Chatbots y EU AI Act: normas del artículo 50 para empresas de EE. UU.

El EU AI Act exige que cualquier chatbot que converse directamente con personas en la UE les informe de que están interactuando con una IA, salvo que resulte evidente. Esta obligación se aplica desde el 2 de agosto de 2026. Abarca a las empresas estadounidenses siempre que el sistema se introduzca en el mercado de la UE o sus resultados se utilicen en la UE. Esta guía explica a quién se aplica, qué debe hacer un chatbot para cumplir la normativa, dónde suelen fallar las empresas y cómo verificar el resultado.

Resumen

• Las obligaciones de transparencia del artículo 50 para los chatbots y otros sistemas de IA interactiva se aplican desde el 2 de agosto de 2026, y la Comisión y las autoridades nacionales han comenzado a velar por el cumplimiento del Reglamento.
• Los proveedores y responsables del despliegue estadounidenses están sujetos a la normativa cuando el sistema se introduce en el mercado de la UE o sus resultados se utilizan en la UE.
• La excepción de «interacción evidente» es restrictiva. Opte por defecto por un aviso explícito al inicio de cada conversación con clientes.
• Los resultados generados en forma de texto, audio, imagen y vídeo necesitan marcadores legibles por máquina. Los sistemas que ya estaban en el mercado antes del 2 de agosto de 2026 tienen de plazo hasta el 2 de diciembre de 2026.
• Una política escrita no constituye una prueba. El cumplimiento debe verificarse en conversaciones reales, incluido el comportamiento del agente cuando un cliente solicita hablar con una persona.

Índice

• Qué establece el EU AI Act sobre los chatbots
• Cuándo se aplica el artículo 50 a su chatbot
• ¿Se aplica a las empresas estadounidenses?
• Fechas clave para 2026
• Qué hace un chatbot que cumple la normativa
• Fallos habituales
• Sanciones y supervisión del cumplimiento
• Perspectiva: por qué el deber de información debe verificarse, no declararse
• Lista de verificación para su chatbot
• Cómo contribuye Lexic al cumplimiento normativo de los chatbots
• Preguntas frecuentes
• Fuentes

Qué establece el EU AI Act sobre los chatbots

El Reglamento de IA (Reglamento (UE) 2024/1689) clasifica los sistemas de IA según su riesgo. La mayoría de los chatbots de atención al cliente no son de «alto riesgo» en el sentido del Reglamento. Pertenecen a la categoría sujeta a obligaciones de transparencia, recogida en el artículo 50. Tanto la síntesis del Reglamento de la Comisión como el resumen general describen esta estructura por niveles.

El objetivo del artículo 50 es sencillo. La Comisión señala que las normas ayudan a las personas a reconocer cuándo interactúan con un sistema de IA o están expuestas a contenido generado por IA, tal como recoge su ficha de datos clave sobre las normas de transparencia. La Comisión presenta la transparencia como un fundamento de la IA fiable, para que las personas puedan valorar cuánto confiar en lo que ven y oyen, según su anuncio sobre el inicio de la supervisión del cumplimiento el 2 de agosto.

Hay dos obligaciones distintas que afectan a los chatbots:

1. Información sobre la interacción. Se debe informar a las personas de que están hablando con una IA.
2. Marcado del contenido generado. El texto, audio, las imágenes o los vídeos sintéticos deben incorporar marcadores legibles por máquina que permitan detectar que se han generado artificialmente.

En paralelo se aplica otro marco jurídico. El RGPD se aplica plenamente a los sistemas de IA que tratan datos personales. El informe anual de 2024 del Comité Europeo de Protección de Datos destaca la responsabilidad proactiva, la transparencia y la minimización de datos en los modelos de IA, y advierte de que el interés legítimo no es un cheque en blanco.

