El pasado domingo 02-08-2026 entró en aplicación la parte del reglamento europeo de inteligencia artificial que más gente va a notar. No obliga a etiquetar todo lo que toca un modelo. Obliga a algo más incómodo: a no dejar que nadie confunda una recreación con la realidad. Y en España llega con una particularidad, porque la ley que fija las multas todavía está en el Congreso.
1. No, España no ha aprobado aún una ley de inteligencia artificial
Conviene empezar deshaciendo el malentendido que circula desde hace un tiempo, porque condiciona todo lo demás. Lo que se aplica desde el 2 de agosto no es una norma española, sino el Reglamento (UE) 2024/1689, conocido como reglamento europeo de inteligencia artificial o AI Act. Es directamente exigible en los veintisiete Estados miembros sin necesidad de que ningún parlamento nacional lo apruebe ni lo transponga. Funciona igual que funcionó en su día el reglamento de protección de datos: obliga desde Bruselas y se aplica en Madrid, en nuestro caso.
La ley española existe, pero todavía no es ley. Es el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que el Consejo de Ministros aprobó el pasado 26/05/2026, que se publicó en el Boletín Oficial de las Cortes Generales del 12/06/2026 y que sigue en tramitación parlamentaria, sujeto a enmiendas. Su función es distinta y complementaria: designar quién vigila, ordenar cómo se reclama y fijar cuánto cuesta incumplir. No decide qué es obligatorio, decide quién te lo pide y con qué consecuencias. La distinción no es un tecnicismo para juristas. Significa que la obligación ya vincula a cualquier empresa o profesional español aunque el Congreso no haya terminado su trabajo, y que la parte pendiente es precisamente la que duele en la cuenta de resultados.
2. Ordenemos la hoja de ruta actual
Buena parte de la confusión viene de que este reglamento no entró en vigor de golpe, sino por fases, y de que esas fases se han retocado sobre la marcha. El retoque tiene nombre propio y aparece constantemente en las noticias de las últimas semanas, casi siempre sin explicar: el famoso, para algunos, Ómnibus.
Un reglamento ómnibus es una norma que modifica varias normas anteriores de una sola vez, igual que un autobús recoge a varios pasajeros en el mismo trayecto. En este caso concreto hablamos del Reglamento (UE) 2026/1744, llamado oficialmente Ómnibus digital sobre IA, que se publicó en el Diario Oficial de la Unión Europea el 24/07/2026 y entró en vigor recientemente (27/07/2026), apenas seis días antes de la fecha clave. No es una norma nueva sobre inteligencia artificial, sino una reforma del reglamento de 2024 que además toca las normas europeas de aviación civil y de máquinas. Su objetivo era simplificar el cumplimiento y reprogramar plazos donde faltaban estándares técnicos y autoridades preparadas. La lectura que circuló en los titulares, la de que Europa daba marcha atrás en la regulación de la IA, es incompleta: el Ómnibus aplazó lo más pesado y mantuvo intacto lo que más gente afecta.
Esta es la secuencia real de lo que ha ido aconteciendo desde el 2024 y que he resumido para aclarar la situación actual, indicando lo que ya obliga y lo que todavía no.
Leído así, el titular de las últimas semanas se entiende mejor. El Ómnibus retrasó lo más costoso, que son los sistemas de alto riesgo, y no tocó el 2 de agosto para la transparencia. Aplazó lo que afecta a unos pocos miles de organizaciones y mantuvo en pie lo que afecta a cientos de miles de empresas, autónomos y creadores.
3. La regla no es haber usado IA, es que pueda parecer real
Aquí está el error más extendido de estos días. El artículo 50 no impone etiquetar cualquier contenido en cuya elaboración haya intervenido un modelo. Impone transparencia en situaciones concretas, y la primera de ellas afecta a cualquier empresa con un asistente conversacional en su web. El texto oficial es este:
Artículo 50.1 del Reglamento (UE) 2024/1689
«Los proveedores garantizarán que los sistemas de IA destinados a interactuar directamente con personas físicas se diseñen y desarrollen de forma que las personas físicas de que se trate estén informadas de que están interactuando con un sistema de IA, excepto cuando resulte evidente desde el punto de vista de una persona física razonablemente informada, atenta y perspicaz, teniendo en cuenta las circunstancias y el contexto de utilización.»
