Etiquetado de IA según el AI Act de la UE: la gran guía

A partir del 2 de agosto de 2026, las empresas de toda la UE deberán identificar de forma transparente los contenidos generados por IA bajo determinadas condiciones. La base legal es el artículo 50 del Reglamento de IA de la UE (AI Act). Esta guía reúne todo lo que los equipos de marketing, los comercios electrónicos, las marcas D2C y las agencias en España necesitan saber al respecto: qué exige la ley, quién está afectado, qué plazos y multas se aplican y cómo etiquetar correctamente en la práctica tus imágenes, vídeos y textos. Para cada cuestión de detalle, la sección correspondiente remite a un artículo en profundidad.

Índice

• Qué exige el AI Act de la UE (art. 50)
• Quién está afectado: proveedores y responsables del despliegue
• Plazos: desde cuándo se aplica qué
• Multas, sanciones y requerimientos
• Cómo etiquetar correctamente los contenidos IA
• Etiquetado por formato: imágenes, vídeos, textos
• Los iconos oficiales de la UE
• Comprobar el etiquetado
• Checklist en 7 pasos
• Preguntas frecuentes

Qué exige el AI Act de la UE (art. 50)

La obligación de etiquetado de la IA se deriva del artículo 50 del Reglamento (UE) 2024/1689, el Reglamento de IA de la UE (AI Act). El artículo lleva, en el texto original, el título «Transparency Obligations for Providers and Deployers of Certain AI Systems». El objetivo es sencillo: las personas deben poder reconocer cuándo se enfrentan a contenidos generados o manipulados por IA, y cuándo interactúan con una máquina en lugar de con un ser humano.

El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024. Sin embargo, sus obligaciones se aplican de forma escalonada. Las obligaciones de transparencia del artículo 50 tienen efecto 24 meses después de la entrada en vigor, es decir, el 2 de agosto de 2026. Hasta entonces, las empresas tienen tiempo para adaptar sus procesos.

Un punto importante para entenderlo: no se trata de una prohibición de los contenidos IA. Quien publica contenidos IA puede seguir haciéndolo sin restricciones, simplemente debe declararlo. Tampoco exige la ley una formulación o un logotipo determinado. Lo decisivo es que la divulgación sea clara, reconocible y oportuna.

El artículo 50 exige así dos niveles técnicamente muy distintos. La divulgación visible hacia las personas (apartado 4) afecta sobre todo a los responsables del despliegue. El marcado legible por máquina en el archivo (apartado 2) afecta a los proveedores de los sistemas de IA. A esto se añade una obligación propia para los chatbots (apartado 1): los usuarios deben saber, al inicio de la interacción, que se están comunicando con una IA, salvo que esto ya sea evidente por el contexto. Cuál de estos niveles te afecta depende de tu rol. Una explicación compacta de los términos técnicos, desde «sintético» hasta «Content Credentials», se ofrece en el glosario del etiquetado de IA.

Quién está afectado: proveedores y responsables del despliegue

El artículo 50 distingue de forma consistente entre dos roles. Esta distinción es la palanca más importante para determinar tus obligaciones concretas.

• Proveedor (provider) es quien desarrolla un sistema de IA y lo introduce en el mercado con su propio nombre. Ejemplos: OpenAI, Midjourney, Google, Black Forest Labs. Los proveedores están sujetos al artículo 50, apartado 2, y deben marcar sus resultados de forma legible por máquina.
• Responsable del despliegue (deployer) es quien utiliza un sistema de IA en el marco de su actividad profesional o comercial para crear o publicar contenidos. Ejemplos: la tienda online, la agencia, el autónomo, la administración pública. Los responsables del despliegue están sujetos al artículo 50, apartado 4, y deben divulgar de forma visible los deepfakes y determinados textos.

Para la mayoría de las empresas de marketing, e-commerce y pymes se aplica lo siguiente: normalmente eres responsable del despliegue. Si generas una foto de producto con Midjourney, escribes un texto con ChatGPT o generas un vídeo publicitario con una herramienta de vídeo, estás utilizando sistemas de IA ajenos, no los construyes tú. El marcado legible por máquina en el origen corresponde al respectivo proveedor de la herramienta; tu obligación como responsable del despliegue afecta a la divulgación visible ante tu público.

Sin embargo, los roles no son excluyentes. Quien modifica sustancialmente un modelo adquirido, lo renombra o lo ofrece como producto propio bajo su propio nombre puede convertirse él mismo en proveedor y asume entonces adicionalmente las obligaciones del apartado 2. Para la inmensa mayoría de los usuarios, no obstante, se mantiene el rol de responsable del despliegue. Encontrarás el test de decisión completo en Proveedor o responsable del despliegue: quién debe etiquetar los contenidos IA.

