AI Act 2026: qué deben hacer las empresas que usan chatbots e IA generativa

Desde el 2 de agosto de 2026 se aplican las obligaciones de transparencia del artículo 50 del Reglamento europeo de Inteligencia Artificial. Para muchas empresas esto deja de ser una cuestión futura: si utilizan chatbots, asistentes, agentes o contenido generado mediante IA, deben revisar cómo informan a las personas y cómo conservan evidencias de cumplimiento.

Esta guía resume los puntos más relevantes para una empresa usuaria de IA. Es información general y no sustituye el asesoramiento jurídico para un caso concreto.

Qué ha cambiado en agosto de 2026

El AI Act se aplica de forma progresiva. Las reglas de transparencia del artículo 50 han entrado en aplicación el 2 de agosto de 2026. Su objetivo es que las personas sepan cuándo interactúan con una máquina o cuándo un contenido ha sido creado o manipulado artificialmente.

La Comisión Europea ha publicado directrices sobre estas obligaciones y un resumen práctico de las reglas.

Proveedor y responsable del despliegue: no son lo mismo

El reglamento distingue principalmente entre:

• Proveedor: quien desarrolla un sistema de IA o lo comercializa bajo su nombre.
• Responsable del despliegue: quien utiliza el sistema bajo su autoridad dentro de una actividad profesional.

Una empresa que integra un chatbot de un tercero en su web suele actuar como responsable del despliegue. Si modifica sustancialmente el sistema o lo ofrece con su propia marca, puede asumir obligaciones adicionales. Conviene documentar el papel real en cada caso, porque comprar tecnología no transfiere automáticamente toda la responsabilidad al proveedor.

Cuatro situaciones que deben revisar las empresas

1. Chatbots y asistentes que interactúan con personas

La persona debe ser informada de que está interactuando con un sistema de IA, salvo que resulte evidente por las circunstancias. El aviso debe aparecer en el momento adecuado y con un lenguaje accesible.

Una mención escondida en una política extensa puede no cumplir el objetivo. Es preferible mostrar un aviso claro al abrir la conversación, explicar qué puede hacer el sistema y ofrecer una vía humana cuando el contexto lo requiera.

2. Contenido generado o manipulado

Los proveedores de determinados sistemas generativos deben facilitar mecanismos para identificar el contenido producido por IA en un formato legible por máquina. Las empresas que publican esos materiales deben comprobar qué ofrece su proveedor y conservar el flujo de trabajo utilizado.

Además de la marca técnica, es recomendable aplicar una política editorial: revisión humana, comprobación de datos, identificación de fuentes y aprobación antes de publicar.

3. Deepfakes

Quien despliega un sistema para generar o manipular imágenes, audio o vídeo que puedan confundirse con contenido real debe informar de que el material ha sido creado o alterado artificialmente.

El aviso debe ser visible y comprensible. En contenidos artísticos o creativos puede adaptarse para no perjudicar la experiencia, pero la transparencia sigue siendo necesaria.

4. Textos de interés público

Cuando se genera o manipula mediante IA un texto destinado a informar al público sobre asuntos de interés general, debe revelarse su origen artificial. Existe una excepción cuando el contenido ha pasado por revisión humana o control editorial y una persona física o jurídica asume la responsabilidad editorial.

La excepción no debería interpretarse como un simple clic de aprobación. La empresa debe poder demostrar que hubo una revisión real.

Lista práctica de cumplimiento

Inventariar los sistemas

Preparad un registro sencillo con el nombre de la herramienta, proveedor, finalidad, usuarios, datos tratados, país de alojamiento y persona responsable.

Incluid también usos informales. Muchos riesgos aparecen en herramientas que el personal comenzó a utilizar sin un proceso de compra formal.

Clasificar cada uso

Determinad si el sistema:

• conversa con clientes o empleados;
• genera textos, imágenes, audio o vídeo;
• toma o recomienda decisiones;
• trata datos personales o confidenciales;
• utiliza biometría o reconocimiento de emociones;
• se integra con aplicaciones y puede ejecutar acciones.

