AI Act a partir del 2 de agosto: por qué un código QR no sustituye al etiquetado de la IA

La Comisión Europea publicó el 20 de julio de 2026 sus directrices sobre las obligaciones de transparencia del artículo 50 del AI Act; la página de resumen correspondiente se actualizó por última vez el 29 de julio de 2026. Las obligaciones se aplican, en principio, a partir del 2 de agosto de 2026. Para los equipos que publican imágenes, vídeos, audios o textos generados por IA, es decisiva una distinción técnica: la marca legible por máquinas del contenido, su detectabilidad y el aviso visible para las personas son niveles separados. Un código QR puede añadir un cuarto nivel para la procedencia y las explicaciones. Sin embargo, no sustituye automáticamente a los demás niveles.

El artículo 50 distingue entre proveedores y operadores

La redacción del artículo 50 establece obligaciones diferentes para roles diferentes.

Los proveedores de sistemas que generan contenidos sintéticos de audio, imagen, vídeo o texto deben garantizar que los resultados estén marcados de forma legible por máquinas y sean reconocibles como generados o manipulados artificialmente. La solución técnica debe ser, en la medida en que sea técnicamente viable, eficaz, interoperable, robusta y fiable. Por tanto, el artículo no prescribe un formato de código de barras concreto. Exige una característica del contenido producido y una posibilidad de detección adecuada.

Los operadores, en cambio, deben informar a las personas en determinadas situaciones de uso: por ejemplo, en el reconocimiento de emociones y la categorización biométrica, en los deepfakes y en determinados textos generados o manipulados por IA sobre asuntos de interés público. Esta información debe ser clara, distinguible y accesible a más tardar en la primera interacción o exposición. Además, se aplican los requisitos pertinentes de accesibilidad.

Una empresa puede desempeñar ambos roles simultáneamente. Quien opere un sistema propio de generación y publique directamente sus resultados debe, por tanto, examinar tanto la parte correspondiente al proveedor como la del operador.

Por qué «legible por máquinas» no significa simplemente «código QR»

Un código QR es legible por máquinas. Sin embargo, de ello no se deduce que un código QR colocado junto a una imagen de IA cumpla ya la obligación del proveedor. El artículo 50, apartado 2, exige que el resultado del sistema de IA esté marcado y pueda detectarse como generado o manipulado por IA. Un cuadrado colocado por separado normalmente solo remite a una página externa. Si la imagen se copia, se recorta o se distribuye sin el diseño que la acompaña, la referencia puede desaparecer mientras el contenido sigue circulando sin cambios.

Por ello, la conclusión para la arquitectura es la siguiente: un código QR externo suele ser una capa complementaria de procedencia, no la marca técnica incorporada al contenido. Que una implementación concreta sea conforme con la legislación depende del sistema, el formato de salida y el contexto de uso.

Tampoco basta con obligar a escanear en la parte correspondiente a los operadores. Las preguntas frecuentes de la Comisión explican expresamente, en el caso de los deepfakes, que la divulgación debe ser perceptible sin herramientas especiales ni acciones adicionales. Los operadores no pueden basarse únicamente en una marca legible por máquinas integrada. Por tanto, un aviso que solo se haga visible después de escanear un código QR llega demasiado tarde para la información inicial exigida.

Cuatro niveles para una implementación sólida

1. Marca incorporada al contenido

El primer nivel corresponde al proceso de generación o exportación. Según el medio, pueden considerarse metadatos firmados, marcas de agua, pruebas criptográficas de procedencia, huellas digitales o combinaciones de estas técnicas. Las directrices de la Comisión destacan dos elementos vinculados: marcado y detectabilidad. Una marca sin un procedimiento de comprobación disponible no satisface el objetivo descrito.

El Código de conducta voluntario de la UE sobre transparencia de la IA concreta una posible vía de verificación. Para contenidos en contenedores distribuidos en línea, contempla un enfoque de varias capas con metadatos firmados digitalmente y una marca de agua imperceptible. Para el texto libre se aplican otros límites técnicos. El código es voluntario; las obligaciones del artículo 50 no lo son.

2. Aviso perceptible en la primera exposición

El segundo nivel se dirige a las personas. El aviso debe aparecer allí donde el contenido se percibe por primera vez, no solo en una política de privacidad general o en una subpágina enlazada. Según el medio, puede consistir en una indicación visible, un aviso hablado u otra forma clara y accesible.

