Qué obliga exactamente
El artículo que importa aquí es el de transparencia, y se puede resumir en una idea: una persona tiene derecho a saber cuándo está interactuando con una máquina y cuándo está viendo contenido generado por una máquina. De ahí salen cuatro obligaciones concretas.
- Interacción con un sistema de IA. Si tu web tiene un chatbot, un asistente de voz o cualquier interfaz conversacional automatizada, tienes que informar a la persona de que está hablando con una IA. La excepción es cuando resulte obvio para un usuario razonablemente informado, pero apoyarse en esa excepción es una apuesta: lo obvio para ti no lo es para tu cliente.
- Contenido sintético. Las imágenes, el audio, el vídeo y el texto generados o manipulados con IA tienen que ir marcados en un formato legible por máquina. Esto es lo que hay detrás del empuje reciente en marcas de agua y metadatos de procedencia.
- Deepfakes. Contenido que muestra a personas, lugares o hechos reales de forma manipulada tiene que ir etiquetado como tal, y de forma visible.
- Texto informativo publicado. Texto generado con IA que se publique con la intención de informar al público sobre asuntos de interés general tiene que declararse, salvo que haya pasado por revisión humana con responsabilidad editorial identificable.
Proveedor o desplegador: la pregunta que cambia tus deberes
El reglamento no trata igual a quien construye un sistema de IA que a quien lo usa. Y la mayoría de agencias y pymes se sorprenden al descubrir en qué lado están.
| Rol | Quién es | Qué le toca |
|---|---|---|
| Proveedor | Quien desarrolla un sistema de IA y lo pone en el mercado bajo su nombre o marca | Marcar de forma legible por máquina el contenido que su sistema genera, y garantizar que la solución técnica sea robusta e interoperable |
| Desplegador | Quien usa un sistema de IA bajo su propia autoridad en un contexto profesional | Informar a las personas afectadas: avisar de que hay IA, etiquetar deepfakes, declarar el texto informativo |
El matiz que pilla a mucha gente: si coges un modelo de un tercero, lo integras en tu producto y lo publicas bajo tu marca, puedes estar actuando como proveedor aunque no hayas entrenado nada. Y una agencia que monta el asistente de un cliente puede acabar en cualquiera de los dos lados según cómo esté redactado el contrato y bajo qué marca se publique. Esa conversación es mejor tenerla antes de firmar que después de una reclamación.
Dónde falla una web normal
Los incumplimientos habituales no son sofisticados. Son cosas que se hicieron cuando nadie miraba y que nadie ha vuelto a revisar.
- El chatbot con nombre de persona. Un asistente que se presenta como «Laura» y no dice en ningún momento que es un sistema automático. Es el caso más frecuente y el más fácil de corregir: una línea en el mensaje de bienvenida.
- Las creatividades de redes. Meses de imágenes generadas con IA publicadas sin marca ni metadatos de procedencia, muchas veces porque la herramienta los eliminó al exportar.
- Los emails automatizados. Secuencias redactadas íntegramente por un modelo, firmadas con el nombre de una persona real que nunca las ha leído.
- El blog en piloto automático. Artículos generados y publicados sin revisión humana identificable, sobre temas de interés general.
- La voz clonada. Locuciones sintéticas en vídeo o en atención telefónica sin declarar.
Ninguno de estos casos requiere un rediseño. Requieren una revisión de inventario —qué usa IA, dónde y bajo qué marca— y unas cuantas líneas de aviso bien colocadas.
Qué te juegas y qué hacer primero
El régimen sancionador del reglamento contempla, para el incumplimiento de las obligaciones de transparencia, multas de hasta 15 millones de euros o el 3 % de la facturación anual mundial, la cifra que resulte mayor. Son topes máximos pensados para infracciones graves de grandes operadores, y la autoridad competente pondera tamaño, intención y daño causado. Nadie va a multar a una pyme con quince millones por un chatbot sin aviso. Pero el requerimiento, la obligación de corregir y la exposición reputacional sí son escenarios realistas, y llegan casi siempre por la vía de una reclamación de un usuario, no de una inspección de oficio.
Por dónde empezar, en este orden:
- Haz el inventario. Lista todos los puntos donde hay IA de cara al público: chatbots, generadores de imagen, automatizaciones de email, voz, contenido. Sin esta lista no hay nada que auditar.
- Decide tu rol en cada uno. Proveedor o desplegador. Anótalo por escrito. Es lo primero que te van a preguntar.
- Pon los avisos. Un aviso claro en el chatbot al inicio de la conversación, una etiqueta en el contenido sintético publicado, una nota en el pie de las comunicaciones automatizadas.
- Conserva los metadatos. Revisa que tu flujo de exportación de imágenes no esté borrando las credenciales de procedencia que la herramienta genera. Muchos compresores lo hacen por defecto.
- Documéntalo. Una página interna con qué usas, dónde, con qué rol y qué aviso lleva. Es la diferencia entre responder un requerimiento en un día o en un mes.
Y una lectura menos defensiva: decir con claridad dónde usas IA y dónde hay una persona detrás no es un coste de cumplimiento, es un argumento comercial. En un mercado donde todo el mundo dice usar IA y nadie explica cómo, ser específico distingue.
