¿Cuándo llegarán las primeras multas por el Artículo 50 de la Ley de IA de la UE? Una previsión basada en datos

Las normas de transparencia de la UE para los contenidos generados por IA llevan tres semanas siendo exigibles. Ninguna empresa ha sido multada — ni al amparo del Artículo 50 ni de ningún otro artículo de la Ley de IA, nunca. Este artículo examina qué dicen la norma, la maquinaria de supervisión y tres regímenes precedentes sobre cómo cambiará esa situación.

Tres semanas después, el marcador sigue a cero — y ese dato dice mucho

El Artículo 50 de la Ley de IA es aplicable desde el 2 de agosto de 2026. Desde esa fecha, los proveedores de sistemas de IA generativa deben marcar sus resultados de forma detectable y legible por máquina (art. 50(2)); los responsables del despliegue deben revelar de forma visible los deepfakes (art. 50(4)); los textos generados por IA que se publiquen para informar al público deben etiquetarse salvo que hayan pasado un control editorial real; y quien opere un chatbot debe informar a las personas de que están hablando con una máquina (art. 50(1)). El Digital Omnibus (Reglamento (UE) 2026/1744) dejó todo esto intacto y concedió un único periodo de gracia: los sistemas ya introducidos en el mercado antes del 2 de agosto tienen hasta el 2 de diciembre de 2026 para cumplir la obligación de marcado legible por máquina.

Las orientaciones están completas. Las Directrices sobre el Artículo 50 de la Comisión, de 51 páginas, se publicaron el 20 de julio de 2026; el Código de Buenas Prácticas sobre Transparencia de los Contenidos Generados por IA se cerró el 10 de junio y fue declarado adecuado los días 8 y 9 de julio, con unos 190 firmantes, entre ellos Anthropic, Google, Meta, Microsoft, Mistral y OpenAI. La ausencia más llamativa de esa lista es xAI. La defensa de «no sabíamos qué significaba cumplir» ya no existe.

Y, sin embargo, el dato más predictivo disponible es este: las prohibiciones de la Ley de IA — el Artículo 5, el nivel más severo de todo el Reglamento, con 35 millones de euros o el 7 % del volumen de negocio, sancionable desde hace más de un año — han producido cero multas. Si la conducta más reprochable de la norma, con una sanción que más que duplica la del Artículo 50, lleva dieciocho meses sin sancionarse, la probabilidad base de una multa rápida por el Artículo 50 es baja.

El Artículo 50 lo aplicará la capa menos preparada del sistema

Quién puede imponer realmente una multa por el Artículo 50 importa más que el texto legal. La AI Office de Bruselas — el órgano de aplicación más publicitado — solo es competente respecto del Artículo 50 en supuestos muy estrechos: sistemas construidos sobre un modelo de uso general cuando la misma empresa proporciona ambos y, desde el Omnibus, la IA integrada en plataformas en línea de muy gran tamaño. Para todos los demás — casi todos los responsables del despliegue y la mayoría de los proveedores de sistemas — la autoridad competente es una autoridad nacional de vigilancia del mercado. Ahí está el eslabón más débil: según el último recuento oficial, solo 8 de los 27 Estados miembros habían notificado siquiera su punto de contacto único, y a junio de 2026 seis Estados miembros no habían designado nada en absoluto.

El grado de preparación en los mercados que importan, a agosto de 2026:

• Alemania — Bundesnetzagentur (ley KI-MIG en vigor desde el 29 de julio de 2026). Puede multar hoy mismo: régimen sancionador operativo y con personal, cuatro días antes del plazo.
• Italia — ACN (ley nacional de IA en vigor desde octubre de 2025). Casi: los decretos sancionadores superaron el Consejo de Ministros el 4 de agosto de 2026 y solo esperan su publicación oficial; en paralelo ya se aplica un delito penal de deepfake (de 1 a 5 años).
• España — AESIA, la primera agencia de IA específica de la UE. Todavía no: la ley orgánica que le otorga potestad sancionadora sigue en tramitación parlamentaria — y propone tratar los contenidos de IA sin etiquetar como infracción grave, con hasta 35 millones de euros o el 7 %.
• Polonia — KRBSI (ley publicada el 27 de julio de 2026). Todavía no: el capítulo sancionador solo se aplica desde finales de octubre de 2026, y la presidencia de la comisión debe cubrirse a mediados de octubre.
• Irlanda — la AI Office of Ireland coordina a unas 15 autoridades sectoriales (ley en vigor desde el 31 de julio de 2026). Sí, pero cada multa debe ser confirmada por el High Court y dos reguladores clave siguen fuera del mecanismo sancionador.
• Francia — la DGCCRF coordina y ARCOM correregula los contenidos de IA. Poco claro: el estatus formal de designación sigue siendo objeto de discusión.
• Países Bajos — AP / RDI. No: la norma de desarrollo seguía en consulta pública en junio de 2026.
• Finlandia — Traficom más las autoridades sectoriales, con una junta sancionadora específica (ley en vigor desde el 1 de enero de 2026). Sí — el régimen más completo de la UE, con una disposición sancionadora expresa para el Artículo 50.
• Dinamarca — solo una ley limitada de 2025. Para el Artículo 50, no: la ley de IA completa decayó cuando las elecciones de marzo de 2026 disolvieron el Parlamento, y no hay ninguna autoridad designada para la transparencia.
• Austria, Bélgica y Grecia — sin ninguna autoridad designada.