En el caso de los textos editoriales es importante la excepción: las preguntas frecuentes explican que los textos publicados sobre asuntos de interés público no están sujetos a etiquetado si han pasado por una revisión humana sustancial o un control editorial y una persona física o jurídica asume la responsabilidad editorial. Una simple revisión ortográfica o de formato no es suficiente.

3. Código QR como vía de procedencia y contexto

El tercer nivel es opcional, pero útil desde el punto de vista operativo. Un código QR puede dirigir desde un motivo impreso, un envase, un estand de feria o una presentación a una página permanente sobre el origen. Un código QR dinámico permite seguir desarrollando el destino de forma controlada sin sustituir el soporte físico.

La página de destino no debería mostrar una afirmación general de «conforme con el AI Act». Es más útil ofrecer datos verificables:

identificador inequívoco del activo y de la versión,
organización responsable y punto de contacto,
sistema de IA utilizado, en la medida en que pueda divulgarse,
momento de generación y principales etapas de edición,
estado de la revisión humana o editorial,
tipo de marca disponible y acceso al detector,
estado actual de publicación e indicaciones de corrección o retirada.

Los prompts personales, los parámetros internos del modelo y los datos confidenciales de producción no deben incluirse en una página pública de procedencia. La transparencia no significa divulgar secretos empresariales ni datos personales.

4. Registro interno de pruebas

La página pública no sustituye a un registro de auditoría interno. Para cada publicación debería poder determinarse qué objeto de partida se generó, qué transformaciones se realizaron, qué metadatos se conservaron y quién autorizó la publicación. Son útiles los identificadores de activos inmutables, los valores hash de los archivos aprobados, las marcas de tiempo, las relaciones entre versiones y los resultados de las comprobaciones registrados.

Un flujo de trabajo práctico en siete pasos

Determinar los roles: documentar para cada sistema quién es proveedor, operador o ambas cosas.
Inventariar los tipos de salida: tratar por separado imagen, vídeo, audio, texto libre y texto en contenedor.
Comprobar la marca durante la exportación: no buscar una solución solo al final de la cadena de publicación.
Probar las transformaciones: la compresión, el escalado, el recorte, la transcodificación y las cargas en plataformas no deben destruir inadvertidamente la marca ni la detección.
Colocar el aviso en el primer contacto: visible o audible, comprensible y accesible; el código QR solo dirige a los detalles.
Versionar la página de procedencia: URL estable, datos actuales y una lógica clara de cambios y retiradas.
Conservar las pruebas: registrar conjuntamente los resultados de las pruebas, las aprobaciones, la versión del detector y la versión del activo publicado.

La transferencia entre herramientas es especialmente crítica. Un generador puede proporcionar metadatos firmados correctamente que se eliminen al exportar desde un editor de imágenes o al cargar el archivo en un sistema de gestión de contenidos. Por eso debe comprobarse no solo el archivo de origen, sino también el archivo que realmente se publica.

Supuestos erróneos habituales

«El código QR es legible por máquinas.» Sí, pero a menudo marca el soporte o el diseño, no la propia salida de IA de forma duradera.

«Los metadatos siempre son suficientes.» No necesariamente. Los formatos y las plataformas pueden eliminar metadatos. Por eso el código voluntario apuesta por varias capas de marcado para muchos medios de uso extendido.

«El aviso visible puede estar detrás del código QR.» Para la primera exposición es arriesgado, porque las personas tendrían que realizar primero una acción adicional.

«Todo texto elaborado con ayuda de IA necesita una etiqueta.» No. El ámbito de aplicación, la edición estándar, la finalidad de información pública, así como la revisión humana real y la responsabilidad editorial deben evaluarse de forma diferenciada.

Qué debería priorizarse antes del 2 de agosto

Las preguntas frecuentes de la Comisión mencionan un periodo transitorio limitado exclusivamente a la obligación de marcado y detección de determinados sistemas que ya se habían comercializado antes del 2 de agosto de 2026: en ese caso, es relevante el 2 de diciembre de 2026. Para las demás obligaciones no supone un aplazamiento general. Según las preguntas frecuentes, los contenidos generados antes del 2 de agosto no tienen que etiquetarse con carácter retroactivo; no obstante, se recomienda el etiquetado voluntario posterior.

Por tanto, para los próximos días, una campaña de códigos QR a gran escala no es el primer paso. Deben priorizarse la aclaración de roles, las pruebas de exportación y detección, los avisos visibles en el punto real de distribución y un registro de pruebas sólido. Después, el código QR se convertirá en aquello para lo que resulta eficaz: una entrada estable a información detallada y actualizable sobre la procedencia.