El Reglamento Europeo de IA ya exige transparencia: qué cambia para una empresa paraguaya

Durante dos años, el Reglamento Europeo de Inteligencia Artificial fue un tema de conferencias: mucho titular, poca consecuencia práctica. Eso cambió hace diez días. El 2 de agosto de 2026 entraron en aplicación las obligaciones de transparencia del artículo 50 del Reglamento (UE) 2024/1689, conocido como AI Act. Ya no es un calendario futuro: es derecho vigente y exigible.

La reacción natural de un directorio paraguayo es archivarlo como problema ajeno. Y en muchos casos lo será. Pero antes de archivarlo conviene entender dos cosas: qué exige exactamente, y por qué el texto alcanza a empresas que nunca pusieron un pie en Europa.

Las cuatro obligaciones que ya rigen

El artículo 50 no regula qué puede hacer un sistema de IA, sino qué tiene que decir sobre sí mismo. Son cuatro deberes distintos, y aplican a actores distintos:

• Un chatbot debe identificarse como máquina. Cualquier sistema diseñado para interactuar directamente con personas tiene que dejar claro que quien responde no es humano. Alcanza a asistentes virtuales, agentes conversacionales y bots de atención al cliente.
• El contenido sintético debe venir marcado. Los proveedores de sistemas generativos deben incorporar marcas legibles por máquina en el texto, imagen, audio o video que producen, para que se pueda detectar que fue generado o manipulado con IA.
• Los sistemas biométricos y de reconocimiento de emociones deben declararse. Quien despliega un sistema que infiere emociones, estados de ánimo o intenciones, o que clasifica personas por características biométricas, tiene que informar a las personas expuestas.
• Los deepfakes deben etiquetarse. Todo contenido que se parezca a una persona, lugar o hecho real debe indicar su origen artificial. Y acá viene el detalle que sorprende a muchos: la obligación aplica aunque no haya intención de engañar, e incluso si la persona representada no existe.

Hay una quinta regla, más específica, para el texto generado automáticamente sobre asuntos de interés público —política, economía, salud pública, seguridad—: también debe identificarse como generado por IA, salvo que haya pasado por revisión humana o control editorial y alguien asuma responsabilidad sobre su publicación. Esa excepción es, en la práctica, la definición legal de lo que en gobernanza llamamos "humano en el circuito".

El artículo 50 no pregunta si tu IA es buena. Pregunta si la persona del otro lado sabe que está frente a una IA.

Por qué esto no termina en la frontera europea

Acá está el punto que un ejecutivo local no debería pasar por alto. El AI Act tiene alcance extraterritorial: aplica a proveedores y desplegadores establecidos fuera de la Unión Europea cuando comercializan sistemas en el mercado europeo o cuando el resultado producido por el sistema se utiliza dentro de la Unión.

Traducido a casos concretos que sí existen en Paraguay:

• Una empresa exportadora cuyo chatbot de atención responde a clientes o distribuidores europeos.
• Un estudio o agencia local que produce contenido —textos, imágenes, video— para una marca que lo publica en Europa.
• Un proveedor de software o servicios cuyo producto termina integrado en la operación de un cliente con presencia europea.
• Una empresa del grupo con filial, oficina comercial o casa matriz en la UE.

Y hay una segunda vía, menos jurídica pero más probable: el efecto de arrastre por contrato. Cuando una corporación europea tiene que cumplir, traslada esa exigencia a su cadena de proveedores. Es exactamente lo que pasó con el RGPD hace unos años: muchas empresas paraguayas terminaron adaptando sus políticas de datos no porque las obligara una ley local, sino porque un cliente grande lo puso en el contrato.

Qué pasa si no se cumple

Las sanciones por incumplir el artículo 50 llegan hasta 15 millones de euros o el 3% de la facturación anual mundial, el monto que resulte mayor. Para pymes se aplica el menor de los dos importes. La autoridad pondera gravedad, duración, cantidad de afectados, tamaño de la empresa, si hubo intención o negligencia y qué medidas técnicas se habían adoptado.

Qué haría yo, con criterio de negocio

Nada de esto exige contratar un estudio jurídico europeo el lunes. Exige algo más simple y que casi ninguna organización tiene hoy: saber dónde está usando IA. Cinco pasos, en orden:

• Levantá el inventario. ¿Dónde hay IA en la operación? Chatbot del sitio, asistente de WhatsApp, generación de textos para marketing, análisis de currículums, control de acceso por reconocimiento facial. Casi siempre aparecen dos o tres sistemas que nadie tenía mapeados, contratados directamente por un área sin pasar por TI.
• Marcá cuáles tocan Europa. Por cliente, por filial, por destino del contenido. Ese subconjunto es tu exposición real; el resto, por ahora, es buena práctica.
• Aplicá los avisos donde correspondan. Que el bot diga que es un bot al abrir la conversación. Que el contenido generado lleve su etiqueta. Que quien pasa por un sistema biométrico lo sepa. Son cambios de producto menores, no proyectos.
• Definí quién firma. La excepción para textos de interés público exige revisión humana y alguien que asuma responsabilidad editorial. Eso es un rol, no una herramienta: hay que nombrarlo.
• Escribilo en los contratos. Si tercerizás desarrollo, contenido o atención al cliente, tus proveedores deben cumplir lo mismo. Y si sos el proveedor, anticiparte es un argumento comercial, no un costo.

La lectura de fondo

Más allá del alcance legal, hay un punto de gestión que me parece el verdadero titular: las cuatro obligaciones son, sin excepción, cosas que una organización seria debería estar haciendo igual. Avisar que del otro lado hay una máquina. Etiquetar lo que se generó automáticamente. Decirle a alguien que un sistema está leyendo su cara. Ninguna es una carga arbitraria; todas son formas de no engañar al usuario.

Es la misma dinámica que ya vimos con el RGPD: el estándar europeo terminó funcionando como piso global, no porque el resto del mundo estuviera obligado, sino porque cumplirlo pasó a ser sinónimo de operar en serio. Sospecho que con la IA va a pasar lo mismo, y más rápido. Cuando una empresa dice claramente qué parte de su servicio es automática, no está cediendo terreno: está construyendo la confianza que hace que el cliente acepte el resto de la automatización.

Esto conecta con algo que planteaba al hablar de orquestar equipos de agentes: cuantos más procesos delegás a sistemas autónomos, más importa poder explicar qué hace cada uno. La transparencia dejó de ser un valor declarativo y pasó a ser un requisito de arquitectura — y ahora, en un mercado grande, también una obligación legal.

Si tu empresa no toca el mercado europeo, esto no te obliga hoy. Pero la pregunta que dejaría sobre la mesa del directorio no es si nos aplica el reglamento, sino una anterior y bastante más incómoda: ¿podríamos responder, hoy, dónde estamos usando inteligencia artificial y quién se hace responsable de cada uno de esos usos? Esa respuesta hace falta con reglamento o sin él.

Nota: este artículo es un análisis de gestión, no asesoramiento jurídico. Se basa en información pública sobre el Reglamento (UE) 2024/1689 disponible a agosto de 2026 (artificialintelligenceact.eu, análisis de firmas legales como Greenberg Traurig). Las guías de la Comisión Europea y el paquete AI Omnibus seguían en evolución al momento de publicar. Para decisiones de cumplimiento, consultá asesoramiento legal especializado y el texto oficial vigente.