Cómo cumplir la Ley de IA en el área de marketing y comunicación

La Ley de IA en marketing y comunicación no trata igual al generador de imágenes, al optimizador de pujas, al chatbot de captación o al gestor que mide el trabajo del equipo: lo que clasifica cada sistema es su finalidad y su uso, no la herramienta, como recuerda la guía oficial de la Comisión Europea. Y el inventario incluye la IA que usa tu agencia en tu nombre. Aquí tienes diez pasos para cumplirla, del inventario en cuatro capas al protocolo de incidentes, con las prácticas que la Ley de Inteligencia Artificial prohíbe como filtro previo a cualquier clasificación.

Plan de acción para adaptar el departamento de marketing y comunicación a la Ley de IA

Los diez pasos recorren el ciclo completo del departamento: localizar toda la IA de campañas, contenidos y gestión del equipo, filtrarla contra las prácticas prohibidas, separar la que solo optimiza de la que evalúa a personas, y dejar cada obligación con su responsable, su prueba y su protocolo de incidentes. El método general está en la guía sobre cómo cumplir el Reglamento de Inteligencia Artificial.

Paso 1. Localiza toda la IA del departamento en cuatro capas

Busca en cuatro capas: la IA contratada por el departamento, la embebida en el CRM y las plataformas publicitarias, la que los creativos usan en cuentas personales (una cuenta gratuita de generación de imágenes procesa tus briefings fuera de todo contrato) y la que tu agencia emplea en tu nombre. Y lo que siempre se escapa: si la función de IA llegó en una actualización de la plataforma, también cuenta como sistema en uso.

Paso 2. Abre una ficha por cada sistema

Cada sistema localizado entra en una ficha de ocho campos; los tres últimos se completan en los pasos siguientes:

• Herramienta, proveedor, modelo y versión.
• Finalidad y descripción del caso de uso.
• Departamento, propietario y responsable de aprobación.
• Datos recibidos, consultados o generados.
• Usuarios y personas afectadas, y si influye en una decisión sobre alguna de ellas.
• Contratos, integraciones y accesos autorizados (se completa en el paso 6).
• Papel de la empresa, riesgo y obligaciones aplicables (se completa en los pasos 5 y 6).
• Controles, evidencias y fecha de revisión (se completa en los pasos 7 y 9).

Comprueba en el vídeo el recorrido completo de un sistema: cómo se localiza, cómo se traduce en cada uno de los ocho campos y qué aspecto tiene el informe que sale al final. Es la referencia para no dudar qué escribir en la ficha, sobre todo en las dos casillas que deciden la clasificación.

Paso 3. Recorre las seis áreas del departamento

Ve área por área con la ficha delante: cada instrucción dice dónde mirar y qué anotar.

Creación de contenidos

• Lista las herramientas de generación de texto, imagen, vídeo y voz que usa el equipo. Anota: cuáles están contratadas por la empresa y cuáles se usan desde cuentas personales.
• Comprueba el marcado del contenido generado. Anota: si las piezas salen con metadatos o marca de agua y si esa información sobrevive al subirlas a cada red.
• Revisa las piezas con voz clonada o avatar publicadas en el último año. Anota: cuáles llevan aviso de contenido generado y quién lo aprobó.
• Pide a la agencia su propio listado. Anota: qué herramientas usa para producir tus contenidos y con qué materiales de marca las alimenta.

Publicación y gestión de canales

• Abre el planificador de publicaciones. Anota: qué decide solo (mejor momento, formato, canal) y con qué histórico se entrena.
• Revisa la herramienta de gestión de comunidad. Anota: si prioriza comentarios, si sugiere respuestas y quién las revisa antes de publicarlas.

Publicidad de pago

• Entra en cada cuenta publicitaria y anota qué automatismos están activos: puja objetivo, reparto automático de presupuesto, creatividades combinadas y ampliación de públicos por similitud.
• Revisa las audiencias cargadas. Anota: de dónde salen los datos, si alguna se construye con categorías sensibles y quién puede crearlas.
• Comprueba las exclusiones de segmentación. Anota: qué públicos vulnerables están excluidos de las campañas de presión y desde cuándo.

