Lo que decide tu exposición al AI Act
no está en tu inventario de IA.
El Artículo 50 del Reglamento (UE) 2024/1689, el AI Act, reúne las obligaciones de transparencia: informar que se está interactuando con IA, marcar contenido sintético y volverlo detectable, informar sobre reconocimiento de emoción y categorización biométrica, y revelar deepfakes y texto publicado sobre materia de interés público. Se aplican desde el 2 de agosto de 2026 y alcanzan sistemas fuera del régimen de alto riesgo. Alcanzan también a quien está fuera de la Unión: por el Artículo 2(1), el alcance lo fija la conexión con el mercado europeo, dondequiera que la empresa tenga su sede. El 20 de julio de 2026 la Comisión Europea adoptó Guidelines sobre cómo implementarlas. Las Guidelines son explícitamente no vinculantes: la interpretación autoritativa del AI Act corresponde al Tribunal de Justicia de la Unión Europea.
Dos obligaciones, dos calendarios.
Transparencia, Artículo 50
- Aplicable desde el 2 de agosto de 2026
- Alcanza sistemas fuera del régimen de alto riesgo
- Marcación del 50(2) hasta el 2 de diciembre de 2026 para sistemas generativos anteriores
- Sanción del Artículo 99(4)(g): hasta EUR 15 millones o 3% de la facturación mundial anual, lo que sea mayor
Régimen de alto riesgo
- Artículo 6(2) y Anexo III: 2 de diciembre de 2027
- Artículo 6(1) y Anexo I: 2 de agosto de 2028
- Aplazado por el Reglamento (UE) 2026/1744
- Motivo declarado: normas armonizadas y autoridades nacionales no disponibles a tiempo
El aplazamiento del alto riesgo no alcanzó al Artículo 50. Un programa de conformidad calibrado para agosto de 2026 como hito del alto riesgo está listo para el plazo que se movió y queda descubierto en lo que ya rige. Las fechas de arriba reflejan el texto en vigor en agosto de 2026, y el calendario del AI Act ya fue enmendado una vez.
La exposición se decide en el rol y en la audiencia, y se sostiene en el perímetro.
- A
El rol jurídico
Quien construye y pone en el aire bajo su propio nombre es provider.
Las cuatro obligaciones del Artículo 50 se dividen por rol. Al provider le corresponden el 50(1), informar a la persona de que está interactuando con un sistema de IA, y el 50(2), marcar el contenido sintético en formato legible por máquina y volverlo detectable. Al deployer le corresponden el 50(3), informar a quien queda expuesto a reconocimiento de emoción o categorización biométrica, y el 50(4), revelar deepfakes y texto publicado para informar al público sobre materia de interés público. La Comisión entiende que la organización que desarrolla un sistema interactivo o generativo internamente y lo pone en servicio bajo nombre o marca propios ocupa el rol de provider, y que lo mismo vale para quien modifica un sistema de un tercero y lo pone en servicio bajo nombre propio. Una misma organización puede ocupar los dos roles al mismo tiempo.
La autoimagen corriente, "nosotros usamos IA, no fabricamos IA", falla exactamente en los sistemas de los que la empresa más se enorgullece: los agentes que construyó en vez de comprar.
- B
La audiencia del sistema
El mismo build cambia de régimen según quién está del otro lado.
La excepción al deber de informar del 50(1) es la obviedad para un miembro medio, razonablemente bien informado, atento y circunspecto, de la audiencia prevista y razonablemente previsible del sistema. La Comisión orienta que esa excepción se lea restrictivamente, limitada a los casos en que casi no queda duda sobre la naturaleza de la interacción, y registra que la conciencia general de que existen sistemas de IA no implica reconocerlos durante la interacción. Los ejemplos publicados en las propias Guidelines cortan una única tecnología por la mitad: un asistente interno dirigido a empleados entrenados y con alfabetización en IA, en RR.HH., jurídico, compras, compliance o soporte de TI, queda fuera del alcance; un chatbot de plataforma o de helpdesk, cuyo output el usuario puede percibir como humano, queda dentro.
La obligación se fija en el contexto de deployment. Reapuntar un asistente interno hacia el público externo reabre la clasificación de ese sistema, y en la operación ese movimiento suele pasar como ajuste de configuración. La audiencia es un atributo de inventario, y casi ningún inventario de IA tiene ese campo.
- C
Los controles instalados
La exención industrial se prueba con perímetro, y se pierde sin él.
