Reglamento europeo de IA para agencias de marketing: checklist de cumplimiento 2026

El Reglamento europeo de IA (Reglamento (UE) 2024/1689) no clasifica jurídicamente a las agencias de marketing como una categoría propia: no contempla ni el término «agencia» ni «agente de IA». Lo decisivo es tu rol: casi todas las agencias son responsables del despliegue según el art. 3, punto 4, porque utilizan sistemas de IA bajo su propia responsabilidad. Solo pasan a ser proveedores según el art. 3, punto 3, en casos muy acotados, por ejemplo con una oferta bajo marca propia o, en sistemas de alto riesgo, a través del art. 25. De ahí se derivan las obligaciones.

• Rol estándar de responsable del despliegue: alfabetización en IA del art. 4 y transparencia del art. 50. Las obligaciones del art. 26 (supervisión humana, monitorización, conservación de logs durante al menos 6 meses) solo se aplican si la agencia utiliza un sistema de IA de alto riesgo y, en el caso de los sistemas del anexo III, a partir del 2 de diciembre de 2027 (para la IA integrada en productos del anexo I, a partir del 2 de agosto de 2028).
• Con efecto inmediato: la alfabetización en IA (art. 4) y las prohibiciones del art. 5 rigen desde el 2 de febrero de 2025, con independencia del riesgo y sin aplazamiento. Solo la prohibición de los sistemas de IA para imágenes íntimas no consentidas y representaciones de abusos sexuales, introducida por el Ómnibus Digital, se aplica a partir del 2 de diciembre de 2026.
• Obligación de etiquetado: desde el 2 de agosto de 2026 rige el art. 50. Los proveedores deben hacer que los chatbots sean reconocibles como IA y marcar los resultados de la IA en un formato legible por máquina; los responsables del despliegue deben revelar los deepfakes y los textos generados por IA sobre asuntos de interés público sin que nadie asuma la responsabilidad editorial. El marcado legible por máquina de los sistemas generativos que ya estaban en el mercado antes cuenta con un periodo de gracia hasta el 2 de diciembre de 2026.

¿Qué rol tiene una agencia de marketing: responsable del despliegue o proveedor?

El Reglamento de IA distingue los roles de operador en el art. 3, puntos 3 a 8. Para las agencias, dos son relevantes:

Responsable del despliegue o deployer (art. 3, punto 4) es quien utiliza un sistema de IA bajo su propia autoridad. Es el rol estándar de casi cualquier agencia que use ChatGPT Enterprise, Claude for Work, Microsoft 365 Copilot, Gemini for Workspace o un servicio de RAG gestionado para redacción, campañas, atención al cliente o gestión del conocimiento. Mientras utilices el sistema para la finalidad documentada, no hagas fine-tuning del modelo subyacente ni lo modifiques sustancialmente, no le pongas tu marca y no lo reconviertas para una nueva finalidad de alto riesgo, seguirás siendo un mero responsable del despliegue.

Proveedor o provider (art. 3, punto 3) es quien desarrolla un sistema de IA o encarga su desarrollo y lo introduce en el mercado con su propio nombre o marca. También un responsable del despliegue puede acabar en este rol, con consecuencias considerables. Hay tres desencadenantes:

1. Marca propia (art. 3, punto 3): si encargas el desarrollo o la adaptación de un sistema de chatbot de marca blanca y lo ofreces con tu propia marca, normalmente eres proveedor, y entonces te afecta la obligación de información del art. 50, apdo. 1. Si se trata de un sistema de alto riesgo, el cambio de rol lo regula el art. 25, apdo. 1, letra a), salvo que se haya pactado por contrato otro reparto de obligaciones.
2. Modificación sustancial (art. 3, punto 23; art. 25, apdo. 1, letra b)): por ejemplo, el fine-tuning del modelo de un sistema de alto riesgo con datos propios que afecte al cumplimiento de los arts. 8 a 15.
3. Cambio de finalidad a alto riesgo (art. 25, apdo. 1, letra c)): por ejemplo, un modelo con fine-tuning sobre datos de currículos para seleccionar candidatos: eso es alto riesgo según el anexo III, punto 4, y la agencia pasa a ser proveedor.

