Cumplimiento del Reglamento de IA

1. Marco normativo

• Reglamento (UE) 2024/1689 de Inteligencia Artificial.
• Reglamento (UE) 2016/679 (RGPD): en especial el artículo 22 (decisiones individuales automatizadas), el artículo 35 (evaluación de impacto) y el artículo 88 (tratamiento en el ámbito laboral).
• Ley Orgánica 3/2018 (LOPDGDD): derechos digitales en el ámbito laboral, artículos 87 a 91, entre ellos el uso de dispositivos digitales puestos a disposición de las personas trabajadoras y la información previa sobre los criterios de utilización.
• Estatuto de los Trabajadores, artículo 64.4.d: derecho de la representación legal de las personas trabajadoras a ser informada de los parámetros, reglas e instrucciones en que se basan los algoritmos o sistemas de IA que afecten a la toma de decisiones sobre las condiciones de trabajo.

2. Papel en la cadena de valor

EmailDelDia integra modelos de IA de terceros a través del proveedor que elige y contrata cada organización cliente con su propia clave (Anthropic, OpenAI o Google). No entrena modelos fundacionales ni modelos de propósito general, y no utiliza datos de sus clientes para entrenar ningún modelo sin una autorización válida y específica.

Respecto del sistema de IA que ofrece dentro de su producto, EmailDelDia actúa como proveedor en el sentido del Reglamento. Cada organización cliente actúa como responsable del despliegue, porque decide si activa el análisis, sobre qué fuentes y contenido, y para qué utiliza los resultados. En materia de protección de datos, el cliente es responsable del tratamiento y EmailDelDia es encargado.

3. Prácticas prohibidas

El artículo 5.1.f del Reglamento prohíbe los sistemas de IA que infieren las emociones de una persona en el lugar de trabajo, salvo por motivos médicos o de seguridad. EmailDelDia no infiere emociones, rasgos de personalidad ni categorías especiales de datos, y no incorpora esa función.

4. Clasificación de riesgo

El anexo III del Reglamento, punto 4.b, considera de alto riesgo los sistemas de IA destinados a tomar decisiones que afecten a las condiciones de las relaciones laborales, a asignar tareas en función del comportamiento individual o de rasgos personales, o a supervisar y evaluar el rendimiento y el comportamiento de las personas en esas relaciones.

EmailDelDia está diseñado para describir la actividad de la organización: procesos, tiempos de respuesta y asuntos abiertos o cerrados. Muestra esa actividad por cuenta y por persona, pero no puntúa, clasifica ni evalúa el rendimiento de nadie, y no toma decisiones sobre las personas. Esa finalidad prevista no hace que el producto quede fuera del anexo III en cualquier uso.

Determinadas configuraciones o usos por parte del cliente pueden encajar en el punto 4.b. Es el caso, por ejemplo, de utilizar los hallazgos para evaluar el rendimiento o el comportamiento de una persona concreta, o para fundamentar decisiones sobre sus condiciones de trabajo. Corresponde a cada cliente valorar si su uso entra en ese supuesto, y a ambas partes documentar esa valoración.

La clasificación de cada función y de cada uso se revisa cuando cambian las funciones de EmailDelDia, las orientaciones de la Comisión Europea o los criterios de las autoridades.

5. Obligaciones de la organización cliente como responsable del despliegue

Si el uso que hace el cliente encaja en el anexo III, le corresponden las obligaciones del artículo 26 del Reglamento y, en lo que proceda, las de la normativa de protección de datos y laboral:

• Utilizar el sistema conforme a sus instrucciones de uso.
• Encomendar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias.
• Vigilar el funcionamiento del sistema y conservar los registros que genera bajo su control durante al menos seis meses, salvo que otra norma disponga otra cosa.
• Informar a los representantes de las personas trabajadoras y a las personas afectadas antes de poner en servicio o utilizar el sistema en el lugar de trabajo (artículo 26.7).
• Realizar la evaluación de impacto relativa a la protección de datos del artículo 35 del RGPD cuando el tratamiento la requiera.
• Realizar la evaluación de impacto en los derechos fundamentales del artículo 27 en los supuestos en que ese artículo la exige, por ejemplo cuando el cliente es un organismo público o presta servicios públicos.
• Adoptar medidas de alfabetización en IA para el personal que opera el sistema (artículo 4) y atender el derecho de las personas afectadas a obtener una explicación cuando una decisión se base en la salida del sistema (artículo 86).
• Cumplir el derecho de información de la representación legal de las personas trabajadoras sobre los algoritmos (Estatuto de los Trabajadores, artículo 64.4.d) y los criterios de utilización de dispositivos digitales (LOPDGDD, artículo 87).

