Deepfakes y etiquetado de contenido con IA: qué obliga el artículo 50 desde agosto de 2026

Hace unas semanas vi una campaña de una clínica —no la mía— con un testimonial en vídeo. Una señora de unos sesenta años contaba lo bien que le habían quedado los implantes. Estaba generada íntegramente con IA. No existía. Y el anuncio no lo decía en ninguna parte.

Nadie en esa agencia lo hizo con mala fe. Alguien pensó "no tenemos presupuesto para un rodaje ni pacientes que quieran salir en cámara, y esto queda bien". Es una conversación que he oído en reuniones reales, incluida alguna en la que estaba yo. Lo que ha cambiado es que desde el 2 de agosto de 2026 esa decisión ya no es una cuestión de gusto: es una obligación legal con sanción asociada, porque ese día empezó a aplicarse el artículo 50 del Reglamento Europeo de Inteligencia Artificial.

Y hay un detalle que hace que esto importe a mucha más gente de la que cree: la obligación no recae solo en quien fabrica la herramienta. Recae también en quien la usa para publicar. Es decir, en la empresa y en la agencia.

Desde el 2 de agosto de 2026, el artículo 50.4 del Reglamento (UE) 2024/1689 obliga a quien publica una ultrasuplantación —un "deepfake": imagen, audio o vídeo que se parece a personas, lugares o sucesos reales y puede hacer creer que es auténtico— a hacer público que ha sido generado o manipulado artificialmente. La obligación es del responsable del despliegue: la empresa o la agencia que publica, no solo el proveedor del modelo. Y las Directrices oficiales de la Comisión son claras en que la etiqueta debe ser visible o audible: no basta con los metadatos que incrusta la herramienta. El incumplimiento cae en el artículo 99.4: hasta 15 millones de euros o el 3% del volumen de negocios mundial, el importe mayor. Un retoque de color no entra; un testimonial de un paciente que no existe, sí.

Qué obliga exactamente el artículo 50

El artículo mezcla obligaciones de dos actores distintos, y ahí nace casi toda la confusión que veo. Esta es la versión escaneable:

Apartado	A quién obliga	Qué exige
50.1	Proveedor	Que el usuario sepa que interactúa con una IA, salvo que sea evidente
50.2	Proveedor	Marcar la salida en formato legible por máquina y detectable
50.3	Responsable del despliegue	Informar a quien queda expuesto a reconocimiento de emociones o biometría
50.4	Responsable del despliegue	Hacer público que un deepfake es artificial, y lo mismo con el texto publicado sobre asuntos de interés público
50.5	Ambos	Información clara y distinguible, a más tardar en la primera exposición

El apartado que te afecta como empresa o agencia es el 50.4. El 50.2 —el marcado técnico invisible— es obligación de OpenAI, Google, Adobe o quien te venda el generador. Tú no tienes que implementar una marca de agua criptográfica: tienes que decirlo.

Y aquí está el punto más importante del artículo, el que casi nadie ha publicado en español: el 20 de julio de 2026 la Comisión adoptó unas Directrices oficiales sobre el artículo 50 (documento C(2026) 5054 final, 51 páginas). No son vinculantes, pero son la primera interpretación oficial de la norma, y desmontan la excusa favorita del sector: el responsable del despliegue no puede ampararse en el marcado legible por máquina que puso el proveedor. Necesita una etiqueta perceptible sin herramientas técnicas. Que tu generador incruste metadatos no te exime de escribir la línea.

Un matiz de calendario, por precisión: el Reglamento (UE) 2026/1744, el ómnibus digital de IA, dio a los sistemas generativos que ya estaban en el mercado antes del 2 de agosto de 2026 un plazo transitorio hasta el 2 de diciembre de 2026 para cumplir el marcado del 50.2. Es un plazo para los proveedores. Lo tuyo, el 50.4, se aplica desde el 2 de agosto.

Qué es un deepfake según la norma (y qué no)

La definición está en el artículo 3.60 y es más estrecha de lo que se asume. Literalmente: contenido de imagen, audio o vídeo generado o manipulado por una IA que se asemeja a personas, objetos, lugares, entidades o sucesos reales y que puede inducir a una persona a pensar erróneamente que son auténticos o verídicos.

