AI Act: su chatbot tiene que decir que es IA
El 2 de agosto de 2026 empieza a aplicarse el artículo 50 del Reglamento (UE) 2024/1689, el reglamento europeo de inteligencia artificial conocido como AI Act. La regla central es fácil de enunciar: quien habla con una máquina tiene que saber que está hablando con una máquina. Si su empresa tiene un chatbot en la web, genera textos o imágenes con IA, o publica contenido producido con herramientas de IA, esto le afecta. En esta guía le explicamos qué cambia exactamente, quién responde de qué y qué hacer en las próximas semanas.
Qué cambia el 2 de agosto
El AI Act no entró en vigor de una sola vez: se aplica por fases desde 2024. La fase que llega ahora es la de la transparencia, y es la que afecta a más empresas, porque no exige hacer nada exótico con la IA: basta con usarla de cara al público.
El artículo 50 abarca todos los sistemas de IA generativa: de los chatbots a los generadores de imágenes, de los sintetizadores de voz a los asistentes de escritura. Si su empresa usa o suministra un sistema capaz de producir texto, imagen, audio o vídeo sintéticos, está dentro del ámbito de aplicación.
Las tres obligaciones que le interesan a una pyme
- Chatbots y asistentes: el sistema debe diseñarse de modo que la persona perciba que está interactuando con una IA. En un chatbot, ese aviso tiene que aparecer antes o justo al inicio de la conversación, no enterrado en los términos y condiciones.
- Contenido generado por IA: los resultados deben marcarse en un formato legible por máquina y ser detectables como artificiales. En la práctica, marcas de agua y metadatos (C2PA, IPTC).
- Ultrafalsificaciones y texto de interés público: las imágenes, el audio o el vídeo manipulados que se asemejen a personas o hechos reales deben etiquetarse de forma visible. Lo mismo vale para el texto generado por IA que se publica para informar al público sobre asuntos de interés público.
¿Esto se aplica a su empresa?
No hace falta ser una empresa tecnológica. Estas situaciones, todas de lo más corriente, entran en el artículo 50:
- Tiene un chatbot de atención al cliente en la web o en WhatsApp;
- Usa un asistente de voz o una centralita telefónica automática;
- Genera imágenes o vídeos con IA para campañas y redes sociales;
- Publica artículos o noticias escritos con ayuda de IA sobre temas de interés público.
Hay una excepción razonable: el aviso no se exige cuando resulta evidente para una persona razonablemente informada y atenta que está ante una IA. El problema es que "evidente" es terreno resbaladizo, y la carga de demostrarlo recae en quien lo alega. Un widget de chat con nombre de persona y un puntito verde que dice "En línea" no es evidente: es justo lo contrario.
¿Quién responde: quien lo fabrica o quien lo usa?
Esta es la parte que más confusión genera y conviene dejarla clara. El reglamento distingue dos papeles:
Proveedor (provider)
Quien desarrolla y pone a disposición el sistema. En el caso de un chatbot, le corresponde diseñarlo de modo que se identifique como IA y garantizar el marcado técnico de los contenidos generados.
Responsable del despliegue (deployer)
Quien usa el sistema en su actividad. Le corresponde la etiqueta visible en las ultrafalsificaciones y la divulgación en los textos de interés público.
Para la mayoría de las pymes la lectura es esta: si compró el chatbot a alguien, la obligación de diseñarlo correctamente es de quien se lo vendió. Eso no significa que pueda desentenderse: si el widget que tiene en la web no avisa a nadie, el problema aparece en su web, delante de sus clientes. Merece la pena preguntar al proveedor, por escrito, si el producto cumple el artículo 50.
Lo que no cambia todavía
Conviene no confundirse con los titulares. Las obligaciones más pesadas —las de los sistemas de alto riesgo— fueron objeto de un acuerdo político para aplazarlas a diciembre de 2027. Pero atención a dos puntos:
- Ese aplazamiento todavía no es definitivo a la fecha de este artículo: falta la adopción formal por el Parlamento y el Consejo y la publicación en el Diario Oficial;
- El aplazamiento no alcanza al artículo 50. Las reglas de transparencia no se han aplazado. Llegan el 2 de agosto.
El error que hay que evitar: leer que "Europa ha aplazado el AI Act" y concluir que no hay nada que hacer. Lo aplazado es otra cosa. La parte que se aplica al chatbot de su web es precisamente la que no se ha aplazado.
Cómo se cumple, en la práctica
La buena noticia es que, para un chatbot de atención al cliente, cumplir el artículo 50 es cuestión de minutos, no de meses. No necesita auditorías ni consultores: necesita tres cosas en el sitio adecuado.
Lo que tiene que tener un chatbot conforme
- Una declaración antes de que empiece la conversación. No a mitad, no en el pie de página. Antes de la primera respuesta.
- Un aviso permanente y visible. En la cabecera de la ventana, siempre a la vista, no solo en el primer mensaje, que desaparece al desplazarse.
- Una vía para llegar a una persona. El artículo 50 no lo exige, pero es lo que separa un aviso honesto de un aviso defensivo.
