Reglamento europeo de IA: qué cambia y cómo lo aplica mByte.

Qué cambió realmente el 2 de agosto.

La respuesta breve es: transparencia aplicable y supervisión con capacidad sancionadora sobre varias obligaciones que ya existían. No significa que toda herramienta con IA sea de alto riesgo, que toda empresa necesite un marcado CE ni que todos los bloques del Reglamento hayan empezado el mismo día.

El Reglamento también alcanza a actores establecidos fuera de la Unión cuando introducen sistemas en el mercado europeo, los usan en la Unión o sus resultados se utilizan allí. Por eso el domicilio paraguayo de mByte no reduce el estándar aplicable a una instalación destinada a España o a personas situadas en la UE.

Qué debe poder demostrar una empresa desde ahora.

1. Que la persona sabe cuándo habla con una IA

El proveedor de un sistema diseñado para interactuar directamente con personas físicas debe hacer que estas sean informadas de que están ante una IA, salvo que resulte evidente. La Comisión aclara que el aviso debe aparecer desde el inicio de la primera interacción, de forma clara, distinguible y accesible.

La obligación jurídica de diseño recae en el proveedor, pero la empresa que despliega el sistema no debería borrar el aviso ni esconderlo en una política de privacidad. En proyectos a medida, además, una empresa puede convertirse en proveedor si pone el sistema en servicio bajo su propio nombre o marca. El rol se decide por lo que cada parte hace, no por la etiqueta del contrato.

2. Que el contenido sintético se trata según su tipo y finalidad

Los proveedores de sistemas generativos deben incorporar marcado técnico detectable en determinados contenidos. Los responsables del despliegue deben revelar de forma visible o audible los deepfakes y también los textos generados o manipulados con IA que se publiquen para informar al público sobre asuntos de interés público, salvo que exista revisión humana sustantiva, control editorial y una persona física o jurídica que asuma la responsabilidad editorial.

Corregir ortografía no equivale a revisar el fondo. Contrastar hechos, revisar fuentes y tener autoridad real para aprobar, modificar o rechazar el texto sí forma parte de un control editorial.

3. Que las personas que operan la IA entienden su uso

La alfabetización en IA no obliga a comprar un curso concreto ni a garantizar que cada empleado alcance una nota. El artículo 4, modificado por el Ómnibus, exige adoptar medidas proporcionadas para apoyar esa alfabetización, teniendo en cuenta experiencia, formación, contexto de uso y personas afectadas.

En la práctica, una empresa necesita explicar qué sistemas están autorizados, para qué pueden usarse, qué errores son previsibles, qué información no debe introducirse y cuándo debe intervenir una persona. Y conviene conservar evidencia de esas medidas.

4. Que no usa prácticas prohibidas

Desde febrero de 2025 están prohibidos, entre otros supuestos, determinados usos manipuladores, la explotación dañina de vulnerabilidades, ciertas formas de puntuación social y la inferencia de emociones en el trabajo o la educación, salvo excepciones muy concretas de naturaleza médica o de seguridad. El análisis debe hacerse antes de activar una función, no después de una queja.

5. Que sabe si su caso es de alto riesgo

El aplazamiento no convierte el alto riesgo en un problema para 2027. Si una empresa prepara un sistema para selección de personal, evaluación de trabajadores, educación, crédito, servicios esenciales u otros ámbitos del anexo III, debe clasificarlo ahora, diseñar la evidencia y evitar decisiones irreversibles que luego hagan imposible cumplir.

Cómo lo convertimos en operación dentro de mByte.

No presentamos estos controles como una certificación universal ni como asesoramiento jurídico. Son el estándar operativo con el que diseñamos, activamos y mantenemos las instalaciones mByte. La obligación concreta se confirma en cada proyecto según el caso de uso, el sector, los datos y el rol de cada parte.

Este diseño es más exigente que colocar un aviso genérico al pie de una web. La transparencia solo funciona si coincide con el comportamiento real del sistema; la supervisión solo existe si la persona puede entender, detener o corregir; y la trazabilidad solo sirve si permite reconstruir lo ocurrido.

Qué puede esperar un cliente de mByte.

La confianza no exige revelar la arquitectura interna ni convertir al cliente en administrador técnico. Exige que pueda saber qué se ha implantado, qué puede hacer, qué no puede hacer y quién responde cuando aparece una excepción.

• Antes de activar: alcance, responsable humano, canales, datos, límites de autonomía y criterios de aprobación.
• Durante la implantación: mensajes de transparencia, permisos mínimos, procedimientos, prueba del flujo principal y prueba de una excepción.
• En operación: historial de actividad relevante, estado del sistema, incidencias escaladas y cambios documentados.
• En evolución: propuestas de mejora separadas de los datos del negocio y aplicadas solo tras la revisión correspondiente.

Para instalaciones que ya estaban operativas antes del 2 de agosto, el estándar mByte exige revisar de nuevo los puntos de contacto con personas, el inventario de casos de uso, los mensajes iniciales y la evidencia de formación y supervisión. No damos por cumplido un control porque figure en una plantilla.

El cumplimiento es compartido. La responsabilidad también.

El reparto exacto depende de si mByte y el cliente actúan como proveedor, responsable del despliegue u otro operador en cada caso. Un contrato puede ordenar tareas, pero no elimina las obligaciones que el Reglamento atribuye a cada rol.

La IA tampoco desplaza al RGPD, la LOPDGDD, la normativa laboral, de consumo, sanitaria o sectorial. Cuando hay datos personales o decisiones con impacto, ambas capas deben analizarse juntas. En los casos que lo requieren, mByte trabaja con asesoramiento jurídico o con el responsable de protección de datos del cliente; no sustituye esas funciones profesionales.

Lo que no prometemos

• No prometemos «cumplimiento absoluto» con una etiqueta comercial.
• No tratamos todos los sistemas como iguales ni todos los riesgos como altos.
• No usamos la supervisión humana como una frase si nadie tiene autoridad o información para intervenir.
• No ocultamos una interacción automática para que parezca una persona.
• No consideramos una política escrita como sustituto de una prueba real.

Fuentes oficiales y fecha de corte.

Artículo comprobado el 4 de agosto de 2026. Hemos priorizado texto normativo y documentación de la Comisión Europea. Las guías ayudan a interpretar la aplicación práctica; el texto legal y la actuación de las autoridades competentes prevalecen.

1. Reglamento (UE) 2024/1689 de Inteligencia ArtificialDiario Oficial de la Unión Europea · texto base del AI Act.
2. Reglamento (UE) 2026/1744, Ómnibus digital sobre IATexto oficial en español · modificación de alfabetización, calendario de alto riesgo y transición del artículo 50.2.
3. Directrices de la Comisión sobre las obligaciones de transparenciaPublicadas el 20 de julio de 2026 · alcance y aplicación del artículo 50.
4. Preguntas y respuestas de la Comisión sobre el artículo 50Interacción con IA, marcado, deepfakes, textos de interés público y revisión editorial.
5. Preguntas y respuestas sobre alfabetización en IAComisión Europea · medidas proporcionadas del artículo 4.
6. Calendario de aplicación del AI ActAI Act Service Desk de la Comisión · calendario actualizado tras el Ómnibus.