Si entregas un chatbot a alguien en Europa, ahora tiene que avisar que es un chatbot. Esa obligación ya está activa. La Oficina de IA de la Comisión Europea, junto con las autoridades nacionales, empezó a aplicar las reglas de transparencia de la Ley de IA de la UE el 2 de agosto, y valen para un desarrollador en solitario con un widget de soporte igual que para una gran plataforma.
Esta es la parte de la regulación que toca primero a los pequeños desarrolladores, y también la más fácil de cumplir. Lo que sigue es qué cambió realmente, cuánto cuesta equivocarse y las dos fechas que importan antes de que lleguen las reglas más duras.
Qué cambió realmente el 2 de agosto
Entraron en vigor tres obligaciones. Según el anuncio de la propia Comisión, los sistemas que interactúan con personas deben informar a los usuarios de que están tratando con IA y no con un humano; las imágenes, el vídeo y el audio editados o generados con IA deben etiquetarse; y el contenido hecho o editado por máquina debe llevar marcas legibles por máquina para poder detectarse automáticamente.
La primera es una divulgación. La segunda es una etiqueta visible. La tercera es la que se subestima, porque una marca legible por máquina no es lo mismo que un pie de foto. Significa datos de procedencia incrustados que un rastreador o una plataforma puede leer sin un humano delante, lo que es un cambio de código y no de texto.
Los poderes de supervisión sobre los proveedores de modelos de IA de uso general también pasaron a la Oficina de IA en la misma fecha. El resumen del cambio de Help Net Security detalla lo que esos proveedores deben ahora: documentación entregada a las autoridades y a los desarrolladores posteriores, una política de derechos de autor y un resumen publicado de con qué se entrenó el modelo.
Ese último punto es el más relevante para quien construye sobre el modelo de otro. La obligación de documentación baja por la cadena, lo que significa que la información que necesitas para cumplir es información que el proveedor del modelo ahora está obligado a darte.
La fecha límite de diciembre que la mayoría no ha visto
Los sistemas que ya estaban en el mercado antes de agosto no están exentos. Tienen un periodo de gracia, y termina el 2 de diciembre.
Es la fecha más accionable de todo el marco para un equipo pequeño, y la menos cubierta, porque la mayoría de la prensa se centró en el arranque de agosto. Si tienes un producto en el aire desde hace un año con una función de IA dentro, el trabajo no es opcional y el plazo ya se cuenta en semanas, no en meses.
La auditoría es corta. Toda superficie donde un usuario habla con un modelo necesita una divulgación. Toda imagen, audio o vídeo que tu producto genere o altere necesita etiqueta y marca incrustada. Si tu producto no hace ninguna de esas cosas, y muchos no lo hacen, quedas fuera de estas obligaciones concretas.
Cuánto cuesta equivocarse
El incumplimiento conlleva multas de hasta 15 millones de euros o el 3% de la facturación anual mundial, la cifra que sea mayor. Para una empresa con ingresos relevantes, el porcentaje es el número operativo; para un pequeño desarrollador, lo es el techo fijo.
Hay una salvedad importante. Las entidades más pequeñas, incluidas pymes y startups, se enfrentan a multas máximas menores, con umbrales fijados por cada Estado miembro, según el resumen de cumplimiento del Software Improvement Group. El marco no se construyó para arruinar a un equipo de dos personas por una etiqueta que falta, y la estructura de sanciones lo refleja.
La Comisión también abrió vías de reclamación: una herramienta de denuncias de la Ley de IA, una herramienta para denunciantes y un canal específico para proveedores posteriores que usan modelos de uso general. Ese tercero merece atención, porque da a un pequeño desarrollador una vía formal para escalar cuando un proveedor de modelo por encima en la cadena no entrega la documentación que la ley dice que debe.
Los pequeños desarrolladores tienen una versión ligera, no una exención
El Digital Omnibus extendió las reglas de cumplimiento más ligeras, escritas originalmente para pequeñas y medianas empresas, también a las empresas de mediana capitalización. Es una ampliación real de quién recibe el trato de carga reducida, y ocurrió porque la excepción original para pymes dejaba fuera a empresas que habían crecido más allá de la definición sin ganar un departamento de cumplimiento.
Lo que no hace es eliminar las obligaciones de transparencia. Una carga documental más ligera no es lo mismo que estar exento de avisar al usuario de que habla con un software. La distinción importa, porque ambas cosas se confunden a menudo en resúmenes escritos para fundadores.