Cuándo se aplica el artículo 50 a su chatbot

No todos los sistemas de IA con un cuadro de texto están incluidos. Según las preguntas frecuentes de la Comisión sobre el artículo 50, el deber de información del artículo 50(1) se aplica cuando se cumplen los cuatro criterios siguientes:

Quedan excluidos los sistemas que operan en segundo plano y los intercambios exclusivamente entre máquinas. Los agentes de voz, el chat web, los asistentes integrados en aplicaciones y los bots de mensajería en WhatsApp o canales similares cumplen estos criterios cuando responden directamente a los clientes.

La excepción de «interacción evidente»

El artículo 50(1) no exige informar cuando el carácter artificial de la interacción resulta evidente para una persona razonablemente atenta. Muchos equipos interpretan esto como un permiso para omitir el aviso porque el widget se llama «Asistente» o tiene un icono de robot.

Esa interpretación es arriesgada. La excepción es restrictiva, y una empresa que se ampare en ella tendría que demostrar que una persona informada y atenta reconocería la IA al instante sin ninguna etiqueta. Un nombre cercano y un avatar de aspecto humano producen el efecto contrario. Una voz sintética que suena natural por teléfono resulta aún más difícil de justificar. La práctica más segura es incluir una declaración explícita al inicio de cada conversación, en todos los canales.

¿Se aplica a las empresas estadounidenses?

Sí, en muchos casos. Las preguntas frecuentes de la Comisión señalan que la obligación se aplica con independencia de que el proveedor esté establecido en la UE, siempre que el sistema se introduzca en el mercado de la UE o sus resultados se utilicen en la Unión. Por tanto, una empresa estadounidense que atienda a clientes de la UE mediante un chatbot está sujeta a la normativa, tanto si actúa como proveedor (desarrollando el sistema o encargando su desarrollo) como si actúa como responsable del despliegue (utilizándolo bajo su propia autoridad).

Las funciones importan porque las obligaciones son distintas:

• Los proveedores deben diseñar el sistema de modo que se informe a las personas de que están interactuando con IA y que los resultados generados se marquen en un formato legible por máquina.
• Los responsables del despliegue deben asegurarse de que el aviso llegue realmente al cliente en su propio despliegue y cumplir las obligaciones de etiquetado del contenido asociadas a su uso.

La mayoría de las empresas son responsables del despliegue del modelo de un proveedor, y muchas también son proveedoras de su propio agente configurado. Los contratos con un proveedor pueden repartir los costes y el trabajo, pero no trasladan la obligación normativa de la empresa que atiende al cliente. El texto del artículo 50 y las directrices de la Comisión sobre las obligaciones de transparencia son el punto de partida para determinar qué función le corresponde.

Una comprobación práctica para un equipo estadounidense: ¿acceden alguna vez al agente residentes de la UE? Si su sitio web, aplicación o línea telefónica admite usuarios de la UE, o si una solicitud de asistencia de un cliente establecido en la UE llega al mismo bot que las consultas estadounidenses, asuma que las normas se aplican a esa conversación.

Fechas clave para 2026

Las fechas de inicio de la supervisión del cumplimiento y del periodo transitorio proceden del anuncio de la Comisión y de sus preguntas frecuentes sobre el artículo 50. El contenido generado antes del 2 de agosto de 2026 no necesita etiquetado retroactivo, aunque la Comisión fomenta el etiquetado voluntario cuando sea posible.

Un punto que genera confusión: el paquete Ómnibus Digital aplazó las obligaciones de alto riesgo (anexo III) hasta diciembre de 2027, pero una nota de investigación de Cloud Security Alliance indica que el artículo 50 quedó fuera de ese aplazamiento. No planifique un chatbot de atención al cliente tomando como referencia la fecha posterior prevista para los sistemas de alto riesgo.

Qué hace un chatbot que cumple la normativa

El texto legal es breve. El cumplimiento operativo no lo es. Un chatbot que cumple el artículo 50 en la práctica suele contar con estos elementos.