Las Directrices lo descomponen en cuatro criterios acumulativos: semejanza apreciable, que el sujeto exista o pueda existir de forma plausible, realismo, y que parezca falsamente auténtico. Con dos precisiones importantes. No hace falta intención de engañar: la evaluación es objetiva. Y no se juzga por la "persona media", sino por la composición previsible del público, incluidos mayores, niños o personas con menor alfabetización digital. Si tu campaña se dirige a pacientes de setenta años, el listón de "esto se nota que es IA" no es el tuyo, es el suyo.

Contenido	¿Deepfake según el artículo 50?	Por qué
Testimonial en vídeo de un cliente o paciente que no existe	Sí	Parece una persona real contando algo real
Foto de "nuestro equipo" generada con IA	Sí	Se presenta como personas reales de tu empresa
Influencer sintético realista con producto patrocinado	Sí	Ejemplo expreso de las Directrices
Voz clonada de tu director general	Sí	Se asemeja a una persona real
Elefante conduciendo un coche, dragón, humano volando	No	Desafía las leyes de la física
Retoque de luz, color o ruido	No	Edición estándar sin alteración sustancial
Ilustración claramente estilizada	No	No pretende pasar por real

La frontera entre retoque y manipulación sustancial no está definida con precisión quirúrgica, así que mi regla práctica: si un espectador razonable se sentiría engañado al enterarse de cómo se hizo, etiquétalo, te obligue o no la ley.

Proveedor y responsable del despliegue: quién responde de qué

El proveedor desarrolla el sistema y lo pone en el mercado bajo su nombre. El responsable del despliegue es quien usa un sistema de IA bajo su propia autoridad, salvo en actividad personal de carácter no profesional; y las Directrices aclaran que cualquier actividad con beneficio económico regular, incluido el trabajo freelance, cuenta como profesional.

Si tu cuñado hace un vídeo gracioso para el grupo de WhatsApp, está fuera. Si tu empresa publica una creatividad generada con IA, está dentro. Si tu agencia la produce y la publica en nombre del cliente, ambos estáis dentro, y conviene repartir por contrato quién responde de qué. Da igual que la herramienta sea estadounidense: el Reglamento se aplica por dónde se usa y se difunde el resultado. El marco general lo desarrollo en la guía de la ley de IA europea y en AI Act: la regulación de la IA en Europa.

Las excepciones y sus límites reales

Obra artística, satírica o de ficción. No es una exención: es una atenuación de la forma. Hay que revelarlo igualmente, pero de manera que no dificulte la exhibición o el disfrute de la obra —créditos, ficha—. Las Directrices la interpretan estrictamente y excluyen expresamente el contenido informativo o comercial. Si mezcla lo creativo con lo informativo, prevalece lo informativo. No vale llamar "sátira" a un anuncio.

Revisión editorial humana. Aplica solo al texto de interés público y exige dos condiciones a la vez: revisión deliberada del fondo por personas con criterio profesional, y alguien que asuma responsabilidad editorial, con identidad y contacto publicados en lugar localizable. No sirven las comprobaciones formales ni una aprobación rutinaria. Y si la IA modifica el texto después del visto bueno, la excepción decae.

"Asuntos de interés público" es más estrecho de lo que parece. Las Directrices dejan fuera el texto manipulado con IA en publicidad o descripciones de producto, salvo que incluya afirmaciones sobre salud, seguridad del consumidor o sostenibilidad. Y dejan dentro un artículo de una web de estilo de vida comparando los efectos de distintas dietas sobre una enfermedad. Operativamente: tu ficha de producto no obliga a etiquetar; tu artículo de blog sobre salud o finanzas, sí, salvo revisión editorial real.

Edición estándar (afecta al 50.2). Exentos: corrección ortográfica, pulido de estilo, formateo, compresión, reducción de ruido, recortes menores, ajustes de color, ojos rojos, pixelado de caras y transcripciones. Requieren marcado los resúmenes, el parafraseo que cambia el significado y la eliminación, inserción o sustitución de objetos y rostros.

Retroactividad. No hay que etiquetar hacia atrás lo generado antes del 2 de agosto de 2026. Pero si lo publicas después de esa fecha, sí.

