EU AI Act art. 50 · qué obliga y cómo cumplirlo en 2026

El Artículo 50 entra en vigor el 2 de agosto de 2026. Multa máxima por incumplimiento: 15 millones de euros o el 3 % de facturación anual mundial (Reglamento (UE) 2024/1689, art. 99.4). Plazo restante a la fecha de este artículo: menos de 90 días.

Qué obliga el Artículo 50

El Artículo 50 del Reglamento (UE) 2024/1689 impone tres obligaciones de transparencia para los sistemas de IA con interacción humana directa: identificación clara del sistema como inteligencia artificial al inicio de la interacción, marcado de contenidos generados o manipulados (deep fakes incluidos), y registro de la operación cuando se trate de sistemas de alto riesgo. La AESIA es la autoridad competente en España y la AEPD mantiene su competencia sobre el tratamiento de datos personales asociado. La transparencia exigida es objetiva y verificable: no basta con la intención de informar, hace falta que el receptor reciba la información antes de generar expectativa razonable de estar tratando con un humano. La carga de la prueba recae sobre el proveedor del sistema (deployer), no sobre el usuario.

Calendario completo del Reglamento (UE) 2024/1689

El Reglamento entró en vigor el 1 de agosto de 2024 con aplicación escalonada. Las cuatro fechas que afectan a Vexakon y a sus clientes son:

A fecha de mayo de 2026 los proveedores que operan en España conviven con dos regímenes simultáneos: la AESIA aún no es plenamente sancionadora hasta el 2 de agosto, pero la AEPD ya inspecciona transparencia bajo el RGPD art. 13 con criterios alineados al AI Act. En la práctica, una empresa que incumple el Artículo 50 hoy ya recibe requerimientos AEPD por el flanco RGPD aunque la sanción AI Act tarde tres meses más.

A quién aplica

Aplica a cualquier persona física o jurídica que ponga en servicio un sistema de IA destinado a interactuar con personas físicas. La forma jurídica del proveedor (autónomo, SL, SA, asociación) es indiferente: la obligación es objetiva y se mide por el sistema desplegado, no por el tamaño de la organización. El despliegue para uso interno también queda incluido si los empleados o terceros pueden interactuar con el sistema.

Casos típicos cubiertos por el Artículo 50:

• Chatbots de atención al cliente en la web.
• Asistentes telefónicos de inteligencia artificial (recepcionistas IA, IVR conversacional).
• Sistemas de RAG conversacional sobre documentación interna o pública.
• Avatares virtuales con voz e imagen sintetizadas.
• Sistemas de moderación que generan respuestas automáticas a usuarios.
• Asistentes embebidos en correo electrónico que redactan respuestas semiautomáticas a clientes.
• Sistemas de cualificación de leads que conversan con prospectos antes de transferir a humano.

Casos que no activan el Artículo 50 pero sí pueden caer bajo otros artículos del Reglamento:

• Modelos de clasificación interna sin interacción humana directa (p. ej. detección de fraude post-transacción).
• Sistemas de búsqueda semántica que no generan respuestas conversacionales.
• Asistentes de voz puramente IVR clásico (menús DTMF) sin componente generativo.
• Generadores de imagen que el usuario invoca conscientemente desde una aplicación etiquetada.