Un aviso claro al inicio

Incluya el aviso en el primer mensaje o antes de que comience la conversación, en el idioma que esté utilizando el cliente. Una formulación sencilla es suficiente: el cliente está conversando con un asistente de IA, no con una persona. En el canal de voz, el agente debe indicarlo en el saludo. Un enlace en el pie de página o una frase oculta en las condiciones del servicio no constituyen un aviso que el cliente vaya a percibir.

Coherencia entre canales

Las empresas suelen corregir el widget del sitio web y olvidarse del resto. Revise la línea telefónica, las respuestas automáticas de correo electrónico, los asistentes integrados en aplicaciones, los canales de mensajería y cualquier respuesta redactada por IA que se envíe sin revisión humana. Cada uno es un punto distinto en el que puede incumplirse la obligación.

Marcado legible por máquina del contenido generado

Si el agente produce texto, audio, imágenes o vídeos sintéticos, el resultado necesita marcadores técnicos que permitan a las herramientas detectar que ha sido generado por IA. Los sistemas que ya estaban en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para incorporarlos. Los sistemas nuevos los necesitan de inmediato. Pregunte por escrito a su proveedor qué método de marcado utiliza y cómo puede verificarse.

Respuestas honestas a «¿eres una persona?»

El aviso inicial no basta si el agente después niega ser una IA o elude la pregunta cuando se le plantea directamente. Un agente que cumple la normativa responde siempre con veracidad, sea cual sea la instrucción, la personalidad o el guion.

Una vía de acceso a una persona

El artículo 50 no contiene por sí mismo una norma que obligue a todos los chatbots a transferir la conversación a una persona. Sin embargo, es en la derivación donde confluyen los problemas de transparencia y los perjuicios para el cliente: un cliente que no puede contactar con una persona y que no sabe con certeza si está hablando con una se encuentra precisamente en la situación que pretende abordar el objetivo de confianza del Reglamento. Un buen diseño de las derivaciones, como las reglas descritas en esta guía sobre reglas de derivación de la IA a una persona, también reduce la necesidad de que el cliente repita sus explicaciones.

Protección de datos junto con transparencia

Una frase informativa no resuelve las cuestiones relativas al RGPD. El informe del CEPD señala que los modelos deben evaluarse caso por caso antes de considerarlos anónimos, y que el anonimato solo se mantiene si la extracción de datos personales o la identificación mediante consultas son altamente improbables. Las empresas que despliegan IA conversacional con datos de clientes necesitan respuestas documentadas sobre la base jurídica, la conservación y la anonimización. Un enfoque estructurado de los marcos de gobernanza de datos para la IA puede ayudar a elaborar esa documentación.

Fallos habituales

Las mismas carencias se repiten cuando se revisa la IA conversacional en producción y no solo sobre el papel.

• El aviso existe en el archivo de diseño, pero no en el flujo en producción. Una nueva versión, un cambio de canal o una actualización de las instrucciones lo elimina.
• La personalidad del agente eclipsa el aviso. Un personaje de marca con nombre humano y una historia personal cercana crea una impresión falsa que la frase informativa no corrige.
• Se confía en la excepción de interacción evidente. Los equipos dan por hecho que los clientes lo sabrán, sin pruebas de que sea así.
• La derivación falla. En las auditorías realizadas en su plataforma, Lexic constató que el 85% de los agentes auditados no derivaban correctamente las incidencias a representantes humanos. Los clientes que solicitan hablar con una persona quedan atrapados en bucles, reciben respuestas evasivas o siguen siendo atendidos por la IA más allá de sus competencias.
• Las garantías del proveedor sustituyen a las pruebas. El proveedor afirma que el modelo cumple la normativa. Nadie ha comprobado qué le dice el agente desplegado a un cliente real un martes por la tarde.
• No hay registros. Si un regulador pregunta cómo sabe que el agente informa de su naturaleza, una captura de pantalla de la configuración es una prueba débil. Las pruebas extraídas de las conversaciones son más sólidas.

