Checklist del artículo 50 del AI Act para pymes: qué sistemas entran, si eres proveedor o responsable del despliegue y qué evidencia pide un auditor.
Desde el 2 de agosto de 2026 se aplican las obligaciones de transparencia del artículo 50 del AI Act. En una pyme, la pregunta útil no es qué dice el artículo, sino cuatro cosas por cada sistema: si entra, qué papel tienes en él (proveedor o responsable del despliegue), qué obligación se le activa y qué evidencia enseñas si te la piden. Este checklist va en ese orden.
El calendario completo, con lo que aplazó el Ómnibus y lo que no, está en la guía del AI Act del 2 de agosto. Si aún no sabes si te aplica, empieza por el triaje del AI Act, que es gratuito.
El Reglamento impone las obligaciones, pero no trae plantilla. Las cuatro preguntas que hago al auditar (si entra, qué papel, qué obligación y qué evidencia) son un método de trabajo, no un requisito del artículo 50. Sirven para que cada decisión deje rastro.
| Pregunta | Por qué importa | Dónde está |
|---|---|---|
| ¿Qué sistemas hablan con personas o generan contenido? | Marcan el alcance del artículo 50 | Art. 50 del Reglamento (UE) 2024/1689 |
| ¿Eres proveedor o responsable del despliegue en cada uno? | Las obligaciones de uno y otro no son intercambiables | Art. 50.1 a 50.4 y definiciones del art. 3 |
| ¿La información llega clara y se distingue, como muy tarde en la primera interacción o exposición? | Es la regla común a todo el artículo | Art. 50.5 |
| ¿Tienes sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026? | Solo su marcado (50.2) tiene de plazo hasta el 2 de diciembre de 2026 | Art. 111.4, añadido por el Reglamento (UE) 2026/1744 |
Lo que el Ómnibus no aplazó. El Reglamento (UE) 2026/1744 retrasó las obligaciones de alto riesgo, no el artículo 50. El aviso de que se está hablando con una IA, la información sobre el reconocimiento de emociones y la categorización biométrica, y la divulgación de ultrafalsificaciones y de ciertos textos se aplican desde el 2 de agosto de 2026. Del artículo 50, el Ómnibus solo cambió el apartado 7, el de los códigos de buenas prácticas.
Haz una pasada por sistema y quédate solo con lo que le aplique. Junto a cada comprobación, apunta la evidencia y el nombre de quien responde: una persona, no «Informática» ni «Legal».
| # | Comprobación | Evidencia mínima |
|---|---|---|
| 1.1 | El sistema está pensado para interactuar directamente con personas | Ficha del sistema con su finalidad prevista |
| 1.2 | Hay un aviso claro de que la persona está hablando con una IA | Captura fechada del aviso en cada canal: web, voz, WhatsApp |
| 1.3 | El aviso aparece como muy tarde en la primera interacción | Recorrido del usuario documentado |
| 1.4 | Si te acoges a que «resulta evidente» para una persona razonablemente informada, la excepción está razonada por escrito | Nota breve de la excepción, con su revisión |
| 1.5 | El aviso cumple los requisitos de accesibilidad aplicables | Criterio o prueba de accesibilidad |
| # | Comprobación | Evidencia mínima |
|---|---|---|
| 2.1 | El sistema genera audio, imagen, vídeo o texto sintético | Inventario de lo que produce |
| 2.2 | Lo que genera va marcado en un formato legible por máquina y detectable como generado o manipulado | Configuración y una muestra de salida marcada |
| 2.3 | El marcado sigue ahí en lo que recibe el usuario, no solo en pruebas | Prueba sobre una salida real, en producción |
| 2.4 | Si el sistema se introdujo en el mercado antes del 2-ago-2026, el marcado está planificado antes del 2-dic-2026 | Fecha de introducción en el mercado y plan con fecha |
| 2.5 | Si se comercializa desde el 2-ago-2026, marca desde el primer día | Registro de la puesta en el mercado |
El 50.2 no se aplica cuando el sistema solo hace de ayuda para una edición estándar o no altera de forma sustancial lo que le das. Si te acoges a eso, déjalo por escrito.
| # | Comprobación | Evidencia mínima |
|---|---|---|
| 3.1 | Usas un sistema de reconocimiento de emociones o de categorización biométrica | Descripción del uso y su finalidad |
| 3.2 | Informas a las personas expuestas de que el sistema funciona | Aviso y canal por el que llega |
| 3.3 | El tratamiento de datos personales cumple el RGPD | Registro de actividades y, si procede, evaluación de impacto |
| # | Comprobación | Evidencia mínima |
|---|---|---|
| 4.1 | Publicas imagen, audio o vídeo generado o manipulado que se parece a personas, lugares o hechos reales y puede pasar por auténtico | Catálogo de piezas y canales |
| 4.2 | Dices de forma clara que ese contenido está generado o manipulado por IA | Ejemplos publicados y criterio de etiquetado |
| 4.3 | Si publicas texto generado por IA para informar sobre asuntos de interés público, lo divulgas, salvo que pase por revisión humana o control editorial y alguien asuma la responsabilidad editorial | Criterio escrito y registro de cómo se aplica |
| 4.4 | En una obra artística, creativa, satírica o de ficción, la divulgación se adapta para no estropear la obra, pero no desaparece | Justificación por pieza o por tipo de pieza |
| # | Comprobación | Evidencia mínima |
|---|---|---|
| 5.1 | La información es clara y se distingue | Capturas, guion de voz o plantilla |
| 5.2 | Llega como muy tarde en la primera interacción o exposición | Mapa del recorrido del usuario |
| 5.3 | Cumple los requisitos de accesibilidad aplicables | Criterio documentado |
Para empezar no te hace falta el inventario completo de la IA de la empresa. Te basta el censo del artículo 50: los sistemas que hablan con personas o generan contenido. Repasa al menos estos:
De cada uno, anota si entra y por qué, tu papel, la obligación que le toca (50.1, 50.2, 50.3 o 50.4), quién responde y la fecha de la última revisión.