La segunda situación es el marcado técnico, que recae sobre quien fabrica la herramienta y no sobre quien la usa. Es la obligación que hace posible detectar el origen artificial de un archivo aunque nadie lo declare, y por eso importa más de lo que parece: si tu proveedor no la cumple, tú te quedas sin la evidencia con la que demostrar que actuaste correctamente.
Artículo 50.2 del Reglamento (UE) 2024/1689
«Los proveedores de sistemas de IA, entre los que se incluyen los sistemas de IA de uso general, que generen contenido sintético de audio, imagen, vídeo o texto, velarán por que los resultados de salida del sistema de IA estén marcados en un formato legible por máquina y que sea posible detectar que han sido generados o manipulados de manera artificial.»
La tercera es la que más gente va a notar, y también la peor entendida, porque la palabra que usa la versión española del reglamento no es deepfake sino ultrasuplantación. El criterio no es la intención de engañar, sino el parecido con algo real.
Artículo 50.4 del Reglamento (UE) 2024/1689
«Los responsables del despliegue de un sistema de IA que genere o manipule imágenes o contenidos de audio o vídeo que constituyan una ultrasuplantación harán público que estos contenidos o imágenes han sido generados o manipulados de manera artificial. [...] Cuando el contenido forme parte de una obra o programa manifiestamente creativos, satíricos, artísticos, de ficción o análogos, las obligaciones de transparencia establecidas en el presente apartado se limitarán a la obligación de hacer pública la existencia de dicho contenido generado o manipulado artificialmente de una manera adecuada que no dificulte la exhibición o el disfrute de la obra.»
Merece la pena detenerse en lo que esto deja fuera, porque es mucho. Una ilustración manifiestamente fantástica, un dragón, una persona volando o un personaje imposible no encajan en la definición, ya que nadie los va a tomar por auténticos. Un flyer, un fondo generado, un texto comercial o un post de producto tampoco. En cambio sí encaja un vídeo corporativo con un avatar hiperrealista del director general, aunque su uso sea perfectamente legítimo y nadie pretenda manipular a nadie, y encaja también una voz clonada para una locución. La frontera no la marca la herramienta que has usado, la marca si el resultado puede confundirse con la realidad. Y en las obras artísticas o satíricas la obligación no desaparece, solo se modula: el aviso puede ir en los créditos, en la descripción o en el pie de imagen, donde no arruine la pieza.
4. Si monetizas tu perfil, esto ya va contigo
El reglamento excluye la actividad personal no profesional, así que el vídeo doméstico que le haces a tu cuñado con una app de intercambio de caras no le interesa a nadie en Bruselas. El problema es que esa frontera entre lo personal y lo profesional es mucho más porosa de lo que parece, y que miles de personas en España la cruzaron hace años sin darse cuenta.
Un creador que monetiza, que factura colaboraciones, que vende un curso, que gestiona el perfil de una marca o que usa su cuenta como escaparate de su actividad ya no está en el terreno doméstico. Es un responsable del despliegue en el sentido del reglamento, con las obligaciones que eso conlleva sobre todo lo que publica. Lo mismo vale para la agencia que produce el contenido de un cliente, para el fotógrafo que retoca con generación de imagen y para el estudio que dobla una voz sintética. El 2 de agosto esa línea, que hasta ahora solo tenía consecuencias fiscales, empezó a tenerlas también regulatorias. Y el aviso, cuando toca darlo, tiene que ser perceptible a simple vista desde la primera exposición al contenido, no un rótulo en el segundo final ni una nota enterrada en la descripción.
5. La cláusula que ampara a quien escribe con ayuda de IA
Este es el punto que más tranquiliza a periodistas, consultores, autores de boletines y responsables de contenidos, y el que menos se explica bien. El reglamento obliga a declarar los textos generados con IA que se publican para informar al público sobre asuntos de interés público, pero acto seguido abre una excepción que cambia por completo el planteamiento.
Artículo 50.4, párrafo segundo, del Reglamento (UE) 2024/1689
«Los responsables del despliegue de un sistema de IA que genere o manipule texto que se publique con el fin de informar al público sobre asuntos de interés público divulgarán que el texto se ha generado o manipulado de manera artificial. Esta obligación no se aplicará cuando el uso esté autorizado por ley para detectar, prevenir, investigar o enjuiciar delitos, o cuando el contenido generado por IA haya sido sometido a un proceso de revisión humana o de control editorial y cuando una persona física o jurídica tenga la responsabilidad editorial por la publicación del contenido.»