Medición y análisis

• Abre la analítica predictiva (en empresas pequeñas, el equivalente es el panel de estadísticas de cada red y del CRM). Anota: qué probabilidades calcula (compra, abandono), con qué datos y qué acción dispara automáticamente.
• Revisa la plataforma de escucha social. Anota: si clasifica el tono de las menciones, si trabaja en agregado o llega a personas identificables y con qué técnica lo hace.
• Comprueba los test creativos. Anota: si miden reacciones de personas y si alguno analiza expresiones faciales o voz.

Relación con el cliente y fidelización

• Prueba el chatbot de captación. Anota: si avisa de que es una IA en el primer mensaje, qué datos pide y cómo pasa el contacto a una persona.
• Revisa el scoring de recompra y de baja. Anota: qué variables usa, qué flujo dispara cada puntuación y quién puede consultarla.
• Comprueba el motor de personalización de la web y del catálogo. Anota: qué fuentes de datos usa, incluidas las externas al historial del cliente.

Gestión del equipo de marketing

• Abre el gestor de proyectos y tareas. Si no usas gestor de proyectos, comprueba si tu suite ofimática ha activado informes de actividad por persona. Anota: si reparte trabajo automáticamente y con qué criterio (carga pendiente o características de cada persona).
• Descarga el informe de actividad por persona. Anota: qué mide, quién lo consulta y si se usa en evaluaciones.
• Saca los últimos informes de rendimiento. Anota: si alguno tuvo consecuencias y quién firmó la decisión.

La adopción crece con el tamaño: según la encuesta del INE sobre el uso de TIC en las empresas, la inteligencia artificial ya está presente en el 13,4% de las empresas de menos de 10 empleados con conexión a internet y en el 21,1% de las de 10 o más.

Paso 4. Descarta los usos prohibidos de IA en marketing

Antes de clasificar nada, pasa cada ficha por el veto: las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025 y pueden costar hasta 35 millones de euros o el 7% del volumen de negocio mundial, según el artículo 99. La Comisión publicó directrices sobre las prácticas prohibidas y la AESIA mantiene un resumen en español. Seis afectan al departamento:

• Técnicas subliminales o manipuladoras. Alterar sustancialmente la conducta de compra reduciendo la capacidad de decidir y causando un perjuicio. Ejemplo: un flujo de conversión que fabrica urgencias falsas para impedir comparar o cancelar. No es el copy persuasivo ni un descuento con cuenta atrás real. Control interno: revisión legal de los flujos de conversión y retención.
• Explotación de vulnerabilidades. Aprovechar la edad, la discapacidad o una situación social o económica concreta. Ejemplo: publicidad que explota la credulidad de un menor o la urgencia de una persona endeudada. No es segmentar por edad para ofrecer productos adecuados. Control interno: excluye públicos vulnerables de las campañas de presión.
• Inferir emociones del equipo. Analizar el estado emocional de los trabajadores de marketing en reuniones, grabaciones o mensajes, salvo motivos médicos o de seguridad. No es el análisis de sentimiento sobre clientes o menciones públicas. Control interno: descarta cualquier función de análisis emocional en gestores de trabajo y software de reuniones.
• Categorización biométrica. Deducir raza, opiniones políticas, afiliación sindical, religión u orientación sexual a partir de datos biométricos para segmentar campañas. No es la segmentación por intereses declarados. Control interno: el DPO valida las fuentes de cada audiencia.
• Puntuación social. Derivar un trato desfavorable de comportamientos ajenos al contexto en que se recabaron los datos. Ejemplo: degradar ofertas a un cliente por su actividad en redes sin relación con la marca. No es ajustar ofertas según el historial de pedidos. Control interno: audita las fuentes externas de los scorings.
• Extracción no selectiva de imágenes faciales. Crear o ampliar bases de reconocimiento facial con fotos sacadas de internet o de cámaras. Ejemplo: montar una base con imágenes de asistentes a un evento de marca. No es un banco de imágenes con licencia. Control interno: prohíbe el scraping facial en la política de uso de IA.

