infoRETAIL.- Cualquier tienda online es susceptible de usar inteligencia artificial. Quizá no se llame así, pero el chatbot de atención al cliente, las descripciones escritas con ChatGPT, las imágenes de campaña hechas con Midjourney o el probador virtual de la web son sistemas de IA a ojos de la ley. Y desde el 2 de agosto de 2026, la Ley de IA de la UE (Reglamento 2024/1689 o también denominado Reglamento Europeo de Inteligencia Artificial -RIA-) impone obligaciones concretas, bajo amenaza de multas muy elevadas.
La buena noticia: cumplir la Ley de IA en una tienda online no es tan complicado como suena. Lo primero que se debe tener en consideración es entender qué papel juega la tienda. La ley no trata igual a quien fabrica la IA que a quien la usa. Quien desarrolla un sistema y lo comercializa bajo su marca es el proveedor; quien lo utiliza en su negocio es el responsable del despliegue.
Una tienda online, en el 99% de los casos, es lo segundo: usa herramientas de proveedores (OpenAI, Google, su plataforma de e-commerce, un chatbot...) bajo su propia autoridad.
Esto importa porque cada obligación de la ley tiene un destinatario: el marcado técnico invisible del contenido generado es obligación del fabricante de la herramienta, mientras que el aviso del chatbot, la etiqueta visible de los deepfakes y la información sobre sistemas biométricos corresponden a la tienda.
El calendario real, sin titulares confusos
El Reglamento se aplica por fases, y el reciente Ómnibus Digital (Reglamento UE 2026/1744, en vigor desde el 27 de julio de 2026) ha retocado el calendario. Así queda para una tienda online (con su correspondiente fecha y ámbito de aplicación):
-2 de febrero de 2025: Prácticas prohibidas (art. 5) y alfabetización en IA (art. 4)
-2 de agosto de 2025: Normas para grandes modelos (GPAI) y régimen sancionador
-2 de agosto de 2026: Aplicación general: obligaciones de transparencia (art. 50)
-2 de diciembre de 2026: Fin del periodo transitorio del marcado técnico y nuevas prohibiciones
-2 de diciembre de 2027: Sistemas de alto riesgo del anexo III (RRHH, solvencia crediticia)
-2 de agosto de 2028: Sistemas de alto riesgo integrados en productos (anexo I)
Los 'chatbots' y asistentes virtuales deben identificarse
Cualquier sistema de IA que interactúe directamente con personas debe informarles de que están hablando con una IA (art. 50.1). Afecta al chatbot de atención al cliente, al asistente de compras conversacional, al bot de WhatsApp y a cualquier agente de voz que atienda el teléfono de la tienda.
La ley sólo exime de avisar cuando sea "evidente" para una persona razonablemente informada que habla con una máquina.
No sirve con llamar "Laura" al bot y ponerle una foto de persona, y expresiones ambiguas como "asistente virtual" tampoco bastan como aviso.
Lo que funciona es un mensaje inequívoco en el arranque de la conversación: "Soy el asistente de inteligencia artificial de [la tienda]. Si prefieres hablar con una persona, pídemelo". En canales de voz, el aviso debe escucharse al inicio de la llamada. El aviso va en el propio chat, en la primera interacción, con formato claro y accesible (art. 50.5).
Si el chat alterna bot y agentes humanos, debe quedar claro cuándo responde cada uno; y si la tienda atiende reclamaciones o devoluciones por bot, debe ofrecer siempre una vía para contactar con una persona.
Contenido creado con IA: cuándo hay que etiquetar y cuándo no
No todo lo que se hace con IA lleva etiqueta. El artículo 50 crea dos mecanismos diferentes, con responsables distintos:
-El marcado técnico es cosa de los proveedores. Los proveedores de sistemas generativos (ChatGPT, Midjourney, ElevenLabs y otros) deben marcar sus salidas en formato legible por la máquina: metadatos, marcas de agua invisibles, credenciales de procedencia. Esa obligación es suya, no de la tienda.
La parte de la tienda es de diligencia: pedir a sus proveedores confirmación de que cumplen el artículo 50.2, preguntar qué sistema de marcado usan y comprobar que la propia web no lo destruye. Este último punto es importante: un optimizador de imágenes, un CDN o una recompresión pueden borrar los metadatos de procedencia sin que nadie lo note.
-Deepfakes: la etiqueta visible sí es cosa de la tienda. Cuando un e-commerce publica imágenes, vídeo o audio generados o manipulados por IA que puedan tomarse por reales (lo que la ley llama "ultrasuplantación"), debe hacer público que son artificiales (art. 50.4).
En un e-commerce, esto incluye modelos fotorrealistas que no existen, imágenes de producto generadas que simulan fotografía real, vídeos con personas sintéticas, voces clonadas, testimonios de clientes fabricados e influencers virtuales que parecen humanos.
La regla práctica: si un cliente puede creer que está viendo una foto, una persona o una demostración real, hay que etiquetar.
Quedan fuera las ilustraciones evidentemente fantásticas, las animaciones claramente irreales y los ajustes técnicos menores.
La etiqueta debe verse desde la primera exposición e ir unida al contenido (sobre la imagen o en su pie, no en una página legal). Fórmulas válidas: "Imagen generada por IA", "Modelo virtual creado con IA", "Voz sintética".
Textos: la regla del interés público
El AI Act sólo obliga a declarar el origen artificial cuando el texto creado con IA se publica "para informar al público sobre asuntos de interés público".
Por tanto, las descripciones de producto, fichas, emails comerciales y textos SEO generados con IA no necesitan ser etiquetados.
El blog de la tienda sí puede activar la obligación cuando publica contenido informativo (salud, seguridad de productos, sostenibilidad, derechos del consumidor).
