AI Act: lo que las marcas deben saber sobre la regulación de la IA

El reglamento europeo de IA ya no es un texto de futuro. Está en vigor desde agosto de 2024. Desde febrero de 2025 prohíbe determinadas prácticas. Y desde el 2 de agosto de 2026, sus obligaciones de transparencia afectan directamente a las marcas que usan la IA para producir contenido, personalizar la experiencia o automatizar sus operaciones de e-commerce.

Para los equipos de marketing, producto y digital, la pregunta ha pasado de «¿hay que prestarle atención?» a «¿por dónde empezamos?». Aquí tienes lo que el AI Act exige en la práctica y lo que implica para tus datos de producto.

¿Qué es el AI Act y a quién se aplica?

El Reglamento (UE) 2024/1689 fue aprobado por el Parlamento Europeo el 13 de marzo de 2024, se publicó en el Diario Oficial el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024. Su lógica se basa en el riesgo: cuanto más puede afectar un sistema de IA a la seguridad, la salud o los derechos fundamentales de las personas, más estrictas son las obligaciones. Desde entonces lo ha modificado el Digital Omnibus sobre IA, en vigor desde el 27 de julio de 2026, que ajusta su calendario.

El reglamento se aplica a cualquier actor que desarrolle, distribuya, importe o despliegue un sistema de IA en el mercado de la Unión Europea, incluidos los proveedores establecidos fuera de la UE cuando los resultados del sistema se usan en la UE. Dicho de otro modo: si tu marca usa una herramienta de IA para enriquecer fichas de producto, hacer recomendaciones personalizadas o generar contenido de marketing, el AI Act te afecta, aunque no hayas desarrollado la tecnología. El texto distingue dos roles: el proveedor, que desarrolla un sistema de IA o lo comercializa con su nombre, y el responsable del despliegue, que lo utiliza en su actividad. Una marca que usa una herramienta de IA del mercado es responsable del despliegue; si lanza su propio asistente con su nombre, también puede convertirse en proveedor.

Los cuatro niveles de riesgo: ¿dónde se sitúan las marcas?

El AI Act clasifica los sistemas de IA en cuatro categorías. Saber en cuál te sitúas determina tus obligaciones reales.

Riesgo inaceptable: prácticas prohibidas desde febrero de 2025

Desde el 2 de febrero de 2025 están prohibidas ciertas prácticas: la puntuación social, la manipulación del comportamiento y la identificación biométrica remota en tiempo real en espacios públicos (salvo excepciones). A partir del 2 de diciembre de 2026, el Digital Omnibus añade dos prohibiciones nuevas, dirigidas a los sistemas que generan imágenes íntimas no consentidas o material de abuso sexual infantil. Estas prohibiciones apuntan a los usos más invasivos y no tienen relación directa con el marketing habitual, pero marcan una línea roja que no se debe cruzar.

Alto riesgo: obligaciones estrictas, plazos aplazados

Los sistemas de alto riesgo afectan a ámbitos sensibles como la selección de personal, el crédito, la salud o la justicia. El Digital Omnibus, publicado en el Diario Oficial el 24 de julio de 2026, ha aplazado sus obligaciones: los sistemas independientes del anexo III, que debían cumplirlas el 2 de agosto de 2026, tienen ahora hasta el 2 de diciembre de 2027, y la IA integrada en productos regulados (anexo I), hasta el 2 de agosto de 2028. Para las marcas, esto afecta sobre todo a las herramientas de RR. HH. automatizadas y a algunos sistemas de crédito, no a las herramientas de marketing habituales.

Riesgo limitado: la categoría de las marcas de e-commerce

Aquí se sitúa la gran mayoría de los usos de la IA en marketing: chatbots, generadores de contenido, herramientas de personalización, recomendación de productos. Para estos sistemas, el AI Act impone sobre todo obligaciones de transparencia, recogidas en su artículo 50 y aplicables desde el 2 de agosto de 2026.

En la práctica: informar al usuario de que interactúa con una IA y hacer identificables los contenidos generados o manipulados con IA.

Riesgo mínimo: sin obligaciones específicas

Los filtros antispam, las herramientas de clasificación de datos o los sistemas de recomendación sin impacto en los derechos fundamentales entran en esta categoría. No hay obligaciones normativas, pero sí buenas prácticas que conviene adoptar.