Si un sistema encaja en alguna de estas prácticas, no se clasifica: se desactiva y se documenta la retirada.

Paso 5. Clasifica el riesgo de cada sistema

Superado el veto, pasa las fichas del inventario por el artículo 6 del Reglamento con tres preguntas:

• ¿Para qué está previsto el sistema? La finalidad manda sobre el nombre comercial de la función.
• ¿Qué papel tiene en la decisión? Generar contenido, optimizar pujas u ordenar un catálogo no entra por sí solo en el Anexo III, la lista de usos de alto riesgo del Reglamento. Repartir trabajo por rasgos personales o medir el rendimiento del equipo, sí.
• ¿A quién afecta el resultado? Trabajar sobre campañas y audiencias mantiene el nivel bajo; trabajar sobre las personas que hacen esas campañas lo sube.

Alto riesgo: la IA que mide y organiza a tu equipo

El Anexo III, punto 4, recoge dos supuestos que aparecen en marketing: filtrar candidaturas para una vacante de redacción o diseño, y decidir sobre condiciones de trabajo, repartir tareas según comportamientos o rasgos personales y supervisar o evaluar el rendimiento.

• Qué entra: el reparto automático de trabajo cuando se basa en el comportamiento o las características de cada persona (repartir por carga pendiente, no), la medición de productividad individual y los informes de actividad que acaban en evaluaciones. Los gestores de proyectos los traen como función de serie; ser estándar en el mercado no cambia la clasificación.
• Dónde está el riesgo: aquí la IA deja de analizar campañas y pasa a evaluar a las personas que las hacen, con efecto en su carga de trabajo, sus incentivos o su continuidad. No depende del tamaño del equipo, sino de si existe la métrica individual: en un departamento de tres personas puede no haber nada que clasificar, y en cuanto se activa el primer informe de actividad por persona aparece el mismo riesgo que en una gran estructura. Y la misma plataforma tiene dos usos muy distintos: medir el rendimiento de una campaña es analítica de negocio; usar esos datos para puntuar a quien la ejecutó es evaluar a un trabajador.
• Qué verificar antes de confirmar: el artículo 6.3 deja fuera algunos sistemas del Anexo III que no plantean un riesgo importante, pero nunca los que elaboran perfiles de personas, y un registro de productividad individual construye un perfil. Pide al proveedor su evaluación por escrito si sostiene que queda fuera.
• Cuándo es exigible: el 2 de diciembre de 2027, según el calendario publicado por la Comisión tras el Ómnibus de IA. Informar a la plantilla y a su representación legal antes de activar la medición no espera a esa fecha.

Riesgo limitado: chatbot, contenido generado y voces sintéticas

Es el nivel de los sistemas que hablan con el público o generan contenido que puede parecer real:

• Qué entra: el chatbot de captación, las piezas con avatar o voz clonada (los deepfakes) y el contenido sintético de las campañas.
• Dónde está el riesgo: todo lo que sale de aquí se publica. Una imagen generada pasa desapercibida, pero un vídeo con la voz clonada de tu portavoz obliga a avisar de que es sintético, y tus briefings pueden estar entrando en herramientas sin contrato.
• Qué verificar antes de confirmar: que el aviso de IA está activo y visible en tu implantación y que las piezas que parecen reales salen advertidas. Etiquetar cada copy o cada imagen de campaña no es obligatorio, y en las piezas de ficción evidente el aviso puede integrarse sin romper la estética: la guía oficial de la Comisión sobre transparencia delimita los supuestos. El etiquetado, además, protege a la marca: el 43% de los consumidores dice no confiar en los anuncios generados por IA, según Kantar Media Reactions.
• Cuándo es exigible: desde el 2 de agosto de 2026, el artículo 50 obliga al proveedor a diseñar el chatbot para que el contacto sepa que habla con una IA y a marcar técnicamente el contenido sintético; a ti te tocan la comprobación del aviso y la advertencia de los deepfakes.

