La norma europea de deepfakes entra en vigor, impactando la herramienta, no el fraude

El artículo 50 de la Ley de IA de la UE se aplica a partir del 2 de agosto de 2026. Los proveedores de sistemas generativos deben marcar su resultado de forma legible por máquina; cualquiera que implemente un deepfake debe declararlo. El defraudador que lo utiliza contra un banco ignora ambos deberes, y la regulación está escrita sabiendo que lo harán.

La versión corta

• El Reglamento (UE) 2024/1689, la Ley de IA, se aplica a partir del 2 de agosto de 2026. El artículo 50 exige que los sistemas de IA que generan audio, imágenes, vídeo o texto marquen su resultado en un formato legible por máquina para que pueda detectarse como generado artificialmente.
• Cualquiera que implemente un deepfake debe divulgar que el contenido es artificial. El artículo 3(60) define un deepfake como contenido de IA que se asemeja a personas, lugares o eventos reales que "parecería falsamente a una persona ser auténtico o veraz".
• El incumplimiento del artículo 50 conlleva multas de hasta 15 millones de euros o el 3% de la facturación anual mundial, lo que sea mayor. Los sistemas ya en el mercado antes del 2 de agosto tienen hasta el 2 de diciembre de 2026 para cumplir con el deber de marcado.
• La lista de alto riesgo de la misma Ley excluye expresamente la verificación biométrica 1:1, la verificación que confirma que una persona es quien dice ser. La herramienta que ataca la verificación de identidad está regulada; la verificación en sí se deja sola para que funcione.

Los deepfakes son ahora una entrada permanente en las evaluaciones de fraude de los reguladores

El 30 de julio de 2026, la Comisión de Juego de Gran Bretaña publicó una evaluación de riesgos que nombra los vídeos deepfake y los intercambios de rostros entre los métodos utilizados para superar las verificaciones de identidad, y califica el riesgo de documentos de identidad en la parte superior de su escala. Un deepfake es un vídeo, audio o imagen generado por IA que imita de forma convincente a una persona real.

Esa evaluación es un ejemplo de un patrón más amplio. Una verificación diseñada para comparar un rostro con un documento asume que el rostro en la cámara pertenece a una persona viva. Los modelos generativos rompieron esa suposición, y la rompieron de forma económica: la herramienta que produce un efecto cinematográfico puede producir un cliente sintético, y la verificación no puede distinguir la diferencia solo con mirarlo.

La respuesta de la Unión Europea llegó dentro de su ley general de inteligencia artificial en lugar de en un estatuto de fraude. El Reglamento (UE) 2024/1689, la Ley de IA, es la primera ley integral de IA de un regulador importante. La mayor parte de su peso recae en los sistemas de alto riesgo: dispositivos médicos, herramientas de contratación, puntuación de crédito. También conlleva un conjunto de deberes de transparencia, en el artículo 50, dirigidos a las herramientas generativas ordinarias que todo el mundo utiliza ahora. Esos deberes se aplicaron a partir del 2 de agosto de 2026.

La elección de diseño que vale la pena notar es dónde reside el deber. La Ley no prohíbe los deepfakes. Requiere que la herramienta marque lo que produce y que el usuario divulgue lo que implementa. La razón declarada por la Comisión Europea es un derecho a saber, registrado por el Comisario responsable cuando se publicó el Código de Conducta de apoyo el 10 de junio de 2026.

Los europeos tienen derecho a saber si lo que ven, oyen o leen ha sido creado o alterado por IA, especialmente cuando dicho contenido puede moldear el debate público. La transparencia es cómo protegemos la confianza.

Henna Virkkunen, Vicepresidenta Ejecutiva de Soberanía Tecnológica, Seguridad y Democracia, Comisión Europea. Declaración del 10 de junio de 2026

El artículo 50 divide el trabajo: los proveedores marcan, los implementadores divulgan

El artículo 50 del Reglamento (UE) 2024/1689 impone dos deberes principales a dos actores diferentes. Un proveedor, la empresa que construye o suministra un sistema de IA generativa, debe asegurarse de que sus resultados "estén marcados en un formato legible por máquina y sean detectables como generados o manipulados artificialmente". Un implementador, quienquiera que utilice el sistema, debe divulgar un deepfake como artificial.