Un detalle estructural apunta en sentido contrario y está infravalorado: la Ley de IA no tiene ventanilla única. Bajo el RGPD, una autoridad nacional agresiva puede quedar desarmada competencialmente si la empresa se establece en Irlanda — así es exactamente como se anuló en marzo de 2026 la multa italiana de 15 millones de euros a OpenAI. En el modelo de vigilancia del mercado de la Ley de IA, cualquier autoridad nacional puede actuar contra cualquier producto presente en su mercado. Un único regulador motivado puede moverse en solitario.

Todo régimen nuevo de la UE sigue la misma curva

• RGPD (aplicable desde mayo de 2018): primeras multas pequeñas, de oficio, a los 2–4 meses (un hospital portugués, una casa de apuestas austriaca); primera multa de titulares a los 8 meses (50 millones de euros a Google, a partir de denuncias de ONG presentadas el primer día).
• DMA (obligaciones desde marzo de 2024): primeras multas a los ~13 meses (500 millones de euros a Apple y 200 millones a Meta, en abril de 2025).
• DSA (obligaciones para las VLOP desde agosto de 2023): primera multa a los ~27 meses (120 millones de euros a X, en diciembre de 2025) — y después una escalada rápida hasta 200 millones (Temu) y 550 millones (AliExpress) en ocho meses.
• Artículo 5 de la Ley de IA (aplicable desde febrero de 2025): más de 18 meses y cero multas.

Dos detalles de este historial importan especialmente para el Artículo 50. Primero, las multas más tempranas del RGPD salieron de inspecciones rutinarias contra infractores desconocidos — las cámaras de una casa de apuestas, los controles de acceso de un hospital —, mientras que la multa de titulares llegó meses después a partir de denuncias estratégicas. Segundo, cuando la Comisión multó por fin a X con 120 millones de euros bajo la DSA, descartó los ambiciosos cargos sobre desinformación y mantuvo solo los tres cargos de transparencia técnicamente verificables. Los reguladores multan lo que pueden medir. El cumplimiento del Artículo 50 — si el archivo lleva una marca detectable, si el chatbot lo advierte, si el deepfake está etiquetado — es de lo más medible que existe en el derecho tecnológico de la UE. Eso comprime los plazos en cuanto una autoridad decide actuar.

Seis predicciones

1. Las primeras actuaciones llegarán este invierno — y no serán multas

(Confianza: alta.) Cabe esperar la primera actividad formal en torno al Artículo 50 — requerimientos de información, órdenes de cumplimiento, un barrido coordinado de chatbots sin aviso o de anuncios con deepfakes sin etiquetar — entre el 4T de 2026 y el 2T de 2027. La fecha desencadenante es el 2 de diciembre de 2026, cuando expira el periodo de gracia de marcado para los sistemas preexistentes y muere la defensa de «la transición aún no ha terminado», y cuando entra en vigor la nueva prohibición de las aplicaciones de desnudado. Hasta entonces, los primeros titulares sobre aplicación apuntarán probablemente a los Estados miembros, no a las empresas: cartas de infracción de la Comisión contra los más de seis países que nunca designaron autoridad.

2. La primera multa llegará en el segundo semestre de 2027

(Confianza: media-alta.) Buscando el punto medio entre la curva del RGPD (descentralizada, multas pequeñas en cuestión de meses) y la de la DMA/DSA (de 13 a 27 meses), y descontando que la mayoría de las autoridades no existían hasta julio de 2026, la ventana más probable para la primera multa del Artículo 50 va de mediados de 2027 a principios de 2028: entre 12 y 18 meses después del inicio de su aplicación. Nuestras estimaciones de probabilidad acumulada de que se haya impuesto al menos una multa: 5 % a 2 de diciembre de 2026, 35 % a agosto de 2027, 60 % a diciembre de 2027 y 85 % a agosto de 2028.

3. Alemania, Italia o España — en ese orden de probabilidad

(Confianza: media.) La Bundesnetzagentur alemana es el único regulador de un gran mercado que llegó a agosto de 2026 con un marco jurídico completo, personal dedicado y una tradición de multas administrativas que produce sanciones poco vistosas de forma rutinaria. Italia está a pocos días de acompañarla: los decretos sancionadores pasaron definitivamente por el Consejo de Ministros el 4 de agosto de 2026 y, en cuanto lleguen al boletín oficial, la cultura de aplicación en IA más agresiva de la UE quedará plenamente armada — aunque puede que la fiscalía no necesite el Artículo 50 en absoluto, ya que los deepfakes dañinos no revelados son ya un delito castigado con hasta cinco años. La AESIA española se convertirá en el organismo más motivado en el momento en que su ley orgánica supere el trámite parlamentario: es la única agencia cuyo estatuto fundacional singulariza los contenidos de IA sin etiquetar, en un nivel sancionador que duplica el de la propia Ley de IA. La sorpresa podría ser Finlandia, el único Estado miembro con un régimen sancionador del Artículo 50 completo y operativo desde enero de 2026, frenado sobre todo por una cultura de aplicación contenida.

