Herramientas de IA en tu web y las cuatro capas legales que debes cumplir
Integrar un chatbot o un generador de contenido en tu web activa cuatro marcos legales que se acumulan. El Reglamento de IA, el RGPD, la LSSI y, si operas en un sector regulado, la normativa sectorial que llevaba décadas vigente. Etiquetar el contenido como generado con IA cumple solo la primera capa y no te protege de las otras tres.
La tesis en 5 puntos
- El artículo 50 del Reglamento (UE) 2024/1689 es aplicable desde el 2 de agosto de 2026 y obliga a informar claramente al usuario cuando interactúa con sistemas de IA. Aunque el Digital Omnibus (Reglamento (UE) 2026/1744) pospuso los requisitos de alto riesgo hasta 2027 y 2028, mantuvo intacto dicho artículo 50. La única extensión concedida es hasta el 2 de diciembre de 2026 para el marcado técnico de sistemas ya comercializados.
- Las normas sobre etiquetado abordan la transparencia respecto al origen del contenido, no su veracidad. Una imagen marcada como sintética puede constituir igualmente publicidad ilícita conforme al Real Decreto 1907/1996 (ámbito sanitario) o la Circular 2/2020 de la CNMV (inversiones).
- En el corto plazo, clínicas y pymes enfrentan un riesgo sancionador mayor por parte de la Agencia Española de Protección de Datos que por el Reglamento de IA. Las multas documentadas por gestión incorrecta de cookies o bases jurídicas insuficientes oscilan entre 10.000 y 30.000 euros por procedimiento.
- Se considera responsable del despliegue (deployer) a quien emplea el sistema bajo su propia autoridad. Como no existe todavía criterio oficial publicado que lo resuelva, el reparto de esta responsabilidad entre agencia y cliente debe pactarse por contrato.
- Si una agencia comercializa bajo su propia marca un sistema de IA desarrollado o reentrenado por ella, adquiere la condición de proveedor según el Reglamento, asumiendo sus deberes de transparencia. Además, en el ámbito de alto riesgo, el artículo 25 califica como proveedor a quien altere sustancialmente un sistema existente o transforme uno ordinario en alto riesgo.
1. Por qué un chatbot no es una galería de fotos
La inserción de un chatbot suele percibirse como la instalación de cualquier otro plugin. Un script y cinco minutos de configuración. Sin embargo, en cuanto ese componente remite las interacciones de los usuarios a servidores externos para su procesamiento mediante modelos lingüísticos, se activan múltiples marcos jurídicos simultáneamente. Ni la gratuidad de la herramienta ni su carácter experimental eximen de estas obligaciones.
Recientemente, WordPress.com difundió una guía jurídica sobre herramientas de IA web cuya lectura recomiendo como introducción. Describe adecuadamente la interacción entre el Reglamento de IA, el RGPD y la LSSI.
No obstante, en Coodex trabajamos con clínicas, hospitales, aseguradoras, intermediarios financieros y grandes marcas de consumo, sectores donde la normativa general es apenas el punto de partida. Existe una cuarta capa regulatoria, la sectorial, vigente desde décadas antes de la irrupción de la inteligencia artificial. Esta es, frecuentemente, la primera fuente de incidencias. El presente texto estructura estos cuatro niveles citando directamente las fuentes primarias.
2. ¿Qué exige el artículo 50 del Reglamento de IA a tu web?
Desde el 2 de agosto de 2026, el artículo 50 del Reglamento (UE) 2024/1689 es aplicable y exige que el contenido sintético sea identificable y que el usuario perciba inequívocamente que dialoga con una IA desde el inicio. No basta con incluirlo en los términos legales ni confiar en la percepción subjetiva del visitante. Las directrices de la Comisión Europea de 20 de julio de 2026 restringen la excepción por obviedad, argumentando que omitir el aviso priva al usuario de información esencial. Un mensaje visible previo a la conversación, como «Soy el asistente virtual de esta web», satisface este requisito.
