Se aplican las obligaciones centrales de transparencia: cuando las personas interactúan con chatbots o agentes de IA, deben ser informadas de que están interactuando con IA; ciertos contenidos generados por IA, como deepfakes y textos informativos públicos, deben identificarse claramente. Proveedores y desplegadores deben mantener documentación, registros y supervisión humana adecuados a sus sistemas. La Oficina de IA y las autoridades nacionales pueden solicitar información, evaluar modelos y coordinar acciones correctivas. En la práctica, esto significa tener una fuente única de verdad para políticas, documentación técnica y telemetría que conecte las divulgaciones a usuarios con el comportamiento del sistema.

Si provees un modelo de IA de propósito general, tus obligaciones incluyen documentación transparente, un resumen público de las fuentes de contenido de entrenamiento y una evaluación y mitigación de riesgos apropiadas—elevando el nivel cuando los modelos puedan presentar riesgos sistémicos. Los equipos deben operacionalizar tarjetas de modelo, informes de evaluación, hallazgos de equipos rojos de seguridad y funciones de identificación de contenido. El manejo de derechos de autor y datos de entrenamiento debe documentarse, con vías claras para respetar exclusiones y usos legales. Usa las plantillas y códigos voluntarios de la Comisión como base para institucionalizar lanzamientos repetibles, registros claros de cambios y pruebas de alineación defendibles entre versiones.

Las obligaciones de alto riesgo cubren gestión de riesgos, gobernanza de datos, registro, documentación técnica, supervisión humana, robustez, precisión, ciberseguridad y monitorización post-comercialización. Aunque tu sistema no se clasifique como de alto riesgo hasta 2027–2028, el camino más económico es adoptar estas disciplinas ahora. Establece un foro de gobernanza transversal, define umbrales de aceptación de riesgo, implementa documentación de conjuntos de datos y controles de calidad, y construye canalizaciones de evaluación continua. Selecciona estándares y controles escalables—anticipando estándares armonizados cuando estén disponibles—y alinea las compras para exigir a proveedores artefactos compatibles y evidencias de pruebas.

Las prácticas prohibidas de IA—como sistemas manipulativos, segmentación explotadora de vulnerabilidades, puntuación social, ciertos usos biométricos y recopilación masiva no dirigida para bases de datos faciales—son exigibles. Una prohibición adicional sobre la generación de contenido sexual explícito e íntimo sin consentimiento y salidas relacionadas con CSAM se activa en diciembre de 2026. Los desarrolladores deben implementar capas de prevención de abuso ahora: clasificadores de seguridad, salidas restringidas, reportes de usuarios, procedencia de contenido trazable y flujos rápidos de retirada/reportes de incidentes. Audita tu producto y funciones de marketing para asegurar que no habiliten o incentiven usos prohibidos inadvertidamente.

Prioriza controles componibles que puedas implementar rápidamente. Para transparencia: implementa indicadores visibles de IA para usuarios y etiquetas de deepfake; adopta estándares de procedencia de contenido y marcas de agua cuando sea posible. Para gobernanza: mantiene un registro de modelos con evaluaciones versionadas, controles de políticas y aprobaciones de lanzamiento. Para datos: captura linaje, estado de consentimiento y metadatos de licencias; aplica versionado de conjuntos de datos y controles de acceso. Para monitorización: centraliza registros de inferencia, métricas de sesgo/robustez y tickets de incidentes con rotaciones de guardia. Para supervisión: define puntos claros de intervención humana y documenta cuándo se escala. Trata cada artefacto como evidencia para auditorías futuras.