Asana AI y la Ley de IA de la UE: dónde encaja la gestión del trabajo
Asana AI es de riesgo mínimo para casi toda empresa. Deberes reales: alfabetización del art. 4, transparencia ligera del art. 50 y una vía al anexo III.
Riesgo mínimo, en casi todos los casos. Asana AI —el paquete que Asana comercializa como Asana Intelligence— redacta actualizaciones de estado, rellena campos personalizados, resume proyectos y carteras y ejecuta flujos inteligentes sin código sobre tus propios datos de gestión del trabajo. Nada de eso encaja con una finalidad de alto riesgo del anexo III. Para la empresa que lo activa, Asana AI se sitúa en riesgo mínimo, el nivel base que la Ley deja sin cargas.
Esta guía está escrita para el responsable del despliegue, no para el fabricante del modelo. El proveedor del modelo de IA de uso general subyacente carga con las obligaciones del capítulo V (artículos 51-55, en vigor desde el 2 de agosto de 2025); tus deberes son ligeros: alfabetización en IA del artículo 4, una porción estrecha de transparencia del artículo 50 y la gobernanza de dónde corre realmente la herramienta. Hay una vía que puede elevar a Asana AI al terreno de alto riesgo, y vale la pena nombrarla con precisión justamente porque es una decisión de construcción que tendrías que tomar a propósito.
Clasifica el uso, no la marca
La pregunta que lo decide todo no es «¿es Asana AI de alto riesgo?». Es «¿es de alto riesgo el uso que mi organización hace de él?». Para el seguimiento de tareas, los resúmenes de proyectos y la automatización de flujos, la respuesta es no. El anexo III, leído con el artículo 6(2), enumera las finalidades de alto riesgo que hacen de alto riesgo a un sistema autónomo: empleo y gestión de trabajadores, acceso a servicios esenciales, solvencia crediticia, educación, infraestructuras críticas, biometría. Redactar una actualización de estado inteligente o autorrellenar un campo de prioridad no es ninguna de esas.
Las obligaciones pesadas del modelo se sitúan aguas arriba, con quienquiera que entrenó el modelo fundacional al que llama Asana. Bajo los artículos 51-55 ese proveedor sostiene la documentación técnica, el resumen de datos de entrenamiento y los deberes de política de derechos de autor. Te beneficias de ese cumplimiento sin heredarlo: el rol determina la obligación, y el tuyo es responsable del despliegue (artículo 26).
Qué dispara realmente un deber, y qué no
Riesgo mínimo: el trabajo de proyecto cotidiano
Smart Summaries, Smart Fields, Smart Status, Smart Chat y Smart Workflows usados para gestionar tus propios proyectos no llevan evaluación de la conformidad, ni documentación técnica del artículo 11, ni fichero del anexo IV, ni registro del artículo 49. Así es como la inmensa mayoría de los equipos usa Asana AI, y no atrae ninguna obligación obligatoria de la Ley de IA más allá de la alfabetización.
Riesgo limitado: solo cuando la salida llega a terceros (artículo 50)
La transparencia del artículo 50 muerde cuando la salida de IA cruza a personas de fuera de tu organización. Si una automatización gestionada por Asana envía respuestas generadas por IA a clientes externos, el artículo 50(1) exige decirles que están tratando con un sistema de IA, salvo que ya sea obvio. La mayor parte de la redacción interna de estados nunca llega a un tercero, así que para la huella típica de Asana AI el artículo 50 simplemente no se aplica.
La única vía al alto riesgo: empleo y gestión de trabajadores
Asana es software de gestión de proyectos, pero las empresas sí ejecutan trabajo relacionado con personas dentro de él: pipelines de contratación, rastreadores de evaluaciones de desempeño, paneles de carga de trabajo y plantilla. En el momento en que conectas la salida de Asana AI a una decisión sobre contratación, selección de candidatos, asignación de tareas que determina las condiciones de alguien, ascenso o despido, estás en el anexo III, punto 4 —empleo y gestión de trabajadores. El punto 4(a) cubre la contratación y selección; el punto 4(b) cubre las decisiones que afectan a personas ya empleadas, incluidas la evaluación y la asignación de tareas.
Esa es una construcción deliberada, no cómo se comporta Asana AI de fábrica. El resumen de un sprint no es una decisión de empleo; una puntuación de IA que clasifica candidatos o marca a un empleado para despido sí lo es. Incluso cuando hay un uso del anexo III en juego, el filtro del artículo 6(3) puede sacar de alcance un uso estrecho y procedimental —por ejemplo, cuando la IA solo mejora una evaluación humana ya completada sin influir en el resultado—, pero cualquier sistema que perfile a una persona física es siempre de alto riesgo, así que esa escapatoria es estrecha.
Los tres deberes realistas para un responsable del despliegue de Asana AI
Artículo 4: alfabetización en IA para quienes la usan
El artículo 4 se aplica desde el 2 de febrero de 2025 y te vincula sea cual sea el nivel de riesgo. El personal debe entender, a un nivel adecuado a su rol, que las actualizaciones de estado por IA pueden perder contexto, que los resúmenes omiten y que los campos autorrellenados necesitan una comprobación humana antes de que alguien actúe sobre ellos. Una breve nota de uso aceptable más orientación adecuada al rol satisface esto; no se requiere ningún programa de formación formal para el uso de riesgo mínimo.
