Desde el 2 de agosto de 2026, la aplicación y las nuevas obligaciones de transparencia convierten inventario, disclosure y procedencia en trabajo operativo.
La Comisión Europea anunció que, desde el 2 de agosto de 2026, la Oficina de IA y las autoridades nacionales comenzarían a aplicar el Reglamento de IA, junto con nuevas obligaciones de transparencia para determinados sistemas interactivos y contenidos generados o alterados mediante IA.
El mensaje práctico para las empresas es sencillo: la gobernanza ya no puede quedarse en un documento de política a la espera de que “llegue la regulación”.
La transparencia se convierte en requisito de producto
La Comisión indica que determinados chatbots y sistemas interactivos deben informar de que el usuario está tratando con una IA y no con una persona. Los deepfakes deben etiquetarse, y ciertos contenidos generados o alterados han de incorporar marcas legibles por máquinas.
Estas obligaciones afectan al diseño, los flujos de contenido, la selección de proveedores y la conservación de registros. El disclosure no puede ser un pie de página añadido por legal al final. Debe aparecer en el momento y canal adecuados, y sobrevivir cuando el contenido circula entre sistemas.
En voz, imagen y vídeo, la procedencia es especialmente difícil. Los metadatos se eliminan, los archivos se recomprimen y varios proveedores pueden participar en un mismo activo. La empresa necesita capas: aviso visible, señales legibles por máquinas, registros de origen y trazas internas.
Empezar por un inventario de sistemas de IA
No se puede gobernar lo que no se ha identificado.
El inventario debe incluir algo más que los productos aprobados oficialmente:
- agentes y chatbots de cara al cliente;
- funciones de IA integradas en herramientas SaaS;
- copilots internos y agentes de código;
- sistemas de scoring, recomendación y optimización;
- contenido generado;
- modelos de proveedores consumidos por API;
- modelos locales u open-weight;
- agentes experimentales conectados a datos reales;
- decisiones automatizadas heredadas de terceros.
Cada registro debería tener propietario, propósito, usuarios, fuentes de datos, proveedores, región, nivel de autonomía, personas afectadas, controles y cambios.
Una hoja de cálculo puede iniciar el trabajo. Rara vez basta cuando crecen los agentes y las funciones embebidas.
La clasificación debe conectarse con ingeniería
La clasificación jurídica del riesgo importa, pero el equipo de producción necesita controles implementables.
Por ejemplo:
- componentes de disclosure y logs de interacción;
- checkpoints de supervisión humana;
- fuentes y retención aprobadas;
- evaluaciones de rendimiento y sesgo;
- gestión de incidentes y reclamaciones;
- documentación técnica;
- control de cambios de modelos, prompts y herramientas;
- mecanismos de procedencia y etiquetado;
- accesos y segregación de funciones.
El paso crucial es pasar de “este sistema pertenece a la categoría X” a “por tanto, esta release debe superar los controles A, B y C”.
El calendario no es una única fecha
Las obligaciones entran en vigor de forma escalonada según fechas y categorías. Los equipos no deberían reducir el Reglamento a un solo hito de agosto. Los sistemas de alto riesgo, modelos de propósito general, deberes de transparencia y sistemas existentes pueden seguir disposiciones y transiciones distintas.
La implementación también dependerá de guías, estándares y aplicación nacional. La interpretación puede cambiar.
Por eso el gobierno debe construirse como un sistema actualizable, no como un proyecto puntual. Políticas, evidencias y clasificaciones necesitan versionado.
Cinco acciones para el próximo consejo
- Nombrar responsables. La IA no puede quedar en tierra de nadie entre innovación, IT, datos, legal y seguridad.
- Completar el inventario. Incluir shadow AI y capacidades embebidas en proveedores.
- Priorizar transparencia. Mapear interacciones de clientes y empleados donde pueda ser obligatorio informar.
- Conectar controles con delivery. Añadir checkpoints de gobernanza a arquitectura, compras y CI/CD.
- Preparar evidencia. Conservar evaluaciones, decisiones, versiones, incidentes y supervisión en un formato utilizable.
No se trata de generar burocracia para cada llamada. Se trata de hacer explicables y controlables los sistemas con consecuencias.
La visión de Lexdatum
Una arquitectura consciente del cumplimiento es más rápida que la remediación posterior.
Un agente bien diseñado ya conoce propietario, permisos, herramientas, versión de política y ruta de escalado. Un flujo de datos bien diseñado ya registra procedencia. Un proceso de release bien diseñado ya ejecuta evaluaciones y conserva evidencia.
El Reglamento aumenta el coste de la ambigüedad. También recompensa a quienes tratan la gobernanza como parte de la ingeniería.
Este análisis ofrece información general y no constituye asesoramiento jurídico. La aplicabilidad y los plazos deben evaluarse para cada sistema, rol y jurisdicción con profesionales cualificados.
Fuentes
- European Commission — Commission starts enforcing AI Act rules and new transparency requirements on 2 August (2026-07-31)
Nota de investigación: este análisis se basa en información pública disponible a 31 de agosto de 2026. Las capacidades, los precios y las interpretaciones regulatorias pueden cambiar. Las métricas comunicadas por proveedores se identifican como tales. No constituye asesoramiento jurídico, de seguridad o inversión.