El artículo 50 de la Ley de IA entra en vigor: qué cambia hoy para quien exporta y desarrolla tecnología en el Mercosur

El artículo 50 del Reglamento (UE) 2024/1689, la Ley de IA de la Unión Europea, se volvió exigible el 2 de agosto de 2026. Ahora están vigentes cuatro obligaciones de transparencia: los proveedores de chatbots y otros sistemas destinados a interactuar directamente con una persona física deben informar que esa persona está interactuando con un sistema de IA, salvo que resulte evidente por el contexto; el contenido de audio, imagen, video o texto generado o manipulado por IA debe llevar una marca legible por máquina que lo identifique como generado o manipulado artificialmente; los responsables del despliegue de sistemas de reconocimiento de emociones o de categorización biométrica deben informar a las personas expuestas a ellos; y el contenido tipo deepfake, es decir, imagen, audio o video que se asemeje a una persona, objeto, lugar o evento real, debe etiquetarse claramente como generado o manipulado artificialmente.

Las autoridades nacionales de vigilancia del mercado recibieron su mandato de aplicación sobre estas obligaciones en la misma fecha, y la facultad de imponer multas por incumplimientos del artículo 50 entró en vigor junto con ellas. Nada de esto se aplazó. La única excepción corresponde a los sistemas ya puestos en el mercado o en servicio antes del 2 de agosto de 2026: para estos sistemas preexistentes, la obligación de marcado legible por máquina tiene plazo hasta el 2 de diciembre de 2026 (Reglamento (UE) 2026/1744, artículo 1, punto 39, letra b, que inserta el artículo 111, apartado 4; considerando 38).

El artículo 50 divide sus obligaciones por rol. Los apartados 1 y 2 obligan a los proveedores, es decir, a la organización que construye el sistema de IA, no a la empresa que simplemente lo usa: los proveedores de sistemas destinados a interactuar directamente con una persona deben incorporar esa divulgación al sistema (apartado 1), y los proveedores de sistemas que generan contenido sintético de audio, imagen, video o texto, incluidos los proveedores de modelos de IA de uso general, deben marcar esa salida de forma legible por máquina y detectable (apartado 2). Los apartados 3 y 4 obligan en cambio a los responsables del despliegue, es decir, a quien ponga el sistema en uso: una organización que opera un sistema de reconocimiento de emociones o de categorización biométrica debe informar a las personas expuestas a él y tratar sus datos según el RGPD, el régimen equivalente para las instituciones de la UE y la Directiva de aplicación de la ley (apartado 3), y una organización que despliega un sistema que produce deepfakes, o texto generado por IA publicado sobre un asunto de interés público, debe divulgar ese origen (apartado 4).

Tres excepciones recorren el artículo. La divulgación prevista en el apartado 1 no se exige cuando la intervención de la IA ya resulta evidente para una persona razonablemente informada, observadora y prudente, dadas las circunstancias. Los cuatro apartados excluyen a los sistemas autorizados por ley para detectar, prevenir, investigar o perseguir infracciones penales, con salvaguardas para los derechos de terceros, aunque la excepción del apartado 1 no se extiende a los sistemas disponibles para que el público denuncie un delito. El apartado 4 se acota aún más en dos casos: el contenido que forme evidentemente parte de una obra artística, creativa, satírica o de ficción solo necesita señalar su origen artificial de un modo que no perjudique el disfrute de la obra, y el texto generado por IA sobre asuntos de interés público queda exento cuando pasó por revisión humana y una persona física o jurídica asume la responsabilidad editorial de su publicación.

Un trámite legislativo separado, conocido como Digital Omnibus, ya concluyó. La Comisión Europea y el Consejo alcanzaron un acuerdo político sobre el paquete el 7 de mayo de 2026, el Parlamento Europeo aprobó su posición el 16 de junio de 2026, y los colegisladores adoptaron el texto final como el Reglamento (UE) 2026/1744 el 8 de julio de 2026. Se publicó en el Diario Oficial de la Unión Europea el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026. Entre los cambios figura que el régimen autónomo de alto riesgo del Anexo III, que abarca sistemas de IA usados, por ejemplo, en decisiones de empleo o en el acceso a servicios esenciales, pasa al 2 de diciembre de 2027, y el régimen de alto riesgo para IA integrada en productos regulados del Anexo I pasa al 2 de agosto de 2028.

