EU AI Act y medios sintéticos: obligaciones para empresas mexicanas 2026

El Reglamento (UE) 2024/1689 — EU AI Act no aplica directamente a México, pero las empresas mexicanas que despliegan sistemas de IA para usuarios ubicados en la Unión Europea están sujetas a sus obligaciones en virtud de su alcance territorial extraterritorial. La fecha clave para las obligaciones de transparencia sobre medios sintéticos es el 2 de agosto de 2026 — y el plazo se acerca. Empresas mexicanas de tecnología, fintechs, agencias de marketing digital y plataformas de contenido que atiendan mercados europeos deben actuar ahora.

Este artículo se proporciona únicamente con fines informativos y no constituye asesoramiento jurídico, financiero ni regulatorio. Las referencias normativas son exactas a la fecha de publicación. Consulte a un profesional cualificado para obtener orientación adaptada a su situación.

¿El EU AI Act aplica a empresas mexicanas?

Sí — cuando la actividad tiene impacto en el mercado europeo.

El artículo 2 del EU AI Act establece su ámbito de aplicación con base en dos criterios alternativos: el sistema de IA es colocado en el mercado de la UE o es utilizado en la UE. Basta con que se cumpla uno de esos criterios para que el reglamento aplique, independientemente del lugar de establecimiento del proveedor u operador.

Esto significa que una fintech con sede en Ciudad de México que ofrezca onboarding digital a clientes alemanes, o una agencia creativa de Monterrey que produzca contenido sintético para campañas europeas, está sujeta al EU AI Act de la misma forma que una empresa establecida en Madrid o Ámsterdam.

Empresas mexicanas alcanzadas por el reglamento:

• Plataformas de contenido digital con usuarios en la UE (streaming, redes sociales, videojuegos)
• Fintechs con operaciones o clientes europeos (más de 400 empresas fintech operan actualmente en México)
• Agencias de publicidad y marketing que produzcan campañas para el mercado europeo
• Empresas de SaaS que licencien sistemas de IA a clientes en la UE
• Desarrolladores de aplicaciones disponibles en App Store o Google Play en países de la UE
• Proveedores de servicios de verificación de identidad con clientes europeos

La cuestión no es dónde está registrada la empresa — es dónde el sistema de IA produce efectos. Una empresa con RFC mexicano que opere exclusivamente en el mercado doméstico no tiene, en principio, obligaciones bajo el EU AI Act. Pero cualquier exposición al mercado europeo activa las obligaciones regulatorias.

Qué exige el artículo 50

El artículo 50 del EU AI Act es el pilar central de las obligaciones de transparencia para sistemas de IA interactivos y para la producción de medios sintéticos. Entró en plena aplicación el 2 de agosto de 2026.

Definición de medios sintéticos

El reglamento define como medios sintéticos cualquier contenido de texto, audio, imagen o video generado o manipulado por IA de forma que parezca auténtico o proveniente de una persona real. Los deepfakes son el caso más evidente, pero el concepto abarca también:

• Audios generados o clonados por IA que simulan la voz de una persona real
• Imágenes fotorrealistas generadas a partir de prompts sin base en fotografías reales
• Videos sintéticos con sustitución de rostro o cuerpo (face swap, body swap)
• Textos generados por IA presentados como declaraciones de personas reales

Las cuatro obligaciones centrales del artículo 50

Art. 50(1) — Chatbots y agentes de IA: Los sistemas que interactúan con personas en lenguaje natural deben informar al usuario, de forma clara y al inicio de la interacción, que está comunicándose con un sistema de IA — salvo que esto sea evidente por el contexto.

Art. 50(2) — Contenido de texto sintético: Cuando la IA se utilice para generar o asistir en la generación de textos sobre temas de interés público — noticias, análisis políticos, información de salud —, el contenido debe identificarse como generado por IA.

Art. 50(3) — Deepfakes y medios sintéticos audiovisuales: Imágenes, videos y audios que representen a personas reales de forma sintética deben contener marcación legible por máquina — metadatos o marca de agua — que permita identificar el contenido como sintético. El estándar técnico de referencia es el C2PA (Coalition for Content Provenance and Authenticity).

Art. 50(4) — Excepciones editoriales: El contenido creativo, satírico o artístico puede estar exento de la obligación de marcación, siempre que divulgue adecuadamente la naturaleza sintética sin comprometer el propósito creativo.

Nuestra plataforma detecta que el 12% de los intentos de fraude documental implican medios generados por IA — lo que evidencia que la falta de marcación adecuada tiene consecuencias prácticas inmediatas para los procesos de verificación de identidad y KYC, no solo para plataformas de entretenimiento.

Para conocer más sobre cómo los documentos sintéticos alimentan el fraude de identidad, consulte nuestro artículo sobre documentos de identidad sintéticos y deepfakes.