El papel, por escrito. Una misma empresa puede ser proveedora de un sistema y responsable del despliegue de otro. Usar un modelo de terceros tal cual no te convierte por sí solo en proveedor; ponerlo en el mercado con tu nombre o tu marca sí puede hacerlo. Si el papel no está escrito, el expediente se cae a la primera pregunta incómoda.
Si prefieres llevar el censo en una herramienta y no en una hoja de cálculo, Salvik tiene un inventario de sistemas de IA que entra en su prueba de 7 días.
Al revisar la transparencia no basta con preguntar si hay aviso. Lo que hay que poder seguir es la decisión: quién la tomó, sobre qué sistema y cuándo.
| Lo que se suele enseñar | Lo que pediría |
|---|---|
| Una captura del aviso en producción | Quién decidió el texto, dónde y cuándo, y cuál es la versión vigente |
| «El proveedor ya lo marca» | El contrato o una prueba de que tu salida llega marcada; y si el proveedor eres tú, tu plan |
| Una política de IA genérica | La política aplicada a canales concretos: web, redes sociales, comercial |
| «Es obvio que es un bot» | Una nota de excepción acotada al 50.1, que no sirve para el 50.2 |
| Una hoja de cálculo sin fechas | El censo con el nombre de quien responde y la fecha de la última revisión |
| Un expediente cerrado en agosto | Si hay sistemas con plazo del 50.2, su fecha de introducción en el mercado y el cierre antes del 2 de diciembre |
Tres fallos que conviene evitar: confundir el aplazamiento del alto riesgo con el del artículo 50, anotar «aplazado» donde solo hay plazo para el marcado y dejar avisos que nadie sabe quién decidió.
Las guías oficiales. La Comisión adoptó el 20 de julio de 2026 sus directrices sobre las obligaciones de transparencia del artículo 50, y el 10 de junio había publicado el código de buenas prácticas sobre el marcado y el etiquetado del contenido generado por IA, que es voluntario. Ninguno de los dos es vinculante ni sustituye al Reglamento, pero es previsible que las autoridades se guíen por ellos, y el código te dice cómo marcar.
Si lo quieres hacer con plantillas y no desde cero, el Kit del artículo 50 trae siete plantillas editables, el libro maestro en Excel con el censo de sistemas y un expediente de ejemplo completo: 79,99 € + IVA, pago único, licencia por sociedad y doce meses de actualizaciones. Te ayuda a decidir qué te aplica y a dejar rastro; no implementa el marcado técnico, no es asesoramiento jurídico y no garantiza la conformidad.
El artículo 50 se puede cumplir a mano. El problema llega al año siguiente: cambia el chatbot, entra un proveedor nuevo y quien decidió el aviso ya no está. Un sistema de gestión de IA como la ISO/IEC 42001 no es obligatorio para cumplir el artículo 50, pero es la forma de que el cumplimiento sobreviva a esos cambios. Si ya tienes la ISO 27001, buena parte del trabajo (riesgos, proveedores, incidentes, formación) se reaprovecha. Lo cuento en la guía de la ISO 42001.
Imparcialidad. Si te ayudo a montar el expediente, no puedo ser después quien te audite para certificarte. Son trabajos separados, y eso no se negocia.
No. Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026. El 2 de diciembre de 2026 es solo el límite para el marcado legible por máquina (50.2) de los sistemas generativos que ya se habían introducido en el mercado antes del 2 de agosto, según el art. 111.4 que añadió el Reglamento (UE) 2026/1744. Lo que se comercializa desde el 2 de agosto marca desde el primer día, y el 50.1, el 50.3 y el 50.4 no tienen ese plazo.
Haz el censo de los sistemas que hablan con personas o generan contenido, escribe tu papel en cada uno, activa solo la obligación que toque (aviso, marcado, información sobre emociones o biometría, o divulgación de ultrafalsificaciones y textos), guarda la evidencia con fecha y revisa el plazo del 50.2 si tienes sistemas anteriores al 2 de agosto. El Reglamento se aplica directamente: no hay que esperar a una ley española.
El chatbot que atiende a tus clientes es el caso típico del 50.1. Usar un modelo de terceros por dentro no te convierte por sí solo en proveedor, pero lo que publicas con él o cómo lo integras puede activarte obligaciones como responsable del despliegue. Escribe tu papel sistema por sistema en lugar de suponerlo.
El artículo 99 fija un máximo de 15 millones de euros o del 3 % del volumen de negocio mundial anual, el que sea mayor; para pymes y empresas emergentes, el que sea menor. Son máximos, no importes habituales. Lo importante es que la obligación ya existe y que la evidencia no se puede fabricar hacia atrás.
Sí, aunque no son vinculantes. La Comisión las adoptó el 20 de julio de 2026 para orientar cómo se aplica el artículo 50, y solo el Tribunal de Justicia de la UE interpreta el Reglamento con autoridad. Conviene seguirlas, porque es previsible que las autoridades se guíen por ellas.
No. El artículo 50 es una obligación legal y la ISO/IEC 42001 es una norma voluntaria de sistema de gestión. Ayuda a organizarte y a demostrarlo, pero no te quita el deber de avisar, marcar o divulgar.
No. Deja documentada la decisión de qué te aplica y el expediente que la respalda. No implementa el marcado técnico, no es asesoramiento jurídico y no garantiza la conformidad.
Esta guía no es asesoramiento jurídico.