Tu agente tiene llaves ahora: qué cambia al ponerlo en producción en Europa
Las obligaciones de transparencia del Artículo 50 del AI Act son aplicables según el tipo de sistema, el contenido y el papel de la empresa. Para una empresa española, el aviso cuando una persona interactúa directamente con un sistema de IA y el marcado detectable de ciertos contenidos pueden ser relevantes; los registros, permisos y proveedores son controles de arquitectura que conviene revisar, no una lista universal impuesta por ese artículo.
Por Reynier RiveroIngeniero de software
A las 9:14 de un lunes, la responsable de recepción de una clínica dental española recibió en WhatsApp el mensaje de un paciente que quería mover su cita de esa tarde. El agente ya estaba conectado a la agenda: podía leer el hilo y consultar huecos, pero todavía no tenía permiso para tocar la reserva.
Encontró dos huecos y se los mostró a la responsable en el mismo canal. Entonces apareció la decisión real: ¿el agente solo proponía horarios o también podía cambiar la cita y escribir al paciente?
Escenario hipotético: esta escena resume un patrón de diseño, no un caso real ni una afirmación sobre una empresa concreta.
La responsable dejó las acciones externas bajo aprobación humana, separó los permisos antes de habilitar el endpoint del CRM y registró cada decisión.
Ahí están las tres preguntas que importan: ¿la persona sabe que habla con una IA, qué puede hacer el agente y dónde interviene una persona?
La etiqueta es solo la primera capa
El 20 de julio de 2026, la Comisión Europea publicó sus guías sobre las obligaciones de transparencia del Artículo 50. La propia Comisión señala que esas obligaciones, previstas en el Artículo 50 del Reglamento (UE) 2024/1689, comienzan a aplicarse el 2 de agosto de 2026.
La FAQ de la Comisión aclara que la obligación de informar puede alcanzar a los sistemas de IA diseñados para un intercambio bidireccional directo con personas —como chatbots y agentes— cuando la interacción no es obvia. La notificación debe hacerse desde el inicio de la primera interacción, de manera clara y distinguible. Los sistemas que operan solo en segundo plano o máquina a máquina quedan fuera de esta obligación concreta.
También hay obligaciones distintas para el marcado detectable por máquina de contenidos generados o manipulados, con excepciones y límites que dependen del tipo de salida y del contexto. Para los sistemas puestos en el mercado antes de esa fecha, la Comisión prevé un periodo limitado hasta el 2 de diciembre de 2026 únicamente para esa obligación de marcado y detección. No es una moratoria general.
En esa clínica, el Artículo 50 ayuda a resolver quién habla con el paciente; los límites de las acciones se fijan en la arquitectura, con permisos separados y aprobación humana cuando haya un efecto externo.
Cuando el agente tiene llaves
La prueba de fuego no era solo que respondiera bien, sino qué hacía cuando actuaba.
La revisión de producción para una empresa española
En producción, separa la lectura de la agenda de cualquier acción externa y registra qué herramienta se invocó, con qué permiso y cuál fue la decisión final.
Transparencia
Comprueba dónde aparece el aviso, qué ocurre en voz y WhatsApp, si el usuario puede distinguir el agente de una persona y cómo se mantiene la información en una derivación humana.
Permisos
Divide lectura, escritura, borrado y comunicación externa; el acceso a un CRM no debe ser un permiso único.
Datos y proveedores
Documenta qué datos salen hacia el proveedor del modelo, qué subencargados intervienen, cuánto tiempo se conservan y cómo funciona el borrado. La minimización debe reflejarse en las consultas y en los logs, no solo en la política de privacidad.
Evidencia
Registra versión del flujo, herramienta invocada, resultado, aprobación y estado final. Un log sanitizado suele ser más útil que una transcripción completa con datos personales.
La siguiente decisión
Si quieres llevar esta decisión a tu contexto, puedes explorar agentes de IA y chatbots, integraciones con permisos explícitos y software a medida.
¿Sabes quién puede comprobar hoy qué lee y qué ejecuta tu agente, y qué ocurre cuando una acción falla? Si no está claro, prueba el flujo completo en WhatsApp, conserva la evidencia de la decisión y del resultado, y define sus límites y puntos de control antes de añadir otra integración. Prontavel puede ayudar a diseñar y construir esa capa junto con la automatización.
Comprueba tu asistente contra el Artículo 50
Doce comprobaciones sobre la obligación de transparencia que es exigible desde el 2 de agosto de 2026. No es un dictamen: es la lista con la que revisamos nuestros propios despliegues, y cada «no» te dice exactamente qué falta.
- Al abrir la conversación aparece un aviso de que se habla con una IA, sin tener que buscarlo.
- El aviso está en el propio hilo, no solo en los términos de uso ni en un tooltip.
- En voz, el aviso va en las primeras palabras del primer turno.
- En WhatsApp o SMS, el aviso va en el primer mensaje, porque no hay interfaz que lo insinúe.
- El nombre y el avatar no simulan a una persona concreta de tu equipo.
- El asistente responde correctamente a «¿eres humano?», y esa respuesta está probada.
- Si el asistente genera texto publicado sin revisión humana sobre asuntos de interés público, va etiquetado.
- Si genera imagen, audio o vídeo que imite a personas reales, va etiquetado como generado.
- Está decidido y escrito quién es proveedor y quién desplegador, sobre todo si hay una agencia de por medio.
- Queda registro de qué versión del aviso estaba desplegada y desde cuándo.
- El aviso existe en todos los idiomas en los que el asistente responde.
- Hay una persona con el encargo explícito de revisar esto cuando cambie la interpretación.
El servicio del que habla este artículo: Agentes de IA y chatbots que conocen tu empresa