Plazos: desde cuándo se aplica qué

La fecha decisiva es el 2 de agosto de 2026. A partir de ese día, las obligaciones de transparencia y etiquetado del artículo 50 se aplican directamente. Resulta de la entrada en vigor del reglamento el 1 de agosto de 2024, más un periodo transitorio de 24 meses. La fecha frecuentemente mencionada del «8 de agosto» es incorrecta, no tiene fundamento legal alguno.

Existe un matiz importante, pero muy limitado. En el marco del llamado Digital Omnibus (a fecha de mayo de 2026, provisional), la obligación de marcado legible por máquina del apartado 2 se ha aplazado al 2 de diciembre de 2026 para los sistemas introducidos en el mercado antes del 2 de agosto de 2026. Esto afecta exclusivamente a sistemas ya existentes a nivel de los proveedores.

No se ha aplazado nada de lo relacionado con el etiquetado visible:

• La fecha límite central del 2 de agosto de 2026 se mantiene fija.
• El etiquetado visible por parte del responsable del despliegue de los deepfakes (apdo. 4) se aplica desde el 2 de agosto de 2026.
• La divulgación de los chatbots (apdo. 1) se aplica desde el 2 de agosto de 2026.

Para la inmensa mayoría de las empresas que son responsables del despliegue, el aplazamiento no cambia nada. Tus obligaciones visibles entran en vigor el 2 de agosto de 2026. Además, el aplazamiento es provisional y puede cambiar en el curso del procedimiento legislativo. La estrategia segura es tratar el 2 de agosto de 2026 como tu fecha límite real y considerar el margen de diciembre solo como un periodo de gracia técnico para los sistemas antiguos. El artículo AI Act: plazos y multas de un vistazo reúne la línea de tiempo completa con todos los detalles.

Multas, sanciones y requerimientos

En caso de incumplimiento de las obligaciones de transparencia del artículo 50, se prevén multas de hasta 15 millones de euros o el 3 % de la facturación anual mundial, lo que sea mayor. Este es el marco verificado que debes recordar. Las autoridades de supervisión determinan el importe caso por caso, según la gravedad, la duración y la intencionalidad. Un descuido puntual se valora de forma distinta a un ocultamiento sistemático.

Conviene corregir aquí una desinformación muy extendida: en muchos artículos circula la cifra, considerablemente más alta, de 35 millones de euros o el 7 %. Para la obligación de transparencia y etiquetado del artículo 50, esa cifra es sencillamente incorrecta. El marco superior se aplica a las infracciones más graves de prácticas de IA prohibidas (artículo 5), no al etiquetado. Quien anuncia la falta de etiquetado IA con la cifra de 35 millones está cayendo en un mito muy extendido.

Además de la multa administrativa, en Alemania existe un segundo riesgo, a menudo subestimado: el requerimiento conforme a la ley de competencia desleal (UWG). Un etiquetado IA ausente o engañoso, por ejemplo en publicidad o fotos de producto, puede considerarse una práctica comercial desleal y dar lugar a un requerimiento por parte de competidores o asociaciones legitimadas para actuar. A diferencia de un procedimiento sancionador, que primero debe iniciar una autoridad, un requerimiento puede llegar en cuestión de días y acarrear costes de requerimiento, una declaración de cese con pena convencional y una cláusula penal. Precisamente en el comercio online, este riesgo es en la práctica más relevante que la sanción administrativa máxima.

Existe un tercer nivel que no aparece en ningún texto legal, pero que a menudo pesa más para las marcas: el daño reputacional. Si se hace público que una empresa oculta contenidos IA, la pérdida de confianza es inmediata. A esto se suman las sanciones de plataforma: Meta, Instagram, TikTok, Amazon o eBay están desarrollando sus propias normas de etiquetado, cuya infracción puede provocar reducción de alcance, anuncios rechazados o bloqueo de listados, independientemente de la ley. Puedes leer qué hacer en caso de un requerimiento y cómo protegerte en Etiquetado de IA: sanciones, multas y requerimientos.

Cómo etiquetar correctamente los contenidos IA

El AI Act de la UE exige, según el rol, hasta cuatro elementos que se combinan entre sí. Para una práctica jurídicamente segura, conviene combinarlos de modo que el etiquetado se mantenga incluso si un nivel se pierde al compartir o subir el archivo.