El RAG estándar sobre documentos propios, el prompt engineering y la adaptación del system prompt normalmente no activan el art. 25. Un fine-tuning ligero con LoRA por debajo de aproximadamente un tercio del cómputo de entrenamiento original también queda por debajo del umbral de GPAI de las directrices de la Comisión del 18 de julio de 2025.

La checklist de cumplimiento para agencias de marketing

La siguiente checklist, para ir marcando, reúne lo que una agencia debería preparar como responsable del despliegue. Las filas que hacen referencia al art. 26 solo son obligatorias en casos de uso de alto riesgo; en los demás, son buenas prácticas. Cómo funciona el etiquetado en el día a día lo explica el artículo sobre el etiquetado según el art. 50 en la práctica.

Dos apuntes más desde la práctica: si una aplicación de IA supervisa o evalúa el rendimiento de los empleados (por ejemplo, un copiloto que controla la productividad), normalmente se considera un sistema de alto riesgo según el anexo III, punto 4. En ese caso, a partir del 2 de diciembre de 2027 se aplica el art. 26, apdo. 7: hay que informar a los representantes de los trabajadores y a las personas afectadas antes de la puesta en servicio. En Austria rigen además los derechos de participación del comité de empresa según los §§ 91 y 96 de la ArbVG. Y contra la IA en la sombra (el uso privado de ChatGPT en el navegador que elude el modelo de gobernanza) ayuda una política de uso aceptable, respaldada por controles de red y de identidad.

Estado de los plazos en 2026 y qué se aplica ya

El Ómnibus Digital ya está aprobado: el Reglamento (UE) 2026/1744 se publicó el 24 de julio de 2026 en el Diario Oficial y está en vigor desde el 27 de julio de 2026. Aplaza la mayor parte de las obligaciones de alto riesgo: el alto riesgo del anexo III se aplica a partir del 2 de diciembre de 2027 y la seguridad de los productos del anexo I, a partir del 2 de agosto de 2028. Las demás fechas clave figuran en el calendario del Reglamento de IA.

No se aplazan el art. 4 (alfabetización) ni el art. 5 (prohibiciones), ambos vigentes desde el 2 de febrero de 2025, ni las normas sobre GPAI (arts. 51 a 55), vigentes desde el 2 de agosto de 2025, ni el régimen de multas. La novedad en este punto es el art. 99, apdo. 6 bis: en las multas del art. 99, apdos. 4 y 5, a las pequeñas empresas de mediana capitalización se les aplica, igual que a las pymes, el menor de los dos importes. El art. 4, en cambio, sí lo ha suavizado el Ómnibus: proveedores y responsables del despliegue deben adoptar medidas que fomenten la alfabetización en IA de su personal, pero no tienen que garantizar un nivel de competencia determinado. Las obligaciones de transparencia del art. 50 rigen desde el 2 de agosto de 2026. Solo existe un periodo de gracia hasta el 2 de diciembre de 2026 para el marcado legible por máquina del art. 50, apdo. 2, en sistemas de IA generativa introducidos en el mercado antes del 2 de agosto de 2026.

Prácticas prohibidas en marketing (art. 5)

Las agencias deberían tomarse en serio el art. 5, porque aquí está el nivel de sanción más alto. Tres prohibiciones son especialmente relevantes para el marketing:

• Art. 5, apdo. 1, letra a): técnicas subliminales, manipuladoras o engañosas que causan perjuicios considerables, por ejemplo agentes de marketing optimizados para la persuasión que explotan sesgos cognitivos por debajo de la percepción consciente.
• Art. 5, apdo. 1, letra b): explotación de vulnerabilidades derivadas de la edad, la discapacidad o la situación socioeconómica, por ejemplo agentes que dirigen productos financieros abusivos a clientes de edad avanzada.
• Art. 5, apdo. 1, letra g): categorización biométrica según características sensibles, relevante para los agentes de targeting y segmentación.

