AI Act para pymes: cuándo debes informar de que usas IA

Una guía práctica para distinguir las obligaciones reales de transparencia de las recomendaciones de buena gestión

Índice

• 1. Qué exige realmente el artículo 50
• 2. Proveedor o responsable del despliegue
• 3. Los cuatro supuestos principales
• 4. Casos habituales en una pyme
• 5. Cómo informar de forma adecuada
• 6. Checklist de decisión
• 7. Qué conviene documentar
• 8. Preguntas frecuentes
• 9. Conclusión
• Fuentes oficiales

¿Cuándo debe una empresa informar de que utiliza inteligencia artificial?

La inteligencia artificial ya forma parte del trabajo cotidiano de muchas pymes: redacta primeros borradores, resume reuniones, clasifica consultas, ayuda a preparar contenidos o atiende conversaciones mediante chatbots y agentes de voz.

Esto ha provocado una duda razonable: ¿debe una empresa avisar cada vez que utiliza IA?

La respuesta es no. El artículo 50 del Reglamento Europeo de Inteligencia Artificial —conocido como AI Act— no establece una obligación general de anunciar cualquier uso interno de IA. Regula situaciones concretas en las que una persona puede necesitar saber que está interactuando con un sistema de IA o que está ante determinado contenido generado o manipulado artificialmente.

Estas obligaciones son aplicables desde el 2 de agosto de 2026. Sin embargo, no todas recaen sobre la empresa que utiliza una herramienta: algunas corresponden al proveedor que desarrolla o comercializa el sistema y otras al responsable que lo despliega en su actividad.

1. Qué exige realmente el artículo 50

El artículo 50 reúne varias obligaciones de transparencia para sistemas de IA interactivos, generativos y biométricos. Su finalidad es que las personas puedan reconocer determinadas interacciones o contenidos artificiales y valorar adecuadamente la confianza que depositan en ellos.

De forma simplificada, la norma contempla cuatro situaciones principales:

1. Sistemas de IA destinados a interactuar directamente con personas físicas.
2. Sistemas que generan o manipulan contenido sintético de texto, imagen, audio o vídeo.
3. Sistemas de reconocimiento de emociones o categorización biométrica.
4. Deepfakes y determinados textos generados o manipulados con IA que se publican para informar sobre asuntos de interés público.

2. Proveedor o responsable del despliegue: la distinción que cambia la respuesta

Antes de decidir si hay que informar, la empresa debe identificar qué papel ocupa en ese uso concreto.

Proveedor

Es la persona o entidad que desarrolla un sistema de IA —o encarga su desarrollo— y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca. Un proveedor asume, entre otras, las obligaciones de diseñar determinados sistemas para que informen de la interacción y de incorporar mecanismos técnicos de marcado cuando corresponda.

Responsable del despliegue

Es la persona o entidad que utiliza un sistema de IA bajo su autoridad en el marco de una actividad profesional. Una pyme que contrata una herramienta de IA de un tercero suele actuar como responsable del despliegue, aunque la clasificación exacta debe revisarse según la configuración, el contrato, la marca bajo la que se presenta el sistema y las modificaciones realizadas.

La misma empresa puede ser responsable del despliegue en un caso y proveedor en otro. Por eso no basta con preguntar qué herramienta utiliza: hay que analizar cómo la ofrece, quién controla el sistema y ante quién aparece como responsable.

3. Los cuatro supuestos principales de transparencia

3.1. Interacción directa con un sistema de IA

Los proveedores de sistemas destinados a interactuar directamente con personas físicas deben diseñarlos para que esas personas sepan que están interactuando con IA. La información debe facilitarse, como regla general, desde el inicio de la primera interacción, de forma clara, distinguible y accesible.

La obligación admite una excepción cuando resulte evidente, para una persona razonablemente informada y atenta y teniendo en cuenta el contexto, que está interactuando con IA. Las directrices de la Comisión recomiendan interpretar esta excepción de forma restrictiva.

Para una pyme que utiliza una solución de un tercero, la medida práctica es comprobar que el aviso existe, que aparece realmente al usuario y que no se ha ocultado durante la personalización. Si la empresa ofrece el sistema bajo su propia marca o ha asumido el papel de proveedor, deberá analizar directamente el cumplimiento de esta obligación.

3.2. Marcado técnico de contenido sintético

Los proveedores de sistemas que generan contenido sintético de texto, imagen, audio o vídeo deben procurar que los resultados estén marcados en un formato legible por máquina y puedan detectarse como generados o manipulados artificialmente.

Esta es una obligación técnica del proveedor del sistema. No significa que toda pyme que utilice una herramienta generativa tenga que añadir por defecto una etiqueta visible a cada borrador, correo o imagen. Además, existen exclusiones y matices para funciones de edición estándar, determinados entornos cerrados y otros supuestos detallados por la Comisión.