Riesgo mínimo: campañas, medios y analítica

Es el nivel del resto de la operativa de campañas:

• Qué entra: planificación de publicaciones, gestión de comunidad, optimización de pujas, audiencias automáticas, analítica agregada, escucha social en agregado, scoring de recompra y personalización de ofertas. No son de alto riesgo por llevar IA, pero siguen sujetos al RGPD, al consentimiento de cookies y a la prohibición de tratar datos sensibles.
• Dónde está el riesgo: el sistema publicitario decide a quién se muestra cada anuncio: optimizar la inversión no afecta a derechos, pero segmentar con datos sensibles o presionar a un público vulnerable sí, y ahí entra el RGPD antes incluso que la Ley de IA. En medición, el clima general de la marca no señala a nadie; deducir el estado emocional de una persona identificable a partir de su cara o su voz obliga a informarla y, sobre tu propio equipo, está directamente prohibido. Y en fidelización, la línea se cruza cuando el modelo usa lo que la persona hace fuera de su relación contigo y eso le acaba perjudicando.
• Qué verificar antes de confirmar: los disparadores de reclasificación: respuestas automáticas que empiecen a publicarse sin que nadie las lea, una escucha que pase del agregado a personas identificables y datos de campaña que acaben evaluando al equipo. Un cambio de finalidad obliga a reclasificar.
• Cuándo es exigible: no hay fecha nueva que esperar: el RGPD y el consentimiento de cookies ya se aplican, y la alfabetización en IA es exigible desde el 2 de febrero de 2025.

Paso 6. Exige la documentación a tus proveedores

Monta un dossier por proveedor, empezando por los sistemas que la ficha marcó como decisorios:

• Herramientas creativas. Pide: confirmación de que el contenido sale marcado en formato legible por máquina (metadatos y marcas de agua), condiciones de uso comercial de las piezas y qué ocurre con los briefings que introduces.
• Gestor de trabajo y medición del equipo. Pide: la clasificación de riesgo declarada, la información del artículo 13 (funcionamiento, limitaciones, precisión y medidas de supervisión), la declaración de conformidad si es de alto riesgo y, si invoca la excepción del artículo 6.3, su evaluación documentada.
• Chatbot de captación y plataformas publicitarias. Pide: manual de configuración, confirmación de que el aviso de IA viene resuelto de serie y qué funciones automáticas se activan con cada actualización.
• Todos, incluida la agencia. Pide: el contrato de encargado del tratamiento, dónde se procesan los datos, qué subencargados y modelos de terceros intervienen, y la garantía de que tus datos y briefings no entrenan modelos públicos.

Si contratas en condiciones estándar, sin margen para negociar cláusulas, tu expediente son la documentación pública de cada proveedor y sus respuestas por escrito a estas peticiones.

Un aviso: según el artículo 25, si comercializas con tu marca un sistema de alto riesgo de un tercero, lo modificas sustancialmente o cambias su finalidad, pasas a asumir obligaciones de proveedor. Revísalo con legal antes de lanzar cualquier producto “con IA” a tu nombre.

Paso 7. Asigna una regla de supervisión por sistema

Tu empresa responde de cómo usa cada sistema, aunque sea de un tercero o lo opere la agencia, y esa responsabilidad no se delega. Cada regla dice quién revisa y qué queda registrado:

• Piezas con voz clonada o avatar: salen identificadas desde la primera exposición. Responsable: el equipo audiovisual antes de publicar. Prueba: máster de la pieza con la advertencia.
• Textos generados: se publican revisados y firmados por un redactor identificable, que responde de su exactitud. Prueba: registro de piezas firmadas.
• Chatbot de captación: aviso de IA en el mensaje de bienvenida y paso a una persona cuando el contacto lo pida. Prueba: captura de la conversación con el aviso.
• Escucha y test creativos: si la herramienta infiere emociones de personas identificables, hay que informarlas antes de la exposición. Responsable: legal valida la herramienta antes de contratarla.
• Informes de rendimiento del equipo: una persona designada, con criterios y registro, valida cada informe individual antes de que tenga efectos. En un equipo pequeño puede ser el propio responsable de marketing: lo que no puede faltar es que esté designado. Firmarlos todos en bloque no es supervisión.
• Antes de activar la medición de productividad: informa a la plantilla afectada y a su representación legal, explicando qué se mide y para qué. Prueba: comunicación fechada con acuse.