El deber del proveedor es el infraestructural. El marcado debe integrarse en el propio sistema, y la Ley pide que las soluciones técnicas sean "eficaces, interoperables, robustas y fiables en la medida en que sea técnicamente factible". "Legible por máquina" es la frase clave: la marca está destinada al software, para que otros sistemas puedan detectar contenido sintético sin que un humano tenga que entrecerrar los ojos. La Ley no prescribe una tecnología. La marca de agua y los metadatos de procedencia son los dos candidatos en los que ha convergido el trabajo de los estándares de la industria.

El deber del implementador es el visible. Quienquiera que publique un deepfake debe decir que el contenido es artificial, "a más tardar en el momento de la primera interacción o exposición". Dos deberes adicionales completan el conjunto. Los sistemas que hablan con personas, como los chatbots, deben identificarse como IA a menos que sea obvio, y las empresas que realizan reconocimiento de emociones o categorización biométrica de personas deben informarles.

Cada deber conlleva excepciones, y conviene leerlas. El marcado no es necesario cuando la IA realiza "una función de asistencia para la edición estándar", por lo que un retoque fotográfico no es un deepfake. Los usos autorizados por la ley para detectar o investigar delitos están exentos en todos los ámbitos. El arte recibe una atención inusual: cuando un deepfake forma parte de una obra "evidentemente artística, creativa, satírica, ficticia o análoga", la divulgación solo debe realizarse de una manera "que no obstaculice la exhibición o el disfrute de la obra". El texto escrito por IA sobre asuntos de interés público debe divulgarse a menos que un editor humano lo haya revisado y alguien tenga responsabilidad editorial.

El precio del incumplimiento se establece en el artículo 99(4): multas de hasta 15 millones de euros o el 3% de la facturación anual mundial total, lo que sea mayor. Ese es el nivel intermedio de la Ley, por debajo de los 35 millones de euros y el 7% reservados para prácticas prohibidas y por encima del nivel del 1% para suministrar información engañosa. La aplicación recae en las autoridades nacionales de vigilancia del mercado, los organismos de los estados miembros que supervisan las normas de los productos.

La Ley llega por etapas, y el 2 de agosto de 2026 fue la principal

El artículo 113 del Reglamento (UE) 2024/1689 escalona la entrada en vigor de la ley. Las prohibiciones de prácticas de IA prohibidas se aplicaron a partir del 2 de febrero de 2025; las obligaciones para los modelos de IA de propósito general a partir del 2 de agosto de 2025. El reglamento en su conjunto, incluido el artículo 50, se aplica a partir del 2 de agosto de 2026. Una categoría de deber de alto riesgo sigue el 2 de agosto de 2027.

Una cuestión transitoria para el deber de marcado específicamente. Según la orientación de la Comisión Europea, un sistema generativo ya comercializado antes del 2 de agosto de 2026 tiene hasta el 2 de diciembre de 2026 para cumplir con el requisito de marcado legible por máquina, y el contenido generado antes del 2 de agosto no necesita una etiqueta retroactiva. Los deberes de divulgación de los implementadores no tienen tal gracia. Se aplican desde el 2 de agosto.

Los textos de apoyo llegaron justo antes de la fecha límite. La Comisión publicó el Código de Conducta voluntario sobre el marcado y etiquetado de contenido generado por IA el 10 de junio de 2026; firmarlo es una forma de demostrar el cumplimiento, aunque "medios alternativos igualmente adecuados" siguen abiertos. Las directrices de la Comisión que aclaran el alcance y dan ejemplos prácticos lo acompañan.