El icono visible de la UE (responsable del despliegue, apdo. 4) es la divulgación reconocible por las personas, directamente en el contenido. Debe estar en la imagen o en el fotograma del vídeo, idealmente complementado con el texto adicional «generado por IA». Un aviso oculto en el pie de página o en el aviso legal no basta en absoluto. Para los responsables del despliegue en marketing y e-commerce, este es el elemento central exigido por ley.

Los metadatos IPTC/XMP legibles por máquina (proveedor, apdo. 2) se encuentran, de forma invisible, en el archivo y son leídos por plataformas y herramientas de verificación. El campo relevante se llama «DigitalSourceType» y se guarda en el bloque XMP. Para contenidos generados completamente por IA, el valor correcto es trainedAlgorithmicMedia. Si una imagen real solo se ha modificado parcialmente con IA, por ejemplo sustituyendo el fondo, el valor correcto es compositeWithTrainedAlgorithmicMedia. Este nivel es obligatorio para los proveedores. Para los responsables del despliegue es voluntario, pero constituye una buena práctica muy recomendable, porque las plataformas y los buscadores recurren cada vez más a estas señales.

Una marca de agua invisible sirve como redundancia. Se incrusta directamente en los píxeles y resiste mucho mejor que un bloque de metadatos la recompresión, el escalado y una edición moderada. Donde los datos IPTC/XMP se eliminan al subir el archivo, la marca de agua a menudo conserva la información legible por máquina.

C2PA / Content Credentials es el nivel de firma opcional. C2PA adjunta al archivo un manifiesto firmado criptográficamente que documenta de forma verificable con qué y cuándo se creó un contenido. Si el archivo se manipula, la firma se rompe. C2PA es lo que mejor cumple los criterios «robusto» y «fiable» del artículo 50, apartado 2, pero también puede perderse si una plataforma elimina todos los metadatos.

Ninguna de estas técnicas cumple por sí sola los cuatro requisitos del reglamento: «eficaz, interoperable, robusto y fiable, en la medida en que sea técnicamente viable». Solo la combinación de todas ellas compensa las debilidades de cada una. En la práctica, muchas empresas combinan por ello la etiqueta visible para el público con metadatos legibles por máquina para plataformas y herramientas de verificación. El artículo Etiquetado de IA legible por máquina: C2PA, IPTC y marca de agua muestra cómo escribir técnicamente los metadatos C2PA, XMP e IPTC y dónde están los límites. Puedes aplicar los cuatro elementos de una sola vez con nuestra herramienta gratuita, ábrela aquí.

Etiquetado por formato: imágenes, vídeos, textos

El alcance de la obligación varía según el tipo de contenido. El caso de riesgo central en todos los formatos es el deepfake, un término propio del reglamento: material de imagen, audio o vídeo generado o manipulado por IA que se asemeja de forma engañosa a personas, objetos, lugares o eventos reales. No toda imagen IA es automáticamente un deepfake. Un motivo fantástico manifiestamente artificial o una ilustración estilizada no entra en esta categoría.

Imágenes. Las imágenes creadas o manipuladas artificialmente que parecen reales deben divulgarse como generadas por IA. Un retoque puramente cosmético y poco relevante (exposición, dominante de color, eliminación de polvo en una foto real) por lo general no convierte el resultado en un deepfake sujeto a etiquetado. Cuanto más altera la intervención la realidad representada, o cuanto más engañosamente real parece el resultado, con más probabilidad se aplica la obligación. En caso de duda, y con resultados fotorrealistas, el etiquetado es la opción más segura.

Vídeos. Para los vídeos sintéticos o manipulados se aplican las mismas reglas de deepfake que para las imágenes. La diferencia está en la técnica: plataformas como YouTube, Instagram o TikTok prácticamente siempre recodifican los archivos subidos (reencoding) y en el proceso a menudo eliminan los metadatos. Por eso, en vídeo, una superposición visible renderizada en la imagen y una marca de agua invisible son un requisito obligatorio, no algo opcional. La etiqueta debe ir en una esquina de la imagen, visible durante toda la duración o al menos los primeros segundos, con suficiente contraste y fuera de las zonas de interfaz de la plataforma.

Textos. Los textos son el caso especial. Según el apartado 4, los textos IA publicados solo deben divulgarse si informan al público sobre asuntos de interés público, por ejemplo información sobre política, salud o actualidad. Las descripciones de producto, así como los textos de marketing y de servicio, por lo general no están afectados. E incluso en temas de interés público se aplica una excepción expresa cuando el contenido ha estado sujeto a un verdadero control editorial humano y una persona asume la responsabilidad editorial. El mero uso de ChatGPT no genera, por tanto, una obligación de etiquetado de texto.

