Anthropic generaliza el marcado invisible C2PA de Claude.
El líder en modelos de IA seguros integra el estándar C2PA para sus salidas multimodales, una primicia en la industria. Esta decisión, efectiva antes del plazo regulatorio, sienta las bases para un cumplimiento proactivo con el Artículo 50 del AI Act.
C2PA, un estándar técnico para la transparencia de los contenidos sintéticos
La Coalition for Content Provenance and Authenticity (C2PA) es un estándar abierto desarrollado por Adobe, Microsoft, Intel y otros actores para rastrear el origen de los contenidos digitales.
Anthropic anuncia la integración sistemática de metadatos C2PA en las imágenes generadas por sus modelos Claude 3.7 y posteriores. Estos metadatos, invisibles a simple vista pero detectables por herramientas especializadas, indican:
- el origen del contenido (generado por IA),
- el modelo utilizado (Claude 3.7, 3.8, etc.),
- la fecha y hora de generación,
- un identificador único para cada salida.
El C2PA se basa en una firma criptográfica que garantiza la integridad de los metadatos. Cualquier modificación del contenido tras su generación invalida la firma, señalando una posible alteración. Este mecanismo responde parcialmente a los requisitos del Artículo 50 del AI Act, que exige un marcado legible por máquina de los contenidos sintéticos.
Lo que el AI Act exige realmente a los proveedores de IA generativa
El Artículo 50 del AI Act establece obligaciones distintas para los proveedores y los responsables del despliegue de sistemas de IA generativa.
Para los proveedores como Anthropic, los requisitos incluyen:
- un marcado legible por máquina de los contenidos sintéticos, conforme a estándares reconocidos (C2PA, IPTC, Schema.org),
- una documentación técnica accesible que describa las capacidades y límites del sistema,
- la implementación de mecanismos de detección de contenidos generados por IA,
- la publicación de un resumen de los datos de entrenamiento utilizados, salvo excepciones por secretos industriales.
El C2PA responde al primer requisito, pero no cubre el conjunto de obligaciones. Anthropic deberá complementar este enfoque con:
- una documentación técnica detallada, conforme al Anexo IV del AI Act,
- un resumen público de los datos de entrenamiento, accesible a través de su sitio web,
- herramientas de detección para los contenidos generados por sus modelos.
Límites del C2PA frente a los requisitos europeos
El estándar C2PA, aunque técnico y robusto, presenta varias limitaciones respecto a las obligaciones del AI Act.
En primer lugar, el C2PA solo cubre los contenidos multimodales (imágenes, vídeos, audio). Los textos generados por IA, como los producidos por Claude, no están incluidos. Sin embargo, el Artículo 50 exige transparencia para todos los tipos de contenidos sintéticos, incluidos los textos. Anthropic deberá complementar su enfoque con otros mecanismos para las salidas textuales.
En segundo lugar, el C2PA se basa en metadatos integrados en el archivo. Estos metadatos pueden ser eliminados o alterados por herramientas de edición o plataformas de intercambio. El AI Act exige una transparencia persistente, lo que plantea un desafío técnico para los proveedores.
En tercer lugar, el C2PA no proporciona información sobre los datos de entrenamiento o las limitaciones del modelo, dos elementos requeridos por el Artículo 50. Esta información debe comunicarse por separado, mediante la documentación técnica y el resumen público de los datos.
Por último, el C2PA es un estándar técnico, pero el AI Act también impone obligaciones organizativas, como la implementación de procedimientos de cumplimiento y la notificación de incidentes. Estos aspectos no están cubiertos por el estándar.
Responsabilidades de los responsables del despliegue y riesgos residuales
La integración del C2PA por Anthropic no exime a los responsables del despliegue de sus obligaciones bajo el AI Act.
Los responsables del despliegue, es decir, las empresas u organizaciones que utilizan Claude para generar contenidos, siguen siendo responsables de:
- la verificación del cumplimiento del proveedor (Anthropic) con el Artículo 50,
- la implementación de mecanismos de transparencia para los contenidos difundidos al público,
- la formación de los usuarios sobre los riesgos asociados a los contenidos sintéticos,
- la notificación a las autoridades en caso de incidente de cumplimiento, en un plazo de 72 horas.