Lo que delata a un chatbot no conforme
- El estado "En línea" con el puntito verde, el código visual universal de "aquí hay una persona".
- Un nombre de pila y una fotografía de persona, sin ninguna mención a la IA.
- Que la declaración dependa de un campo configurable que puede quedarse vacío.
Este último punto merece un párrafo aparte, porque es el más traicionero y el más frecuente. Muchas plataformas de chatbot dejan el "mensaje de bienvenida" como texto libre, a elección de quien lo configura. Si nadie escribe ahí que aquello es una IA —o si el campo se queda en blanco— el sistema queda silenciosamente no conforme. Y quien lo configuró rara vez sabe que acaba de crear un problema legal.
Cómo lo hemos hecho en el nuestro
El asistente de nuestra web abre la conversación así, y ya lo hacía antes de ser obligatorio:
“¡Hola! Soy el asistente automático con IA de 3HASH (no soy humano). (…) Para hablar con una persona, utilice el formulario de contacto.”
La cabecera de la ventana dice “Asistente IA” y “Respuestas generadas por IA” de forma permanente. En los chatbots que instalamos en las webs de nuestros clientes, la declaración aparece siempre, con independencia de lo que esté configurado en el mensaje de bienvenida, precisamente para que nadie quede expuesto por un campo en blanco.
¿Y si no se cumple?
El incumplimiento del artículo 50 puede costar hasta 15 millones de euros o el 3 % del volumen de negocio anual mundial, la cifra que sea mayor. Es evidente que una pyme española con un chatbot en su web no es el primer objetivo de la autoridad nacional competente, pero el marco existe, y el riesgo real para una empresa pequeña rara vez es la multa máxima: es la queja de un cliente, la captura de pantalla en redes sociales, la noticia de que aquella empresa hacía pasar a un robot por una persona.
Está también en preparación un código de conducta europeo sobre el marcado del contenido generado por IA. Quienes lo suscriban se benefician de una presunción de conformidad, lo que traslada la carga de la prueba al lado del regulador en lugar de obligar a la empresa a demostrar que cumple.
Qué hacer en las próximas semanas
- Haga inventario. ¿Dónde usa su empresa la IA de cara al público? Chatbot, atención al cliente, imágenes de campaña, textos del blog.
- Abra su chatbot como si fuera un cliente. No desde el panel de administración, sino en la web y en una ventana de incógnito. ¿Le dice que es una IA antes de responder? ¿Pone "En línea"?
- Pregunte al proveedor, por escrito. "¿El producto cumple el artículo 50 del AI Act a partir del 2 de agosto?". La respuesta, y lo que tarde en llegar, le dirá mucho.
- Ocúpese de las imágenes. Si genera visuales con IA para campañas, compruebe que la herramienta conserva los metadatos de marcado.
- Deje por escrito lo que decidió. Una página interna con las decisiones tomadas vale más, ante un regulador, que la mejor de las intenciones.
Preguntas frecuentes
Mi chatbot es sencillo, solo responde preguntas frecuentes. ¿También cuenta?
Si las respuestas las genera una IA, sí. Si es un menú de botones con respuestas fijas escritas por usted, no es un sistema de IA y el artículo 50 no se aplica. La frontera está en si hay o no un modelo generando texto.
¿Tengo que decir qué modelo utilizo?
No. La obligación es informar de que se trata de una IA, no revelar la tecnología, el proveedor ni el modelo que hay detrás. "Asistente automático con IA" cumple; no hace falta nombrar a nadie.
Uso IA para escribir textos del blog. ¿Tengo que marcarlos?
Depende del contenido. La obligación de divulgación recae sobre el texto generado por IA publicado para informar al público sobre asuntos de interés público, algo pensado sobre todo para los medios de comunicación. Un artículo comercial sobre sus servicios no encaja ahí de forma natural. Aun así, la revisión humana genuina y la transparencia son buena práctica, y Google valora el contenido por lo que aporta, no por quién lo escribió.
¿Y si mi chatbot está alojado fuera de Europa?
Es indiferente. El AI Act se aplica en función de dónde están los usuarios, no de dónde está el servidor. Si tiene clientes en la Unión Europea, se aplica.
¿Esto tiene algo que ver con la NIS2 o el RGPD?
Son regímenes distintos y acumulativos. El RGPD trata de datos personales, la NIS2 de ciberseguridad y el AI Act de sistemas de IA. Cumplir uno no exime de los otros. Un chatbot que recoge el correo del visitante está sujeto a los tres a la vez.
¿Quiere saber si su chatbot cumple?
Revisamos el chatbot de su web a la luz del artículo 50 y le decimos, sin rodeos, qué le falta. Si lo tiene con nosotros, ya está resuelto.
Nota: este artículo es información general sobre el reglamento, no asesoramiento jurídico. Las fechas y el marco descritos se refieren al 16 de julio de 2026; el proceso legislativo europeo sobre los plazos de los sistemas de alto riesgo seguía en curso en esa fecha. Para decisiones con impacto legal en su empresa, consulte a un abogado.