Fecha	Regla	Estado
1 de agosto de 2024	La Ley de IA entra en vigor — Reglamento (UE) 2024/1689, publicado en el Diario Oficial el 12 de julio de 2024, en vigor el vigésimo día posterior.	Aprobado
2 de febrero de 2025	Prohibidas las prácticas prohibidas — Se aplican los capítulos I y II: puntuación social, ciertas prácticas de manipulación y scraping.	Aprobado
2 de agosto de 2025	Deberes del modelo de IA de propósito general — El capítulo V se aplica a los proveedores de modelos de propósito general comercializados a partir de esta fecha.	Aprobado
10 de junio de 2026	Publicado el Código de Conducta — Código voluntario sobre el marcado y etiquetado de contenido generado por IA; comunicado de prensa de la Comisión IP/26/1328.	Aprobado
2 de agosto de 2026	Se aplica el artículo 50 — El reglamento en su conjunto se aplica. Los deberes de marcado, divulgación de deepfakes, identificación de chatbots y aviso de reconocimiento de emociones están en vigor. Multas hasta 15M€ o 3%.	En vigor
2 de diciembre de 2026	Finaliza el período de gracia de marcado — Los sistemas comercializados antes del 2 de agosto de 2026 deben cumplir con el deber de marcado legible por máquina, según la orientación de la Comisión.	Próximo
2 de agosto de 2027	Se aplican los deberes de alto riesgo del artículo 6(1) — El último tramo: clasificación de alto riesgo para productos bajo la legislación de seguridad existente de la UE.	Próximo

La misma Ley se niega a considerar la verificación de identidad de alto riesgo

El Anexo III del Reglamento (UE) 2024/1689 enumera la identificación biométrica remota entre los usos de IA de alto riesgo, luego traza un límite. La lista "no incluirá sistemas de IA destinados a ser utilizados para la verificación biométrica cuyo único propósito sea confirmar que una persona física específica es la persona que dice ser". Una verificación de identidad 1:1 no está en la lista de alto riesgo.

La distinción que hicieron los redactores es entre buscar y confirmar. Un sistema de identificación biométrica remota escanea rostros contra una base de datos para averiguar quién es alguien, normalmente sin su participación. Eso es de alto riesgo, con todo el aparato de evaluación de la conformidad que le sigue. Una verificación biométrica responde a una pregunta más específica: ¿es esta persona a la que pertenece este pasaporte, esta cuenta, esta afirmación? La persona se presenta y afirma una identidad; el sistema la confirma o la deniega. Eso queda fuera de la entrada.

El límite es una línea de alcance, no una exención de la ley. Un proveedor de verificación sigue respondiendo al resto de la Ley cuando corresponda, a la ley de protección de datos y a las normas sectoriales de cada cliente al que atiende. Y la Ley mantiene dos usos vecinos firmemente en la lista de alto riesgo, el reconocimiento de emociones y la categorización biométrica por atributos sensibles, ambos con deberes de divulgación del artículo 50 cuando se implementan.

Leído junto con los deberes de etiquetado, el mapa de la verificación de identidad de la Ley es simétrico. La herramienta generativa que puede fabricar un rostro debe marcar su resultado. La herramienta de verificación que confirma un rostro se deja fuera de la lista de alto riesgo para que haga su trabajo. El documento que ataca el deepfake y la verificación que lo lee son ambos, en el esquema de la Ley, infraestructura que vale la pena mantener legible. El otro nuevo reglamento de identidad de Europa apuesta por lo mismo desde la dirección opuesta: el reglamento contra el blanqueo de capitales acepta un documento o una identidad electrónica como rutas alternativas para la verificación y se niega a clasificarlos.

Un deber de etiquetado vincula al que cumple, y esa es la pregunta abierta que conlleva

El artículo 50, en vigor desde el 2 de agosto de 2026, no impide que un defraudador genere un deepfake. Una persona que utiliza vídeo sintético para defraudar a un banco ya estaba cometiendo delitos y no cumplirá con un deber de etiquetado. Lo que la norma construye es una infraestructura de procedencia, llevada a cabo por la mayoría cumplidora de herramientas.

Los reguladores han utilizado esa estructura antes: colocar la obligación donde el cumplimiento realmente se puede obtener, de modo que la ausencia de la señal esperada se vuelve informativa. Si los sistemas generativos convencionales marcan su resultado de forma legible por máquina, el contenido sintético sin marcar se convierte en la anomalía, y el software receptor tiene algo que probar. La evaluación de la Comisión de Juego sobre la IA en ambos lados de la verificación de identidad describió el lado atacante; el artículo 50 es el primer intento de hacer que ese lado se anuncie.

