en un contexto profesional.

Tras la reforma de 2026, el enfoque del artículo se centra en adoptar medidas para apoyar el desarrollo de la alfabetización en materia de IA de las personas pertinentes.

El artículo 4 no exige una certificación universal ni un nivel idéntico para todos

Los proveedores y responsables del despliegue deben adoptar medidas para apoyar el desarrollo de la alfabetización en materia de IA de su personal y de otras personas que se ocupen de la operación y utilización de los sistemas de IA en su nombre.

Al determinar las medidas adecuadas pueden ser relevantes factores como los conocimientos técnicos, la experiencia, la educación y formación y el contexto en el que se utilizan los sistemas.

Sin embargo, esto no significa que todas las personas deban alcanzar un nivel uniforme predeterminado de alfabetización en IA. Tampoco establece, por sí mismo, una certificación universal obligatoria para todos los empleados ni exige que todas las empresas creen un puesto denominado «AI Officer».

La Comisión Europea ofrece información adicional sobre este ámbito en sus materiales oficiales sobre alfabetización en materia de IA.

Para aplicar correctamente el reglamento de inteligencia artificial a la IA generativa, no basta con asumir que todo contenido de IA necesita una etiqueta, que todo vídeo generado por IA es un deepfake o que toda IA generativa es de alto riesgo. Es necesario analizar el papel jurídico, el uso, el contenido y las condiciones aplicables en cada caso. Herramientas como GenApe permiten trabajar con AI Chat, textos, imágenes y vídeos desde un mismo entorno, pero las obligaciones del Reglamento de IA deben determinarse según el contexto real de uso y no únicamente por la función utilizada.