Multas de hasta 15 millones por no avisar de que un contenido lo ha hecho una IA: esto es lo que te obliga desde agosto

Desde el 2 de agosto de 2026 se aplican en toda la Unión Europea las obligaciones de transparencia del artículo 50 del Reglamento Europeo de Inteligencia Artificial. Incumplirlas puede costar hasta 15 millones de euros o el 3 % de la facturación mundial anual, la cifra que sea mayor. Eso es cierto y está en el texto.

Lo que he leído estos días en medios españoles es que "la UE obliga a etiquetar todo el contenido hecho con IA". Eso no es cierto. He ido a las Directrices que aprobó la Comisión Europea el 20 de julio, al Código de buenas prácticas de junio y al propio articulado, y la obligación es mucho más estrecha y está repartida de una forma que casi nadie ha contado: la parte técnica no le toca a quien publica, le toca a quien fabrica el modelo.

Traducido: si generas una ilustración con IA para tu web y no imita a ninguna persona, lugar o hecho real, el artículo 50 no te obliga a ponerle ninguna etiqueta. Si clonas la voz de alguien o pones la cara de una persona real en un vídeo, sí. La diferencia no es de grado, es de categoría jurídica, y conviene entenderla antes de rediseñar media web por miedo a una multa que no aplica.

Qué se aplica exactamente desde el 2 de agosto

El artículo 50 del Reglamento (UE) 2024/1689 tiene cuatro obligaciones, y cada una recae sobre un sujeto distinto. Esta es la parte que se está contando mal, así que la pongo en una tabla.

Obligación	Sobre quién recae	Qué exige
Art. 50.1 — Sistemas que interactúan con personas	Proveedor del sistema	Que el sistema esté diseñado para que se sepa que hablas con una IA, salvo que sea evidente
Art. 50.2 — Contenido sintético	Proveedor del sistema generativo	Marcar la salida en formato legible por máquina y que sea detectable como generada
Art. 50.3 — Reconocimiento de emociones y categorización biométrica	Responsable del despliegue	Informar a las personas expuestas
Art. 50.4 — Ultrasuplantaciones y textos de interés público	Responsable del despliegue	Revelar de forma visible que el contenido es generado o manipulado

El "proveedor" es quien pone el sistema de IA en el mercado: OpenAI, Google, Midjourney, ElevenLabs. El "responsable del despliegue" eres tú, la empresa o el profesional que lo usa. Y de las cuatro obligaciones, solo dos te tocan a ti como usuario profesional: la de sistemas biométricos, que la mayoría no tiene, y la de ultrasuplantaciones.

La obligación de marca de agua, metadatos y firmas criptográficas —la que suena a trabajo técnico caro— es del proveedor, no tuya. No tienes que incrustar nada en tus imágenes. Lo tiene que haber hecho ya el modelo que las generó.

Ultrasuplantación no significa "hecho con IA"

Aquí está el nudo. El Reglamento no usa la categoría "contenido generado con IA" para la obligación de etiquetar, usa la de ultrasuplantación (el término que la traducción oficial española emplea para lo que todo el mundo llama deepfake), y esa categoría tiene una definición cerrada: contenido de imagen, audio o vídeo generado o manipulado por IA que se asemeja a personas, objetos, lugares, entidades o hechos reales y que parecería auténtico o verídico a quien lo vea.

Son dos condiciones y hacen falta las dos. Se parece a algo real, y podría colar como auténtico. Si falla cualquiera de las dos, no es ultrasuplantación y el artículo 50.4 no aplica.

Los ejemplos que manejan las Directrices de la Comisión ayudan más que cualquier explicación abstracta.

Entra dentro:

• Un audio con la voz clonada de un locutor o presentador reconocible.
• Un vídeo generado de una persona parecida a un político pronunciando un discurso que nunca dio.
• Una imagen manipulada que sitúa a futbolistas profesionales delante de un edificio que parece un estadio real.
• Un testimonio de cliente con rostro sintético que un espectador tomaría por una persona de carne y hueso.

Queda fuera:

• Una esfinge sobrevolando la Torre Eiffel.
• Unos ratones discutiendo en lenguaje humano sobre queso en un anuncio.
• Una ilustración estilizada para tu blog que no imita a nadie identificable.
• Una grabación de radio a la que solo se le ha normalizado el volumen o quitado ruido con IA.

El criterio no es "¿lo ha hecho una máquina?", sino "¿podría alguien creer que esto ocurrió de verdad?". Un dragón no engaña a nadie. La cara de tu vecino sí.

Hay además una excepción explícita para obras evidentemente artísticas, creativas, satíricas o de ficción: ahí la revelación se hace "de una manera adecuada que no dificulte la exhibición o el disfrute de la obra". Es decir, en los créditos o en una ficha, no encima de la imagen.