Además, el Ómnibus Digital prohíbe los sistemas de IA destinados a generar imágenes íntimas no consentidas o material de abuso sexual infantil, o que carezcan de salvaguardias adecuadas para impedirlo. La prohibición se aplica a partir del 2 de diciembre de 2026 y abarca también a los responsables del despliegue que utilicen deliberadamente un sistema de IA para generar ese tipo de contenidos.

Escenario de ejemplo con cifras: una agencia de 60 personas en Viena

Una agencia de performance marketing dirigida por su propietario, con 60 empleados, utiliza cuatro aplicaciones de IA: un agente de copywriting (interno), un chatbot de atención al cliente en su propia web, un asistente de generación de código y, de vez en cuando, vídeos de producto generados por IA para campañas.

Clasificación:

• Agente de copywriting: riesgo mínimo. El marcado legible por máquina del art. 50, apdo. 2, corresponde al proveedor de la herramienta. Si la herramienta se compra a un tercero, ese tercero es el proveedor; si la agencia construye ella misma el agente sobre la API de un modelo y lo usa para fines propios, es ella la proveedora según el art. 3, punto 3, y el art. 3, punto 11. Como responsable del despliegue, la agencia solo tiene que revelar el uso de IA en textos sobre asuntos de interés público que no hayan pasado una revisión editorial (art. 50, apdo. 4).
• Chatbot de atención al cliente: riesgo limitado, art. 50, apdo. 1: los usuarios deben poder reconocer que están chateando con un asistente de IA.
• Generación de código: riesgo mínimo (uso interno).
• Vídeos de producto: riesgo limitado + obligación plena de revelar los deepfakes según el art. 50, apdo. 4; la excepción artística o satírica se interpreta de forma restrictiva.

Esfuerzo: para la agencia de 60 personas, el proyecto sigue siendo manejable, porque ninguna de las cuatro aplicaciones está clasificada como sistema de alto riesgo. El foco está en el programa de alfabetización en IA (para una empresa de este tamaño suelen bastar 3–5 módulos), al que se suman el registro de casos de uso, el diseño de los avisos del art. 50 y la due diligence de proveedores.

Riesgo de no hacer nada: si faltara, por ejemplo, el etiquetado de deepfakes, se entraría en el segundo nivel de multas del art. 99: hasta 15 millones de euros o el 3 % del volumen de negocios anual mundial. Como se trata de una pyme, se aplica el art. 99, apdo. 6: rige el menor de los dos importes. Con una facturación anual de 6 millones de euros, el 3 % serían 180.000 euros, de modo que el límite máximo quedaría en 180.000 euros en lugar de 15 millones de euros. Para la falta de alfabetización en IA (art. 4), el propio Reglamento de IA no prevé ninguna multa; si una infracción se sanciona y cómo, lo regulan los Estados miembros según el art. 99, apdo. 1.

Para agencias y decisores B2B

Si usas IA en el día a día de tu marketing, ya tienes obligaciones: la alfabetización en IA y la prohibición de prácticas manipuladoras rigen desde febrero de 2025, y el etiquetado de los contenidos generados por IA, desde agosto de 2026. La palanca más rápida es un inventario de IA documentado con una clasificación de riesgos rigurosa. De ahí se derivan las necesidades de formación, las obligaciones de etiquetado y la respuesta a si en algún punto acabas en el rol de proveedor. Blck Alpaca ayuda a agencias y equipos B2B de toda Europa a crear ese inventario, implantar el etiquetado del art. 50 y poner en marcha un programa de alfabetización en IA que resista una auditoría.

Nota legal: este artículo tiene carácter orientativo y no constituye asesoramiento jurídico. Para una valoración vinculante de tu caso concreto, recurre a un asesoramiento jurídico especializado.