Entran en vigor las obligaciones de transparencia para contenidos generados con IA

 

Este post es la actualización de dos posts que tratan las obligaciones de transparencia ex art. 50 del Reglamento de Inteligencia Artificial  en profundidad aquí y aquí.

 

1.         Qué y por qué

 

Recordemos que el artículo 50 del RIA no protege sólo al ciudadano que puede ser engañado: su objetivo es proteger el ecosistema de información como un todo.

Por ello, sus obligaciones son aplicables aunque no hay un perjudicado obvio o aunque el interesado haya dado su consentimiento a que se genere un deepfake con su imagen o voz.

 

Dos obligaciones distintas para sujetos distintos:

 

• Marcar (para Proveedores, art. 50.2): señales técnicas legibles por máquina -metadatos, marcas de agua- para que facilitar la detección del origen sintético del contenido.
• Etiquetar (para Deployers, art. 50.4): avisos perceptibles por humanos -iconos, disclaimers- en el momento de la exposición.

 

 

2.        Las fechas de aplicación, tras el Digital Omnibus:

 

• 2 de agosto de 2026: aplica todo el artículo 50 -chatbots (50.1), reconocimiento de emociones (50.3), etiquetado de deepfakes y textos publicados de interés público (50.4)- y las autoridades de vigilancia de mercado empiezan a operar.
• 2 de diciembre de 2026: El marcado legible por máquina (50.2) para sistemas ya comercializados antes del 2 de agosto. Cuatro meses de gracia (la Comisión proponía seis; el Parlamento los recortó). Ojo: los sistemas nuevos deben cumplir desde el primer día de aplicación (2 de agosto).
• 2 de diciembre de 2026: nueva prohibición del art. 5 para sistemas de generación de contenido íntimo no consentido y CSAM (las apps de IAs “nudificadoras”).
• 2 de febrero de 2027: aplicación del plazo del Código de Buenas Prácticas para los mecanismos de interoperabilidad de los proveedores.

 

3.        Marcado (Providers, art. 50.2): de tres capas a dos

 

El Código definitivo confirma lo que ya reconocía el segundo borrador (ojo con esto): ninguna técnica cumple por sí sola los cuatro requisitos legales -eficacia, interoperabilidad, solidez, fiabilidad-. Pero simplifica las obligaciones:

• Metadatos firmados digitalmente y sellados en el tiempo, cuando el formato lo soporte (audio, imagen, vídeo, texto en contenedores tipo PDF).
• Marca de agua imperceptible incrustada en el propio contenido.

Y ya estaría.

 

El fingerprinting y el logging interno, que anteriores versiones del Código exigían “cuando fuera necesario”, pasan a ser medidas suplementarias voluntarias.

La marca de agua pública legible, que era un compromiso autónomo, se rebaja para quedar como una de entre las cuatro opciones de interoperabilidad.

 

Excepciones a la doble capa: basta una sola capa para:

(a) sistemas generativos embebidos en productos físicos cerrados y

(b) texto libre. Y el texto de menos de 200 tokens queda directamente fuera de la obligación de watermarking: el estado de la técnica no da aún para marcar un tuit con fiabilidad.

 

4.        Detección

 

El proveedor debe ofrecer públicamente una solución de detección gratuita.

Única excepción: los proveedores con menos de 1 millón de usuarios mensuales pueden cobrar tarifas razonables por detección cloud en volúmenes altos.

Debe ser gratis en todo caso para autoridades, medios, fact-checkers, investigadores y sociedad civil.

 

5.        Interoperabilidad

 

Antes del 2 de febrero de 2027, cada proveedor debe implementar uno de estos cuatro mecanismos: (i) API estándar de industria, (ii) señalización pública legible dentro del contenido, (iii) solución de detección compartida en consorcio, o (iv) mecanismo equivalente.

 

6.        Etiquetado de deepfakes (Deployers, art. 50.4)

 

Recordemos: Deepfake es contenido de imagen, audio o vídeo que se asemeja apreciablemente a personas, objetos, lugares, entidades o eventos existentes y que podría parecer falsamente auténtico.