Conviene leerlo dos veces, porque las dos condiciones son acumulativas y ninguna es un trámite. Hace falta una revisión humana efectiva, que las directrices de la Comisión distinguen expresamente de una corrección ortográfica o de un visto bueno somero, y hace falta que alguien identificable asuma la responsabilidad editorial de lo publicado. La norma no penaliza escribir con ayuda de una máquina, penaliza publicar sin que nadie responda de lo publicado. La pregunta regulatoria no es qué herramienta has usado, sino quién firma el resultado. Es probablemente la mejor idea del artículo 50 y también la más exigente, porque esa revisión hay que poder acreditarla: sin un registro del flujo editorial, la excepción es una afirmación sin respaldo el día que alguien la cuestione.
6. Cuánto cuesta todo esto cuando la ley española se apruebe
Aquí es donde el titular repetido estos meses, ese de las multas de 35 millones por no etiquetar contenido, deja de tener sentido cuando leemos la ley en profundidad. El proyecto español no mete el etiquetado en el cajón más caro. Lo tipifica como infracción grave, en su artículo 21:
Artículo 21.1.b del Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial
«Constituyen infracciones graves de los responsables del despliegue de sistemas de IA: [...] El incumplimiento del artículo 50.4 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de hacer pública, en los términos que establece el apartado 5 del mismo artículo, la naturaleza artificial de los resultados de salida de un sistema que genere o manipule imágenes o contenidos de audio o vídeo que constituyan una ultrasuplantación, o que genere o manipule texto destinado a informar al público sobre asuntos de interés público.»
Los 35 millones existen, pero están reservados a otra cosa. Son la sanción de las prácticas prohibidas, las que el reglamento veta de raíz, como la manipulación subliminal de personas vulnerables o la puntuación social de ciudadanos. Ordenados por conducta, y con los topes que fija el artículo 99 del Reglamento (UE) 2024/1689, al que el proyecto español dice ajustarse expresamente, el cuadro queda así.
Hay dos matices que cambian mucho la lectura para una empresa mediana española. El primero es que para PYMES y empresas emergentes se aplica la cifra menor de las dos, no la mayor, de modo que una consultora de veinte personas no se enfrenta a quince millones sino al porcentaje de su facturación. El segundo es que el proyecto incorpora reducciones por pronto pago y por adopción de medidas correctoras, y prioriza la corrección sobre el castigo en las infracciones de menor entidad. Nada de esto está aprobado todavía, y las cuantías exactas de cada tramo pueden moverse en el trámite de enmiendas.
7. La ley ya obliga, pero el radar todavía se está montando
Merece la pena bajar el entusiasmo institucional un momento. España aplica desde el domingo una obligación cuyo régimen sancionador nacional sigue en el Congreso, y lo hace con más de un año de retraso sobre el calendario que el propio reglamento europeo marcaba a los Estados para tener listas sus reglas de sanción. El proyecto designa a la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) como autoridad de vigilancia del mercado precisamente para esto, en su artículo 5.2.h, que le atribuye los sistemas de IA sujetos a las obligaciones de transparencia del artículo 50. La agencia que tiene que aplicarlo cambió de dirección en diciembre de 2025 y afronta su año más exigente con su propia ley sin cerrar y con una previsión, en ese mismo texto, de reconvertirse en entidad de derecho público en los seis meses siguientes a la aprobación.
La conclusión no es que no vaya a pasar nada. Estamos en un escenario intermedio bastante incómodo: obligación plenamente exigible, capacidad de supervisión en construcción y un mercado que llega tarde, con casi un tercio de los CEOs de grandes empresas españolas reconociendo en julio que aún no habían implementado medidas. Ese hueco no protege a nadie. Solo reparte la incertidumbre entre quienes cumplen y quienes no, que es la peor manera de empezar una regulación.