Sanciones, y dónde está España

Infracción	Importe máximo	Regla
Prácticas prohibidas del artículo 5	35 M€ o el 7% del volumen de negocios mundial	El importe mayor
Otras obligaciones, incluido el artículo 50	15 M€ o el 3%	El importe mayor
Información inexacta a las autoridades	7,5 M€ o el 1%	El importe mayor
Pymes y empresas emergentes	Los mismos supuestos	El importe menor

El incumplimiento del artículo 50 está expresamente en la letra g) del artículo 99.4. La cuantía se gradúa por gravedad, duración, intencionalidad y cooperación: nadie va a multar con 15 millones a una agencia de cuatro personas por un carrusel sin etiquetar.

En España conviene ser preciso, porque he visto titulares confundiendo las cosas. El Reglamento europeo es de aplicación directa: el artículo 50 ya obliga sin necesidad de ley española. Lo que falta es la norma nacional que organiza vigilancia y sanciones. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial se publicó en el Boletín Oficial de las Cortes el 12 de junio de 2026 y sigue en plazo de enmiendas: es un proyecto, no una ley en vigor. En su texto, no etiquetar es infracción grave, con techo de 7,5 millones de euros o el 1% de la facturación, y designa a la AESIA —con sede en A Coruña— como autoridad de vigilancia para los sistemas sujetos a las obligaciones de transparencia del artículo 50.

Mientras tanto ya te aplica otro marco que la gente olvida: la publicidad engañosa. Y hay una pieza sectorial en vigor desde el 1 de octubre de 2025, el Código de conducta de publicidad a través de influencers de Autocontrol, cuya sección 11 exige adoptar las cautelas necesarias para que el uso de IA no induzca a error.

Qué hacer en la práctica

Cómo etiquetar

No existe un formato oficial obligatorio. La Comisión ha publicado iconos oficiales de la UE para contenido generado con IA, de uso libre, pero son opcionales: lo obligatorio es etiquetar, no usar ese icono. La norma exige información clara, distinguible y disponible como muy tarde en el primer momento de exposición. En la práctica:

• Imagen en redes: una línea al principio del texto del post. "Imagen generada con IA." Punto. No en el comentario número catorce.
• Vídeo: rótulo breve en los primeros segundos, o al menos en la descripción visible sin desplegar. Si el deepfake es el eje del vídeo, en pantalla.
• Audio y pódcast: locución al inicio y nota en la descripción del episodio.
• Anuncios de pago: en la propia creatividad. Un aviso enterrado en la landing no cumple el "primer momento de exposición".

Lo que no funciona: un asterisco de tres píxeles, esconderlo en los términos legales, o una cláusula genérica de "nuestras imágenes pueden contener elementos generados con IA". Eso no es divulgación, es coartada. Existe además un Código de buenas prácticas sobre transparencia del contenido generado por IA, publicado el 10 de junio de 2026 con unos 190 firmantes: es voluntario, pero adherirse puede computar como atenuante al fijar una sanción.

Qué poner en el contrato

Es la parte que menos se hace y la que más disgustos evita. Con tu cliente: quién decide si se usa IA generativa, quién aprueba la creatividad final y quién ejecuta la divulgación en cada canal. Con tu proveedor —freelance, productora, agencia—: declaración expresa de qué partes se han generado con IA y con qué herramienta, y garantía de que se dispone de los derechos sobre las imágenes de personas que aparezcan.

Ese último punto da más problemas que el propio AI Act: la imagen de una persona identificable es un dato personal. Generar la cara de un empleado sin su consentimiento explícito es un problema de protección de datos antes que de transparencia. Igual con la voz, terreno que traté en clonar tu voz con IA.

Qué guardar

Sin obsesionarse: una hoja por campaña con fecha, pieza, herramienta y modelo, qué se generó, quién lo aprobó y qué etiqueta se puso en cada canal. Si algún día alguien pregunta, esa hoja es la diferencia entre una conversación de diez minutos y un problema. Y conserva los originales con sus metadatos intactos.

