El 2 de agosto no fue un simulacro: ya es obligatorio etiquetar la IA, y el perito lo va a notar

Por Raymond Jesús Orta Martínez
Abogado. Perito en informática forense y grafotécnica
Caracas / atención Latinoamérica
22–28 de agosto de 2026

El 2 de agosto de 2026 no “llegó la regulación de la IA”. Llegó algo más preciso y más útil para quien trabaja con evidencia: la obligación de decir cuándo una máquina habla, cuándo un vídeo o un audio no es lo que parece, y cuándo un texto de interés público salió de un modelo sin control editorial humano.

Eso ya no es prospectiva. Es derecho vigente en la Unión Europea y, el mismo día, en California. Quien perite un chat, un deepfake, un PDF “redactado” o un lote de eDiscovery a partir de esa fecha trabaja sobre un nuevo estándar de autenticidad.

Lo que sí se activó (y no se aplazó)

El Reglamento (UE) 2024/1689 —el AI Act— aplica desde el 2 de agosto el artículo 50. Cuatro deberes, no uno:

1. El proveedor debe diseñar el sistema para que la persona sepa que interactúa con una IA, salvo que eso resulte obvio para un usuario medianamente atento.
2. El proveedor de sistemas que generan audio, imagen, vídeo o texto sintético debe marcar la salida en formato legible por máquina, de modo que se pueda detectar.
3. El deployer que expone a alguien a reconocimiento de emociones o a categorización biométrica debe informarlo.
4. El deployer que publica un deepfake —o un texto de interés público generado o manipulado por IA sin revisión editorial humana— debe revelarlo de forma clara y distinguible, en el primer contacto.

La Comisión Europea publicó el 20 de julio de 2026 las Directrices de implementación de ese artículo. No son código penal, pero van a ser la brújula de las autoridades nacionales. El incumplimiento se mueve en la franja de hasta 15 millones de euros o el 3 % del volumen de negocio mundial, la cifra que sea mayor.

El mismo 2 de agosto se activaron las facultades de la Comisión —a través de la Oficina de IA— para exigir información, acceder a modelos de propósito general (GPAI) y sancionar a sus proveedores. Las reglas de esos modelos ya existían desde el 2 de agosto de 2025; lo que cambió en 2026 es el diente.

El Ómnibus no salvó a nadie del etiquetado

Circuló la idea de que “Europa aplazó la Ley de IA”. Es inexacto. El Reglamento (UE) 2026/1744, el llamado Ómnibus Digital sobre IA, se publicó el 24 de julio y entró en vigor el 27 de julio de 2026. Movió cuatro relojes y dejó el artículo 50 en su sitio.

Lo que se fue hacia adelante:

• sistemas de alto riesgo del Anexo III (empleo, educación, crédito, fronteras, entre otros): 2 de diciembre de 2027;
• IA embebida como componente de seguridad en productos del Anexo I: 2 de agosto de 2028.

Lo que no se movió: transparencia, deepfakes, chatbots, marcado de contenido sintético, y el poder sancionador sobre GPAI.

Única transición estrecha: los sistemas generativos ya puestos en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir el marcado machine-readable del artículo 50(2). El resto de deberes —aviso de chatbot, deepfake, emoción, texto de interés público— no goza de esa prórroga. Y el contenido generado antes del 2 de agosto no se etiqueta hacia atrás: el corte, según las Directrices finales, es la fecha de generación, no la de difusión.

El 2 de diciembre de 2026 trae, además, una prohibición nueva del artículo 5: sistemas concebidos para generar o manipular contenido íntimo no consentido y material de abuso sexual infantil sintético. Eso todavía no es exigible. El etiquetado de deepfakes “ordinarios”, sí.

California alineó el reloj con Bruselas

El 2 de agosto operó también la California AI Transparency Act (SB 942, enmendada por AB 853). Aplica a quien crea un sistema de IA generativa con más de un millón de visitantes o usuarios mensuales y accesible en California.

Desde esa fecha el proveedor cubierto debe:

• ofrecer gratis una herramienta para comprobar si una imagen, un vídeo o un audio salió o fue alterado por su sistema;
• incorporar revelación latente (datos de procedencia embebidos, difíciles de borrar);
• dar al usuario la opción de una revelación manifiesta (etiqueta visible).

Sanción civil: 5.000 dólares por infracción, y cada día cuenta como infracción distinta. No hay acción privada; persiguen el fiscal general, el city attorney o el county counsel.

Lo que California dejó para después: las grandes plataformas en línea (más de dos millones de usuarios únicos mensuales) deberán detectar y no despojar la procedencia a partir del 1 de enero de 2027. Los fabricantes de dispositivos de captura, el 1 de enero de 2028. Quien diseñe un protocolo de custodia hoy no puede fingir que esas capas ya existen.