• Una foto de la Catedral de Burgos al lado de las pirámides de Egipto o bajo las cataratas del Niágara, difícilmente será un deepfake.
• Una foto de Mariano Rajoy, Oscar Puente y Feijoo ganando una olimpiada matemática es un deepfake.
• Un vídeo de Trump haciendo algo que nunca hizo (ni, presumiblemente, hará) es un deepfake.

La novedad del Código final: desaparece la taxonomía “fully AI-generated vs. AI-assisted” del borrador.

En su lugar, hay disponibles tres iconos UE ya definitivos:

• “AI + GENERATED”: contenido íntegramente generado por IA.
• “AI + MODIFIED”: contenido parcialmente manipulado.
• “AI” a secas: para usar con una segunda capa interactiva.

 

Reglas de ubicación por modalidad:

Modalidad	Regla general	Ejemplo concreto
Imagen y vídeo	Icono en esquina superior derecha	En vídeo, re-exhibición a intervalos y, como mínimo, tras interrupciones (publicidad, pausas).
Audio	Disclaimer sonoro al inicio	Si hay pantalla disponible, icono visual además del aviso sonoro.
Texto publicado de interés público	Icono arriba, junto al titular o al final	Avisos contextuales para textos cortos o contextos profesionales cerrados.
Obras artísticas y creativas	Divulgación atenuada, no eliminada	Icono adyacente al marco en digital; en físico, punto de entrada, folletos o soporte.

 

Requisitos transversales que se mantienen del borrador: contraste mínimo 4,5:1, accesibilidad anclada en la Directiva de Accesibilidad Web y la directiva Europea de Accesibilidad, y divulgación a más tardar en la primera exposición (los créditos finales, solos, no valen).

 

7.        Texto de interés público y excepción editorial

 

El art 50.4, segundo párrafo, obliga a etiquetar el texto generado o manipulado por IA que se publique para informar al público sobre asuntos de interés público.

El principio general: Las Directrices de la Comisión interpretan ampliamente el concepto de “interés público”: administración pública, derechos fundamentales (incluida la administración de justicia), salud, consumo y cualquier desarrollo económico, político o científico con implicaciones públicas relevantes.

La divulgación jurídica entra de lleno en el concepto.

 

La excepción: no hay que etiquetar si (i) el texto ha pasado revisión humana o control editorial sustantivo y (ii) una persona física o jurídica asume la responsabilidad editorial de la publicación, con identidad y contacto públicamente accesibles.

 

Advertencias de las Directrices:

La revisión superficial no cuenta. Pasar el corrector ortográfico o dar un visto bueno protocolario no es revisión humana. Hace falta examen deliberado del fondo por alguien con competencia en la materia.

 

8.       Excepciones a las obligaciones del art. 50

 

• Edición estándar y alteraciones no sustanciales: corrector, reducción de ruido, recortes menores. Pero la traducción y el resumen automáticos SÍ alteran la semántica y SÍ requieren marcado.
• Investigación científica, mientras no salga del laboratorio.
• Uso puramente personal y no profesional. Con un ejemplo polémico como límite: el deepfake del alcalde compartido en redes para criticar su gestión ya no es “personal”, según las Directrices.
• Fines policiales autorizados por ley. En el sector privado, esta excepción sigue teniendo las piernas muy cortas.
• El open source NO exime del art. 50: la exclusión del art. 2.12 no alcanza a las obligaciones de transparencia.

 

9.        Virtualidad del Código

 

El Código sigue siendo voluntario y su adhesión no constituye salvoconducto ante sanciones por incumplimiento de la normativa.

Pero las Directrices dejan clara su mecánica de incentivos: al firmante, la autoridad le revisa si cumple el Código; al no firmante, le pide explicaciones detalladas de por qué su alternativa es equivalente, con más requerimientos de información. Y la adhesión cuenta como atenuante en la fijación de multas.

 

 

 

Jorge García Herrero

Abogado y Delegado de Protección de Datos