¿Acaso no se aplazó la normativa? La respuesta es matizada y requiere precisión ante la desinformación existente. El Reglamento (UE) 2026/1744 (Digital Omnibus), vigente desde el 27 de julio de 2026, difirió los requisitos de alto riesgo (Anexo III al 2 de diciembre de 2027; Anexo I al 2 de agosto de 2028). Sin embargo, el artículo 50 quedó excluido de esta moratoria. Al no ser obligaciones de alto riesgo, las exigencias de transparencia se aplican desde el 2 de agosto de 2026 con su régimen sancionador completo. Si tu organización postergó la implementación del aviso basándose en rumores de retraso global, existe un desfase en el calendario de cumplimiento.
Respecto al contenido generado, el Reglamento distingue dos roles. El proveedor (desarrollador) debe aplicar marcado legible por máquina según el artículo 50.2, salvo en ediciones estándar que no alteren sustancialmente la obra. Para sistemas ya presentes en el mercado el 2 de agosto de 2026, el Digital Omnibus otorga una prórroga hasta el 2 de diciembre de 2026 (nuevo artículo 111.4) exclusivamente para dicho marcado técnico; los nuevos lanzamientos deben cumplirlo desde su puesta en mercado. La Comisión aclara que el material generado antes del 2 de agosto no requiere etiquetado retroactivo, aunque lo recomienda. Un detalle crucial de las directrices finales. En textos de interés público, la fecha determinante es la de publicación. Por tanto, un texto generado antes pero publicado después del 2 de agosto sí requiere etiqueta, salvo revisión editorial humana.
El responsable del despliegue o deployer (quien utiliza la herramienta) asume las obligaciones del artículo 50.4. Aquí radican excepciones frecuentemente mal interpretadas. Las exenciones por contenido artístico o satírico y por revisión humana con responsabilidad editorial corresponden al deployer, no al proveedor. Es un matiz que he visto confundido en varias publicaciones, incluida alguna de las más leídas, y que importa mucho cuando toca decidir qué se etiqueta y qué no.
Como referencia complementaria, en junio de 2026 se publicó el Código de Buenas Prácticas sobre Transparencia de Contenido Generado por IA. Aunque voluntario, cuenta con el aval de la Comisión y el Consejo de IA como mecanismo de demostración de cumplimiento, con unas 190 adhesiones a finales de julio. Que tu proveedor figure como firmante constituye un argumento de diligencia relevante.
Violar el artículo 50 conlleva sanciones de hasta 15 millones de euros o el 3% de la facturación mundial anual (artículo 99.4). Retén esta cifra para contextualizarla en la sección 8.
3. ¿Qué exige el RGPD cuando tu web usa IA?
El tratamiento de datos personales mediante herramientas de IA activa el Reglamento General de Protección de Datos en cuatro vertientes específicas. Los chatbots de soporte recaban identidades y correos. Los formularios inteligentes pueden procesar información médica. Los asistentes de redacción reciben instrucciones con datos reales de clientes.
Primero, la dimensión contractual. Si el proveedor procesa datos por cuenta de tu entidad, actúa como encargado de tratamiento, requiriendo un acuerdo DPA conforme al artículo 28 del RGPD. Los principales actores (OpenAI, Google Cloud, Anthropic) ofrecen cláusulas tipo públicas. Evita plugins que no faciliten este contrato o no clarifiquen la cadena de procesamiento.
Segundo, la legitimación. Transferir datos a un proveedor alegando «eficiencia» carece de base jurídica válida. Si además se emplean para entrenamiento de modelos, la exigencia se intensifica.
Tercero, las transferencias internacionales. Pese a la validez confirmada del Data Privacy Framework UE-EE.UU. por el Tribunal General en septiembre de 2025 (asunto T-553/23), es imperativo verificar la certificación individual de cada proveedor en dataprivacyframework.gov, pues la adecuación es empresarial, no nacional.