Los riesgos residuales para los responsables del despliegue incluyen:
- la eliminación de los metadatos C2PA durante la difusión de los contenidos,
- el uso de Claude para casos de uso no cubiertos por la documentación de Anthropic,
- la no detección de contenidos generados por IA en ausencia de herramientas de verificación adecuadas.
Por tanto, los responsables del despliegue deben complementar el enfoque técnico de Anthropic con medidas organizativas, como la implementación de políticas internas de transparencia y la formación de los equipos.
Cómo verificar el cumplimiento de sus herramientas de IA
Las empresas deben asegurarse de que sus herramientas de IA generativa cumplen con las obligaciones del Artículo 50 antes del 2 de agosto de 2026.
Para verificar el cumplimiento de un proveedor como Anthropic, se recomiendan los siguientes pasos:
- Verificar la presencia de metadatos C2PA: utilizar herramientas como Content Credentials Verify para detectar los metadatos en las imágenes generadas.
- Consultar la documentación técnica: asegurarse de que cubre los requisitos del Anexo IV del AI Act, incluyendo las capacidades, límites y datos de entrenamiento del modelo.
- Verificar la publicación del resumen de los datos de entrenamiento: este documento debe ser accesible públicamente, salvo excepciones por secretos industriales.
- Probar los mecanismos de detección: utilizar herramientas como AI Detection para evaluar la capacidad del proveedor de detectar sus propios contenidos generados.
- Evaluar los procedimientos de cumplimiento: solicitar al proveedor pruebas de sus procedimientos internos, como auditorías de cumplimiento y mecanismos de notificación de incidentes.
Para los responsables del despliegue, también se recomienda:
- implementar políticas internas de transparencia para los contenidos difundidos,
- formar a los equipos sobre los riesgos asociados a los contenidos sintéticos,
- documentar los casos de uso y las medidas de cumplimiento implementadas.
Preguntas frecuentes
Todo lo que necesita saber sobre el marcado C2PA y las obligaciones del Artículo 50.
No, el AI Act no prescribe un estándar único para el marcado de contenidos sintéticos. El C2PA es uno de los tres estándares reconocidos por el Reglamento, junto con el IPTC y Schema.org. Los proveedores pueden elegir el estándar que mejor se adapte a su caso de uso, siempre que sea legible por máquina y cumpla con los requisitos del Artículo 50.
Las sanciones por incumplimiento del Artículo 50 pueden alcanzar hasta 15 millones de euros o el 3% de la facturación global, según la cantidad más alta. Las autoridades de supervisión, como la AEPD en España, también pueden imponer medidas correctivas, como la suspensión de la difusión de contenidos no conformes o la implementación de medidas adicionales de transparencia.
No, el estándar C2PA actualmente solo cubre contenidos multimodales (imágenes, vídeos, audio). Para los textos generados por IA, como los producidos por Claude, los proveedores deben utilizar otros mecanismos de transparencia, como marcas de agua digitales o metadatos integrados en los archivos. Anthropic aún no ha comunicado su solución para los textos.
Sí, los responsables del despliegue siguen siendo responsables de la transparencia de los contenidos que difunden, incluso si se eliminan los metadatos. El AI Act exige a los responsables del despliegue implementar mecanismos para preservar la transparencia, como menciones explícitas en los contenidos o políticas internas de verificación. En caso de eliminación de metadatos, el responsable del despliegue debe poder demostrar que ha tomado todas las medidas razonables para cumplir con sus obligaciones.
El AI Act reconoce tres estándares para el marcado legible por máquina de contenidos sintéticos: C2PA, IPTC y Schema.org. Los proveedores también pueden utilizar soluciones propias, siempre que sean interoperables y cumplan con los requisitos del Artículo 50. Por ejemplo, Google utiliza una marca de agua digital invisible para sus modelos Imagen, mientras que Microsoft integra metadatos en sus herramientas Office 365.
