Ninguna de las cuatro señales que mira el Observatorio CriterIA© es universalmente exigible: ninguna obliga a una organización por el mero hecho de tener una web. Aun así las miramos. Y las mira, sin avisar y sin pedir permiso, quien decide si le adjudica un contrato, si le concede una ayuda o si le renueva una póliza.
Desde el 5 de agosto de 2026 observamos desde fuera páginas web de organizaciones españolas: la portada, las legales y el chat, si lo hay. Sin preguntar nada a nadie, sin entrar en ninguna zona privada y sin tratar un solo dato personal. Buscamos cuatro señales: si el chat avisa de que responde un sistema automático, si hay rastro público de que el contenido se generó con IA, si las páginas legales mencionan la IA y si existe una política de uso publicada. Por qué esas cuatro está en qué obligaciones del Reglamento de IA se ven desde fuera.
Y aquí llega la objeción, que es buena: ninguna de las cuatro es universalmente exigible. Algunas pueden responder a una obligación legal cuando concurren el sistema, el uso y el papel del operador que exige el Reglamento; otras no lo son en ningún caso. Entonces, ¿qué sentido tiene medirlo?
No es obligatorio publicar una política de uso de IA: el Reglamento (UE) 2024/1689 no lo exige, y mencionar la IA en las páginas legales tampoco es un deber autónomo. De las señales que sí tienen un precepto detrás, el aviso de que se conversa con una IA —artículo 50, apartado 1— y el marcado legible por máquina del contenido sintético —artículo 50, apartado 2— obligan al proveedor del sistema. Eso no deja fuera al resto: los apartados 3 y 4 obligan al responsable del despliegue, y proveedor no es necesariamente quien escribió el código, sino también quien hace desarrollar el sistema y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca. Medimos estas cuatro señales porque son homogéneas, reproducibles y comprobables sin pedir permiso, y porque son de lo primero que un tercero puede mirar antes de pedirle documentación interna.
En resumen
- Publicar una política de uso de IA no es una obligación del Reglamento. Mencionar la IA en las páginas legales, tampoco.
- Los apartados 1 y 2 del artículo 50 obligan al proveedor. Los apartados 3 y 4, al responsable del despliegue. El apartado 5 no crea un sujeto nuevo: fija la forma y el momento de la información exigida en los apartados 1 a 4 y alcanza a quien resulte obligado en cada caso.
- El Índice de Criterio© mide ausencia de señal pública, no incumplimiento. Que falte una señal significa que no está publicada, y en varios casos ni siquiera hay obligación de publicarla.
- Lo que suele decidir una diligencia debida —inventario de sistemas, supervisión humana y formación— no deja rastro público. Ningún observatorio externo puede verlo, y este tampoco.
A quién obliga cada apartado del artículo 50
Aquí se cometen casi todos los errores de lectura, incluidos los nuestros: se cita el precepto correcto y se le atribuye al sujeto equivocado. El Reglamento (UE) 2024/1689, en su versión consolidada, reparte las obligaciones de transparencia entre dos figuras, y la diferencia decide quién responde.
| Precepto | A quién obliga | Qué exige |
|---|---|---|
| Art. 50, ap. 1 · aviso de interacción | Proveedor | Diseñar y desarrollar el sistema de modo que la persona esté informada de que interactúa con una IA |
| Art. 50, ap. 2 · marcado legible por máquina | Proveedor | Que los resultados de un sistema que genera contenido sintético estén marcados en formato legible por máquina |
| Art. 50, ap. 3 · emociones y biometría | Responsable del despliegue | Informar del funcionamiento del sistema a las personas expuestas a él |
| Art. 50, ap. 4, párr. 1 · ultrafalsificación | Responsable del despliegue | Hacer público que el contenido que constituye una ultrafalsificación se generó o manipuló artificialmente |
| Art. 50, ap. 4, párr. 2 · texto de interés público | Responsable del despliegue | Revelar que el texto publicado para informar sobre asuntos de interés público se generó artificialmente |
| Art. 50, ap. 5 · forma y momento | Quien resulte obligado en cada apartado | Información clara y distinguible, a más tardar con ocasión de la primera interacción o exposición, con los requisitos de accesibilidad aplicables |
Todas las obligaciones del cuadro rigen desde el 2 de agosto de 2026. Y tres precisiones que casi nunca se hacen.