Para un equipo de cumplimiento o fraude, las consecuencias son concretas pero, por ahora, modestas. Las marcas están destinadas a las máquinas, por lo que las cadenas de verificación obtienen una nueva señal para leer una vez que se asienta el trabajo de los estándares; el Código de Conducta es donde se produce esa convergencia. Las empresas que implementan IA generativa en la comunicación con el cliente tienen sus propios deberes de divulgación a partir del 2 de agosto. Y las verificaciones de identidad siguen funcionando exactamente igual que antes, porque el régimen de etiquetado asume que el atacante más importante no etiquetará.

La cuestión de la proporcionalidad subyacente es la de siempre, con un nuevo disfraz. El deber recae en cada proveedor e implementador que cumple en la Unión; el daño lo causan actores que lo ignorarán. Si la infraestructura de procedencia justifica esa distribución del esfuerzo es una pregunta que las propias excepciones de la Ley reconocen sin resolver, y las primeras decisiones de aplicación en virtud del artículo 99(4) mostrarán cómo lo sopesan las autoridades nacionales. Todavía no existe ninguna. La regla tiene ocho días.

Puntos clave

Los deberes están en vigor.

El artículo 50 del Reglamento (UE) 2024/1689 se aplica a partir del 2 de agosto de 2026: marcado legible por máquina para proveedores, divulgación de deepfakes para implementadores, identificación de chatbots y aviso para el reconocimiento de emociones.

Existe un período de gracia.

Los sistemas en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir con el deber de marcado, según la orientación de la Comisión. Los deberes de divulgación no tienen gracia.

El nivel de multa es de 15 millones o 3%.

El artículo 99(4) establece el límite para las infracciones de transparencia en 15 millones de euros o el 3% de la facturación mundial, lo que sea mayor, aplicado por las autoridades nacionales de vigilancia del mercado.

La verificación no está en la lista de alto riesgo.

El Anexo III excluye la verificación biométrica 1:1, la verificación que confirma una identidad declarada, de la entrada de identificación biométrica remota. El reconocimiento de emociones permanece en la lista.

La regla construye una señal, no un escudo.

Los defraudadores no etiquetarán sus deepfakes. El valor, si llega, es que el resultado principal marcado hace que el tipo sin marcar destaque para las máquinas que verifican.

Dónde encaja Didit: verificaciones de identidad bajo presión de deepfakes

Los deberes del artículo 50 recaen en los proveedores e implementadores de sistemas de IA generativa. Realizar una verificación KYC (conozca a su cliente) es un rol diferente, y comprar verificación no hace que nadie cumpla con la Ley de IA. Si su empresa implementa herramientas generativas en la comunicación con el cliente, los deberes de divulgación anteriores son suyos. Lo que aborda una cadena de verificación es el otro lado del problema que describe esta publicación: el cliente sintético que llega al proceso de incorporación.

Los módulos se mapean al ataque. La Detección de Vida Pasiva a $0.10 por verificación prueba que una persona viva, no un vídeo reproducido o generado, está frente a la cámara. La Coincidencia Facial (1:1) a $0.05 por verificación es precisamente la confirmación que describe el Anexo III: compara la captura en vivo con el retrato del documento para confirmar que la persona es quien dice ser. La Verificación de Identificación a $0.15 por verificación lee y valida el documento en sí, y cuando el documento lleva un chip, la Lectura NFC a $0.15 por verificación extrae datos firmados criptográficamente que una falsificación presentada en pantalla no puede proporcionar. Los precios actuales se encuentran en la página de precios.

Lo que permanece es el juicio que la Ley deja deliberadamente en su lugar. Su evaluación de riesgos decide qué verificaciones ve un cliente, y sus procesos deciden qué sucede cuando una falla. Ningún módulo de proveedor lee aún las marcas legibles por máquina del Artículo 50, porque los estándares técnicos aún están convergiendo. Cuando se asienten, el contenido marcado se convierte en una señal más que una cadena de verificación puede probar. Hasta entonces, la detección de vida y los datos del chip son las defensas en funcionamiento.

Preguntas frecuentes

¿Cuándo entraron en vigor las normas de etiquetado de deepfakes de la Ley de IA de la UE?

