Tres días de vacatio legis. El Reglamento (UE) 2026/1744 se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor el 27, con la urgencia declarada por escrito en su considerando 46. Bruselas llegaba justa por un motivo concreto: el 2 de agosto de 2026 el Reglamento de IA alcanza su fecha general de aplicación y medio mercado cree que ya no pasa nada.
La prensa lo tituló como el retraso del AI Act. El retraso existe, pero se limita al capítulo III. Si tienes un chatbot en producción o un agente de voz en el contact center, tu fecha sigue siendo este domingo.
Qué se movió y qué no
El Ómnibus modifica el artículo 113 del Reglamento (UE) 2024/1689 y reordena el calendario. Su considerando 40 explica el porqué sin adornos: faltaban normas armonizadas, especificaciones comunes y autoridades nacionales operativas. No hubo giro político; la infraestructura de cumplimiento no llegó a tiempo.
| Bloque de obligaciones | Fecha previa | Fecha vigente |
|---|---|---|
| Prácticas prohibidas (art. 5) y alfabetización (art. 4) | 2 feb 2025 | 2 feb 2025 |
| Modelos de uso general, gobernanza y sanciones | 2 ago 2025 | 2 ago 2025 |
| Transparencia (art. 50) | 2 ago 2026 | 2 ago 2026 |
| Marcado del art. 50.2, sistemas ya en el mercado | 2 ago 2026 | 2 dic 2026 |
| Nuevas prohibiciones art. 5.1 ba) y bb) | — | 2 dic 2026 |
| Alto riesgo del anexo III (art. 6.2) | 2 ago 2026 | 2 dic 2027 |
| Alto riesgo del anexo I (art. 6.1) | 2 ago 2027 | 2 ago 2028 |
La concesión que toca a la transparencia es estrecha. El considerando 38 abre cuatro meses de transitorio, hasta el 2 de diciembre, solo para proveedores de sistemas generativos ya en el mercado antes del 2 de agosto y solo sobre el marcado del artículo 50.2. El resto del artículo 50 se aplica íntegro el domingo.
El artículo 50 no se resuelve con un aviso legal
Cuatro obligaciones repartidas entre dos figuras. El proveedor desarrolla el sistema o lo comercializa bajo su nombre. El responsable del despliegue lo usa bajo su autoridad en un contexto profesional.
- Art. 50.1 (proveedor). La interfaz debe informar de que se interactúa con una máquina, salvo que resulte evidente para una persona razonablemente informada y atenta.
- Art. 50.2 (proveedor). Las salidas sintéticas (audio, imagen, vídeo, texto) se marcan en formato legible por máquina y se facilitan medios de detección. Son dos requisitos acumulativos: marcar sin ofrecer detección no basta.
- Art. 50.3 (despliegue). Reconocimiento de emociones y categorización biométrica: informar a las personas expuestas.
- Art. 50.4 y 50.5 (despliegue). Deepfakes y textos de interés público publicados sin revisión editorial humana: revelación clara y distinguible, perceptible en la primera exposición.
El apartado 2 es el que tiene coste de ingeniería. Marcado legible por máquina significa firma de procedencia embebida, watermarking o metadatos, más un mecanismo de verificación. La norma modula la exigencia con «en la medida en que sea técnicamente viable», lo que admite el problema real: un recorte, una recompresión o un CDN que reescribe cabeceras se llevan por delante los metadatos de procedencia. El Código de buenas prácticas sobre transparencia del contenido generado por IA, publicado el 10 de junio de 2026 y avalado por la Comisión en julio, concreta cómo hacerlo y ofrece un icono común de etiquetado. Es voluntario. Firmarlo aporta previsibilidad; no firmarlo obliga a demostrar el cumplimiento por otra vía.
Poner tu marca encima te convierte en proveedor
El artículo 25 establece que quien comercializa un sistema bajo su propia marca asume la condición de proveedor. Quien envuelve una API ajena en su producto y le pone su logotipo no es un usuario: responde como proveedor, con las obligaciones del 50.1 y el 50.2 encima.