El apartado 5 no añade un sujeto obligado. Se lee a menudo como si convirtiera a cualquiera en responsable de todo el artículo 50, y no es eso: regula cómo y cuándo se facilita la información exigida en los apartados 1 a 4, y sigue al operador obligado por cada uno. Si a usted no le alcanza el apartado 1, el apartado 5 no se lo trae de vuelta.
Las excepciones son más de las que se citan. El aviso del apartado 1 decae cuando resulte evidente para una persona razonablemente informada, atenta y perspicaz: omitir «perspicaz» rebaja el listón. Y el marcado del apartado 2 tiene tres excepciones alternativas, no una: apoyo a la edición estándar, no alterar sustancialmente los datos de entrada del responsable del despliegue o su semántica, y autorización legal para fines penales.
La transición es estrecha. El artículo 111, apartado 4, añadido por el Reglamento (UE) 2026/1744, da hasta el 2 de diciembre de 2026 para el marcado del apartado 2, pero solo a los proveedores de sistemas que generen contenido sintético y se hayan introducido en el mercado antes del 2 de agosto de 2026. Tres condiciones acumulativas, y la fecha que cuenta es la del proveedor, no la del cliente. Lo desarrollamos en si hay que avisar de que un texto lo ha escrito la IA.
Por qué medir una señal que nadie está obligado a emitir
Porque se puede comprobar sin pedir permiso. Las encuestas miden lo que las organizaciones dicen de sí mismas, y quien responde sabe que está respondiendo. La observación externa ve mucho menos, pero lo que ve no depende de la voluntad de nadie, y cualquiera puede repetirla sobre su web en diez minutos.
Porque una señal ausente no prueba nada, y decirlo es parte del método. Que un chat no lleve aviso no demuestra que responda una IA: puede responder una persona. Que una web no publique una política de IA no significa que no la tenga: puede estar en su intranet. Un observatorio que convierta esas ausencias en un porcentaje de incumplimiento estaría mintiendo. Por eso cada indicador lleva su fuente y su denominador al lado, ningún bloque publica porcentaje si no llega a cien observaciones, y siempre decimos en qué dirección se lee: las dimensiones miden lo que falta, así que subir es empeorar; el índice agregado se construye sobre la presencia de señal, así que subir es mejorar.
Y porque ya hay alguien mirando lo mismo. En una licitación, en el cuestionario de diligencia debida de un cliente grande, en la renovación de una póliza o en una solicitud de ayuda pública, cada vez con más frecuencia alguien pregunta por escrito cómo se gobierna el uso de la IA. Y antes de creerse la respuesta, abre la web y mira. La señal pública no prueba el cumplimiento, pero su ausencia obliga a explicarse, y hacerlo en medio de una candidatura, con plazo, es un mal momento para descubrir que no hay nada escrito.
Qué mira exactamente el radar, y cómo repetirlo en su web
Si el método no se puede reproducir, no es un método: es una opinión con tabla. Estas son las cuatro comprobaciones, en el orden en que las hace el radar, sin herramientas.
- Abra su web en una ventana privada y hable con el chat, si lo hay. ¿Dice que es un sistema automático en el primer mensaje, o hay que preguntárselo? Si el aviso vive en el pie de página o dentro de la política de privacidad, no está donde empieza la conversación.
- En tres páginas, busque
ai-generatedoai-disclosureen el código fuente y, luego, cualquier frase visible que diga que el contenido se elaboró con IA. El radar da la señal por presente si encuentra cualquiera de las dos, y no son lo mismo: la metaetiqueta se acerca al marcado legible por máquina del apartado 2, que obliga al proveedor; la frase visible es una señal de revelación pública que, cuando el contenido encaja en alguno de los supuestos del apartado 4, puede responder a esa obligación; y en el caso concreto del texto sobre asuntos de interés público del párrafo segundo, esa obligación decae si existe revisión humana o control editorial y una persona física o jurídica asume la responsabilidad editorial. Nuestro indicador registra rastro público, no acredita el cumplimiento de ninguno de los dos. Lo tratamos en si una IA puede auditar el trabajo de otra IA. - Busque «inteligencia artificial», «algoritmo» o «decisiones automatizadas» dentro de sus páginas legales. Cero resultados no es una infracción. Es una pregunta que alguien le hará por escrito.