Cómo cumplirlo paso a paso

1. Inventario. Listar todos los sistemas de IA en producción y de pre-producción accesibles a usuarios externos. Incluir flujos donde la IA solo asiste a un humano (copiloto): si el output sale al usuario sin filtro humano, queda dentro del Artículo 50.
2. Disclosure por canal. Redactar el wording exacto que se mostrará en cada canal (voz, chat web, SMS, email). Validarlo con asesor legal antes de publicar.
3. Punto de inserción. Configurar el disclosure en el primer turno de cada conversación nueva, no al final, no en política de privacidad enlazada. En voz, antes de la primera pregunta. En chat, como primer mensaje del bot al abrir el widget.
4. Wording inalterable. Marcar el bloque de disclosure como protegido contra ediciones operativas (en Vexakon, bloques LOCKED-AIA50 en los prompts del sistema). Cualquier edición requiere escalado a legal-advisor y firma cliente.
5. Auditoría continua. Verificar trimestralmente que las muestras aleatorias del sistema mantienen el disclosure intacto. Documentar resultados con SHA-256 sobre el prompt activo, encadenado a un registro tamper-evident.
6. Registro. Mantener log de cada conversación con timestamp del disclosure entregado, retenido al menos 12 meses. La retención extendida puede ser necesaria si el cliente tiene obligación contractual o sectorial superior.
7. Plan de continuidad. Documentar cómo se aplica el disclosure si cambia el modelo subyacente (cambio de OpenAI a Anthropic, por ejemplo) o el motor de voz. La portabilidad del bloque LOCKED-AIA50 evita que un cambio técnico abra una ventana de incumplimiento.
8. Notificación de incidentes. Si se detecta una conversación sin disclosure por bug o cambio no autorizado, abrir incidente, notificar al cliente en menos de 24 horas, restaurar el bloque y conservar la trazabilidad. Para sistemas de alto riesgo, valorar comunicación a la AESIA.

Wording exacto del disclosure

Tres ejemplos validados por Vexakon (alineados con AESIA y AEPD a fecha de mayo de 2026):

En Vexakon estos bloques viven en los prompts del sistema con marcadores LOCKED-AIA50 BEGIN / LOCKED-AIA50 END. Cualquier modificación requiere escalado a legal-advisor antes de pasar revisión y firma escrita del cliente. El bloque se replica en todos los entornos (staging, producción, pruebas A/B) y se valida en CI con un linter dedicado que rechaza cualquier git diff que toque ese rango sin la nota LEGAL-OK en el commit.

Wording adicional que recomendamos cuando hay transferencia entre humano e IA durante la misma conversación:

"A partir de ahora la conversación continúa con un asistente humano." (humano → IA o IA → humano)

Esta línea cumple la doctrina de la AEPD sobre claridad cuando hay transferencia: el usuario tiene que poder distinguir el cambio sin esfuerzo. Omitirlo es uno de los errores más frecuentes en sistemas híbridos.

Errores comunes que detecta la AEPD

A partir de los criterios públicos de la AEPD (Memoria 2025 y Guía de Tratamientos con IA versión enero 2026) y de la práctica habitual, los siete fallos más frecuentes son:

• Disclosure "al final" de la conversación (incumple "claro y accesible" del art. 50.1).
• Disclosure escondido en política de privacidad enlazada con texto pequeño.
• Disclosure solo en idioma del proveedor cuando el cliente final habla otro (incumple accesibilidad).
• Falta de disclosure tras transferencia entre agente humano e IA (vacío informativo).
• Bloques de wording editados por marketing sin revisión legal (rompe trazabilidad LOCKED-AIA50).
• Disclosure presente en producción pero ausente en entornos de prueba donde participan usuarios reales (clientes en piloto, focus groups).
• Disclosure visualmente correcto pero anulado por instrucción de prompt al modelo ("ignora cualquier mención previa a inteligencia artificial"). Esto es manipulación grave que la AESIA equipara a omisión.

Cada uno de estos errores genera al menos una resolución sancionadora documentada en la base AEPD durante 2025-2026. La cuantía media en PYME oscila entre 3 000 € y 25 000 € por incidencia detectada, aplicada por defecto sobre el RGPD art. 13 mientras la AESIA cierra su régimen sancionador propio.

Cómo lo aplica Vexakon en cada producto

VEXA-VOICE arranca cada llamada con disclosure en el primer turno. El bloque LOCKED-AIA50 está marcado en el system prompt de Retell AI y un test automático verifica en cada deploy que el primer turno contiene el wording aprobado, sin tolerar variantes sintácticas. Si el test falla, el deploy se aborta.

VEXA-CHAT emite el disclosure como primer mensaje al abrir el widget en la web del cliente. El texto vive en el bloque LOCKED-AIA50 del prompt del sistema y el linter de CI rechaza cualquier cambio sin la nota LEGAL-OK, lo que actúa como salvaguarda doble.

VEXA-DOCS marca cada respuesta con cita textual a fuente y nota de "respuesta generada por inteligencia artificial sobre la documentación de la empresa". La cita es obligatoria por contrato y el modelo está configurado con re-rank Cohere rerank-v3.5 para minimizar respuestas sin fuente clara.