El Ómnibus refuerza precisamente ese punto. La nueva redacción del artículo 25.2 obliga al proveedor inicial a entregar documentación técnica suficiente para evaluar la conformidad, a informar de las limitaciones y los modos de fallo conocidos, y a dar acceso técnico dirigido para pruebas y validación. El artículo 25.4 exige acuerdo por escrito con quien suministre modelos, herramientas o componentes integrados.
Léelo como ingeniero: es un requisito de acceso. Si tu proveedor de inferencia es un endpoint detrás de términos de servicio unilaterales, que cambia de versión sin preaviso y cuyo canal de contacto es un formulario de soporte, no tienes ese acuerdo. Tienes una factura.
Tres arquitecturas, tres exposiciones distintas
| Criterio | API pública multi-tenant | API en región UE con contrato | Inferencia local o aislada |
|---|---|---|---|
| Acuerdo escrito del art. 25.4 | Términos unilaterales | Negociable en plan enterprise | Interno |
| Modos de fallo documentados | Changelog público | Parcial, bajo NDA | Completos |
| Control del marcado del art. 50.2 | Del proveedor | Del proveedor | Propio |
| Ubicación de logs de entrada y salida | Infraestructura del proveedor | Región UE, operador extracomunitario | Tus discos |
| Respuesta a un requerimiento de la autoridad | Días o semanas, vía soporte | Plazo contractual | Horas |
| Cambio de versión sin preaviso | Posible | Preaviso contractual | Bajo tu control |
Ninguna columna es correcta siempre. Un buscador interno de documentación pública no necesita la tercera. Un asistente que maneja historiales clínicos o expedientes académicos sí, y no por la etiqueta de soberanía sino por una razón operativa: el artículo 50 se demuestra con evidencias, y las evidencias son trazas. Si las trazas viven en un sistema que no administras, tu capacidad de responder ante la AESIA depende del SLA de soporte de un tercero.
Lo que debería estar cerrado el domingo
- Inventario. Todo sistema que interactúe con personas o genere contenido, con su clasificación por apartado del artículo 50 y el rol asumido en cada caso.
- Aviso de primera interacción. Visible, accesible y persistente durante la sesión, no enterrado a tres clics.
- Etiquetado de salidas publicadas. Deepfakes y textos de interés público, con criterio documentado sobre qué se revisa y qué no.
- Cadena de evidencia. Retención declarada de prompts y salidas, con política de conservación coherente con el RGPD y capaz de reconstruir una interacción concreta.
- Cláusula contractual. Documentación técnica, modos de fallo, preaviso de cambio de versión y acceso para validación, por escrito.
El techo sancionador del artículo 99.4 para el artículo 50 llega a 15 millones de euros o el 3 % del volumen de negocio mundial anual, la cifra que resulte mayor. En España, el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial se publicó en el Boletín Oficial de las Cortes el 12 de junio de 2026 y sigue en tramitación, con la AESIA como autoridad de vigilancia por defecto. Que el procedimiento nacional no esté cerrado no suspende nada: un reglamento europeo se aplica directamente.
El Imperativo Estratégico
La transparencia del artículo 50 no se resuelve con un banner. Se resuelve con una arquitectura que sepa qué modelo generó cada salida, cuándo, con qué versión y con qué marcado, y que pueda demostrarlo seis meses después ante una autoridad que pide evidencias y no intenciones. Esa capacidad se diseña en la capa de orquestación, no se compra en el pie de página.
asistente.cloud despliega agentes conversacionales con trazabilidad de extremo a extremo: registro de interacción, identificación de modelo y versión, y control del marcado de salidas, en infraestructura que elegimos contigo. Si tienes un asistente en producción y no sabes responder hoy quién es el proveedor a efectos del artículo 25, esa conversación conviene tenerla antes del lunes.