- Escriba en un buscador el nombre de su organización y «política de uso de inteligencia artificial». Si no aparece nada, esa es la señal que estamos contando, y la que cuenta también quien le evalúa.
Diez minutos y ningún dato personal de por medio. Si el resultado le incomoda, es información útil: la ha obtenido usted antes que un tercero.
Qué muestra tenemos, y con qué límites se lee
A 9 de septiembre de 2026 el Observatorio CriterIA© acumula 8.136 observaciones válidas, de las cuales 7.953 están clasificadas en cuatro bloques —pymes, universidades y escuelas de negocio, gran empresa y consultoras, y administraciones públicas— y 183 se declaran aparte por no tener universo asignado. Se obtiene por observación externa de páginas web públicas, sin preguntar nada a nadie, sin acceder a áreas privadas y sin tratar datos personales. La captura cierra el 30 de septiembre de 2026, así que la cifra crece.
Y los límites, pegados al dato. No es una muestra representativa: es de conveniencia y así se declara en el informe. No admite intervalos de confianza ni es un censo de la empresa española, y mide ausencia de señal pública con esas cuatro señales y ninguna más. Ninguna cifra del Índice de Criterio© se publica antes del 20 de octubre de 2026, fecha de la primera edición, en Madrid, con la Asociación Española de Escuelas de Negocio. La metodología sí está publicada, con licencia CC BY 4.0, en la página del Índice de Criterio©.
Publicar una política de uso de IA no es obligatorio, y seguirá sin serlo el 21 de octubre. Lo que ha cambiado no es la norma: es que cada vez más decisiones sobre su organización —una adjudicación, una ayuda, una renovación, un contrato marco— empiezan con alguien abriendo su web y mirando lo mismo que miramos nosotros. Puede seguir sin publicarla. Lo que ya no puede es seguir sin saber qué se ve.
Preguntas frecuentes
¿Es obligatorio publicar una política de uso de IA?
No. El Reglamento (UE) 2024/1689 no impone publicar una política de uso de inteligencia artificial ni mencionar la IA en las páginas legales: son prácticas de gobernanza y señales que terceros comprueban, no obligaciones del articulado. Lo que sí obliga son las medidas de alfabetización del artículo 4, en la redacción que el Ómnibus reformuló el 27 de julio de 2026, y, según el caso, los deberes de transparencia del artículo 50.
Si mi chatbot no avisa de que es una IA, ¿el incumplimiento es mío?
El artículo 50, apartado 1, obliga al proveedor: es una obligación de diseño y desarrollo. Ahora bien, proveedor no es necesariamente quien escribió el código: también puede serlo quien hace desarrollar el sistema y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca. Y si el apartado 1 le alcanza, el apartado 5 fija cómo cumplirlo: información clara y distinguible, a más tardar con ocasión de la primera interacción, con los requisitos de accesibilidad.
¿Hay que marcar todo el contenido generado con IA?
No. El marcado legible por máquina del artículo 50, apartado 2, obliga al proveedor del sistema que genera contenido sintético, no a quien lo utiliza, y tiene tres excepciones alternativas. Cosa distinta es el apartado 4: la revelación de las ultrafalsificaciones y del texto sobre asuntos de interés público obliga al responsable del despliegue, y esta última decae cuando hay revisión humana o control editorial y una persona física o jurídica asume la responsabilidad editorial.
¿Qué mide exactamente el Observatorio CriterIA©?
Cuatro señales públicas: aviso de IA en el canal conversacional, rastro de marcado o revelación del contenido generado, mención de la IA en las páginas legales y política de uso de IA publicada. Mide ausencia de señal, no incumplimiento, y ningún bloque publica porcentaje si no llega a cien observaciones. La primera edición se presenta el 20 de octubre de 2026 en Madrid.
¿Aparecer con señales ausentes significa que estoy incumpliendo?
No, y decirlo es parte del método. Una señal ausente indica que no está publicada. Puede que la política exista en la intranet, que el chat lo atienda una persona o que el sistema no genere contenido sintético. Lo que sí significa es que, si alguien se lo pregunta, tendrá que explicarlo, y explicarse con un plazo encima es el peor momento para empezar.
El diagnóstico CriterIA© 7 hace por dentro las preguntas que la observación externa no puede hacer: si existe inventario de sistemas, quién supervisa y qué formación consta. Siete preguntas, gratuito y sin registro, con el resultado en pantalla.