Tampoco sería necesario etiquetar este contenido si una persona ha revisado y editado de manera significativa el texto y asume la responsabilidad editorial.
Asimismo, las directrices de la Comisión eximen del régimen de contenido generado las funciones de apoyo a la edición estándar: corrección ortográfica, traducción, ajustes de luz y color, eliminación de ojos rojos, recortes, escalado.
Retocar con IA una foto real del producto no la convierte en contenido sintético; generarla desde cero o alterar sustancialmente lo que muestra, sí.
Probadores virtuales, biometría y emociones
Si la tienda usa sistemas que infieren emociones o clasifican a las personas a partir de datos biométricos (rostro, voz), debe informar a los afectados antes de la primera exposición (art. 50.3).
Ejemplos: probadores virtuales que analizan el rostro, el análisis de frustración en llamadas o las cámaras con analítica de visitantes en tiendas físicas.
Además, usar sistemas IA para tratar de inferir emociones de los propios empleados está directamente prohibido desde febrero de 2025, salvo fines médicos o de seguridad.
Las líneas rojas que no se pueden cruzar
El artículo 5 prohíbe ciertas prácticas. Para un e-commerce, las relevantes son:
-La manipulación mediante técnicas subliminales o deliberadamente engañosas que causen perjuicio significativo (como los dark patterns hipervitaminados por IA).
-La explotación de vulnerabilidades por edad o situación económica (cuidado con la personalización agresiva dirigida a menores).
-La creación de bases de reconocimiento facial mediante scraping.
-La categorización biométrica que deduzca raza, religión, orientación sexual u opiniones políticas para segmentar publicidad.
Cómo cumplir el AI Act en una tienda 'online'
La medida más útil para una pyme consiste en realizar un inventario de sus herramientas de IA. Debe identificar:
-Qué sistema se utiliza.
-Para qué se utiliza.
-Quién lo proporciona.
-Qué datos recibe.
-Si interactúa con personas.
-Si genera contenido.
-Si toma o ayuda a tomar decisiones sobre personas.
-Quién revisa sus resultados.
Software de gobernanza IA recomendados
Una de las soluciones más frecuentes es acudir a plataformas y empresas especializadas en la gobernanza de la IA y el cumplimiento del Reglamento de inteligencia artificial.
Entre las consultoras más destacadas están legaltech como Atico34, que ya era una referencia en el ámbito de la protección de datos y ahora lo es también en la gobernanza de la IA gracias a su software 'Atico34 AI governance', una solución económica (280 euros al año para pymes) que combina una plataforma integral de gestión de sistemas y herramientas IA con un servicio de asesoramiento legal y soporte jurídico por parte de los abogados expertos en IA de la compañía.
Otra de las soluciones más robustas es TrustArc, cuya propuesta tecnológica se integra de manera directa con los flujos de datos empresariales mediante módulos especializados en la gestión de derechos individuales (DSAR) y el control inteligente de cookies. La herramienta mitiga el error humano y centraliza las auditorías normativas gracias a que unifica la información de la empresa en tiempo real con un potente motor de actualización legal.
La formación de empleados es obligatoria
El AI Act mantiene la obligación de promover la alfabetización en inteligencia artificial.
El área de marketing debe saber identificar contenidos sintéticos y publicidad engañosa; recursos humanos debe comprender los riesgos de discriminación; atención al cliente debe saber cuándo escalar una conversación a una persona; y quienes utilicen herramientas generativas deben conocer qué datos no pueden introducir.
Solicitar información a los proveedores de IA
Cuando una pyme utiliza un sistema externo, gran parte de la información técnica está en manos del proveedor. Por eso conviene pedirle por escrito:
-Qué obligaciones del AI Act asume.
-Cómo identifica los contenidos generados.
-Si utiliza los datos del cliente para entrenar modelos.
-Qué subproveedores intervienen.
-Cómo comunica cambios en el sistema.
-Qué sucede cuando se produce un incidente.
-Cómo puede suspenderse o eliminarse el servicio.
La empresa no debe eliminar las marcas o metadatos incorporados por el proveedor. También debería comprobar si su web, gestor de contenidos o red social los elimina al comprimir o publicar los archivos.
Recursos humanos y crédito: las próximas áreas sensibles
A partir del 2 de diciembre de 2027 también estarán especialmente regulados determinados sistemas utilizados para:
-Filtrar o clasificar candidatos.
-Evaluar trabajadores.
-Decidir promociones o despidos.
-Asignar tareas basándose en el comportamiento.
-Analizar la solvencia de personas.
Las pymes que ya empleen este tipo de herramientas no necesitan aplicar todavía todo el régimen de alto riesgo, pero sí deberían identificarlas y comenzar a exigir documentación a sus proveedores.
Sanciones por no cumplir la Ley de IA en tiendas 'online'
El incumplimiento de las obligaciones de transparencia puede alcanzar los 15 millones de euros o el 3% de la facturación mundial anual. Las prácticas prohibidas pueden llegar a 35 millones o al 7%.
Las autoridades deben valorar la gravedad, duración, daños, tamaño de la empresa, cooperación y medidas implantadas.
En definitiva: transparencia, control y sentido común
El AI Act no obliga a las pymes a dejar de utilizar inteligencia artificial. Tampoco exige advertir al público cada vez que una herramienta ayuda a redactar un texto o retocar una imagen.
Lo que exige es que la IA no se esconda cuando una persona interactúa directamente con ella, que los contenidos sintéticos realistas no se presenten como auténticos y que exista control humano cuando las decisiones o informaciones puedan tener consecuencias importantes.
Para la mayoría de las pymes, el cumplimiento puede resumirse en tres ideas: conocer la IA que se utiliza, explicar cuándo está actuando y no delegar ciegamente en ella la responsabilidad de cada tarea.