AI Act desbloquea el botón de multas en Bruselas y asigna el Artículo 50 a cualquier chatbot con usuario europeo
La Comisión ahora puede imponer sanciones de hasta 15 millones de euros o el 3% de la facturación global de modelos de propósito general desde el 2 de agosto. El Artículo 50 obliga a los chatbots a identificarse y el contenido sintético debe llevar una marcación.
La Unión Europea activó el domingo 2 de agosto, la parte del AI Act que faltaba para que el reglamento entrara en vigor. A partir de esta fecha, la Oficina de IA obtuvo el poder de solicitar información, exigir acceso a modelos, ordenar retiradas del mercado y aplicar multas de hasta 15 millones de euros o el 3% de la facturación global anual, lo que sea mayor, contra proveedores de modelos de propósito general, los GPAI. En la misma fecha, comenzaron a regir las obligaciones de transparencia del Artículo 50: cualquier sistema que interactúe directamente con personas debe identificarse como IA, y cualquier texto, imagen, audio o vídeo generado sintéticamente debe llevar una marcación legible por máquinas.
El conjunto es modesto en papel y ambicioso en la práctica. El Artículo 50 es breve, pero abarca desde chatbots de soporte hasta generadores de imágenes integrados en CRM. El poder sancionador de la Oficina de IA, bajo el Artículo 101, es lo que finalmente da dientes a un reglamento cuya parte sustantiva sobre GPAI ya estaba en el libro desde el 2 de agosto de 2025 sin un mecanismo propio de ejecución. Henna Virkkunen, vicepresidente ejecutivo de la Comisión para Soberanía Tecnológica, Seguridad y Democracia, ya había señalado en julio de 2025, al publicar el Código de Práctica GPAI, que el texto era "un paso importante para hacer que los modelos de IA más avanzados en Europa no solo sean innovadores sino también seguros y transparentes". La promesa ahora entra en ejecución.
Lo que exactamente se activó
El Artículo 50 impone tres frentes. Los sistemas de conversación deben informar al usuario, de forma clara y en el momento correcto, que están hablando con una máquina. El contenido sintético debe ser marcado técnicamente para permitir la detección automática, con un plazo extendido hasta el 2 de diciembre de 2026 para sistemas heredados. Y los deepfakes que involucren personas o eventos reales deben venir con un aviso visible, salvo excepciones artísticas restringidas. Ya la vía GPAI, activada en paralelo, cubre la transparencia sobre datos de entrenamiento, política de cumplimiento con derechos de autor y, para los modelos considerados de riesgo sistémico, evaluaciones de seguridad e informes de incidentes.
La tabla de multas del Artículo 99 tiene tres escalones. Prácticas prohibidas del Título II pueden costar 35 millones de euros o el 7% de la facturación global. Las violaciones de alto riesgo y del Artículo 50 se castigan con hasta 15 millones de euros o el 3%. La información incorrecta a las autoridades puede llegar a 7,5 millones de euros o el 1%. Para GPAI, el Artículo 101 establece el mismo techo de 15 millones de euros o el 3%. Un proveedor que ignore una solicitud de acceso a un modelo entra en el mismo grupo de riesgo que quien incumple una obligación sustantiva.
Lo que se pospuso
La Comisión retrasó parte del calendario. Las obligaciones plenas para sistemas autónomos de alto riesgo listados en el Anexo III, que incluyen reclutamiento, scoring de crédito, educación, aplicación de la ley, control de fronteras e infraestructura crítica, quedan para el 2 de diciembre de 2027. La IA integrada en productos ya cubiertos por la ley de seguridad de productos del Anexo I, como dispositivos médicos, máquinas y juguetes, se mueve para el 2 de agosto de 2028. La lectura corta es que Bruselas eligió apretar primero donde puede medir cumplimiento sin rediseñar auditorías enteras: identificación de chatbot, marca de agua y supervisión de foundation model.
Cómo llega a Brasil y a terceros
El alcance extraterritorial es la parte que pesa fuera de Europa. Cualquier sistema cuyo resultado sea utilizado por personas en la Unión se encuadra, incluso si el proveedor está en otra jurisdicción. En Estados Unidos, oficinas de tecnología como Latham & Watkins y Morrison Foerster pasaron julio publicando alertas orientando a clientes globales a prepararse: un SaaS americano con clientes europeos necesita marcar contenido sintético y divulgar chatbots ahora, bajo el riesgo de una multa calculada sobre ingresos globales, no europeos. En el Reino Unido, que abandonó la alineación automática con el AI Act post-Brexit, la Autoridad de Conducta Financiera ya ha señalado que exigirá un estándar equivalente de transparencia para IA en servicios financieros, incluso sin una ley espejo. En Alemania, la BaFin está trabajando en una guía propia de aplicación para bancos y aseguradoras. En Brasil, el PL 2338, aún en tramitación en el Senado, incorpora la estructura de riesgo del AI Act casi palabra por palabra, y el consenso entre abogados que siguen el texto es que la marca de agua europea se convertirá en estándar de facto para proveedores nacionales que exportan software.
La lectura para el CIO es práctica. Quien ya ha mapeado dónde hay chatbot público, generador de imágenes en uso corporativo o un modelo propio entrenado con datos con derechos de autor tiene trabajo definido. Quien aún no ha mapeado está comenzando la carrera en posición retrasada, y el cronómetro ahora cuenta multas.