El detalle que sí afecta a quien publica

Que el marcado técnico sea del proveedor no te libra de nada, y esta es la lectura que más me ha llamado la atención de las Directrices. Las dos obligaciones son independientes y acumulativas.

Si publicas una ultrasuplantación en un contexto profesional, tú necesitas una revelación visible y legible por una persona. No te vale decir "es que el modelo ya le puso metadatos C2PA". Los metadatos no los ve nadie: los lee una máquina, si se molesta, y sobreviven mal a una subida a Instagram o a una captura de pantalla. La Comisión trabaja además en una etiqueta estandarizada a nivel europeo —una marca "IA" reconocible en todos los idiomas— precisamente para esta parte, la del que despliega.

Dicho de otro modo: el proveedor responde de que el fichero lleve firma. Tú respondes de que la persona que lo mira se entere. Son capas distintas y quien confunda una con otra va a cumplir a medias.

La prórroga que casi nadie ha mencionado

El 8 de julio de 2026 se aprobó el Reglamento (UE) 2026/1744, el llamado ómnibus digital sobre IA, publicado en el Diario Oficial el 24 de julio y en vigor desde el 27. Simplifica plazos de varias partes del Reglamento de IA y, en lo que aquí importa, introduce una transitoria: los sistemas generativos que ya estaban en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir el marcado legible por máquina del artículo 50.2.

Cuatro meses de margen, y solo para lo ya comercializado. Conviene saberlo porque explica algo que va a pasar estos meses: vas a encontrarte salidas de modelos muy conocidos sin marca de procedencia y no será necesariamente un incumplimiento. Es el periodo de gracia. A partir de diciembre, ya no.

Ese mismo ómnibus retrasa otras cosas —las obligaciones de alto riesgo del anexo III se van a diciembre de 2027 y las del anexo I a agosto de 2028—, pero el artículo 50 no se ha movido de su fecha. Se aplica desde el 2 de agosto.

Contexto: qué pasa en España

En España la autoridad de vigilancia de mercado es la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña. Pero hay un matiz importante que se está pasando por alto: el régimen sancionador español todavía no existe.

El Consejo de Ministros aprobó el 26 de mayo de 2026 el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, publicado en el Boletín Oficial de las Cortes Generales el 12 de junio. Sigue en tramitación parlamentaria y, al ser ley orgánica, necesita mayoría absoluta en el Congreso. Hasta que se apruebe, España no tiene el desarrollo nacional que concreta infracciones, procedimiento y cuantías.

Eso no significa que el Reglamento no se aplique: un reglamento europeo es directamente aplicable y las obligaciones están vigentes desde el 2 de agosto. Significa que el aparato sancionador español todavía está a medio montar. Yo no lo leería como una ventana para no hacer nada, sino como el tiempo que tienes para llegar ordenado.

Qué haría yo esta semana

Tres cosas, y ninguna requiere consultoría.

Una. Lista dónde en tu negocio una persona habla con una máquina: chatbot de la web, WhatsApp automatizado, agente de voz que coge el teléfono. Ahí hace falta un aviso claro en la propia interacción, no enterrado en la política de privacidad. Es lo más barato de arreglar y lo primero que se ve.

Dos. Revisa el contenido que publicas y sepáralo en dos montones: lo que imita algo real y lo que no. Voces clonadas, caras de personas, escenas que parecen documentales: etiqueta visible. Ilustraciones, gráficos, fondos, cualquier cosa que nadie confundiría con una fotografía: no hay obligación.

Tres. Si trabajas con una agencia o un proveedor de contenidos, pregunta por escrito qué modelos usan y si sus salidas van marcadas. La responsabilidad del artículo 50.4 es de quien publica, y "me lo hizo un tercero" no es una defensa.

Y una opinión, que es mía y no ley: etiquetar por sistema todo lo que generas no es obligatorio, pero como política editorial es defendible y a medio plazo probablemente rentable. La confianza va a ser el activo escaso. Lo que no me parece razonable es hacerlo por miedo a una multa que, tal y como está escrita la norma, no te iba a llegar.

Fuentes

• Artículo 50 del Reglamento (UE) 2024/1689 — texto consolidado.
• Las normas de transparencia del artículo 50 — desglose de obligaciones por sujeto.
• Código de buenas prácticas sobre marcado y etiquetado de contenidos generados por IA, Comisión Europea, 10 de junio de 2026.
• Directrices sobre las obligaciones de transparencia — análisis de los ejemplos de la Comisión.
• El artículo 50 del RIA entra en vigor, LegalToday, 3 de agosto de 2026.
• Publicado el Reglamento (UE) 2026/1744 sobre IA, Iberley.
• Reglamento europeo de inteligencia artificial: artículo 50, AESIA.

Si quieres el detalle de qué es una ultrasuplantación y cómo se detecta, lo tienes en deepfakes y etiquetado de contenido generado con IA. Y el mapa completo de plazos y obligaciones de la norma, en el Reglamento Europeo de IA explicado.