Los proyectos de código abierto ocupan una posición más matizada de lo que suele afirmar cualquiera de los dos bandos. Algunos requisitos de documentación se reducen para proveedores de código abierto, pero las prácticas prohibidas siguen aplicándose, y quien despliega un modelo abierto en un contexto de alto riesgo carga con todas las obligaciones de implantador. Publicar los pesos no traslada la responsabilidad a quien los descarga.
El entorno de pruebas es la parte que vale la pena usar
El Omnibus también creó un entorno regulatorio de pruebas a nivel de la UE, junto a los entornos nacionales que los Estados miembros ya operan. Un entorno así es un espacio supervisado donde puedes desarrollar y probar un sistema con el regulador implicado antes de salir al mercado.
Para una empresa grande eso es una comodidad. Para un pequeño desarrollador es lo más valioso de todo el paquete, porque cambia presupuesto legal por acceso. La razón habitual por la que la regulación favorece a los incumbentes es que solo ellos pueden permitirse averiguar qué significa cumplir; un entorno de pruebas es el mecanismo que elimina esa ventaja, y solicitarlo es gratis.
A proveedores e implantadores también se les permitió procesar categorías especiales de datos personales, incluidos datos biométricos y de salud, específicamente para detectar y corregir sesgos. Es una autorización estrecha con un propósito claro, y resuelve un callejón sin salida real en el que probar un modelo por comportamiento discriminatorio exigía justamente los datos que tenías prohibido tocar.
Cómo auditar un producto pequeño en una tarde
El trabajo práctico se divide en tres preguntas, y la mayoría de los productos responde que no a al menos una de ellas, que es como un ejercicio de cumplimiento que suena enorme se convierte en una lista corta.
Primera: ¿algún usuario intercambia mensajes con un modelo a través de tu interfaz? Un chat de soporte, un asistente dentro de la app, un formulario que responde, una función de voz. Si es así, esa superficie necesita una divulgación, y debe estar visible en el punto de interacción, no enterrada en los términos de uso. Una línea encima del cuadro de texto basta.
Segunda: ¿tu producto genera imágenes, audio o vídeo que un modelo creó o alteró? Si es así, cada uno necesita una etiqueta visible y una marca incrustada legible por máquina. La etiqueta es una tarea de diseño. La marca es de ingeniería, y es el elemento con más probabilidades de exigir un cambio de librería en lugar de un cambio de plantilla, así que es el primero que hay que dimensionar.
Tercera: ¿eres el proveedor de un modelo de uso general o un desarrollador que construye sobre el de otro? Casi todo equipo pequeño es lo segundo, lo que sitúa las obligaciones de documentación, política de derechos de autor y resumen de entrenamiento aguas arriba y no sobre ti. Tu tarea es obtener esa documentación, y la ley ahora dice que el proveedor te la debe.
Pasa por esas tres y tendrás o una lista corta de cambios de código o un resultado limpio. Lo que no conviene hacer es dar por supuesta la respuesta sin comprobarlo, porque la fecha de diciembre se aplica a sistemas lanzados antes de que nadie prestara atención, y son justo los que nadie ha auditado.
Lo que no llega hasta 2027
Las reglas de alto riesgo, que son las exigentes, aún no están en vigor. Las obligaciones para sistemas autónomos de alto riesgo, que cubren contratación, evaluación crediticia, educación e infraestructura crítica, se aplican desde el 2 de diciembre de 2027. La IA de alto riesgo integrada en productos ya regulados, como dispositivos médicos, maquinaria y juguetes, llega después, el 2 de agosto de 2028.
Esas fechas son fijas y no condicionales, y son ley vinculante bajo el Reglamento (UE) 2026/1744, no una propuesta todavía en negociación. Los modelos de uso general ya en el mercado tienen su propia ventana de transición, que llega hasta el 2 de agosto de 2027.
Los sistemas de riesgo mínimo, la categoría que cubre filtros de spam, videojuegos y gestión de inventario, no cargan con ninguna obligación. Eso es la mayor parte del software que lleva un modelo en alguna parte, y conviene confirmar en qué categoría estás antes de gastar nada en cumplimiento.
El resumen honesto para un equipo pequeño es que las obligaciones actuales son baratas y las futuras no, y el intervalo entre ahora y diciembre de 2027 es tiempo de preparación, no una tregua. El patrón más amplio de herramientas avanzando más rápido que las instituciones que las rodean ya lo hemos tratado antes, en cómo las herramientas de programación agéntica frenaron una de cada tres compras de software. La regulación es la parte de esa historia que llega tarde y luego toda de golpe.