Cómo lo resuelven las plataformas

Sus reglas son anteriores al artículo 50 y cambian cada pocos meses. Panorama a agosto de 2026, con el aviso de comprobarlo antes de una campaña:

Plataforma	Qué exige	Cómo lo detecta	Si no cumples
Meta	Declarar vídeo fotorrealista y audio realista; las imágenes las etiqueta por detección	Autodeclaración y señales de procedencia	Menor distribución, límites de anuncios, expulsión si reincides
YouTube	Declarar todo contenido realista alterado o sintético	Autodeclaración y detección automática desde mayo de 2026	Etiqueta impuesta, retirada, expulsión del programa de socios
TikTok	Etiquetar todo contenido IA realista	Credenciales, marca de agua invisible propia y detección	Retirada, restricción, etiquetado forzoso irreversible
LinkedIn	Nada obligatorio, solo recomendación	Muestra credenciales si vienen firmadas	Sin consecuencia
X	Solo vídeo IA de conflicto armado en cuentas monetizadas	Autodeclaración y notas de la comunidad	Suspensión temporal del reparto de ingresos

Dos correcciones a mitos que circulan mucho. El criterio de YouTube ya no es "temas sensibles" como salud, elecciones o finanzas —eso es de 2024 y se sigue copiando—, sino el fotorrealismo, con la etiqueta bajo el reproductor y superpuesta en Shorts desde mayo de 2026. Y X no obliga a etiquetar la IA en general: su única obligación documentada cubre vídeo de conflicto armado en cuentas monetizadas.

Conclusión operativa: la etiqueta automática de la plataforma no te exime. Es una capa adicional, funciona de forma desigual y depende de metadatos que pueden no sobrevivir a la subida.

C2PA y marcas de agua: para qué sirven de verdad

C2PA es un estándar abierto que incrusta en el archivo un historial firmado criptográficamente: herramienta, modelo, ediciones. Su cara visible se llama Content Credentials y la especificación va por la versión 2.4, de abril de 2026. En su comité de dirección están Adobe, Amazon, BBC, Google, Meta, Microsoft, OpenAI, Publicis, Sony, TikTok y Truepic.

Aquí hay que ser honesto con tres cosas que se publican mal. Una: C2PA todavía no es una norma ISO publicada; la especificación ISO 22144 sigue en fase de borrador. Dos: el AI Act no nombra a C2PA; el considerando 133 habla genéricamente de marcas de agua, metadatos y métodos criptográficos de procedencia. Tres, la más reveladora: en septiembre de 2025 Nikon revocó todos los certificados C2PA que había emitido, después de demostrarse que era posible incrustar una imagen generada por IA en un archivo de cámara y hacer que esta emitiera un JPEG con credenciales válidas. La criptografía era correcta; el eslabón débil era la cadena de captura.

A eso se suman las limitaciones de siempre: los metadatos no sobreviven a una captura de pantalla, se rompen con recompresiones y muchas plataformas los eliminan al procesar la subida. Y es opt-in, así que su ausencia no prueba nada.

Las marcas de agua imperceptibles van por otro camino: viven en el píxel o en la onda y sobreviven a la captura de pantalla. SynthID, de Google, cubre imagen, audio, vídeo y texto, y desde mayo de 2026 OpenAI la incorpora a las imágenes de ChatGPT junto a sus credenciales C2PA. Son más robustas, pero cada proveedor detecta lo suyo: no hay detector universal ni lo va a haber pronto.

Mi lectura, sin humo: la procedencia técnica es infraestructura útil y algún día será la vía estándar de cumplimiento. Hoy, para una empresa normal, no sustituye a escribir "generado con IA" donde se ve.

El riesgo que no aparece en el BOE

Guardo para el final lo que más me preocupa, porque pesa más que la multa. Dirijo marketing en una red de más de 70 clínicas dentales, y en salud la confianza es literalmente el producto. Si mañana se descubre que un testimonial era sintético, el daño no es la sanción: es que cada reseña real que tengas pasa a estar bajo sospecha.

Los casos verificables van en la misma dirección. Cuando Toys "R" Us presentó su corto generado con IA en 2024, una medición de sentimiento de marca registró la caída del comentario positivo del 12,2% al 3,4% y la subida del negativo del 13,5% al 53,4%. McDonald's Países Bajos retiró su spot navideño generado con IA en menos de una semana, en diciembre de 2025. Y el caso que mejor resume la lección es la campaña de Guess publicada en Vogue en agosto de 2025 con modelos generadas por IA: sí llevaba aviso, en letra minúscula, y la mayoría de los lectores no lo vio. Etiquetar mal es casi como no etiquetar.