8. La paradoja de la etiqueta
Queda una pregunta que la norma no resuelve y que decidirá si todo esto sirve para algo. Si el contenido sintético se generaliza, y se está generalizando a una velocidad que ninguna ley va a igualar, la etiqueta dejará de ser una señal distintiva para convertirse en ruido de fondo. Cuando todo lleva marca, la marca informa poco. El riesgo real no es que la gente vea demasiadas etiquetas, sino que deje de verlas, exactamente igual que dejó de leer los avisos de cookies que hoy acepta a ciegas para llegar al contenido.
Por eso la parte más interesante del artículo 50 no es el etiquetado, sino la excepción editorial. Ahí el legislador reconoce, casi de pasada, que la confianza no la genera declarar cómo se ha fabricado algo, sino que exista alguien dispuesto a responder de ello. Poner una marca cuesta un clic. Asumir la responsabilidad de lo que publicas exige revisarlo, entenderlo y sostenerlo si alguien lo discute, y eso no se automatiza.
9. Conclusión
El 2 de agosto no llegó la regulación de la inteligencia artificial. Llegó una parte muy concreta, la que exige que las máquinas se presenten y que las recreaciones realistas se declaren. Lo verdaderamente exigente está fechado en diciembre de 2027 y agosto de 2028, y España todavía tiene por delante aprobar la ley que ponga precio a los incumplimientos. Quien esté esperando a que se apruebe para empezar a ordenar su casa habrá perdido dos años de margen y llegará con la obligación ya vencida.
10. Lo que veo cuando levanto la vista del BOE y reflexiono sobre la situación actual y venidera
Llevo semanas leyendo el BOE y el DOUE, y creo que conviene salir un momento del detalle para mirar la foto completa, porque lo que está pasando aquí es una pieza pequeña de una partida mucho más grande.
Hasta hace nada, la posición de Estados Unidos era previsible: barra libre, que corra el dinero y que llegue tan lejos como pueda llegar. Muy propio de allí. Esa administración derogó por decreto las normas de su predecesor y llegó a amenazar a los estados que quisieran regular por su cuenta. Y de repente, el 2 de junio de 2026, firma la Orden Ejecutiva 14409, que obliga a las empresas a someter sus modelos más potentes a revisión federal hasta treinta días antes de lanzarlos. Diez días después, el 12 de junio, el Departamento de Comercio aplica controles de exportación a dos modelos comerciales, Mythos 5 y Fable 5, algo que hasta entonces solo se había hecho con chips y con maquinaria de fabricación. Anthropic tuvo que suspender el acceso, incluso para sus propios empleados extranjeros, y no lo recuperó hasta el 1 de julio.
Lo que cambió no fue la ideología, fue la percepción del riesgo. Cuando los más partidarios de la barra libre montan el primer mecanismo de revisión previa de modelos de frontera de la historia de su país, es porque han visto algo que no esperaban ver todavía. Y ese algo tiene nombre concreto en los documentos: la capacidad de estos sistemas para analizar infraestructuras digitales complejas y encontrar en ellas fallos de seguridad con una eficacia inédita. La misma habilidad que sirve para blindar una red sirve para desmontarla, y la diferencia entre una cosa y otra es quién tiene el teclado. En cuanto un modelo pasa de ser un producto a ser una capacidad estratégica, deja de tratarse como software y empieza a tratarse como material sensible. Ahí es donde estamos.
A mí eso me parece la señal más reveladora de todo el año, mucho más que cualquier debate sobre productividad. Nadie frena lo que le está enriqueciendo salvo que calcule que el daño potencial supera el beneficio. Estados Unidos hizo ese cálculo en junio, en once días, y lo hizo sobre ciberseguridad y seguridad nacional. No sobre ética, ni sobre derechos, ni sobre transparencia. Sobre la posibilidad real de que una herramienta comercial se convierta en un instrumento de ataque.
Siempre he pensado que tiene que existir una regulación y que, a ser posible, debería ser mundial y con las mismas reglas para todos. También sé que eso es prácticamente imposible con la partida de ajedrez que juegan Estados Unidos y China, donde el control se ejerce sobre los chips, sobre los centros de datos y ahora también sobre los propios modelos. Y seamos sinceros: en esa partida, Europa cuenta poco. No entrenamos los modelos de frontera, no fabricamos las GPU y no tenemos las empresas que marcan el ritmo. Regulamos algo que en su mayor parte construyen otros, y esa es una posición incómoda que conviene reconocer en lugar de disimularla con retórica de liderazgo ético.