Quiénes deben cumplir

El EU AI Act distingue entre dos roles principales: proveedor (provider) y operador (deployer). La distinción es relevante porque los grados de obligación difieren.

Proveedor es quien desarrolla el sistema de IA y lo pone en el mercado. Operador es quien despliega y utiliza el sistema de IA en un contexto específico — por ejemplo, una empresa que integre un modelo de generación de imágenes de terceros en su producto.

Una empresa mexicana que licencie un modelo de IA de terceros y lo utilice para producir videos promocionales destinados al mercado europeo es operadora — y es enteramente responsable por las obligaciones del artículo 50(3) respecto a los outputs que distribuye.

Requisitos técnicos: el estándar C2PA

El artículo 50(3) no prescribe un estándar técnico específico, pero remite a marcaciones legibles por máquina (machine-readable). El estándar C2PA — desarrollado por la Coalition for Content Provenance and Authenticity, que agrupa empresas como Adobe, Microsoft, Google y BBC — es actualmente el único estándar ampliamente adoptado que cumple este requisito.

Qué hace el C2PA

El C2PA incorpora en los archivos de imagen, video y audio un manifiesto criptográficamente firmado que contiene:

• La identidad (o seudónimo) del productor del contenido
• El historial de ediciones y herramientas utilizadas
• La fecha y ubicación de creación
• Una declaración de que el contenido fue total o parcialmente generado por IA

Este manifiesto es resistente a adulteraciones — cualquier modificación del archivo invalida la firma — y puede ser verificado por plataformas, navegadores y herramientas de moderación de contenido.

Requisitos prácticos para empresas mexicanas

Para cumplir con el artículo 50(3), una empresa que produzca medios sintéticos destinados a la UE debe:

1. Verificar si las herramientas de IA que utiliza soportan de forma nativa o vía API la incorporación de metadatos C2PA
2. Configurar los flujos de producción para que la marcación C2PA se incorpore siempre en los outputs finales, sin posibilidad de omisión
3. Mantener registros de los metadatos generados para fines de auditoría regulatoria
4. Implementar controles que eviten la distribución de contenido sintético sin marcación adecuada

La Adobe Content Authenticity Initiative y la especificación C2PA son los recursos técnicos de referencia para la implementación.

Sanciones y autoridades competentes

Penalidades previstas en el EU AI Act

Las penalidades por incumplimiento del artículo 50 son sustanciales:

La autoridad competente para supervisar el cumplimiento del EU AI Act en una empresa determinada es la del Estado miembro de la UE donde el producto o servicio se pone a disposición o donde el operador está establecido en la UE. Para empresas mexicanas sin establecimiento en la UE, el reglamento exige la designación de un representante autorizado (authorised representative) establecido en un Estado miembro.

Contexto regulatorio en México

México no cuenta con una ley de IA específica en vigor. La Política Nacional de Inteligencia Artificial (2022) establece lineamientos de gobernanza de IA, pero no tiene carácter vinculante. No existe, a mayo de 2026, un equivalente mexicano al EU AI Act.

El INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales) es la autoridad competente en materia de protección de datos. El artículo 16 de la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares) exige que el aviso de privacidad informe sobre el tratamiento de datos personales — lo que tiene sobreposición parcial con las exigencias de transparencia del EU AI Act, aunque no cubre la marcación de medios sintéticos.

La CNBV (Comisión Nacional Bancaria y de Valores) ha publicado circulares FinTech que abordan el uso de IA en servicios financieros. La UIF (Unidad de Inteligencia Financiera) supervisa el cumplimiento de la LFPIORPI en materia de prevención de lavado de dinero, incluyendo los procesos de verificación de identidad que utilicen IA. El IFT (Instituto Federal de Telecomunicaciones) regula el sector de contenidos mediáticos, con relevancia potencial para plataformas que distribuyan contenido sintético.

Para empresas que operan tanto en México como en la UE, prepararse para el EU AI Act hoy significa contar con una ventaja operativa cuando México avance hacia marcos regulatorios de IA más específicos.

Calendario de cumplimiento

El plazo del 2 de agosto de 2026 para el artículo 50 no admite períodos de transición adicionales para empresas de países terceros. La obligación aplica desde esa fecha a todos los operadores que pongan a disposición de usuarios en la UE sistemas cubiertos por el artículo 50.