Sanciones y supervisión del cumplimiento

El Reglamento faculta a las autoridades para imponer multas administrativas conforme a las condiciones y los límites del artículo 99, y las preguntas frecuentes de la Comisión confirman que el incumplimiento del artículo 50 puede dar lugar a multas significativas. Según la Comisión, desde el 2 de agosto de 2026 la Oficina de IA y las autoridades nacionales velan por el cumplimiento del Reglamento. La práctica concreta de supervisión y sanción sigue desarrollándose, por lo que conviene tratar con cautela cualquier afirmación sobre el rigor con el que actuará una autoridad determinada y pedir a un asesor jurídico que confirme el límite vigente aplicable a su caso.

Para una empresa estadounidense, la exposición práctica no se limita a la multa. Incluye una investigación, el coste de aportar pruebas, fricciones contractuales con clientes empresariales de la UE que ahora exigen evidencias y daños reputacionales si los clientes descubren que no fueron informados.

Perspectiva: por qué el deber de información debe verificarse, no declararse

Auditamos agentes de IA conversacional de cualquier proveedor, y hay un patrón que se mantiene en todos los despliegues: la política y el comportamiento son cosas distintas. Una empresa puede contar con un estándar sólido de información al usuario y aun así lanzar un agente que lo omita en un canal o deje de aplicarlo tras una actualización del modelo.

Por eso consideramos la verificación independiente el núcleo del aseguramiento de la IA. No desarrollamos ni operamos los agentes que auditamos. Esa separación importa cuando un equipo de cumplimiento debe defender su posición ante un regulador, porque las pruebas proceden de conversaciones reales, no de datos facilitados por el proveedor.

Nuestras auditorías examinan conjuntamente la información al usuario, la derivación, las vulnerabilidades de seguridad y la experiencia del cliente, porque los fallos en un área suelen revelar fallos en otra. Nuestra conclusión de que el 85% de los agentes auditados no derivan correctamente es un ejemplo ilustrativo: el agente está técnicamente operativo y responde, pero el cliente no dispone de una vía para hablar con una persona. Según la lógica de transparencia del Reglamento, eso es un fallo de confianza, no un problema menor de usabilidad.

Para las empresas estadounidenses que entran en Europa, nuestro consejo es analizar muestras de conversaciones reales desde una fase temprana, antes del lanzamiento en un mercado de la UE, y repetir ese muestreo de forma continua. El comportamiento de los chatbots cambia con las instrucciones, los modelos y las integraciones. Una revisión puntual queda obsoleta rápidamente.

— Sergio Llorens

Lista de verificación para su chatbot

Utilice esta lista para comprobar su situación. Cada punto debe generar pruebas, no una opinión.

1. Inventaríe todas las interacciones de IA con clientes. Incluya voz, chat, correo electrónico, incidencias y canales de mensajería, e indique cuáles llegan a residentes de la UE.
2. Defina su función. Determine si es proveedor, responsable del despliegue o ambos para cada agente, siguiendo las directrices de la Comisión.
3. Redacte el estándar de información al usuario. Especifique la redacción, la ubicación y los idiomas para cada canal.
4. Póngalo a prueba en producción. Mantenga conversaciones reales, incluidas aquellas que empiezan a mitad del flujo, cambian de idioma o preguntan «¿eres una persona?».
5. Pruebe la derivación. Solicite hablar con una persona utilizando distintas formulaciones y confirme que el agente transfiere realmente la conversación junto con su contexto.
6. Compruebe el marcado. Confirme por escrito cómo se marca el contenido generado y qué plazo se aplica a cada sistema.
7. Revise la protección de datos. Documente la base jurídica, la conservación y cualquier afirmación sobre anonimización, siguiendo el enfoque caso por caso del CEPD.
8. Conserve registros. Guarde los resultados y las fechas de las pruebas para poder mostrar a un regulador qué comprobó y cuándo.
9. Repita. Vuelva a realizar las pruebas después de cada cambio de modelo, instrucciones o integración.