El calendario tras el Digital Omnibus

El AI Act se aplica por etapas. Este es el calendario modificado por el Digital Omnibus, en vigor desde el 27 de julio de 2026:

• 1 de agosto de 2024: Entrada en vigor del reglamento
• 2 de febrero de 2025: Prohibiciones (riesgo inaceptable) y alfabetización en IA
• 2 de agosto de 2025: Obligaciones para los modelos de IA de uso general (GPAI)
• 2 de agosto de 2026: Aplicación general, incluidas las obligaciones de transparencia (artículo 50)
• 2 de diciembre de 2026: Marcado de contenidos para los sistemas de IA generativa ya comercializados antes del 2 de agosto de 2026, y nuevas prohibiciones
• 2 de diciembre de 2027: Obligaciones de alto riesgo, anexo III
• 2 de agosto de 2028: Obligaciones de alto riesgo, anexo I (productos regulados)

Lo que el AI Act exige a las marcas en 2026

Transparencia sobre los contenidos generados por IA

Es la obligación más visible para los equipos de marketing y e-commerce. Desde el 2 de agosto de 2026, los proveedores de herramientas de IA generativa deben marcar los contenidos que producen (texto, imagen, audio, vídeo) en un formato legible por máquina, por ejemplo con metadatos o marcas de agua. Las herramientas que ya estaban en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026. Para facilitar el cumplimiento, la Comisión Europea publicó el 10 de junio de 2026 un código de buenas prácticas sobre el marcado y el etiquetado de contenidos generados por IA y, el 20 de julio de 2026, sus directrices sobre el artículo 50.

Para las marcas, la obligación se centra en el etiquetado visible. Como responsable del despliegue, debes indicar las ultrasuplantaciones (deepfakes): imágenes, vídeos o audios generados o manipulados con IA que se parecen a personas, objetos o lugares reales y podrían pasar por auténticos. También debes indicar los textos generados por IA que se publican para informar al público sobre asuntos de interés público, salvo que una persona los haya revisado y asuma la responsabilidad editorial.

En la práctica, conviene distinguir: una imagen de producto retocada o un modelo generado por IA puede considerarse una ultrasuplantación si parece real; un chatbot de atención al cliente entra en la obligación de informar; una descripción de producto redactada con IA no exige etiquetado visible según el AI Act, pero debe ser exacta conforme al derecho del consumidor. Comprueba también que tus herramientas conservan el marcado de los contenidos que generan.

Información sobre las interacciones con sistemas de IA

Si tu web ofrece un chatbot o un asistente de compra con IA, los usuarios deben saber que hablan con una IA, salvo que resulte evidente. Incumplir las obligaciones de transparencia del artículo 50 puede acarrear multas de hasta 15 millones de euros o el 3 % del volumen de negocio anual mundial, la cifra que sea mayor (la menor en el caso de las pymes). En España, el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, en tramitación en el Congreso desde junio de 2026, designa a la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) como autoridad de vigilancia de estas obligaciones. El reglamento europeo, en cualquier caso, se aplica directamente desde el 2 de agosto de 2026.

Alfabetización en IA de los equipos

Desde febrero de 2025, proveedores y responsables del despliegue deben ocuparse de la alfabetización en IA de las personas que usan sistemas de IA en su nombre. El Digital Omnibus ha reformulado esta obligación: desde el 27 de julio de 2026, se trata de adoptar medidas que apoyen el desarrollo de esa alfabetización, sin tener que garantizar un nivel concreto para cada persona. No se exige una formación certificada: documenta las medidas que adoptes como parte de tu gobernanza interna.

Por qué la calidad de los datos de producto se convierte en una cuestión de cumplimiento

Es el punto que menos anticipan las marcas: el AI Act crea un vínculo directo entre el cumplimiento normativo y la calidad de los datos con los que trabajan los sistemas de IA.

Una información de producto errónea o no conforme puede difundirse rápidamente y a gran escala, con un impacto directo en la confianza de los clientes y en la exposición normativa de las empresas.

Si usas la IA para generar descripciones de producto, alimentar motores de recomendación o personalizar la experiencia, la fiabilidad del resultado depende directamente de la calidad de los datos de entrada. Sin un repositorio de producto limpio (PIM), los algoritmos no disponen de material fiable con el que trabajar. Un proyecto de IA casi siempre empieza por un proyecto de datos.

Las funciones de gobernanza del PIM (reglas de validación, flujos de aprobación, puntuación de completitud, historial de versiones y auditabilidad) son una auténtica red de seguridad. Te ayudan a garantizar que los datos de producto expuestos a los motores de IA se han controlado, validado y enriquecido, combinando automatización y supervisión humana.

Dicho de otro modo: un PIM bien estructurado se convierte también en una infraestructura de cumplimiento para la IA, además de una herramienta de productividad.

Conclusión

La regulación de los contenidos generados por IA marca una nueva etapa en la madurez del e-commerce. Empuja a las marcas a pasar de la experimentación oportunista a un enfoque estructurado, gobernado y sostenible. Las empresas que triunfen sabrán usar la IA con inteligencia, a partir de datos de producto fiables y dentro de un marco claro y controlado.

El AI Act establece un marco que distingue a las marcas que han estructurado la gestión de sus datos de las que no lo han hecho. Para los equipos que han invertido en un repositorio de producto centralizado, el cumplimiento se apoya en una base sólida. Para los demás, deja al descubierto las carencias de su gobernanza de datos.