3.3. Reconocimiento de emociones y categorización biométrica

Los responsables del despliegue de sistemas de reconocimiento de emociones o categorización biométrica deben informar a las personas expuestas a su funcionamiento. Puede tratarse, por ejemplo, de sistemas que pretenden inferir estados emocionales a partir de la voz, el rostro u otras señales biométricas.

Este uso también puede plantear restricciones adicionales, riesgos elevados y obligaciones en materia de protección de datos. Un simple aviso no convierte automáticamente el tratamiento en lícito ni suficiente.

3.4. Deepfakes y textos sobre asuntos de interés público

Los responsables del despliegue deben revelar cuándo una imagen, un audio o un vídeo generado o manipulado con IA constituye una ultrafalsificación o deepfake: contenido que se parece a personas, objetos, lugares, entidades o acontecimientos existentes y que puede parecer falsamente auténtico o veraz.

También deben identificar determinados textos generados o manipulados con IA cuando se publican para informar al público sobre asuntos de interés público. La Comisión considera que pueden entrar aquí materias políticas, jurídicas, económicas, financieras, científicas, culturales, sanitarias, medioambientales o relacionadas con la seguridad y los derechos fundamentales.

En el caso de los textos, existe una excepción relevante cuando el contenido ha sido sometido a una revisión humana sustantiva o a control editorial y una persona o entidad conserva la responsabilidad editorial de la publicación. Una corrección meramente ortográfica o formal no equivale a esa revisión.

4. Casos habituales en una pyme

Los siguientes ejemplos ayudan a trasladar la norma a situaciones cotidianas. Son orientativos: el resultado puede cambiar según la finalidad, la configuración y el papel real de la empresa.

Situación	Lectura inicial	Medida práctica
Un empleado usa ChatGPT para preparar un correo y revisa el resultado antes de enviarlo.	No existe una obligación general del artículo 50 de informar al destinatario solo por ese uso interno.	Aplicar la política interna, proteger los datos y mantener revisión humana.
La web incorpora un chatbot que responde directamente a clientes.	La persona debe saber que interactúa con IA. La obligación de diseño recae en el proveedor; la empresa debe verificar la experiencia real.	Mostrar un aviso claro desde el inicio y conservar evidencia de la configuración.
Un agente de voz con IA llama o atiende a una persona.	Es una interacción directa con IA y debe identificarse desde el comienzo. Pueden aplicar otras normas además del AI Act.	Incluir un aviso verbal inicial y revisar también privacidad y reglas de comunicaciones.
La empresa publica un artículo regulatorio generado automáticamente, sin revisión humana sustantiva.	Si informa al público sobre un asunto de interés público, puede existir obligación de divulgación.	Etiquetar el origen artificial o implantar revisión humana y responsabilidad editorial reales.
Una persona experta revisa, contrasta fuentes, corrige y aprueba un artículo asistido por IA.	La excepción de revisión humana o control editorial puede resultar aplicable al texto.	Documentar quién revisa, qué comprueba y quién asume la responsabilidad editorial.
Se publica un vídeo realista de una persona existente diciendo algo que nunca dijo.	Puede constituir un deepfake y debe revelarse su generación o manipulación artificial.	Añadir una indicación clara y perceptible desde la primera exposición.
Se analiza la voz de trabajadores o clientes para inferir emociones.	El responsable del despliegue debe informar; además existen riesgos de privacidad y posibles restricciones.	No implantar sin evaluación específica jurídica, técnica y de protección de datos.

5. Cómo informar de forma adecuada

Cuando el aviso sea necesario, no debería quedar escondido en una política de privacidad, en unas condiciones generales extensas o en una página que la persona no verá durante la interacción.

La información debe ser clara, distinguible, comprensible, perceptible y accesible. Dependiendo del canal, pueden utilizarse fórmulas como estas:

• Chatbot: «Estás conversando con un asistente virtual basado en inteligencia artificial».
• Agente de voz: «Esta llamada está siendo atendida por un asistente de inteligencia artificial».
• Deepfake: «Contenido generado o manipulado mediante inteligencia artificial».
• Texto automatizado sin revisión humana sobre un asunto de interés público: «Este contenido ha sido generado mediante inteligencia artificial y no ha sido sometido a revisión editorial humana».

Estas fórmulas son ejemplos orientativos. Deben adaptarse al contexto, al canal, al nivel de riesgo, a las características del sistema y a las demás normas aplicables.

6. Checklist: siete preguntas antes de decidir

1. ¿El sistema interactúa directamente y de forma bidireccional con una persona?
2. ¿La empresa es solo usuaria del sistema o lo ofrece bajo su nombre o marca?
3. ¿El contenido generado pretende parecer auténtico o reproducir a una persona, objeto, lugar o acontecimiento existente?
4. ¿Se publica un texto para informar al público sobre un asunto de interés público?
5. ¿Existe una revisión humana sustantiva, con comprobación de contenido y fuentes?
6. ¿Hay una persona o entidad que asume realmente la responsabilidad editorial?
7. ¿El sistema reconoce emociones o realiza categorización biométrica?