Cómo contribuye Lexic al cumplimiento normativo de los chatbots

Lexic ofrece auditoría independiente y gobernanza para agentes de IA conversacional de cualquier proveedor. Lexic Compass verifica el comportamiento de los agentes en situaciones reales, incluidos el cumplimiento normativo, las vulnerabilidades de seguridad, la gestión de las derivaciones y la información al cliente. Los servicios de auditoría están disponibles en las modalidades Flash Preview, Audit Sprint o Enterprise Continuous Trust para la supervisión continua, descritas en la página de servicios de auditoría.

Para los equipos que también quieren aprender de lo que dicen los clientes, Lexic Pulse analiza el 100% de las conversaciones con clientes en llamadas, chats, correos electrónicos e incidencias, y genera información sobre sentimiento, abandono y oportunidades para los equipos de experiencia del cliente, ventas, producto, control de calidad y otras áreas. Los precios no son públicos; las páginas anteriores explican las opciones.

Preguntas frecuentes

¿Tengo que informar a los clientes de que están hablando con un chatbot?

Sí, en la mayoría de los casos. El artículo 50(1) exige que las personas que interactúan directamente con un sistema de IA sean informadas de ello, salvo que resulte evidente para una persona razonablemente atenta. Dado que esa excepción se interpreta de forma restrictiva, un aviso explícito al inicio de la conversación es la opción más segura.

¿Se aplica el Reglamento de IA si mi empresa tiene su sede en Estados Unidos?

Puede aplicarse. La Comisión señala que la obligación se aplica con independencia de dónde esté establecido el proveedor, si el sistema se introduce en el mercado de la UE o sus resultados se utilizan en la UE. Si residentes de la UE utilizan su chatbot, considere que las normas se aplican a esas conversaciones y confirme los detalles con un asesor jurídico.

¿Cuál es el plazo para cumplir las normas de transparencia de los chatbots?

Los deberes de información se aplican desde el 2 de agosto de 2026. Para los sistemas generativos introducidos en el mercado antes de esa fecha, el plazo para implantar el marcado y la detección de resultados generados por IA es el 2 de diciembre de 2026. Los sistemas introducidos en el mercado después del 2 de agosto de 2026 deben cumplir desde el principio.

¿Está exento del deber de información un chatbot con un icono de robot?

No se puede dar por hecho. Un icono o un nombre pueden ayudar, pero tendría que demostrar que una persona informada y atenta reconocería la IA al instante sin una etiqueta. Los agentes de voz y las personalidades que imitan a una persona dificultan esa justificación, por lo que el aviso explícito sigue siendo el estándar práctico.

¿Exige el Reglamento de IA transferir la conversación a un agente humano?

El artículo 50 no establece una regla general de transferencia. Aun así, que un cliente no pueda contactar con una persona socava la confianza que las normas de transparencia pretenden proteger, y otras leyes o normas sectoriales pueden exigir el contacto humano. Probar la derivación es una parte razonable de cualquier revisión del cumplimiento normativo de un chatbot.

Fuentes

• Obligaciones de transparencia en virtud del artículo 50 del Reglamento de IA (preguntas frecuentes de la Comisión Europea)
• Directrices sobre las obligaciones de transparencia de los proveedores y responsables del despliegue de determinados sistemas de IA (Comisión Europea)
• Datos clave: normas de transparencia para los sistemas de IA (Comisión Europea)
• La Comisión comienza a supervisar el cumplimiento de las normas del Reglamento de IA y de los nuevos requisitos de transparencia el 2 de agosto
• Artículo 50: obligaciones de transparencia de los proveedores y responsables del despliegue de determinados sistemas de IA
• Resumen general del Reglamento de IA
• Normas para una inteligencia artificial fiable en la UE (EUR-Lex)
• Informe anual del CEPD de 2024
• Artículo 50 del EU AI Act: comienzan a aplicarse las obligaciones de transparencia (Cloud Security Alliance)