Una agencia de marketing o diseño usa IA en dos planos: para su propio trabajo (textos, imágenes, vídeo, campañas) y como parte de lo que entrega a sus clientes (un chatbot, un anuncio con voz clonada, un avatar). Por eso sus obligaciones bajo el Reglamento (UE) 2024/1689 son dobles. Como usuaria, le alcanzan el artículo 4 (alfabetización, desde el 2 de febrero de 2025) y el artículo 50.4 (etiquetar deepfakes, desde el 2 de agosto de 2026). Como quien entrega sistemas a terceros, puede pasar a ser proveedor por el artículo 25 y cargar con el 50.1 y 50.2. Y en cuanto toca datos de los clientes finales de sus clientes, es encargada del tratamiento según el RGPD.
Cómo se usa la IA en agencias de marketing y diseño
Lo más extendido es la generación de textos, imágenes y vídeo para clientes: copies con ChatGPT o Gemini, visuales con Canva o generadores de imagen, vídeos cortos para redes.
Le siguen las voces clonadas y los avatares: una locución a partir de la voz de un actor o del propio cliente, o un presentador sintético en un vídeo corporativo.
Muchas agencias montan chatbots para sus clientes sobre un servicio de terceros: lo configuran, le dan la marca del cliente y lo integran en su web o en WhatsApp.
Y en la parte menos visible: automatización de campañas (pujas, segmentación, envíos con reglas automáticas) y análisis de datos de los clientes finales del cliente, del CRM a las audiencias publicitarias.
Qué obligaciones activa cada uso
La clave es distinguir cuándo la agencia es responsable del despliegue (usa una herramienta) y cuándo es proveedor (pone un sistema en el mercado con su nombre o el del cliente). Un chatbot que lleva una marca o se modifica de forma sustancial cae en el artículo 25: quien pone su marca o lo modifica puede pasar a ser proveedor (si lleva la marca del cliente, normalmente el cliente; si la agencia lo desarrolla o modifica y lo entrega con su nombre, la agencia; por eso hay que pactarlo por escrito) y asume las obligaciones del artículo 50.1 (diseñarlo para que avise de que es una IA) y, si genera contenido, 50.2 (marcado técnico).
| Uso | Norma y artículo | Desde | Qué hacer |
|---|---|---|---|
| Textos, imágenes y vídeo para clientes | RIA art. 50.4 (deepfakes); art. 50.2 marcado técnico (lo aplica el proveedor de la herramienta); normativa de publicidad y consumo | 2-ago-2026 (transitoria de marcado hasta 2-dic-2026) | Etiquetar lo que parezca real; no eliminar las marcas del proveedor; pactar quién etiqueta al publicar. |
| Voces clonadas y avatares | RIA art. 50.4; derechos de imagen y voz (LO 1/1982); RGPD si la voz es de una persona identificable | 2-ago-2026 / ya aplica | Consentimiento escrito de la persona; etiqueta visible o audible. |
| Chatbot montado para un cliente | RIA art. 25 (la agencia puede ser proveedor); art. 50.1 y 50.2; RGPD art. 28 | 2-ago-2026 | Pactar por escrito quién es proveedor y quién deployer; aviso de IA activado por defecto; DPA en cadena. |
| Automatización de campañas | RIA art. 4; RGPD arts. 6, 13-14 y 28 | 2-feb-2025 / ya aplica | Equipo formado; base jurídica del cliente para segmentar; contrato de encargado. |
| Análisis de datos de clientes finales | RGPD art. 28 (encargado), art. 22 si hay decisiones automatizadas, art. 35 EIPD si procede | Ya aplica | Contrato de encargado con cada cliente; subencargados autorizados; no usar sus datos para otros fines. |
| Todos los anteriores | RIA art. 4 (alfabetización) | 2-feb-2025 | Formación del equipo; registro interno. |
Guías propias: imágenes y vídeo con IA en marketing: cuándo es deepfake y cómo se etiqueta, qué contenido generado hay que etiquetar en la web y cuándo es obligatorio avisar de que un chatbot es IA.
El error más común: entregar el chatbot «llave en mano» sin decidir quién es el proveedor. La agencia lo configura, le pone la marca del cliente y se olvida. Cuando alguien pregunte por qué el bot no avisa de que es una IA, el cliente señalará a la agencia y la agencia al cliente. El artículo 25 no admite ese vacío: alguien es proveedor. Decídelo en el contrato antes de la entrega.
Lo que NO te aplica
El régimen de alto riesgo, por crear contenido. Generar campañas, visuales o vídeos no está en el Anexo III. Solo entrarías si usas IA para seleccionar o evaluar a tu propio personal (artículo 26, desde el 2 de diciembre de 2027; y ya desde el 5 de octubre de 2026 la información individual del RD 723/2026).