Dicho eso, creo que hay algo que sí estamos haciendo bien. Mientras Washington vigila el extremo superior de la escala, el de los modelos capaces de comprometer un país, Europa está trabajando en el otro extremo, el que toca a la gente todos los días: el vídeo falso de una persona real, la voz clonada de un familiar en una llamada, el bulo con apariencia de noticia. Toda tecnología pensada para ayudar tiene su lado oscuro, y cuanto antes se le pone freno a esa parte, menos daño acumula. Poner límites al mal uso no frena la innovación, frena el abuso, que no es lo mismo por mucho que se repita lo contrario. Que una empresa avise de que su asistente es una máquina, que un vídeo hiperrealista de una persona real venga declarado, que alguien firme lo que publica: nada de eso impide a nadie construir. Y llega en el momento justo, porque estas herramientas ya están al alcance de cualquiera con un móvil y quince euros al mes.
Puede que dentro de unos años miremos el reglamento europeo y nos parezca ingenuo, corto o mal calibrado. Es probable. Pero me cuesta imaginar el argumento contrario, el de haber esperado a ver qué pasaba. En tecnología, esperar a ver qué pasa suele significar aceptar lo que otro decidió por nosotros.
11. Y yo me pregunto…
Tras releer todo lo escrito en estas líneas, siguen abrumándome varias preguntas que no puedo dejar de compartir y que sirvan de reflexión para que todos nos las planteemos.
¿Estamos regulando la inteligencia artificial porque por fin hemos entendido lo que puede hacer, o simplemente porque nos hemos asustado a tiempo?
Cuando una tecnología avanza más rápido de lo que tardamos en ponernos de acuerdo sobre ella, ¿quién fija de verdad los límites, los parlamentos que la regulan o las empresas que la escriben?
Mi generación aprendió a desconfiar de lo que le contaban, pero creció confiando en lo que veía. Si eso segundo también se acaba, ¿sobre qué construimos la confianza a partir de ahora?
12. Dejo aquí algunas URLs de consulta para ampliar información que me han sido útiles.
12.1 Normativa europea
• Reglamento (UE) 2024/1689, reglamento europeo de inteligencia artificial, texto oficial en español: https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=OJ:L_202401689
• Reglamento (UE) 2026/1744, Ómnibus digital sobre IA, ficha oficial en EUR-Lex: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX%3A32026R1744
• Ficha del Ómnibus digital sobre IA en el Boletín Oficial del Estado: https://www.boe.es/buscar/doc.php?id=DOUE-L-2026-81147
12.2 Interpretación y herramientas oficiales de la Comisión Europea
• Artículo 50 del reglamento, con texto íntegro y considerandos, en el AI Act Service Desk de la Comisión Europea: https://ai-act-service-desk.ec.europa.eu/es/ai-act/article-50
• Calendario oficial de aplicación del reglamento europeo de IA: https://ai-act-service-desk.ec.europa.eu/es/ai-act/timeline/calendario-para-la-aplicacion-de-la-ley-de-ia-de-la-ue
• Código de buenas prácticas sobre transparencia de los contenidos generados por IA, con el formulario de adhesión y la lista de firmantes: https://digital-strategy.ec.europa.eu/es/policies/code-practice-ai-generated-content
12.3 Normativa española en tramitación
• Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, texto íntegro publicado en el Boletín Oficial de las Cortes Generales, Serie A número 97-1, de 12 de junio de 2026: https://www.congreso.es/public_oficiales/L15/CONG/BOCG/A/BOCG-15-A-97-1.PDF
• Nota oficial del Consejo de Ministros sobre la remisión del proyecto al Congreso: https://espanadigital.gob.es/actualidad/el-consejo-de-ministros-aprueba-el-proyecto-de-ley-organica-para-el-buen-uso-y-la
• Nota del Ministerio para la Transformación Digital y de la Función Pública con el detalle del régimen sancionador: https://digital.gob.es/comunicacion/notas-prensa/mtdfp/2025/03/2025-03-11
12.4 Autoridad de supervisión en España
• Agencia Española de Supervisión de la Inteligencia Artificial, con sus guías de autoevaluación y materiales de cumplimiento: https://aesia.digital.gob.es/es