Europa exige pruebas: el AI Act lleva la transparencia de la IA a la práctica

La transparencia de la inteligencia artificial ha dejado de ser una cuestión aplazada. Desde el 2 de agosto de 2026, el artículo 50 del Reglamento Europeo de Inteligencia Artificial (EU AI Act) es aplicable. Las empresas deben identificar qué obligaciones les corresponden según el sistema, el uso y su papel como proveedor o responsable del despliegue.

La exigencia es concreta, pero el calendario no es uniforme. La reforma AI Omnibus, en vigor desde el 27 de julio, sitúa la aplicación de las reglas para sistemas de alto riesgo del anexo III en el 2 de diciembre de 2027, y para los vinculados a productos del anexo I en el 2 de agosto de 2028. Son plazos distintos de las obligaciones de transparencia ya activadas. Calendario actualizado de la Comisión Europea.

Qué exige ahora la transparencia

El artículo 50 distingue responsabilidades y supuestos; no obliga a etiquetar indiscriminadamente cualquier uso de IA. Entre sus exigencias figuran:

1. Informar de la interacción con IA, salvo cuando resulte evidente en las circunstancias previstas por la norma.
2. Facilitar la identificación técnica del contenido sintético. Los proveedores de determinados sistemas generativos deben permitir detectar, mediante marcado legible por máquina, que sus resultados han sido generados o manipulados artificialmente, con las excepciones previstas.
3. Advertir sobre determinados usos. Existen obligaciones específicas para sistemas de reconocimiento de emociones o categorización biométrica, deepfakes y ciertos textos publicados para informar sobre asuntos de interés público. El texto sometido a revisión humana o control editorial, con responsabilidad editorial, puede quedar exceptuado de esa obligación de etiquetado.

La Comisión resume estos supuestos en su guía de transparencia. Además, los sistemas introducidos en el mercado antes del 2 de agosto disponen de una transición limitada hasta el 2 de diciembre de 2026 para el marcado y la detección del artículo 50.2; no es una prórroga general. Preguntas frecuentes oficiales.

Supervisión y sanciones: responsabilidades concretas

La vigilancia corresponde principalmente a las autoridades nacionales competentes. La Oficina Europea de IA interviene en determinados supuestos dentro de sus competencias. Las organizaciones necesitan poder explicar qué sistema utilizan, quién responde de él y cómo aplican las obligaciones que les afectan; una dependencia tecnológica externa no resuelve esas preguntas.

El artículo 99 prevé, para incumplimientos como los del artículo 50, multas de hasta 15 millones de euros o el 3% del volumen de negocio mundial anual; para las prácticas prohibidas del artículo 5, hasta 35 millones o el 7%. La determinación del límite y de la sanción depende del caso, con reglas específicas para empresas de menor tamaño. Régimen sancionador.

El control del cloud también se demuestra

Para Triuvo, el debate empresarial debe llegar hasta la infraestructura: qué información se envía, dónde se procesa, quién puede acceder y cuánto tiempo se conserva. Una dirección postal europea, por sí sola, no responde a todas esas cuestiones.

Tampoco la nacionalidad de un proveedor determina automáticamente que su servicio sea ilícito. Cuando hay datos personales, las transferencias internacionales requieren evaluar el mecanismo jurídico y las garantías correspondientes, además de las obligaciones del AI Act. Son marcos relacionados, con requisitos propios. Comisión Europea: transferencias internacionales de datos.

La propuesta de Triuvo: soberanía que pueda verificarse

La estrategia de Triuvo sitúa el control y la trazabilidad en el diseño de su tecnología:

• Aquinas Engine™ y lógica formal. El trabajo en inferencia determinista busca aportar trazas verificables de las operaciones lógicas, como soporte técnico para auditoría y revisión.
• Triuvo Node™ y despliegue local. La propuesta de procesamiento local o en infraestructura privada busca reducir la exposición de información sensible y delimitar el perímetro operativo.
• Retención y acceso bajo control. Las políticas Zero-Retention y el aislamiento deben configurarse y comprobarse en el entorno concreto, incluidos registros, copias de seguridad e integraciones.

Estas capacidades pueden apoyar el cumplimiento, pero no sustituyen la evaluación del sistema, su documentación ni la supervisión humana que resulte exigible. Ninguna arquitectura concede inmunidad regulatoria automática.

Con su proyecto de implantación en España, Triuvo impulsa una base europea para desarrollar esa visión: innovar con control y demostrarlo con evidencias.