Audio. Las voces sintéticas, los locutores clonados y la música IA también están sujetos al artículo 50 en cuanto se imita a personas reales. Aquí se recomienda un aviso audible o mostrado en pantalla, junto con metadatos legibles por máquina. Un deepfake de audio, por ejemplo una voz clonada sobre imágenes reales, también debe divulgarse.

Las guías detalladas por formato:

• Etiquetar imágenes IA paso a paso
• Etiquetar vídeos IA
• Etiquetar textos IA

Los casos especiales específicos de cada canal se tratan en los artículos sobre imágenes de producto IA en Amazon y eBay, sobre publicidad IA en Meta e Instagram y sobre el etiquetado de IA en e-commerce y marketing. La difícil delimitación de cuándo un contenido se considera deepfake se resuelve en el artículo sobre el etiquetado de deepfakes.

Los iconos oficiales de la UE

La Comisión Europea pone a disposición un conjunto de iconos oficial y gratuito para el etiquetado uniforme de contenidos IA. Incluye tres variantes básicas, cada una en versión clara y oscura, así como en SVG y PNG:

Importante: el uso de estos iconos es opcional, no obligatorio. La ley no prescribe una marca gráfica determinada, solo exige un etiquetado claro y reconocible. No obstante, los iconos de la UE son muy recomendables, porque transmiten una señal uniforme e inmediatamente comprensible en toda Europa, aumentan el reconocimiento y cumplen de forma demostrable mejor el requisito de «claramente reconocible» que un símbolo propio improvisado.

En la colocación se aplican tres reglas básicas. Tamaño: la etiqueta debe ser legible sin necesidad de hacer zoom, y debe seguir siendo reconocible también en el smartphone. Contraste: elige la variante clara u oscura de forma que destaque sobre el fondo, si es necesario con un fondo semitransparente. Posición: se ha establecido la esquina inferior derecha o la esquina inferior izquierda, directamente sobre el contenido, no en el pie de página. Descarga los iconos exclusivamente desde la fuente oficial de la Comisión para evitar falsificaciones o versiones obsoletas. El artículo Iconos de la UE para contenidos IA: plantillas y uso explica qué icono es adecuado para cada caso y dónde obtener las plantillas.

Comprobar el etiquetado

La confianza está bien, la verificación es obligatoria. El error más frecuente en la práctica: los metadatos están correctamente incrustados, pero se eliminan de nuevo al subir el archivo. Muchas plataformas recomprimen los archivos y, al hacerlo, eliminan los datos EXIF, XMP y en parte también C2PA. Tu etiquetado cuidadosamente aplicado puede haber desaparecido después, mientras que el icono incrustado en la imagen permanece.

La tendencia general por canal: en tu propia web o tienda, los metadatos suelen conservarse en la carga original. En Instagram, Facebook, TikTok, así como en marketplaces como Amazon y eBay, se eliminan con frecuencia. El icono visible de la UE, incrustado en los píxeles de la imagen, sobrevive en cambio a la compresión y es el nivel que ninguna plataforma puede eliminar al comprimir. Precisamente por eso, la etiqueta visible y el marcado legible por máquina van de la mano.

Comprueba, por tanto, después de subir el archivo, no antes: publica un contenido de prueba etiquetado en el canal de destino, vuelve a descargar la versión publicada y verifica con un visor C2PA o la función «comprobar archivo» si el icono y los metadatos se han conservado. Si el icono queda tapado por un recorte, ajusta la colocación y vuelve a probar. Una función de verificación muestra si existe un marcado. No comprueba si un contenido se ha creado realmente con IA. Y una etiqueta de plataforma como «Creado con IA» de Instagram o TikTok se basa en las condiciones de uso de la plataforma, no en el artículo 50, y no sustituye la obligación legal del responsable del despliegue.

Checklist en 7 pasos

La implementación práctica es fácilmente manejable si procedes de forma estructurada.