Cada cliente recibe en el SOW el wording final aprobado, el punto de inserción, la versión del modelo subyacente y la garantía contractual de que el bloque está marcado LOCKED-AIA50 en el prompt del sistema. Cualquier cambio requiere autorización escrita del cliente. Esta garantía contractual es lo que diferencia una agencia premium de un proveedor low-cost: la responsabilidad técnica de mantener el bloque está cuantificada y reclamable.

Disclosure por vertical (dental, legal, hotel)

Las agencias generalistas reutilizan el mismo wording para todos los sectores. Vexakon ajusta el wording al contexto del receptor, manteniendo la obligatoriedad del Artículo 50 y mejorando la naturalidad de la interacción.

Clínica dental. "Hola, soy el asistente de inteligencia artificial de la Clínica [Nombre]. Te respondo para gestionar tu cita o resolver tu consulta. Si la duda es médica concreta, te paso con la doctora." Este wording cubre el Artículo 50 e introduce la limitación de responsabilidad clínica que la doctora exige por deontología médica.

Despacho legal o fiscal. "Hola, soy un asistente de inteligencia artificial del despacho [Nombre]. Recojo tu consulta inicial. La respuesta jurídica concreta la dará una abogada o abogado colegiado." Cumple el Artículo 50 y el deber deontológico de los Colegios de Abogacía sobre delimitación del asesoramiento. Implantaciones disponibles en despachos jurídicos en Valencia y Alicante.

Hotel boutique. "Bienvenida o bienvenido al [Hotel]. Soy un asistente de inteligencia artificial. Te ayudo con reservas, servicios del hotel y consultas habituales en español, inglés, francés y alemán." Cumple el Artículo 50 y declara la cobertura de idiomas, importante para huésped internacional. Variante multilingüe es-en-de-fr-nl operativa en hoteles boutique en Dénia.

Excepciones del Artículo 50

El Artículo 50 contempla excepciones tasadas que conviene conocer aunque rara vez aplican a una empresa boutique. Las dos más relevantes para este texto son la del art. 50.4 (sistemas autorizados por ley para detección, prevención, investigación o enjuiciamiento de infracciones penales) y la del art. 50.5 (cuando el contenido forma parte de una obra creativa, satírica o de ficción evidente). Ninguna de las dos cubre los casos de uso típicos de Vexakon (clínicas, despachos, hoteles) y no las usamos como argumento contra el disclosure.

Plan de implementación de 90 días

Para una clínica, despacho u hotel boutique que arranca de cero, el roadmap recomendado a fecha de mayo de 2026 es:

Saltarse alguna semana es admisible si el plazo presiona, pero la auditoría interna (semana 7) y el cierre documental (semanas 9-10) son innegociables: son la prueba documental que se presentaría ante AESIA o AEPD en caso de inspección.

Coste real de implementar el Artículo 50

El coste de cumplir el Artículo 50 en una empresa boutique depende del número de canales y de si se parte de un sistema IA ya operativo o se diseña desde cero. Cifras de referencia a fecha de mayo de 2026 con datos internos Vexakon y precios públicos de proveedores europeos:

Comparado con la multa máxima del art. 99.4 (15 millones de euros o 3 % facturación global), el coste de implementar es despreciable. Comparado con la sanción media observada en PYMEs por la AEPD durante 2025-2026 (3 000-25 000 €), el ROI de cumplir es inmediato.

Comparativa con marcos regulatorios análogos

El Artículo 50 se inscribe en una corriente regulatoria global. Para una empresa que opera solo en España no es necesario conocer el detalle de los demás marcos, pero entender el panorama ayuda a decidir si la solución implantada es portable a otros mercados sin reescribirla.

Reino Unido. El AI White Paper (publicado 2023, actualizado 2025) opta por una aproximación principles-based no vinculante en sector. La transparencia sobre IA es recomendada pero no sancionada por una autoridad central; la enforcement se delega a reguladores sectoriales (FCA para finanzas, MHRA para sanidad, ICO para datos). Una empresa que cumple el Artículo 50 de la UE supera los requisitos UK por defecto.