La Comisión reconoce casos de aplicaciones industriales o business-to-business, excluidos los sistemas públicos y dirigidos al consumidor, en que la marcación y la detección del 50(2) no son exigidas. Son tres condiciones acumulativas: el output es estrictamente técnico; está destinado a ser percibido y procesado solo por un número limitado y predefinido de profesionales dentro de la organización; y no está destinado a salir de la empresa ni a ser utilizable por externos, con salvaguardas apropiadas contra el uso indebido razonablemente previsible, por ejemplo aislamiento de nube y controles basados en rol.
El aislamiento y el control por rol son el perímetro de uso aceptable que una gobernanza madura ya instaló. Quien lo instaló logra evidenciar la exención sistema por sistema. Quien no lo instaló, marca.
Las obligaciones del Artículo 50 pueden incidir acumulativamente sobre un mismo sistema, alcanzando actores diferentes. Las fuentes están listadas al final.
La gobernanza aquí no es costo de conformidad. Es la diferencia entre demostrar una exclusión sistema por sistema y tener que marcarlo todo.
Lectura de Alkemia
El eje regulatorio del inventario es unidimensional.
El inventario de IA pregunta en qué clase de riesgo cae cada sistema. Esa pregunta no alcanza al Artículo 50, que el AI Act trata como una categoría propia, de riesgo de transparencia. Rol y audiencia son propiedades de un deployment: quién puso el sistema en el aire, bajo qué nombre, y frente a quién. Un mismo modelo, del mismo proveedor, con el mismo build, produce dos regímenes diferentes según esas dos respuestas. Mientras el inventario no registre las dos, la organización no sabe qué debe, ni logra demostrar qué no debe.
Nada de esto significa que tu empresa esté en falta. Buena parte de los sistemas internos de una organización con perímetro instalado debería quedar fuera del alcance, y las Guidelines de la Comisión son orientación, no ley: ellas mismas registran que la interpretación autoritativa corresponde al Tribunal de Justicia. La posición de Alkemia aquí es estrecha a propósito. La pregunta que el inventario responde hoy no es la pregunta que determina la exposición, y la clasificación de cada sistema concreto se valida con apoyo jurídico, y no se deduce de una guía.
Seis puntos para revisar en tu inventario de IA.
- 01
Rol jurídico por sistema
Para cada sistema interactivo o generativo en operación con alcance en la Unión Europea: ¿quién lo puso en servicio, y bajo qué nombre o marca? Un sistema desarrollado internamente y puesto a disposición bajo nombre propio coloca a la organización en el rol de provider, con las obligaciones de diseño que vienen con él. Un sistema de un tercero modificado y puesto en servicio bajo nombre propio, también.
- 02
Audiencia por deployment
¿Quién está del otro lado de cada sistema hoy, y quién puede estar el próximo trimestre? La excepción de obviedad se calibra por la audiencia prevista y razonablemente previsible, y debe leerse de forma restrictiva. Registra la audiencia como atributo del sistema y trata su cambio como un evento que reabre la clasificación.
- 03
Sistemas generativos anteriores a agosto
El Reglamento (UE) 2026/1744 insertó en el AI Act un artículo 111(4): los providers de sistemas que generan audio, imagen, video o texto sintético introducidos en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir el 50(2). El alcance de la transición es ese. El deber de informar del 50(1) venció en agosto, sin plazo adicional.
- 04
La exención industrial, evidenciable
Para cada sistema que la organización trataría como exento de la marcación: ¿las tres condiciones se sostienen por escrito? Output estrictamente técnico, audiencia profesional interna limitada y predefinida, sin destino externo y con salvaguardas contra el uso indebido previsible. La exención que la empresa no logra documentar es una exención que no tiene.
- 05
Revisión humana de texto publicado
Donde la empresa publica texto sobre materia de interés público con apoyo de IA, la excepción de control editorial exige revisión humana sustantiva y un responsable editorial nombrado. La Comisión excluye expresamente la verificación solo formal, la mera existencia de una política editorial y los procesos de revisión automatizados. Cualquier intervención sustantiva de IA después del sign-off anula la excepción.
- 06
El camino de demostración
La Comisión y el AI Board concluyeron que el Code of Practice on Transparency of AI-generated Content cubre adecuadamente los artículos 50(2), (4) y (5). Quien no adhiere demuestra conformidad por otros medios adecuados y, según la Comisión, debe hacer un análisis de brechas contra las medidas del código. Pesan dos salvedades: la propia Comisión afirma que la adhesión no constituye prueba concluyente de conformidad, y el código no alcanza el 50(1) ni el 50(3).
Cada punto depende del sistema concreto, del contrato con el proveedor y de la jurisdicción. Valida la clasificación de cada sistema con apoyo jurídico antes de actuar.
Las dos preguntas que tu inventario todavía no responde.