6. Qué aporta EmailDelDia al cliente

• Documentación sobre las funciones de IA, sus datos de entrada y sus limitaciones, que se facilita a los clientes y a las autoridades competentes cuando corresponde.
• Registro de cada llamada a los modelos: tarea, usuario o proceso, proveedor, modelo, tokens, coste, huella de la entrada y resultado.
• Funciones de supervisión humana: hallazgos revisables, con grado de confianza y enlazados a sus fuentes.
• Control del alcance: la organización decide si el análisis con IA está activo y sobre qué fuentes y contenido. Por defecto se trabaja con metadatos, y la interpretación de contenido requiere habilitar su conservación.
• Cuota mensual de uso de la IA configurable por cada organización.
• Seudonimización de los nombres de las personas antes de enviar datos a los modelos.
• Adaptación del producto y de esta documentación a las obligaciones del Reglamento a medida que resulten aplicables.

7. Transparencia

Conforme al artículo 50 del Reglamento, quien utiliza el asistente de consultas sabe que interactúa con un sistema de IA, y los contenidos generados con IA, como los hallazgos propuestos, se identifican como tales dentro de la aplicación.

Este documento y el Descargo de responsabilidad sobre IA describen públicamente qué hace la IA, qué datos recibe y cuáles son sus límites.

8. Supervisión humana

El diseño de EmailDelDia busca que una persona pueda entender, contrastar y corregir lo que propone la IA, en línea con el artículo 14 del Reglamento:

• Cada hallazgo muestra su fuente y su grado de confianza, y puede revisarse, corregirse o descartarse.
• Un resultado de IA no sustituye al acontecimiento original, que se conserva y es consultable.
• Las respuestas del asistente distinguen datos confirmados, estimaciones y ausencia de información.
• La IA no adopta decisiones disciplinarias ni laborales. Esas decisiones son humanas y no deben basarse únicamente en un tratamiento automatizado con efectos significativos para la persona (artículo 22 del RGPD).

9. Gestión de riesgos y gobernanza de datos

• Aislamiento estricto de los datos de cada organización y autorización por organización, rol, recurso y finalidad.
• Separación entre datos originales, métricas e inferencias.
• El contenido de correos, chats y documentos se trata como dato no confiable que no puede dar instrucciones al sistema, con medidas frente a la inyección de instrucciones.
• El asistente utiliza herramientas de consulta con permisos limitados y no ejecuta consultas arbitrarias contra la base de datos.
• Retención configurable, auditoría de accesos a contenidos y exportación y eliminación controladas.
• Minimización: a los modelos solo se envía lo necesario para cada tarea y dentro de lo autorizado por la organización, con los nombres de las personas seudonimizados.

10. Modelos de IA de propósito general

Las obligaciones de los artículos 53 y siguientes del Reglamento corresponden a los proveedores de los modelos de propósito general. EmailDelDia no es proveedor de esos modelos: los utiliza a través de las interfaces de sus proveedores. Cada organización cliente elige y contrata su proveedor con su propia clave y acepta directamente sus condiciones.

11. Aplicación progresiva

El Reglamento se aplica de forma escalonada. Las prácticas prohibidas y las medidas de alfabetización en IA se aplican desde el 2 de febrero de 2025, y las obligaciones sobre modelos de propósito general, desde el 2 de agosto de 2025. Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026.

Según el calendario publicado por la Comisión Europea, que recoge las modificaciones introducidas por el denominado Ómnibus digital sobre IA, las normas sobre sistemas de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027. Las fechas pueden cambiar. Este documento remite al calendario de aplicación vigente y se actualiza cuando se modifique.

12. Alcance de esta declaración y documentos relacionados

Este documento es informativo. No constituye una certificación, una evaluación de conformidad ni asesoramiento jurídico, y no sustituye la valoración que cada organización cliente debe hacer de su propio uso.

Los documentos relacionados son el Descargo de responsabilidad sobre IA, la Política de privacidad y las Condiciones de uso, enlazados al final de esta página. Consultas: dpo@emaildeldia.com.