Paso 8. Forma a tu equipo: la alfabetización en IA del artículo 4

Organiza sesiones cortas por perfil: esta obligación ya está en vigor. El artículo 4 obliga a que quien usa estos sistemas sepa lo que hace, con formación ajustada a su puesto; no exige un nivel concreto por persona ni un certificado, como aclara la página de la Comisión sobre alfabetización en IA. Contenido por perfil:

• Redacción y diseño: cuándo hay que marcar una pieza, qué materiales de marca o datos de clientes no se pegan en cuentas personales y qué revisar antes de firmar un texto generado.
• Medios y performance: límites legales de la segmentación automatizada, exclusión de datos sensibles y de públicos vulnerables.
• Quien valida informes del equipo: lectura crítica de las métricas, errores previsibles del sistema y qué incidentes comunicar.
• Agencia y colaboradores externos: qué pueden usar en tus campañas y qué tienen que declararte.

En un equipo pequeño estos perfiles recaen en una o dos personas: una sesión conjunta que cubra los cuatro bloques cumple igual. Anota de cada sesión el contenido, la fecha, los asistentes y los sistemas cubiertos: no lo exige literalmente el artículo 4, pero es lo que te permitirá demostrar que cumpliste. El desarrollo completo está en la guía de formación en inteligencia artificial para trabajadores.

Paso 9. Mantén el expediente vivo y revísalo

• Expediente vivo: fichas del inventario con su clasificación fechada, dossier de cada proveedor y de la agencia, piezas etiquetadas, textos firmados, validaciones de informes de rendimiento y formación registrada. Sin medición del equipo no hay sistemas de alto riesgo en el departamento, y el expediente queda en fichas, dossieres y formación.
• Registros del sistema: conserva al menos seis meses los que genera automáticamente el sistema de medición del equipo, salvo que otra norma marque otro plazo (artículo 26.6).
• Evaluación de impacto: decide caso por caso si la medición de productividad exige una EIPD (evaluación de impacto en protección de datos) del artículo 35 del RGPD. Será lo habitual cuando el seguimiento sea sistemático y tenga efectos en la situación laboral.
• Política interna de uso de IA: qué herramientas están aprobadas, qué datos y materiales no salen a cuentas personales y cómo se declara una herramienta nueva sin sanción.
• Control de desviaciones: revisa por ciclo las segmentaciones activas, las piezas publicadas con IA y los informes de rendimiento por perfil; ante un patrón injustificado, suspende el sistema y documenta la decisión.
• Cuándo revisar: con cada ciclo de campaña y, además, ante estreno de herramienta, cambio de versión o de finalidad, incidente con impacto en clientes o en el equipo y cambio de agencia.

Paso 10. Si algo sale mal: retirada, aviso y notificación

El orden del incidente importa tanto como el incidente:

• Contén: retira la pieza o suspende el sistema, y documenta la decisión con fecha y responsable.
• Comunica al proveedor según lo pactado en el contrato, adjuntando el registro del incidente.
• Notifica a la autoridad solo cuando toca: ante riesgo o incidente grave en un sistema de alto riesgo, como prevé el artículo 26.5. Un error en una pieza o en una campaña no activa por sí solo esa comunicación. En España ese papel corresponderá a la AESIA, designada como organismo central en la ley española de gobernanza de la IA, aún en tramitación.

Conclusión

La Ley de IA en marketing y comunicación no aprieta donde muchos esperan: un departamento acumula con facilidad veinte o treinta sistemas entre plataformas, agencia y herramientas creativas, y el riesgo alto no está en las campañas, sino en la IA que mide a su propio equipo. La prioridad es doble: etiquetar lo que lo exige y no dejar que ningún informe de rendimiento tenga efectos sin una persona que lo revise y firme. El inventario en cuatro capas, el filtro de prohibidos, la clasificación razonada y el dossier de cada proveedor son lo que permite responder a un requerimiento con lo que ya tienes, en vez de improvisar el expediente contrarreloj.