Cuarto, la evaluación de impacto (EIPD). Aquí hablo directamente a las webs sanitarias. Si tu chatbot puede recibir datos de salud, combinar categorías especiales de datos (artículo 9 RGPD) con una tecnología emergente cumple los dos criterios que la AEPD usa para exigir una EIPD (artículo 35). Las orientaciones sobre IA agéntica publicadas por la AEPD el 18 de febrero de 2026 detallan medidas de gobernanza, trazabilidad y supervisión humana que cualquier responsable de una web con IA debería revisar.
5. ¿Por qué etiquetar no basta en sectores regulados?
El etiquetado garantiza transparencia sobre el origen, no veracidad sobre el fondo. Son bienes jurídicos distintos y acumulativos. Una imagen perfectamente etiquetada como sintética puede infringir simultáneamente la normativa de publicidad sanitaria o financiera.
En sanidad, el Real Decreto 1907/1996 prohíbe garantizar curaciones (art. 4.4), usar testimonios inducidores al consumo (art. 4.7) o atribuir efectos terapéuticos sin evidencia acreditada (art. 4.16). Un «antes y después» generado con IA de un paciente inexistente viola la prohibición de testimonios supuestos; si está retocado exageradamente, incurre en engaño. La etiqueta de IA es irrelevante para estas infracciones. Adicionalmente, el artículo 6 exige que la publicidad de centros sanitarios se ciña a su autorización y obtenga aprobación previa autonómica. El artículo 8 remite estas infracciones a la Ley General de Sanidad.
En finanzas, la Circular 2/2020 de la CNMV impone claridad, imparcialidad y coherencia en la publicidad de inversión. La Orden EHA/1718/2010 y la Ley 5/2019 exigen TAE y ejemplo representativo en hipotecas. Estas normas no distinguen entre autoría humana o artificial. El riesgo en contenido financiero automatizado no es la falta de etiqueta, sino el desconocimiento del modelo sobre requisitos sectoriales específicos.
Y hay dos zonas grises que conviene señalar con la misma honestidad con la que las hemos investigado. En sanidad, la clasificación como producto sanitario depende del propósito previsto (Regla 11 MDR, guías MDCG 2019-11 rev. junio 2025 y MDCG 2025-6). Sin embargo, la frontera entre información y orientación terapéutica en chatbots permanece indefinida, y el MDR está en revisión (propuesta COM(2025) 1023 de diciembre 2025). En finanzas, MiFID II define asesoramiento como recomendación personalizada (art. 4.1.4, test CESR/10-293), pero falta criterio sobre cuándo un chatbot cruza ese umbral. Ante la incertidumbre, prevalece la prudencia. Chatbots estrictamente informativos con límites sistémicos claros, y nunca orientadores de tratamiento o de producto.
7. ¿Quién responde, la agencia o el cliente?
La responsabilidad recae en el deployer, definido en el artículo 3.4 del Reglamento (UE) 2024/1689 como quien usa el sistema bajo su propia autoridad. Si la agencia integra, configura y opera el chatbot cotidianamente, podría ser considerada deployer de facto, aun siendo la web propiedad del cliente. Si la agencia solo ejecuta técnicamente y el cliente controla el uso, este último asume el rol. El artículo 26 enumera las obligaciones asociadas, desde la supervisión humana hasta la custodia de registros.
Un aspecto menos conocido concierne al artículo 25. Este convierte en proveedor (con obligaciones del artículo 16) a quien comercialice bajo su marca un sistema de alto riesgo ajeno, lo modifique sustancialmente manteniendo tal categoría, o altere su finalidad elevándolo a alto riesgo. Reentrenar un chatbot de riesgo limitado no activa esta cláusula salvo que la modificación lo convierta en alto riesgo (ej. triaje médico o scoring crediticio). No obstante, si una agencia desarrolla o reentrena una herramienta y la ofrece bajo su nombre, pasa a ser proveedor según el artículo 3.3, asumiendo el marcado técnico del artículo 50. Recordemos que, tras el Digital Omnibus, las obligaciones de alto riesgo del artículo 16 aplican desde diciembre 2027 (Anexo III) y agosto 2028 (Anexo I).