1. Aclarar el rol. Determina si eres proveedor, responsable del despliegue o ambos. Para la mayoría de las empresas, la respuesta es: responsable del despliegue. Documenta esta clasificación con una breve justificación.
2. Inventariar los contenidos IA. Recopila todas las imágenes, vídeos, audios y textos IA que publicas, en la web, en la tienda, en publicidad y en redes sociales. Anota, para cada archivo, la ubicación de almacenamiento, la fecha de creación, la herramienta utilizada y si se introdujo en el mercado antes o después del 2/8/2026.
3. Etiquetar de forma visible. Añade a los contenidos sujetos a etiquetado una etiqueta visible, idealmente el icono de la UE junto con el texto adicional «generado por IA», directamente en el contenido. Términos vagos como «imagen simbólica» o «arte digital» no son suficientes.
4. Marcar de forma legible por máquina. Escribe además metadatos IPTC/XMP (DigitalSourceType) y, cuando tenga sentido, Content Credentials C2PA así como una marca de agua invisible en tus archivos.
5. Comprobar. Controla mediante muestreo, canal por canal, si la etiqueta visible es legible y si los metadatos han sobrevivido a la exportación.
6. Llevar un registro. Crea un registro de etiquetado que documente, para cada archivo, un hash SHA-256, una marca de tiempo y el tipo de etiquetado utilizado, exportable como CSV. Este registro te protege en caso de disputa o requerimiento.
7. Anclar el proceso. Convierte el etiquetado en un paso obligatorio fijo dentro del flujo de trabajo de creación y aprobación de contenidos, y asígnalo a un rol responsable.

Los pasos 3 a 6 son técnicos, y precisamente de eso se encarga nuestra herramienta web gratuita. Coloca los iconos oficiales de la UE mediante arrastrar y soltar sobre imágenes y vídeos, escribe metadatos IPTC/XMP (C2PA y marca de agua invisible opcionales), ofrece una función «comprobar archivo», procesa hasta 50 archivos por lote (exportación como ZIP), pone a disposición una API REST y registra cada operación en el registro de etiquetado con hash SHA-256, marca de tiempo y exportación CSV. Encontrarás una versión detallada de esta lista, válida para todos los formatos, con ejemplos, en la checklist de etiquetado de IA. Puedes empezar directamente con la herramienta gratuita, ábrela aquí.

Preguntas frecuentes

¿Desde cuándo se aplica la obligación de etiquetado de IA?

Desde el 2 de agosto de 2026. Las obligaciones de transparencia del artículo 50 pasan a ser vinculantes en toda la UE, y por tanto también en España, en esa fecha, 24 meses después de la entrada en vigor del Reglamento de IA de la UE el 1 de agosto de 2024. La fecha frecuentemente citada del «8 de agosto» es incorrecta.

¿Quién debe etiquetar los contenidos IA, el proveedor o el responsable del despliegue?

Ambos, pero de forma distinta. Los proveedores (los fabricantes de los sistemas de IA) marcan sus resultados de forma legible por máquina (apdo. 2). Los responsables del despliegue (las empresas que utilizan la IA de forma profesional) divulgan de forma visible los deepfakes y determinados textos IA (apdo. 4). La mayoría de los usuarios de marketing y e-commerce son responsables del despliegue.

¿A cuánto asciende la multa por falta de etiquetado de IA?

En caso de incumplimiento del artículo 50, se prevén multas de hasta 15 millones de euros o el 3 % de la facturación anual mundial, lo que sea mayor. La cifra que circula de 35 millones de euros se refiere a las infracciones más graves de prácticas prohibidas (artículo 5), no a la obligación de etiquetado. A esto se suma, en Alemania, el riesgo de requerimiento conforme a la UWG.

¿Basta con un aviso en el pie de página o en el aviso legal?

No. El etiquetado debe realizarse en el propio contenido y ser claramente reconocible, por ejemplo como superposición sobre la imagen, como texto adicional «generado por IA» o con el icono de la UE. Un aviso genérico en el aviso legal o en el pie de página no cumple el requisito.

¿Son obligatorios los iconos de la UE para el etiquetado de IA?

No, los iconos oficiales de la UE son opcionales, pero recomendados. El AI Act de la UE no prescribe una marca gráfica determinada, sino solo una divulgación clara y comprensible. No obstante, los iconos uniformes de la UE facilitan un etiquetado jurídicamente seguro y comprensible en toda Europa.

¿Tengo que etiquetar los textos creados con ChatGPT?

En la mayoría de los casos, no. La obligación de etiquetado de texto del apartado 4 solo se aplica a los contenidos que informan al público sobre asuntos de interés público, y aun así se aplica una excepción cuando existe un verdadero control editorial. Los textos de producto, marketing y servicio por lo general no están afectados.

¿Tengo que identificar un chatbot como IA?

Sí. Los usuarios deben poder reconocer, al inicio de la interacción, que se están comunicando con un sistema de IA y no con un ser humano, salvo que esto sea evidente por el contexto. Esta obligación también se aplica desde el 2 de agosto de 2026 y no ha sido aplazada.

Esto no es asesoramiento jurídico. Estos contenidos tienen fines meramente informativos y no sustituyen el asesoramiento legal en un caso concreto. El Digital Omnibus, a la fecha de esta publicación, es provisional y puede cambiar. Para tu caso concreto, consulta con un asesor jurídico.