Para el CIO que responde por el inventario y para el consejo que ratifica la exposición, la pregunta operativa es: qué construyó la organización, bajo qué nombre eso entró en operación, y quién está del otro lado de cada sistema. Una conversación de 30 minutos, sin compromiso, mapea dónde tu organización probablemente ocupa el rol de provider, qué deployments cambian de régimen por la audiencia, y qué necesita estar registrado para sostener una exención. Si la conclusión es que la exposición ya está cubierta, esa también es una respuesta útil.
Hablar de tu decisióncontact@alkemia.io
Cada afirmación aquí traza al texto oficial.
Artículo 50, en términos de decisión.
- Nuestra empresa está fuera de la Unión Europea. ¿El Artículo 50 nos alcanza?
- El AI Act no se aplica territorialmente fuera de la Unión y por sí solo no crea obligación en suelo no comunitario. Alcanza por los puntos de conexión del Artículo 2(1): introducir un sistema en el mercado o ponerlo en servicio en la Unión, aunque el provider tenga su sede en un tercer país; operar como deployer con establecimiento en la Unión; o, estando fuera, producir output destinado a usarse en la Unión, hipótesis que el Recital 22 registra expresamente para prevenir la elusión. Sin ninguno de esos puntos, el Artículo 50 no alcanza. Con cualquiera de ellos, alcanza sistema a sistema, y el análisis vuelve al rol jurídico y a la audiencia.
- ¿El Artículo 50 del AI Act fue aplazado?
- No. El Reglamento (UE) 2026/1744 aplazó el régimen de alto riesgo al 2 de diciembre de 2027 (artículo 6(2) y Anexo III) y al 2 de agosto de 2028 (artículo 6(1) y Anexo I). Las obligaciones de transparencia del Artículo 50 se aplican desde el 2 de agosto de 2026. La única transición es el nuevo artículo 111(4): los sistemas generativos introducidos en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026 para cumplir la marcación del 50(2).
- ¿Mi empresa es provider o deployer bajo el Artículo 50?
- Depende de cada sistema, y puede ser los dos al mismo tiempo. La Comisión entiende que la organización que desarrolla un sistema interactivo o generativo internamente y lo pone en servicio bajo nombre o marca propios ocupa el rol de provider, y que lo mismo vale para quien modifica un sistema de un tercero y lo pone en servicio bajo nombre propio. La clasificación de un sistema concreto es una decisión jurídica y debe validarse con apoyo de counsel.
- ¿Un asistente interno de IA necesita avisar que es IA?
- La Comisión trata como exento al asistente interno dirigido a empleados entrenados y con alfabetización en IA, en áreas como RR.HH., jurídico, compras, compliance y soporte de TI. La misma tecnología frente a clientes, en un chatbot de plataforma o de helpdesk cuyo output puede percibirse como humano, queda en el alcance. La excepción se calibra por la audiencia prevista y razonablemente previsible, y la Comisión orienta que se lea de forma restrictiva.
- ¿Adherir al Code of Practice resuelve la conformidad?
- El código es el camino de demostración reconocido para los artículos 50(2), (4) y (5), y la Comisión y el AI Board concluyeron que cubre esas obligaciones adecuadamente. Pesan dos salvedades: la Comisión afirma que la adhesión no constituye prueba concluyente de conformidad, y el código no alcanza el 50(1) ni el 50(3). Un sistema que deba solo esas dos obligaciones no tiene camino de demostración por el código.
- ¿Por dónde empezar?
- Por el inventario de IA. Registra, para cada sistema, el rol jurídico que ocupa la organización y la audiencia que el sistema enfrenta, y trata el cambio de audiencia como un evento que reabre la clasificación. Con esos dos campos, la pregunta "¿qué debemos?" pasa a tener respuesta por sistema, en vez de respuesta por política.
La clasificación de un sistema concreto bajo el AI Act depende de los hechos de ese sistema, del contrato con el proveedor y de la jurisdicción aplicable. Antes de actuar, conviene validar el caso con apoyo jurídico.
Contenido informativo sobre el Reglamento (UE) 2024/1689 (AI Act), el Reglamento (UE) 2026/1744 y las Guidelines de la Comisión Europea sobre las obligaciones de transparencia del Artículo 50, adoptadas el 20 de julio de 2026. Las Guidelines son explícitamente no vinculantes y la interpretación autoritativa del AI Act corresponde al Tribunal de Justicia de la Unión Europea. Este material no constituye asesoramiento jurídico y no determina la clasificación, el rol ni las obligaciones de ningún sistema específico. Fechas y valores reflejan el texto en vigor en agosto de 2026; el calendario del AI Act ya fue enmendado una vez.