España tiene autoridad y guías; todavía no tiene ley orgánica

El Reglamento europeo se aplica solo. No espera a Madrid. Lo que España sí tiene, y antes que el resto de la Unión, es una autoridad dedicada: la AESIA. El 21 de agosto de 2026 esa agencia comunicó que sus 16 guías del sandbox español ya están adaptadas al Ómnibus. Son documentos de apoyo, no vinculantes. Sirven. No sustituyen el texto del Reglamento ni a las Directrices de la Comisión.

El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, remitido a las Cortes y publicado en el BOCG el 12 de junio de 2026, sigue en trámite. Designará autoridades, régimen sancionador interno (el proyecto habla de techos de hasta 35 millones de euros o el 7 % en las prácticas prohibidas) y reglas de uso en el sector público. Hasta que salga en el BOE, no es derecho. Quien cite esa ley como si ya rigiera comete un error de calificación jurídica.

México y el resto de Latinoamérica: sectorial, no general

México llegó a agosto de 2026 sin ley general de IA en el Diario Oficial. El Senado no sacó el marco integral en el periodo ordinario. El Ejecutivo abrió foros regionales —a partir del 19 de agosto— sobre menores, plataformas e inteligencia artificial. Mientras tanto rigen normas dispersas: datos personales, trabajo, derechos de intérpretes frente a la clonación de voz e imagen, y, para quien ofrece sistemas en Europa, el propio artículo 50.

En la región el patrón es el mismo: Perú reglamentó antes; Brasil sigue con el PL 2338 sin cierre; Chile anuncia un proyecto “habilitante”; Colombia opera por decretos sectoriales. Lo forense no espera a la ley general. El deepfake, el scraping y el documento “asistido” ya entran por las normas de honor, autor, datos y prueba que cada país sí tiene.

El 7 de julio de 2026 el Comité Europeo de Protección de Datos adoptó, para consulta hasta el 30 de octubre, las Guidelines 03/2026 sobre web scraping para entrenar IA generativa. Tesis central: que un dato esté en internet no lo deja fuera del RGPD. Extraer, limpiar y guardar datos personales públicos es tratamiento. El interés legítimo exige ponderación, minimización, fuentes fiables y registro de la marca de tiempo. Quien entrena modelos con corpus latinoamericanos y luego los sirve en la Unión queda expuesto a esa lectura.

Qué cambia en la mesa del perito

Tres consecuencias operativas, sin adorno.

Primero: la cadena de custodia ya no es solo el hash del archivo. Hay que preguntar si el contenedor traía procedencia (C2PA u otro estándar), si la plataforma la conservó o la arrancó, y si la generación es anterior o posterior al 2 de agosto de 2026. Un SHA-256 impecable sobre un MP4 recodificado no dice nada sobre el origen sintético.

Segundo: ausencia de marca no prueba autenticidad humana. Presencia de marca tampoco prueba integridad. El perito informa lo que hay: metadatos, marca de agua, resultado del detector del propio proveedor (en el caso californiano), fecha de generación, y si el etiquetado visible exigido al deployer existe o no. El juicio de “es o no es deepfake” se sostiene con método, no con una sola herramienta comercial.

Tercero: el escrito judicial o el informe “pasado por un modelo” entra en la zona del artículo 50(4) cuando informa al público sin control editorial humano. No está prohibido usar IA para redactar. Está prohibido —en el ámbito del Reglamento— presentarlo como si no lo fuera, cuando se dan los supuestos del precepto. En eDiscovery, los logs, la versión del modelo y la procedencia del sistema pasarán a ser objetos de exhibición. Hasta que las plataformas grandes de California deban conservar esa capa (2027), hay que pedirla por contrato y por oficio.

Las alucinaciones no las “prohíbe” el artículo 50. Las hace más caras: un párrafo inventado, servido como hecho en un expediente de interés público, ya no es solo un problema deontológico. Es un problema de transparencia y, después, de impugnación de la prueba.

Calendario que debe colgarse en el laboratorio

Fuentes para quien quiera verificar, no para quien quiera opinar

• Comisión Europea, Directrices del artículo 50, 20 de julio de 2026.
• Reglamento (UE) 2024/1689, consolidado con el Reglamento (UE) 2026/1744 (DOUE 24 de julio de 2026).
• Comisión Europea, “AI Omnibus enters into force”, 27 de julio de 2026.
• EDPB, Guidelines 03/2026 on web scraping in the context of generative AI, 7 de julio de 2026.
• California Business & Professions Code, Chapter 25, según AB 853.
• AESIA, guías de implementación actualizadas el 21 de agosto de 2026.
• BOCG, Serie A, núm. 97-1, 12 de junio de 2026 (proyecto de ley orgánica española; no vigente).
• TAKE IT DOWN Act, Public Law 119-12.

No hay, al 22 de agosto de 2026, una multa publicada de la Oficina de IA por el artículo 50. Hay régimen, hay directrices y hay fecha. En forense eso basta para cambiar el protocolo. El papel que no dice si lo escribió una persona o un modelo ya no es un detalle de estilo. Es un dato de la pieza.

Raymond Jesús Orta Martínez
Informática forense · Grafotécnica · eDiscovery
raymondorta.com