Ante la ausencia de criterio oficial sobre el reparto agencia-cliente, en Coodex lo fijamos como cláusula contractual expresa en cada proyecto. Quién es el deployer, quién etiqueta, quién supervisa y quién responde ante cada autoridad. Documentarlo transforma potenciales disputas en incidentes gestionables.
8. ¿Qué sanción llega antes? El riesgo real, en una tabla
Para una pyme, una clínica o un comercio, la sanción más probable a corto plazo no es la del Reglamento de IA sino la de la AEPD, porque es la autoridad con procedimiento sancionador operativo, probado y con mayor volumen de expedientes. El número grande asusta en los titulares. El número pequeño es el que llama a tu puerta.
| Ámbito | Base legal | Techo sancionador | Actividad sancionadora verificada |
|---|---|---|---|
| RGPD | Artículo 83 | 20 M€ o 4% facturación mundial | Sí, miles de expedientes AEPD |
| LSSI (cookies) | Arts. 22.2 y 39 | 600.000 € (muy grave) | Sí, resoluciones de 10.000-30.000 € |
| Reglamento IA (art. 50) | Artículo 99.4 | 15 M€ o 3% facturación mundial | No, sin expedientes españoles aún |
| Ley Orgánica IA española | Proyecto BOCG 121/000096 | Hasta 35 M€ o 7% | No aplicable (tramitación) |
| Sectorial | RD 1907/1996, Circular 2/2020, Ley 7/1996 | Variable (CC.AA.) | Sí, vía denuncias particulares |
Dos precisiones sobre la tabla. La primera es que el Digital Omnibus (Reglamento (UE) 2026/1744) difirió obligaciones de alto riesgo, pero el artículo 50 y sus sanciones son plenamente operativos desde el 2 de agosto de 2026. La segunda afecta a la última fila. El proyecto de Ley Orgánica (BOCG 121/000096, junio 2026) permanece en trámite parlamentario y sus sanciones son prospectivas. El Reglamento europeo, en cambio, es de aplicación directa independientemente de la legislación nacional.
9. ¿Por dónde empiezas? Seis comprobaciones para tu web
- Cataloga todas las soluciones de IA activas en tu web, incluyendo las usadas por colaboradores externos para generación de contenidos.
- Confirma la existencia de DPAs firmados y verifica certificaciones en dataprivacyframework.gov para cada proveedor.
- Implementa avisos de IA visibles en la primera interacción de tus chatbots.
- Audita las cookies de cada widget y sincroniza tu banner y política de privacidad.
- Anticípate solicitando una EIPD si manejas datos de salud.
- En sectores regulados, valida cada pieza generada contra la normativa específica, más allá del mero etiquetado.
En Coodex entendemos la inteligencia artificial como una de las herramientas más valiosas para la productividad y la creatividad de nuestros clientes. Usarla bien no consiste en frenarla sino en desplegarla con las cuatro capas cubiertas. Si quieres que revisemos cómo está tu web y tu contenido antes de que lo haga una autoridad o un competidor, hablemos directamente.
Preguntas frecuentes
¿Es obligatorio avisar de que mi chatbot es una inteligencia artificial?
Sí, desde el 2 de agosto de 2026. El artículo 50.1 del Reglamento (UE) 2024/1689 impone esta información salvo obviedad manifiesta. Dado que la Comisión Europea interpreta restrictivamente dicha excepción, se recomienda un aviso explícito inicial.
¿No se había retrasado el Reglamento de IA?
Solo en parte. El Digital Omnibus (Reglamento (UE) 2026/1744, vigente desde el 27 de julio de 2026) pospuso los requisitos de alto riesgo a diciembre de 2027 y agosto de 2028. Las obligaciones de transparencia del artículo 50 no se aplazaron y se aplican desde el 2 de agosto de 2026, con prórroga hasta el 2 de diciembre de 2026 solo para el marcado técnico de sistemas ya comercializados.