Checklist práctico para empresas mexicanas

Este checklist considera el marco regulatorio mexicano y las obligaciones del EU AI Act:

Identificación del ámbito de aplicación

• Identificar todos los productos o servicios de IA destinados a usuarios en la UE (incluyendo apps disponibles en las tiendas europeas)
• Mapear qué outputs involucran medios sintéticos (imágenes, videos, audios, textos generados por IA)
• Determinar si la empresa actúa como proveedor, operador o en ambos roles

Obligaciones técnicas (C2PA)

• Verificar soporte a C2PA en las herramientas de IA utilizadas (Adobe Firefly, Stable Diffusion, Runway, etc.)
• Implementar pipeline de marcación automática en todos los outputs sintéticos destinados a la UE
• Probar la integridad de los metadatos antes de la distribución
• Documentar el proceso de marcación para auditoría

Obligaciones de divulgación

• Implementar avisos de IA en chatbots y agentes conversacionales (artículo 50(1))
• Crear plantillas de divulgación para contenido sintético publicado en canales europeos
• Asegurar que los contratos con clientes europeos incluyan cláusulas de cumplimiento con el EU AI Act

Representación en la UE

• Verificar si es necesario designar un representante autorizado (authorised representative) en la UE
• Identificar el Estado miembro relevante para fines de supervisión

Alineación con LFPDPPP e INAI

• Verificar que el aviso de privacidad refleje el uso de IA en el tratamiento de datos (art. 16 LFPDPPP)
• Documentar impactos de sistemas de IA sobre datos personales en el registro de actividades de tratamiento
• Consultar los lineamientos del INAI sobre tratamiento automatizado de datos

KYC y verificación documental

• Implementar detección de medios sintéticos en los flujos de onboarding digital (face liveness, verificación de documentos)
• Revisar las circulares FinTech de la CNBV sobre uso de IA en servicios financieros
• Registrar incidentes de fraude por medios sintéticos para reporte a la UIF, cuando aplique
• Asegurar que los procesos de identificación del cliente acepten INE, CURP y otros documentos mexicanos con controles equivalentes a los requeridos por el EU AI Act

Para una visión completa de las obligaciones de cumplimiento documental, consulte nuestra guía de conformidad documental. Conozca también cómo la detección de fraude documental con IA puede apoyar sus procesos de verificación.

CheckFile verifica más de 180,000 documentos al mes con una tasa de recall de detección de fraude del 94.8%. Conozca nuestras soluciones de KYC y verificación documental adaptadas al contexto regulatorio mexicano y europeo.

Preguntas frecuentes

¿El EU AI Act aplica a una empresa mexicana que no tiene oficina en Europa?

Sí, si sus productos o servicios de IA son accesibles a usuarios en la UE. El criterio no es el lugar de establecimiento, sino el mercado donde el sistema de IA produce efectos. Una app disponible en las tiendas de aplicaciones europeas, un SaaS contratado por clientes europeos o un servicio de marketing digital dirigido a Europa están todos cubiertos.

¿Qué es exactamente un "medio sintético" para efectos del artículo 50?

Cualquier contenido de imagen, video, audio o texto generado o significativamente manipulado por IA de forma que parezca auténtico o que represente a una persona real. Incluye deepfakes, voces clonadas, imágenes fotorrealistas generadas por IA y textos presentados como declaraciones de personas reales. No incluye contenido claramente ficticio o estilizado donde la naturaleza artificial es evidente.

¿La LFPDPPP ya cubre las obligaciones del artículo 50?

Solo parcialmente. El artículo 16 de la LFPDPPP exige que el aviso de privacidad informe sobre el tratamiento de datos personales — lo que tiene sobreposición temática con el EU AI Act. Sin embargo, la LFPDPPP no establece obligaciones específicas de marcación de medios sintéticos comparables al artículo 50(3). El RFC, la INE y el CURP son los documentos de identidad de referencia en México; el EU AI Act no modifica los requisitos de identificación documental, pero sí exige que cualquier sistema de verificación que use IA cumpla con las obligaciones de transparencia.

¿Una startup mexicana tiene las mismas obligaciones que una gran empresa?

Las obligaciones materiales son las mismas. Sin embargo, el EU AI Act prevé que las penalidades se calculen de forma proporcional al tamaño y capacidad económica de la empresa, lo que mitiga el impacto financiero de las multas para PYMEs. Las obligaciones técnicas de marcación y divulgación aplican independientemente del tamaño de la empresa.

¿Es necesario contratar a un representante autorizado en la UE?

Si la empresa mexicana no tiene establecimiento en la UE pero pone a disposición sistemas de IA cubiertos por el EU AI Act en el mercado europeo, el reglamento exige designar un representante autorizado (authorised representative) establecido en un Estado miembro de la UE. Este representante sirve de punto de contacto con las autoridades nacionales competentes. El SAT y el INAI no tienen rol en esta designación — se trata de una obligación ante autoridades europeas.

---

Para más información sobre seguridad y cumplimiento en la verificación documental, o para conocer nuestros precios, contacte con CheckFile.