En la Parte 1 vimos el mapa de riesgos del AI Act, lo que ya está prohibido y cómo saber si tu sistema es de alto riesgo. Aquí entramos en la capa que más devs rozan sin darse cuenta: los modelos de propósito general (GPAI / foundation models) y la transparencia del art. 50.
El Cap. V regula los modelos de propósito general; el art. 50 obliga a marcar el contenido generado.
Tabla de contenidos
Open Tabla de contenidos
Si entrenas modelos: los GPAI
Si entrenas o publicas un modelo de propósito general (GPAI / foundation model), el Cap. V te aplica directamente (desde el 2 de agosto de 2025). La definición (art. 3.63) es un modelo entrenado con gran cantidad de datos —a menudo auto-supervisión a escala— que muestra generaliad significativa y puede realizar una amplia gama de tareas, integrándose en diversos sistemas.
Todas las proveedoras de GPAI deben:
- redactar documentación técnica del proceso de entrenamiento y evaluación,
- entregar información a quienes integran el modelo downstream (para que ellos puedan cumplir),
- respetar la Directiva de Copyright (incluido el mecanismo de opt-out de derechos),
- publicar un resumen del contenido usado en el entrenamiento (en formato adecuado a disposición del público).
Si tu modelo es de código abierto (free/open licence), solo debes cumplir las dos últimas (copyright + resumen de datos), salvo que presente riesgo sistémico.
El umbral de riesgo sistémico: 10²⁵ FLOPs
Un GPAI tiene riesgo sistémico si la computación acumulada de entrenamiento supera 10²⁵ FLOPs. Es una línea dura, no discrecional:
- El proveedor debe notificar a la Comisión en 2 semanas si la supera.
- Puede argumentar que, pese al umbral, no presenta riesgo sistémico (la Comisión decide).
- La Comisión puede declarar riesgo sistémico por “alta capacidad” vía su panel científico, aunque no llegues al FLOP umbral.
Si superas ese umbral, se suman obligaciones duras:
- evaluación del modelo con testeo adversarial documentado para mitigar riesgo sistémico,
- evaluación y mitigación de riesgos sistémicos y sus fuentes,
- reporte de incidentes graves a la AI Office y autoridades nacionales sin dilación,
- ciberseguridad reforzada.
Dato para contextualizar: 10²⁵ FLOPs es el orden de magnitud de los modelos frontera de gran escala de 2024–2025. Si entrenas un modelo pequeño o mediano para un caso de uso concreto, casi seguro no llegas al umbral —pero sí eres GPAI y debes documentar y publicar el resumen de datos.
Si solo usas la API de un LLM
Si consumes un GPAI de terceros (p. ej. la API de un modelo grande), eres downstream. Tu obligación principal es la del sistema que construyes encima (clasificarlo por el árbol de la Parte 1). El proveedor GPAI debe haberte dado la información para cumplir —si no la tienes, eso es un problema de tu cadena de suministro, no una excusa.
Transparencia: la fecha que te toca ya
El art. 50 es el que más devs rozan sin saberlo, y su fecha clave es el 2 de agosto de 2026 (inminente, y no modificada por el Digital Omnibus). Te obliga a:
- Informar claramente cuando alguien interactúa con una IA (tus chatbots deben decir “soy una IA”).
- Marcar como generado por IA el contenido sintético (imagen, audio, vídeo, texto) de forma legible por máquina (marcas de agua, metadatos), y con etiqueta visible si es de interés público.
- Revelar los deepfakes como contenido artificial o manipulado.
Esto es técnico, no solo un aviso de texto. Implica meter metadatos estándar en lo que generas. Para imágenes/video, el estándar de facto es C2PA (Coalition for Content Provenance and Authenticity): marcas de agua criptográficas embebidas en los metadatos del archivo. Para texto de interés público, la etiqueta debe ser visible para el lector, no solo machine-readable.
Ejemplo práctico: si tu app genera avatares con IA, no basta con un pie de foto “creado con IA”. Debes incrustar la marca de agua C2PA y, si la imagen es de una persona real simulada, revelarlo como manipulada. El etiquetado visible es para el humano; el machine-readable es para los detectores y buscadores.
Cómo encaja en tu clasificación
Recuerda el árbol de la Parte 1: un sistema de IA bien puede ser transparencia (art. 50) y, a la vez, alto riesgo. No son excluyentes. Un chatbot de atención al cliente en un banco es transparencia (debe avisar) y, si decide elegibilidad de productos, alto riesgo (Anexo III, servicios financieros). Cumple ambas capas.
Qué viene en la Parte 3
En la Parte 3 cerramos con el cronograma completo 2025–2030 (incluido el retraso del Digital Omnibus), las multas (7 % / 3 % / 1 %) y un checklist de cumplimiento para llevar a tu equipo.
Fuentes: Reglamento (UE) 2024/1689 (EUR-Lex, arts. 3.63, 50–56), Future of Life Institute (AI Act high-level summary), Comisión Europea (digital-strategy). Investigación completa en research/ai-act/ del repo del blog.