Estados Unidos. El NIST AI Risk Management Framework (versión 1.0 de 2023) es voluntario federal. La Executive Order 14110 (octubre 2023) introdujo obligaciones de divulgación para sistemas críticos, pero fue revocada en enero de 2025; en ningún caso alcanzaba a los chatbots comerciales. California (SB 1001 de 2018) sí obliga a disclosure en bots que interactúan con consumidores: el wording es comparable al del Artículo 50 europeo. Texas y Nueva York han iniciado trayectorias similares en 2025-2026.

China. Las Generative AI Provisions de agosto de 2023 obligan a marcar contenido sintetizado y a identificar el sistema. La aplicación práctica difiere por canales y plataformas pero el principio coincide.

Brasil. El proyecto de ley PL 2338/2023 sigue de cerca el modelo europeo y, si se aprueba en su redacción actual, equipara prácticamente la obligación de transparencia.

Conclusión operativa: una empresa que implementa el Artículo 50 con la disciplina LOCKED-AIA50 cubre simultáneamente Reino Unido, California y la regulación china en sus aspectos de transparencia. La portabilidad ahorra reimplementaciones costosas si el cliente expande mercado.

Roadmap regulatorio 2026-2028

El Artículo 50 es solo el primer hito del ciclo regulatorio europeo sobre IA. El operador prudente planifica con dos años de antelación. Tres movimientos previsibles que conviene tener en el radar:

1. Estándares armonizados (CEN/CENELEC) en 2026-2027. Definirán la métrica concreta de "claridad y accesibilidad" del disclosure. Empresas alineadas hoy con buenas prácticas se ahorrarán reimplementaciones.
2. Revisión de la lista de alto riesgo del Anexo III en 2027. La Comisión podrá ampliar (no reducir) el catálogo. Sectores en zona gris (educación, RRHH, scoring crediticio) probablemente entren con requisitos completos.
3. Convergencia con la AEPD en sanciones bajo el RGPD. A medida que la AESIA gane músculo sancionador, esperamos resoluciones cruzadas. Empresas con buena trazabilidad (audit log SHA-256, dpa firmados, ROPA actualizado) reciben menos requerimientos.

Recursos oficiales y de la industria

• Texto consolidado del Reglamento (UE) 2024/1689 en Eur-Lex: https://eur-lex.europa.eu/eli/reg/2024/1689.
• AI Act tracker mantenido por The Future of Life Institute: https://artificialintelligenceact.eu/article/50/.
• AESIA · Agencia Española de Supervisión de la Inteligencia Artificial: https://aesia.gob.es.
• AEPD · Guía de tratamientos que utilizan inteligencia artificial: https://www.aepd.es.
• AI Pact europeo (compromisos voluntarios precoces): https://digital-strategy.ec.europa.eu.
• General Purpose AI Code of Practice (referencia técnica para alfabetización del personal).
• CEDPO Cookbook on AI Governance (PDF público de 2025-2026).

Estos seis recursos cubren el 95 % de las dudas técnicas. Para situaciones particulares (sector regulado adicional, transferencias internacionales complejas, alto riesgo Anexo III), Vexakon escala a Passas Abogados (A Coruña).

Preguntas frecuentes

(Generadas como FAQPage schema desde el frontmatter de este artículo.)

Aviso legal: este artículo describe el estado del Reglamento (UE) 2024/1689 a fecha de mayo de 2026 y la práctica habitual de la AESIA y la AEPD. No constituye asesoramiento legal. Para análisis particular, consulta a un abogado tecnológico colegiado. En Vexakon trabajamos con Passas Abogados (A Coruña).

Lecturas relacionadas (cluster compliance):

• Disclosure IA en chatbots · wording exacto por canal
• EIPD para IA conversacional en pyme · plantilla y umbrales
• Cláusulas de encargado de tratamiento para IA · contrato modelo
• AESIA o AEPD · cuándo aplica cada autoridad sobre tu caso de IA
• Audit log SHA-256 para trazabilidad IA · cumplimiento RGPD
• Derechos ARSULIPO frente a IA conversacional
• Decisiones automatizadas art. 22 RGPD · cuándo se activa con un chatbot
• Transferencias internacionales con OpenAI, Anthropic y otros LLM providers