Marcas de agua en textos de IA: qué tiene que revisar tu empresa antes de publicar o firmar

Después de leer esta guía sabrás qué flujos de trabajo concretos quedan afectados por la obligación de watermarking del AI Act, qué documentación necesitas tener preparada y cómo afrontar una eventual auditoría en un momento en que las herramientas de verificación pública todavía no existen.

Si todavía no tienes claro qué es el watermarking y por qué Claude lo implementa desde el 2 de agosto, empieza por el contexto: Claude marca sus textos con agua invisible para cumplir la Ley de IA de la UE: qué cambia para tu empresa. Esta guía es el paso siguiente: qué haces tú a partir de ahí.

---

1. Identifica qué flujos de trabajo generan texto con IA

El primer paso no es técnico: es un inventario. Necesitas saber exactamente en qué puntos de tu operación hay un modelo generativo produciendo texto que sale al exterior o que firma alguien de tu empresa.

Flujos habituales que quedan afectados:

• Contratos y documentación legal redactados o revisados con asistencia de IA.
• Emails comerciales o de soporte generados total o parcialmente por un modelo.
• Informes internos o externos (auditorías, memorias, propuestas) donde la IA redacta el borrador.
• Contenido web y materiales de marketing publicados sin revisión humana sustancial.
• Resúmenes automáticos de reuniones, llamadas o documentos enviados a clientes o socios.

Para cada uno de estos flujos, responde a tres preguntas:

1. ¿El texto generado sale de la empresa tal cual o pasa por revisión humana antes?
2. ¿Quién lo firma o lo publica? ¿Hay una persona responsable identificada?
3. ¿El receptor sabe que ha intervenido la IA?

Esas respuestas determinan tu nivel de exposición.

---

2. Clasifica los flujos según el artículo 50 del AI Act

No todos los usos tienen la misma obligación. El AI Act artículo 50 define qué sistemas tienen que etiquetar y en qué condiciones. La regla práctica:

• Si usas IA para generar texto que se hace pasar por humano sin que el receptor lo sepa, la obligación de transparencia es directa.
• Si usas IA como apoyo interno y un humano revisa y firma, la obligación es menor, pero la documentación de ese proceso sigue siendo necesaria.
• Si automatizas comunicaciones de cara al cliente sin intervención humana real, estás en el tramo de mayor exigencia.

Cómo clasificarlos en la práctica:

1. Haz una tabla con cada flujo identificado en el paso anterior.
2. Añade una columna: “¿El receptor es una persona física que puede creer que el texto lo escribió un humano?”
3. Si la respuesta es sí y no hay declaración explícita, ese flujo necesita intervención inmediata: o añades un aviso, o introduces revisión humana documentada, o ambas.

---

3. Documenta el proceso, no solo el resultado

Aquí es donde la mayoría de empresas fallan. El watermarking que lleva el texto es responsabilidad del modelo. La documentación del proceso es responsabilidad tuya.

Lo que tienes que poder acreditar si te auditan:

• Qué modelo usas y en qué versión (Claude, GPT-4, Gemini, el que sea). Guarda los contratos con el proveedor de API.
• Qué prompt o instrucción genera el texto: no hace falta guardar cada llamada, pero sí el esquema del sistema y las instrucciones base.
• Quién revisa y aprueba antes de que el texto salga. Si es nadie, documenta esa decisión explícitamente y asume que es el punto de mayor riesgo.
• Si el texto se modifica tras la generación: una edición humana sustancial puede romper la marca de agua técnica. Eso no te exime de las obligaciones de transparencia, pero sí cambia la naturaleza del texto resultante.
• Cómo informas al receptor: captura de pantalla del aviso, cláusula en el contrato, pie de email. Algo tangible.

---

4. Revisa los contratos con tus proveedores de IA

El Reglamento de IA UE distribuye responsabilidades entre proveedores y deployers. Como empresa que usa la API de Claude o cualquier otro modelo, eres deployer. Eso implica que debes verificar que tu contrato con el proveedor cubre al menos:

1. Confirmación escrita de que el modelo implementa las obligaciones del artículo 50 (watermarking, si aplica).
2. Qué pasa con tus datos: si el proveedor usa tus prompts para reentrenar el modelo, eso afecta a la confidencialidad de los contratos o informes que generas.
3. Quién responde si el sistema falla en sus obligaciones de transparencia. Spoiler: tú sigues siendo responsable ante las autoridades españolas aunque el modelo sea el que falla.

Si usas una solución empaquetada (un CRM con IA incorporada, un asistente de redacción SaaS), pide al vendor que acredite por escrito qué obligaciones del AI Act gestiona él y cuáles recaen sobre ti. Las promesas genéricas de “compliance incluido” no compilan frente a un inspector.

---

5. Establece un protocolo de revisión para cada tipo de texto

No todos los textos necesitan el mismo nivel de control. Una propuesta de precio enviada a un cliente no es lo mismo que un email de soporte automático. Define niveles:

Nivel alto (revisión humana obligatoria antes de enviar):

• Contratos y acuerdos con efecto legal.
• Comunicaciones a clientes en nombre de un directivo identificado.
• Informes regulatorios o financieros.

Nivel medio (revisión por muestreo, aviso explícito al receptor):

• Emails comerciales generados en masa.
• Resúmenes de reuniones distribuidos internamente.
• Contenido web informativo.

Nivel bajo (automatizable con log de trazabilidad):

• Respuestas a FAQs con plantillas revisadas previamente.
• Traducciones de textos ya aprobados por humanos.

Documenta qué nivel asignas a cada flujo y por qué. Ese documento es tu primera línea de defensa en una auditoría.

---

Errores comunes a evitar

• Asumir que el watermarking del modelo te cubre: no te cubre. Es una herramienta del regulador, no un escudo para tu empresa.
• No documentar porque “nadie va a auditar esto todavía”: las obligaciones del artículo 50 llevan en vigor desde el 2 de agosto. El plazo de gracia no existe en el texto del reglamento.
• Confundir revisión superficial con revisión real: un humano que aprueba un texto sin leerlo no cumple el requisito de supervisión humana significativa. Si el flujo es así, documéntalo como automatizado y aplica las obligaciones correspondientes.
• Ignorar los textos internos: si un informe generado por IA se usa para tomar decisiones de negocio relevantes, aunque no salga al exterior, conviene que el proceso esté documentado igualmente.
• Editar el texto generado sin registrar que era IA en origen: una edición no borra la responsabilidad sobre el proceso que lo generó.

Resumen accionable
· Inventaria todos los flujos donde la IA genera texto que sale o firma alguien
· Clasifícalos según el artículo 50: ¿el receptor puede creer que es texto humano?
· Documenta modelo, prompt base, quién revisa y cómo informas al receptor
· Revisa los contratos con tus vendors: ¿qué obligaciones del AI Act gestiona cada parte?
· Define niveles de revisión por tipo de texto y deja ese protocolo por escrito
· Fuente normativa: AI Act, artículo 50 (aplicable desde el 2 de agosto de 2025)
· Estado: obligación en vigor, herramientas de verificación pública inexistentes a esta fecha