Añadir avisos claros

El aviso debe explicar que se utiliza IA, cuál es su finalidad y cómo contactar con una persona. En operaciones sensibles conviene informar también de las principales limitaciones.

Revisar contratos y documentación

Solicitad al proveedor información sobre seguridad, ubicación de datos, conservación, entrenamiento con información del cliente, mecanismos de identificación del contenido y cambios del modelo.

Mantener supervisión humana

Definid qué decisiones requieren validación, quién revisa los resultados y cómo se escala una incidencia. Un agente con acceso a correo, CRM o sistemas internos necesita límites técnicos además de instrucciones.

Registrar incidencias y cambios

Conservad versiones de avisos, evaluaciones, políticas, proveedores y configuraciones. Si cambia el modelo o la finalidad, revisad de nuevo el riesgo.

Formar al equipo

Desde febrero de 2025 el AI Act ya exige adoptar medidas para garantizar un nivel suficiente de alfabetización en IA. La formación debe adaptarse al papel de cada persona: no necesita lo mismo quien redacta contenidos que quien configura un agente con acceso a datos de clientes.

Qué ocurre con las pymes

El reglamento incorpora criterios de proporcionalidad y medidas de apoyo para pymes, pero ser una empresa pequeña no elimina las obligaciones. La Comisión señala que las sanciones por determinadas infracciones pueden alcanzar 15 millones de euros o el 3 % del volumen de negocio mundial anual, aplicándose el importe correspondiente conforme a las reglas del reglamento y teniendo en cuenta la situación de las pymes.

No se trata de generar alarma, sino de evitar que un uso sencillo quede sin responsable, sin aviso y sin documentación.

¿Existe un periodo de adaptación?

La Comisión contempla una transición limitada hasta diciembre de 2026 para ciertos sistemas que ya estaban en el mercado antes del 2 de agosto de 2026 y necesitan tiempo para incorporar marcado legible por máquina. Este matiz afecta principalmente a obligaciones técnicas concretas de proveedores y no debe utilizarse como motivo para retrasar avisos o controles que ya pueden aplicarse.

Plan de acción en 30 días

Semana 1: mapa de IA

Identificad herramientas, responsables, datos y proveedores.

Semana 2: riesgos y transparencia

Clasificad usos y redactad avisos para chatbots, agentes y contenido generado.

Semana 3: controles

Definid revisión humana, permisos, registros, seguridad y respuesta ante incidencias.

Semana 4: evidencias y formación

Aprobad una política interna, formad a los equipos y guardad la documentación del proceso.

Preguntas frecuentes

¿Debo avisar siempre de que un chatbot usa IA?

Debe informarse a la persona salvo que resulte evidente por las circunstancias y el contexto de uso. En una web corporativa, la opción más segura y transparente es incluir un aviso claro.

¿Puedo publicar textos generados por IA?

Sí, pero deben aplicarse las obligaciones correspondientes, revisar el contenido y asumir responsabilidad editorial. Para información de interés público, la revisión humana real resulta especialmente relevante.

¿El proveedor se ocupa de todo?

No. El proveedor y la empresa usuaria pueden tener obligaciones diferentes. La organización que despliega el sistema debe controlar su finalidad, sus datos, la información al usuario y la supervisión.

¿El AI Act sustituye al RGPD?

No. Ambos marcos pueden aplicarse al mismo sistema. Si se tratan datos personales, también deben cumplirse el RGPD y la normativa de privacidad aplicable.

Convertir el cumplimiento en confianza

La transparencia no tiene por qué frenar la innovación. Un chatbot que se identifica, explica sus límites y facilita contacto humano genera más confianza que una automatización opaca.

Nova Stack ayuda a empresas a diseñar e integrar soluciones de IA y automatización con criterios de seguridad, trazabilidad y supervisión. Si quieres revisar un chatbot, un agente o un proceso generativo, puedes contactar con nuestro equipo.

Para ampliar la información, consulta también el código de buenas prácticas sobre contenido generado por IA publicado por la Comisión Europea.