Si alguna respuesta activa un supuesto del artículo 50, habrá que definir quién debe informar, en qué momento, mediante qué canal y cómo se conservará la evidencia. También será necesario comprobar si resultan aplicables el RGPD, la normativa laboral, las reglas de consumo, publicidad, telecomunicaciones u otras disposiciones sectoriales.

7. Qué conviene documentar

El artículo 50 no impone a todas las pymes un expediente idéntico por cualquier uso de IA. Sin embargo, documentar el análisis es una buena práctica de gobernanza y permite demostrar que la empresa ha tomado una decisión consciente.

• Nombre del sistema y proveedor contratado.
• Finalidad y personas afectadas por el uso.
• Papel de la empresa: proveedor, responsable del despliegue u otro operador.
• Supuesto del artículo 50 analizado y conclusión alcanzada.
• Texto, pantalla o mensaje utilizado para informar, cuando corresponda.
• Proceso de revisión humana y responsable editorial, si se utiliza la excepción aplicable a textos.
• Fecha de revisión y cambios relevantes del sistema o del caso de uso.

Una política interna de uso de IA ayuda a convertir estas decisiones en un procedimiento común para toda la organización y reduce el riesgo de que cada persona actúe por su cuenta.

8. Preguntas frecuentes

¿Tengo que avisar si utilizo ChatGPT para redactar correos?

No existe una obligación general del artículo 50 de informar al destinatario únicamente porque una persona haya utilizado IA como apoyo para preparar un correo. Sí deben respetarse las reglas internas, la confidencialidad, la protección de datos y la revisión humana adecuada.

¿Un chatbot empresarial tiene que decir que es IA?

La persona debe estar informada desde el inicio de la interacción, salvo que el carácter de IA resulte realmente evidente en el contexto. La obligación de diseño corresponde al proveedor del sistema, pero la empresa que lo utiliza debería verificar que el aviso permanece visible y funciona en su implementación concreta.

¿Hay que etiquetar todas las imágenes creadas con IA?

No necesariamente mediante una etiqueta visible por el mero hecho de haber usado IA. El proveedor puede tener obligaciones de marcado técnico, y el responsable del despliegue debe revelar los contenidos que constituyan deepfakes. También puede ser recomendable informar cuando una imagen pueda inducir a error, aunque no encaje exactamente en esa categoría.

¿Hay que identificar un artículo escrito con ayuda de IA?

Depende del contenido y del proceso. La obligación específica se refiere a textos publicados para informar al público sobre asuntos de interés público. No es necesario aplicar esa identificación cuando existe una revisión humana sustantiva o control editorial y se conserva la responsabilidad editorial de la publicación. Corregir solo la ortografía no basta.

¿La moratoria hasta diciembre de 2026 afecta a todas las empresas?

No. La Comisión prevé un periodo limitado hasta el 2 de diciembre de 2026 para determinados sistemas introducidos en el mercado antes del 2 de agosto de 2026 y únicamente respecto de la obligación técnica de marcado y detección del artículo 50.2. No es una prórroga general de todas las obligaciones de transparencia.

¿Qué sanciones puede haber?

El incumplimiento de determinadas obligaciones del Reglamento puede dar lugar a multas de hasta 15 millones de euros o, para empresas, hasta el 3 % del volumen de negocio mundial anual total del ejercicio anterior. La aplicación debe atender a la proporcionalidad y contempla el tamaño de las pymes. La cifra máxima no describe automáticamente la sanción que correspondería a un caso concreto.

9. Conclusión: informar cuando corresponde y documentar el criterio

La transparencia no consiste en añadir indiscriminadamente la frase «hecho con IA» a todo lo que produce una empresa. Consiste en identificar los casos en los que una persona necesita saber que interactúa con un sistema de IA o que está ante determinado contenido artificial.

Para una pyme, el enfoque más útil es sencillo: inventariar los usos de IA, definir el papel que ocupa en cada uno, comprobar si se activa alguno de los supuestos del artículo 50 y documentar la decisión. Cuando exista una obligación de informar, el aviso debe aparecer en el momento y canal adecuados; cuando no exista, la empresa puede seguir aplicando medidas voluntarias de transparencia si mejoran la confianza y evitan confusión.

Fuentes oficiales

• Reglamento (UE) 2024/1689, texto oficial en español — EUR-Lex
• Directrices de la Comisión sobre las obligaciones de transparencia del artículo 50
• Preguntas y respuestas de la Comisión sobre el artículo 50
• Resumen oficial de las reglas de transparencia para sistemas de IA
• Guía introductoria al Reglamento Europeo de Inteligencia Artificial — AESIA

Contenido informativo y divulgativo. No sustituye una revisión jurídica del caso concreto.