El AI Act se ha retrasado. Avisar de que hablan con una IA, no

Respuesta corta: el reglamento europeo de IA entró en aplicación general el 2 de agosto de 2026. Las obligaciones más duras —las de los sistemas de alto riesgo del anexo III— se han aplazado al 2 de diciembre de 2027. Pero la obligación que afecta a casi cualquier empresa con un bot atendiendo clientes ya está vigente: si un sistema de IA interactúa con una persona, hay que decírselo a esa persona.

Ese matiz se ha perdido en el ruido del aplazamiento. Conviene separar las dos cosas.

¿Qué entró en vigor el 2 de agosto de 2026?

El artículo 113 fija esa fecha como aplicación general del reglamento. Todo lo que no tenga una fecha propia, se aplica desde entonces. Y el capítulo IV —el artículo 50, obligaciones de transparencia— no tiene fecha propia.

El artículo 50 no va de alto riesgo. Va de todos los sistemas de IA que interactúan con personas. En concreto:

• Apartado 1: quien despliega un sistema pensado para interactuar directamente con personas tiene que informar a esas personas de que están ante una IA, salvo que resulte obvio por el contexto.
• Apartado 2: quien genera audio, imagen, vídeo o texto sintético tiene que marcar esas salidas en formato legible por máquina y detectable como generado artificialmente.
• Apartado 4: quien publica deepfakes o texto generado sobre asuntos de interés público tiene que declararlo, salvo que haya pasado revisión editorial humana con un responsable identificable.

Junto a eso entraron el régimen sancionador (artículos 99 y 100), el marco de gobernanza y las competencias de supervisión sobre los modelos de propósito general. Las multas del reglamento llegan a 15 millones de euros o el 3 % del volumen de negocio mundial, la cifra que sea mayor.

Un detalle de calendario que sí se movió: el marcado legible por máquina del apartado 2 se aplica de inmediato a los sistemas puestos en el mercado después del 2 de agosto de 2026, y los que ya estaban antes tienen hasta el 2 de diciembre de 2026.

¿Qué se ha aplazado exactamente?

El instrumento se llama Digital Omnibus on AI y alcanzó acuerdo provisional el 7 de mayo de 2026. Los desplazamientos relevantes:

Lo aplazado es la parte cara: evaluación de conformidad, documentación técnica, marcado CE, registro en la base de datos europea, supervisión humana documentada. Dieciséis meses más para quien hace cribado automatizado de candidatos, scoring de crédito, biometría o gestión de infraestructura crítica.

Y aquí está el problema de leer el titular y quedarse tranquilo: la mayoría de las empresas con las que trabajo no tienen nada de eso. Un agente que responde dudas sobre el estado de un pedido no es alto riesgo. Un CRM que ordena la cartera comercial por comercial asignado no es alto riesgo. Lo que sí les aplica —el artículo 50— es justamente lo que no se ha aplazado.

El aplazamiento alivia a quien hace scoring de crédito. No alivia a quien tiene un bot en WhatsApp.

¿Cómo se cumple el artículo 50 en un agente de atención al cliente?

No hace falta un descargo legal de tres párrafos antes de cada conversación. Hace falta que quede claro, a la primera y sin buscarlo. En los procedimientos que escribo, esto se traduce en cuatro decisiones concretas:

1. El primer mensaje identifica qué es. Una línea basta: quién atiende, que es un sistema automático, y para qué sirve. Va antes de pedir el primer dato al cliente, no después.
2. El remitente no simula ser una persona. Un perfil llamado «Ana, atención al cliente» cuando Ana no existe es exactamente lo que el artículo 50 quiere evitar. Si el asistente tiene nombre, que se lea como asistente.
3. La salida a persona está visible siempre. No enterrada tras cinco intentos fallidos. Esto ya lo pedía el sentido común; ahora además sostiene la parte de «salvo que resulte obvio por el contexto», porque un flujo con derivación explícita deja claro qué es automático y qué no.
4. Si el sistema genera contenido que se publica, se marca. Aquí es donde la mayoría no está mirando: afecta a fichas de producto, descripciones, respuestas públicas y cualquier imagen generada.

Coste real de los tres primeros puntos: un cambio de copia y una regla de enrutado. Horas, no un proyecto.

La parte que no es legal, es de arquitectura

El artículo 50 no obliga a llevar un registro de conversaciones. Pero el día que alguien discuta si se le informó o no, la única defensa es el histórico. Y ahí el obstáculo no suele ser jurídico: es que el agente vive en una herramienta que no permite exportar las conversaciones, o que las borra a los treinta días.

Es el mismo patrón que veo en todo lo demás. La obligación regulatoria acaba siendo un requisito técnico que había que cumplir igualmente por razones operativas. Quien no puede reconstruir una conversación con un cliente tampoco puede auditar por qué su agente respondió mal, ni medir qué preguntas se repiten, ni entrenar al equipo con casos reales.

¿Qué haría yo esta semana?

Tres cosas, en este orden:

1. Inventario. Lista de todos los puntos donde una IA habla con un cliente o con un candidato. Incluye el chat de la web, el bot de WhatsApp, las respuestas automáticas de correo y cualquier formulario que redacte algo. Casi siempre son más de los que se recuerdan.
2. Revisar el primer mensaje de cada uno. Si no dice que es automático, se corrige hoy.
3. Comprobar que el histórico es exportable. Si no lo es, ese es el trabajo real que hay que planificar.

Ninguno de los tres es un proyecto de cumplimiento normativo. El proyecto de verdad llega si alguien decide esperar a diciembre de 2027 y abordarlo todo junto.