El 2 de agosto de 2026. El artículo 113 del Reglamento (UE) 2024/1689 establece que el reglamento se aplica a partir de esa fecha, y las obligaciones de transparencia del artículo 50 se aplican con él. Existe una transición: según la orientación de la Comisión Europea, los sistemas comercializados antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir con el deber de marcado legible por máquina.

¿Qué define la Ley de IA como un deepfake?

El artículo 3(60) del Reglamento (UE) 2024/1689 define un deepfake como "contenido de imagen, audio o vídeo generado o manipulado por IA que se asemeja a personas, objetos, lugares, entidades o eventos existentes y que falsamente parecería a una persona ser auténtico o veraz".

¿Cuáles son las sanciones por incumplir el artículo 50 de la Ley de IA?

Según el artículo 99(4) del Reglamento (UE) 2024/1689, el incumplimiento de las obligaciones de transparencia del artículo 50 conlleva multas administrativas de hasta 15 millones de euros o, para una empresa, hasta el 3% de la facturación anual mundial total del ejercicio financiero anterior, lo que sea mayor.

¿La Ley de IA trata la verificación de identidad como IA de alto riesgo?

No la verificación uno a uno. El Anexo III enumera los sistemas de identificación biométrica remota como de alto riesgo, pero establece que esto "no incluirá sistemas de IA destinados a ser utilizados para la verificación biométrica cuyo único propósito sea confirmar que una persona física específica es la persona que dice ser". Los sistemas de reconocimiento de emociones están en la lista de alto riesgo.

¿Es obligatorio el Código de Conducta sobre el etiquetado de contenido de IA?

No. La Comisión Europea publicó el Código de Conducta sobre el marcado y etiquetado de contenido generado por IA el 10 de junio de 2026 como una herramienta voluntaria. Firmarlo es una forma de demostrar el cumplimiento de las obligaciones de marcado y etiquetado del artículo 50; los proveedores pueden utilizar en su lugar medios alternativos igualmente adecuados.

Lectura relacionada

• La IA está ahora en ambos lados de la verificación de identidad en el juego — La evaluación de riesgos del regulador del Reino Unido del 30 de julio nombra los deepfakes a los que se dirige esta norma de etiquetado.
• La ley de la UE permite que pasen cinco años antes de volver a verificar quién es el propietario de un cliente — El otro instrumento de identidad de la UE, redactado con el mismo patrón de fechas escalonadas.
• Asia está trasladando el coste de las verificaciones de identidad débiles a bancos y plataformas — Japón está retirando la verificación por carga de fotos a medida que los deepfakes superan las verificaciones de documentos.
• AMLR Artículo 26: ¿con qué frecuencia debe volver a verificar? — Lo que la UE espera después de la incorporación, de la misma generación de reglamentos.

Fuentes

1. Reglamento (UE) 2024/1689 por el que se establecen normas armonizadas en materia de inteligencia artificial — Parlamento Europeo y Consejo · EUR-Lex · Artículos 3(60), 50, 99, 113 y Anexo III · aplicable a partir del 2 de agosto de 2026
2. La Comisión publica el Código de Conducta sobre el marcado y etiquetado de contenido generado por IA — Comunicado de prensa de la Comisión Europea IP/26/1328 · 10 de junio de 2026 · fuente de la declaración de Virkkunen
3. Directrices sobre las obligaciones de transparencia para los proveedores e implementadores de determinados sistemas de IA — Comisión Europea · página de política actualizada el 6 de agosto de 2026
4. Obligaciones de transparencia en virtud del artículo 50 de la Ley de IA — Preguntas frecuentes de la Comisión Europea · fuente para la asignación transitoria y de aplicación del 2 de diciembre de 2026
5. Código de Conducta sobre la Transparencia del Contenido Generado por IA — Comisión Europea · vía de cumplimiento voluntario para los deberes de marcado y etiquetado

Quién escribió esto

Tuan Nguyen — Crecimiento · Didit

Escribe sobre verificación de identidad, fraude y cumplimiento en Didit.

Última revisión el 10 de agosto de 2026 según las fuentes anteriores