Desde el 2 de agosto de 2026 se aplica con carácter general el Reglamento europeo de Inteligencia Artificial y las autoridades han empezado a hacer cumplir nuevas obligaciones de transparencia. Un chatbot debe informar de que es una IA cuando no resulte obvio; determinados contenidos sintéticos deben poder detectarse técnicamente y quien publica profesionalmente un deepfake debe identificarlo de forma clara, con los matices y excepciones previstos por la norma.
El calendario cambió en julio de 2026. El Reglamento (UE) 2026/1744 aplazó las obligaciones para sistemas de alto riesgo del anexo III al 2 de diciembre de 2027 y las de IA integrada en productos regulados al 2 de agosto de 2028. Por eso conviene comprobar la fecha, el tipo de sistema y la autoridad competente antes de afirmar que existe una infracción.
Las preguntas que deberían guiar la investigación
¿El sistema tenía que avisar de que era IA?
Desde el 2 de agosto de 2026, chatbots, agentes y otros sistemas que interactúan directamente con personas deben informar de su naturaleza artificial salvo que sea evidente para una persona razonablemente informada.
¿El contenido sintético debía estar identificado?
Distingue el marcado técnico que corresponde al proveedor de la revelación visible que puede corresponder a quien despliega profesionalmente un deepfake o publica ciertos textos de interés público.
¿Hubo una decisión de alto riesgo con efecto importante?
Documenta el uso de IA, el resultado y el perjuicio. El derecho a explicación del artículo 86 es limitado a supuestos concretos y el régimen del anexo III se aplicará desde diciembre de 2027.
¿Qué canal tiene competencia?
La Oficina de IA solo recibe determinadas reclamaciones de su competencia. Otros casos corresponden a autoridades nacionales, protección de datos, consumo, plataformas, policía o tribunales.
Fuentes que pueden aportar contexto
Reglamento de IA consolidado
Texto oficial consolidado a 27 de julio de 2026, con las modificaciones del Ómnibus de IA y el calendario vigente.
Leer el texto consolidadoCalendario actualizado de la Comisión Europea
Resumen oficial de las obligaciones aplicables, los niveles de riesgo y las nuevas fechas para sistemas de alto riesgo.
Consultar fuente oficialHerramienta de reclamaciones del Reglamento de IA
Canal de la Oficina de IA para presuntas infracciones dentro de su competencia exclusiva; admite cualquier lengua oficial de la UE y documentos de apoyo.
Consultar fuente oficialNotificación de contenido ilícito bajo la DSA
Vía paralela para denunciar en una plataforma perfiles falsos, deepfakes ilícitos, anuncios fraudulentos o estafas; no sustituye una denuncia penal ni recupera dinero.
Consultar fuente oficial
Un proceso paso a paso
Conserva el incidente
Guarda URL, fecha, capturas completas, nombre del sistema, proveedor, aviso mostrado y resultado. No redistribuyas material íntimo o dañino para documentarlo.
Clasifica el uso de IA
Separa interacción con chatbot, contenido generado o manipulado, biometría, reconocimiento de emociones y decisión automatizada. Una misma experiencia puede activar normas distintas.
Pide información al proveedor o responsable
Describe el resultado concreto y solicita qué sistema se utilizó, qué aviso se mostró, qué revisión humana existió y cómo recurrir. Conserva el acuse y la respuesta.
Elige la vía competente
Usa la herramienta de la Oficina de IA solo si el caso entra en su competencia; si no, consulta el directorio de autoridades nacionales y conserva las vías de protección de datos, consumo o justicia.
Actúa en paralelo ante daño real
Si hay suplantación, fraude, amenazas o difusión de contenido, reporta también a la plataforma y contacta con banco, AEPD o fuerzas de seguridad según el riesgo.
Señales que merecen una segunda comprobación
Interacción artificial presentada como humana
La ausencia de aviso puede ser relevante desde agosto de 2026 cuando la naturaleza artificial no era evidente.
Deepfake profesional sin revelación clara
Una marca técnica oculta no siempre basta: determinados deepfakes deben llevar una identificación visible y perceptible.
Decisión importante sin canal de revisión
Cuando un sistema influye en empleo, educación, crédito, servicios esenciales o derechos, documenta quién decidió y qué revisión humana estaba disponible.
Formulario equivocado
La Oficina de IA no sustituye a la policía, al banco, a la AEPD ni a la plataforma. Enviar el caso al canal incorrecto puede retrasar la respuesta urgente.
Qué debería quedar al terminar
- Una ficha del incidente con sistema, fecha, proveedor, resultado, daño y pruebas conservadas.
- Una clasificación prudente de las obligaciones potencialmente aplicables, separando lo ya vigente de las fechas futuras.
- Un mapa de reclamación que combine, cuando proceda, Reglamento de IA, plataforma, protección de datos, consumo y denuncia.
Límites de privacidad y uso responsable
- No todo contenido creado con IA exige una etiqueta visible y existen excepciones para algunos usos artísticos, editoriales, técnicos, personales o legalmente autorizados.
- El derecho a una explicación del artículo 86 no cubre cualquier resultado automatizado; depende del sistema, del efecto y del calendario aplicable.
- Esta guía es informativa y no sustituye asesoramiento jurídico ni servicios de emergencia. Ante riesgo inmediato llama al 112.
Preguntas frecuentes
¿Todos los deepfakes deben estar etiquetados desde agosto de 2026?
No de la misma manera. El proveedor puede tener que incorporar un marcado legible por máquina y quien despliega profesionalmente determinados deepfakes debe revelarlos de forma clara. La norma incluye excepciones y el uso estrictamente personal no queda sometido a todas las obligaciones del responsable del despliegue.
¿Ya están vigentes todas las reglas para sistemas de alto riesgo?
No. Tras el Reglamento (UE) 2026/1744, las reglas del anexo III se aplicarán desde el 2 de diciembre de 2027 y las de IA integrada en productos regulados desde el 2 de agosto de 2028.
¿La reclamación del Reglamento de IA sirve para una estafa?
Puede ser complementaria si existe una infracción de IA dentro de la competencia correspondiente, pero no sustituye el aviso al banco, la denuncia policial, la reclamación de protección de datos ni el reporte de contenido ilícito a la plataforma.