¿Tengo que etiquetar todo el contenido que genero con IA en mi web?
No. El uso auxiliar (borradores, correcciones, ideas) queda excluido. La obligación afecta a contenido sintético susceptible de parecer auténtico, deepfakes y textos de interés público sin supervisión editorial humana. El copy comercial revisado manualmente generalmente no requiere etiqueta.
¿Si etiqueto una imagen como generada con IA ya cumplo con la ley?
No del todo. La etiqueta cubre solo la transparencia. Una imagen etiquetada puede seguir siendo publicidad ilícita si viola el Real Decreto 1907/1996 o la Circular 2/2020 de la CNMV. La etiqueta no sanea vicios de fondo en el mensaje.
¿Quién es el responsable si mi agencia gestiona la IA de mi web?
Según quién ejerza autoridad real sobre el sistema (definición de deployer). Si la agencia decide y opera, puede ser responsable de facto; si solo implementa, recae en el cliente. Ante la falta de criterio oficial, es vital estipularlo contractualmente.
¿Qué multa puedo recibir por un chatbot mal implementado?
Actualmente, la de la AEPD. Existen resoluciones de 10.000 a 30.000 euros por cookies ilícitas (LSSI), pudiendo llegar a 150.000 en tramo grave. El RGPD contempla hasta 20 millones o 4% de facturación por tratamientos sin base jurídica.
¿La ley española de inteligencia artificial ya está en vigor?
No. El proyecto BOCG 121/000096 sigue en tramitación a agosto de 2026. El artículo 50 del Reglamento europeo es directamente aplicable desde el 2 de agosto de 2026, al margen de la normativa doméstica.
Fuentes
- Reglamento (UE) 2024/1689 (arts. 3.3, 3.4, 16, 25, 26, 50, 99). EUR-Lex
- Reglamento (UE) 2026/1744 (Digital Omnibus), DOUE 24/07/2026, vigor 27/07/2026. BOE-DOUE y EUR-Lex
- Directrices CE sobre transparencia (20/07/2026). Política y documento
- FAQ Comisión Europea art. 50 (transición 02/12/2026). FAQ oficial
- Código Buenas Prácticas Transparencia IA (junio 2026). Comisión Europea
- AESIA, divulgación art. 50. aesia.digital.gob.es
- AEPD, Orientaciones IA agéntica (18/02/2026). PDF
- AEPD, listas de tratamientos que requieren EIPD y Guía de cookies (julio 2023)
- AEPD, resoluciones sancionadoras por cookies PS/00300/2019 y PS/00127/2019. Buscador de resoluciones
- Ley 34/2002 LSSI (arts. 22.2, 39). BOE
- RGPD (arts. 9, 28, 35, 83). EUR-Lex
- Real Decreto 1907/1996 (arts. 4-8). BOE
- Reglamento (UE) 2017/745 MDR, Regla 11, Guías MDCG 2019-11 rev.1 (06/2025) y MDCG 2025-6. CE Salud
- Propuesta modificación MDR/IVDR COM(2025) 1023 (16/12/2025). Parlamento Europeo
- CESR Q&A MiFID Advice (CESR/10-293, 04/2010). ESMA
- Circular CNMV 2/2020. BOE
- Orden EHA/1718/2010 (BOE) y Ley 5/2019 (BOE)
- Proyecto Ley Orgánica IA (BOCG 121/000096, 12/06/2026). Congreso
- TGUE asunto T-553/23 (Latombe c. Comisión), 03/09/2025. Curia
- DPAs de OpenAI, Google Cloud y Anthropic
- Normativa IA RRSS. Blog Coodex
- Guía legal IA web (31/07/2026). WordPress.com
Última actualización el 20 de agosto de 2026. Los datos de este artículo han sido verificados con fuentes primarias.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.
Imagen destacada generada con asistencia de IA y revisada editorialmente.