Lo redondea un precedente británico: la autoridad de publicidad del Reino Unido resolvió contra un anuncio de una casa de apuestas con un vídeo generado de un futbolista real pese a que incluía la etiqueta de parodia generada con IA. Un aviso no sanea un contenido engañoso; solo evita que además sea opaco.

Hay un efecto secundario que casi nadie anticipa: en cuanto etiquetas, mejoran tus decisiones creativas. Cuando sabes que vas a tener que poner "generado con IA" debajo, dejas de usarla donde queda mal y la usas donde aporta. La transparencia es un filtro de criterio bastante eficaz. Cómo encaja todo esto en una empresa lo tengo en IA para empresas.

Preguntas frecuentes

¿Desde cuándo hay que etiquetar el contenido generado con IA en Europa?

Desde el 2 de agosto de 2026, cuando empezó a aplicarse el grueso del Reglamento (UE) 2024/1689, incluido el artículo 50. Es de aplicación directa, así que no hace falta ninguna ley española adicional para que la obligación exista. Los proveedores de sistemas ya en el mercado tienen hasta el 2 de diciembre de 2026 para el marcado técnico legible por máquina.

¿Tengo que etiquetar todas las imágenes que haga con IA?

No. El artículo 50.4 se refiere a las ultrasuplantaciones: contenido que se asemeja a personas, lugares o sucesos reales y puede hacer creer que es auténtico. Una ilustración estilizada, un personaje inventado o algo que desafía las leyes de la física quedan fuera. Aun así, etiquetar de más rara vez perjudica.

¿La obligación es del proveedor de la IA o de mi empresa?

De los dos, en cosas distintas. El proveedor debe marcar técnicamente las salidas en formato legible por máquina. Tu empresa, como responsable del despliegue, debe hacer público que el contenido es artificial cuando publica un deepfake. Y las Directrices aclaran que no puedes ampararte en el marcado del proveedor: hace falta etiqueta perceptible.

¿Qué multa hay por no etiquetar un deepfake?

Cae en el artículo 99.4: hasta 15 millones de euros o el 3% del volumen de negocios mundial anual, el importe mayor. Para pymes y empresas emergentes se aplica el menor. En España, el proyecto de ley en tramitación lo califica como infracción grave con techo de 7,5 millones o el 1%.

¿Retocar una foto con IA cuenta como deepfake?

No, si es edición estándar que no altera sustancialmente el contenido: color, luz, ruido, recortes menores, ojos rojos. La línea se cruza al eliminar, insertar o sustituir personas u objetos, o al presentar como real algo que no ocurrió. Ante la duda, pregúntate si un espectador se sentiría engañado.

¿Vale con poner el aviso en la descripción o en los comentarios?

En la descripción visible, sí. En los comentarios, no. La norma exige información clara, distinguible y disponible a más tardar en el primer momento de exposición. Un aviso al que hay que desplegar menús difícilmente lo cumple, y uno en letra minúscula tampoco protege reputacionalmente.

¿Puedo usar un influencer virtual generado con IA sin decirlo?

No. Las Directrices de la Comisión ponen como ejemplo expreso de deepfake al influencer sintético realista que prueba un producto patrocinado, y descartan que se salve por la excepción artística, porque el contenido comercial queda fuera de esa excepción.

¿Puedo usar la cara de un empleado generada con IA en una campaña?

Solo con su consentimiento explícito y documentado, y ahí el problema principal no es el AI Act sino la protección de datos: la imagen de una persona identificable es un dato personal. Que la cara sea sintética pero reconocible como la suya no cambia nada.

¿Sirve C2PA para cumplir la obligación?

Ayuda, pero no basta. Las credenciales de contenido dan trazabilidad y permiten que las plataformas detecten el origen, pero se pierden con una captura de pantalla o una recompresión, y las Directrices exigen divulgación perceptible para el público. Úsalas como refuerzo, no como cumplimiento.