4. Un pequeño responsable del despliegue del que nadie ha oído hablar — no un laboratorio puntero

(Confianza: alta.) Los ~190 firmantes del Código de Buenas Prácticas, entre ellos todos los grandes proveedores de modelos, se han comprado una supervisión centrada en la «adhesión al código», además de una circunstancia atenuante expresa en la fijación de la multa. Los perfiles realistas de primer sancionado, por orden: un anunciante que difunde anuncios con avatares de IA o recomendaciones deepfake sin revelarlo (una infracción del art. 50(4) visible y demostrable); un sitio de contenidos que publica noticias escritas por IA sin etiquetar y sin un control editorial genuino; y un chatbot de consumo sin aviso de IA. Cabe esperar cifras de cinco o seis dígitos, no millones — el límite para las pymes se invierte hacia «la cantidad menor» — y cabe esperar que la resolución se recurra y muy posiblemente se anule, como suele ocurrir con las primeras multas de los regímenes nuevos.

5. La revelación de deepfakes y de chatbots se multará antes que el marcado legible por máquina

(Confianza: media-alta.) El etiquetado de deepfakes del art. 50(4) y el aviso de chatbot del art. 50(1) son visibles para las personas: una captura de pantalla prueba la infracción, y las orientaciones de la Comisión son explícitas en que el marcado legible por máquina no puede sustituir a una etiqueta visible de deepfake. La obligación de marcado del art. 50(2), en cambio, viene envuelta en matices del tipo «técnicamente viable, estado de la técnica», no tiene detrás ninguna norma armonizada — ni siquiera se está redactando, porque el marcado de contenidos queda por completo fuera del mandato de normalización de la UE en materia de IA — y su andamiaje de interoperabilidad no llega hasta el 2 de febrero de 2027. Los aplicadores de la primera oleada elegirán la batalla que puedan ganar sobre el papel. La aplicación del marcado madurará más tarde — pero será más dura, porque el cumplimiento es binario y automatizable a gran escala.

6. La primera gran sanción por contenido sintético no citará el Artículo 50

(Confianza: media.) La Comisión ya está persiguiendo el caso de contenido sintético más flagrante de Europa — las imágenes sexuales generadas masivamente por Grok — bajo la DSA, donde dispone de competencias centralizadas, un tope del 6 % e inercia a su favor (tres multas por un total de 870 millones de euros en ocho meses). xAI es el único gran proveedor que queda fuera del Código de transparencia y está sujeto a una orden de conservación de datos vigente hasta finales de 2026. La secuencia más probable: una resolución bajo la DSA contra X en 2027 que funcione como el precedente europeo en materia de contenido sintético, con el Artículo 50 citado como contexto; la primera multa de nueve cifras específicamente basada en el Artículo 50, si llega alguna vez, vendrá en 2028 o más adelante.

Señales que moverían estas fechas

• Septiembre–octubre de 2026 — se constituyen los grupos de trabajo del Código de Buenas Prácticas; la AI Office cierra su ronda de contratación de unas 40 personas para tareas de aplicación; los decretos sancionadores italianos llegan al boletín oficial; se activa el capítulo sancionador polaco.
• Otoño de 2026 — vigile los paquetes mensuales de infracciones de la Comisión por si aparecen cartas a los Estados miembros que no han designado autoridad, y la ley orgánica española completando su tramitación parlamentaria.
• 2 de diciembre de 2026 — termina el periodo de gracia de marcado para los sistemas preexistentes; la prohibición de generación de desnudos y de material de abuso sexual infantil entra en vigor en el nivel de 35 millones de euros o el 7 %. La fecha más probable para que se anuncie una primera investigación formal.
• 2 de febrero de 2027 — los firmantes del Código deben tener en marcha una detección de marcas de agua interoperable: el primer plazo de cumplimiento técnico objetivamente comprobable.
• A lo largo de 2027 — conclusiones preliminares de la DSA sobre Grok/X; la primera denuncia del art. 85 hecha pública por una ONG (los canales de denuncia se abrieron el 2 de agosto de 2026, y el precedente del RGPD dice que las denuncias estratégicas llegan pronto y detonan más tarde).

Qué significa esto si usted tiene que cumplir

La lectura racional de «todavía no hay multas» no es «todavía no hay riesgo». El patrón de todos los regímenes precedentes es un largo periodo de calma que termina de forma abrupta, con los primeros sancionados elegidos por lo demostrable de su caso más que por su gravedad, y con requerimientos de información, órdenes y daño reputacional llegando mucho antes que las sanciones.

La primera multa será pequeña, nacional y dirigida contra alguien que ignoró todo esto. La pregunta interesante nunca fue si llegará, sino si usted estará en posición de resultar poco interesante cuando lo haga.