La FRIA del artículo 27. Desde el 2 de diciembre de 2027 y solo para sector público, prestadores de servicios públicos y banca y seguros. Una agencia no está, aunque trabaje para una administración.
Etiquetar todo lo que toque la IA. Un copy corregido con ChatGPT o una ilustración que no pretende parecer una foto no son deepfakes. El 50.4 apunta a imagen, audio y vídeo que parezcan reales, y a textos publicados para informar al público sobre asuntos de interés público sin revisión editorial. La publicidad rara vez encaja en esa segunda categoría.
Sanciones de AESIA, hoy. El régimen sancionador español está en el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, en el Congreso a 15 de septiembre de 2026 y sin BOE. Quien sanciona ahora es la AEPD y, en publicidad, la vía civil y las autoridades de consumo. Más en qué pasa si no cumplo el Reglamento de IA.
Riesgos específicos de las agencias
Deepfakes en publicidad. Un famoso recreado, un cliente «hablando» en un idioma que no habla, un testimonio con rostro sintético: es lo que el artículo 50.4 exige etiquetar. Y si la persona existe y no ha consentido, el problema es anterior al Reglamento: la Ley Orgánica 1/1982 protege la imagen y la voz, y el RGPD entra si es identificable.
Propiedad intelectual de lo generado. La normativa de propiedad intelectual solo reconoce la autoría a personas. Una imagen generada íntegramente por IA sin aportación creativa humana tiene una protección incierta, y eso afecta a lo que puedes ceder al cliente en exclusiva. Sé transparente sobre qué piezas llevan IA y revisa las licencias de cada herramienta.
Marcado técnico. Las herramientas incorporan marcas de agua o metadatos de contenido sintético (artículo 50.2, transitoria hasta el 2 de diciembre de 2026 y detección interoperable desde el 2 de febrero de 2027). Exportar en un formato que los elimina, o quitarlos a propósito, deja al cliente sin prueba de que cumplió.
Clientes que exigen cumplimiento. Grandes empresas y administraciones ya incluyen cláusulas sobre uso de IA: qué herramientas se permiten, qué datos no pueden salir, quién etiqueta, garantías de originalidad. La cláusula de IA para contratos con proveedores te muestra lo que te van a pedir desde el otro lado.
Qué poner en los contratos con clientes
Tres cosas. Primera: cuando entregas un chatbot o cualquier sistema de IA, quién es proveedor y quién responsable del despliegue, y que el aviso del artículo 50.1 se entrega activado y no debe desactivarse. Segunda: quién etiqueta el contenido sintético al publicarlo (la agencia lo entrega marcado y con recomendación de etiqueta; el cliente responde de lo que publica) y el compromiso de no eliminar el marcado técnico. Tercera: el contrato de encargado del artículo 28 RGPD, con la lista de subencargados (tus herramientas de IA) y la prohibición de reutilizar datos del cliente.
Añade una cláusula sobre derechos: qué piezas llevan IA, qué garantizas sobre originalidad y qué consentimientos de imagen y voz has obtenido.
Checklist para agencias
- Inventaría las herramientas de IA del equipo y para qué cliente se usa cada una.
- Por cada chatbot entregado, deja por escrito quién es proveedor y quién deployer, y entrégalo con el aviso de IA activado.
- Establece un criterio interno de etiquetado de deepfakes y aplícalo antes de la entrega.
- No exportes ni edites de forma que se pierda el marcado técnico del contenido generado.
- Recoge consentimiento escrito para cualquier voz, rostro o imagen de persona real que uses o clones.
- Firma contrato de encargado con cada cliente cuyos datos analices y declara tus subencargados de IA.
- Revisa las licencias de tus herramientas y explica al cliente qué derechos puedes ceder.
- Forma al equipo creativo y de cuentas y guarda el registro para el artículo 4.
El diagnóstico gratuito de Gobernaia te dice en tres minutos qué obligaciones tiene activas tu agencia hoy.
Fuentes
- Reglamento (UE) 2026/1744 (Digital Omnibus de IA), que modifica el Reglamento (UE) 2024/1689
- Comisión Europea: FAQ sobre las obligaciones de transparencia del artículo 50
- AESIA: FAQ y directrices sobre transparencia (artículo 50)
- Comisión Europea: preguntas y respuestas sobre alfabetización en IA (artículo 4)
- AEPD: Adecuación al RGPD de tratamientos que incorporan IA
- Real Decreto 723/2026, de 9 de septiembre (BOE 15-09-2026)
- Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (BOCG 12-06-2026)
Última revisión: 15 de septiembre de 2026. Esta guía es informativa y no sustituye el asesoramiento jurídico.