Ambas fechas tienen ahora efecto legal fijado, ya no son propuestas: el Reglamento (UE) 2026/1744 está en vigor, y las obligaciones de los Anexos III y I se aplicarán el 2 de diciembre de 2027 y el 2 de agosto de 2028, respectivamente, salvo que se modifiquen de nuevo antes de esas fechas. El artículo 50 no queda intacto, aunque ninguna de sus obligaciones de transparencia se aplazó. El Reglamento (UE) 2026/1744 hace dos cosas con él. Inserta un nuevo artículo 111, apartado 4, en la Ley de IA: los proveedores de sistemas de IA generativa introducidos en el mercado antes del 2 de agosto de 2026 disponen de una transición de cuatro meses, hasta el 2 de diciembre de 2026, para cumplir la obligación de marcado del apartado 2 (artículo 1, punto 39, letra b; el razonamiento está en el considerando 38). Y sustituye el artículo 50, apartado 7, retirando a la Comisión la habilitación permanente para fijar mediante acto de ejecución la aplicación de las obligaciones de marcado y detección, dejando ese acto disponible solo si un código de buenas prácticas se considera inadecuado (artículo 1, punto 20).

El Anexo III de la Ley de IA enumera las categorías de uso de IA que el reglamento trata como alto riesgo una vez que su régimen autónomo entre en vigor: empleo y gestión de trabajadores (selección de candidatos, evaluación de desempeño, asignación de tareas), evaluación de solvencia crediticia, ciertos ramos de suscripción de seguros, educación (acceso, admisión o evaluación) y acceso a servicios esenciales públicos y privados. Un sistema encuadrado en alguna de estas categorías conlleva obligaciones que van más allá de las obligaciones de transparencia del artículo 50: gestión de riesgos, gobernanza de datos, documentación técnica, supervisión humana y registro en una base de datos de la UE, entre otras.

El aplazamiento del Digital Omnibus no es un juicio sobre que estos usos sean menos riesgosos. La razón declarada es la falta de preparación: las autoridades responsables de supervisar los sistemas de alto riesgo, y las normas técnicas armonizadas frente a las cuales deberían probarse esos sistemas, no estaban listas a tiempo para el plazo original del régimen. Un aplazamiento de este tipo da margen para que esa infraestructura se ponga al día, no cancela la obligación en sí misma, y ahora es derecho vigente en virtud del Reglamento (UE) 2026/1744, ya no solo una propuesta.

Dos puntos importan para quien construye o exporta tecnología entre el Mercosur y la Unión Europea. Primero, el artículo 50 alcanza más allá de las fronteras de la UE por sus propios términos: sus obligaciones de transparencia se aplican a proveedores y responsables del despliegue cuyo sistema de IA produce resultados usados dentro de la UE, sin importar dónde esté establecido el proveedor o el responsable del despliegue. Un proveedor de software brasileño, argentino o de otro país del Mercosur con un chatbot o una función de generación de contenido orientada a la UE ya está dentro del alcance hoy, y lo mismo ocurre con una empresa alemana que use esa herramienta para interactuar con clientes en la UE. Lo que determina el alcance no es dónde está alojado el sistema, sino dónde llega su resultado.

Segundo, el artículo 50 es un ejemplo de un patrón más amplio. A través de la Ley de IA, el Reglamento de Deforestación de la UE (EUDR) y el Pasaporte Digital de Producto, la Unión Europea está convirtiendo la transparencia y la trazabilidad de una buena práctica voluntaria en una obligación legal, y lo hace exigiendo que los datos subyacentes sean estructurados, legibles por máquina y estén disponibles como evidencia, no solo como una divulgación narrativa. El marcado de contenido generado por IA en un chatbot, los datos de geolocalización libres de deforestación de un envío de café y el pasaporte de materiales de una batería son instrumentos regulatorios distintos, pero comparten la misma dirección: lo que antes era una afirmación ahora tiene que ser evidencia.