Artículo 50: divulgación cuando la salida es externa
Aplica la divulgación del artículo 50 solo cuando la salida de Asana AI llega a terceros: un aviso de «estás interactuando con IA» en cualquier automatización de cara al exterior. Las disposiciones de contenido sintético e interacción en las que se apoya están escalonadas: la mayor parte de la transparencia del artículo 50 se aplica desde el 2 de agosto de 2026, y el deber de marcado de contenido aterriza el 2 de diciembre de 2026. Para el trabajo puramente interno, reduce la obligación a nada, porque no se produce nada externo.
Saber dónde corre: el deber que la Ley asume que tienes
La Ley asume que sabes qué IA operas y sobre qué datos. Asana AI puede activarse en todo un espacio de trabajo, así que se extiende por equipos que nunca tomaron una decisión de adquisición. Lista Asana AI una vez en tu inventario de IA, registra qué proyectos y categorías de datos puede tocar y decide quién puede activarla. Este es el mismo registro que te permite responder a los deberes de alfabetización y divulgación, y el mismo que señalaría, pronto, si un equipo empezara a integrar Asana AI en un flujo de contratación o desempeño.
Un punto de gobernanza de datos acompaña a estos: el RGPD se aplica con independencia de la Ley de IA, así que confirma una base jurídica y un acuerdo de tratamiento de datos antes de que el personal introduzca datos personales o de categorías especiales en los prompts o campos habilitados por IA.
Mapa de obligaciones de Asana AI por caso de uso
La tabla mapea patrones comunes a nivel de riesgo, el deber que cada uno dispara y la referencia. Dominan mínimo y limitado; solo la fila de empleo construida deliberadamente alcanza el alto riesgo.
| Caso de uso | Nivel de riesgo | Deber disparado | Referencia |
|---|---|---|---|
| Smart status, resúmenes y campos inteligentes en proyectos internos | Mínimo | Solo alfabetización del artículo 4 | Artículo 6(2) / anexo III (ninguno aplica) |
| Automatización de IA que envía respuestas a clientes externos | Limitado | Aviso de interacción con IA | Artículo 50(1) |
| Contenido generado por IA publicado externamente | Limitado | Marcado de contenido desde el 2 de agosto de 2026 | Artículo 50(2) |
| IA que puntúa o clasifica candidatos en un panel de contratación | Alto riesgo (si se construye así) | Deberes del responsable del despliegue + evaluación | Anexo III, punto 4(a), artículos 26-27 |
| IA que impulsa decisiones en el empleo (ascenso, asignación de tareas) | Alto riesgo (si se construye así) | Deberes del responsable del despliegue + evaluación | Anexo III, punto 4(b), artículos 26-27 |
| Datos personales introducidos en prompts o campos de IA | Capa RGPD (no Ley de IA) | Base jurídica / acuerdo de datos | RGPD, no la Ley de IA |
La columna del nivel es el mensaje entero: mínimo es lo predeterminado, alto riesgo el resultado que tendrías que construir a propósito.
Ejemplo práctico: una agencia de 220 personas activa Asana Intelligence
Brandweg GmbH, una agencia de marketing de 220 personas en Colonia con unos 31 M€ de facturación, activa Asana Intelligence en todo su espacio de trabajo. Los equipos usan Smart Summaries en proyectos de cliente, Smart Status para redactar actualizaciones semanales y Smart Fields para triar briefings entrantes. Una automatización envía por correo acuses de recibo redactados por IA a los clientes que presentan un briefing.
El trabajo interno de proyecto es de riesgo mínimo; la alfabetización del artículo 4 es el único deber. La automatización de cara al cliente dispara el artículo 50(1) —un breve aviso de que el acuse de recibo es generado por IA. No hay finalidad del anexo III en juego, así que no se adhiere ninguna obligación de alto riesgo. La lista de acciones es una entrada de inventario, una nota de alfabetización de una página, un aviso de interacción en la automatización externa y una regla de datos que mantiene los datos de categorías especiales de clientes fuera de los prompts (capa del artículo 9 del RGPD).
Ahora la hipótesis contraria. El equipo de RR. HH. de Brandweg construye después un panel de Asana que usa Asana AI para puntuar y clasificar candidatos automáticamente y sacar una lista corta. Ese único uso se convierte en alto riesgo del anexo III, punto 4(a), arrastrando los deberes del responsable del despliegue del artículo 26 y una evaluación de impacto sobre los derechos fundamentales del artículo 27 —porque Brandweg está desplegando un sistema de IA para contratación, y la contratación es uno de los usos de alto riesgo enumerados. Es un sistema nuevo y deliberado, no el despliegue descrito, que sigue siendo un ejercicio de inventario y política de medio día.
Plazos y sanciones: proporcionados, no alarmistas
Las fechas asentadas: la alfabetización en IA del artículo 4 y las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025; las obligaciones GPAI (artículos 51-55) desde el 2 de agosto de 2025; la mayor parte de la transparencia del artículo 50 desde el 2 de agosto de 2026, con las nuevas disposiciones de marcado de contenido aterrizando el 2 de diciembre de 2026.
El calendario de alto riesgo importa aquí solo como contingencia, y lleva una salvedad. El Ómnibus Digital ya está adoptado —el Parlamento lo votó en el pleno el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026— y aplaza el alto riesgo autónomo del anexo III del 2 de agosto de 2026 al 2 de diciembre de 2027; solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. El 2 de diciembre de 2027 es ya la fecha de referencia para este calendario. El aplazamiento es una fecha de calendario fija, no la versión de «parar el reloj» supeditada a estándares que fue rechazada.
Sobre las sanciones: el artículo 50 y la mayoría de las infracciones de obligaciones del responsable del despliegue conllevan multas de hasta 15 millones de euros o el 3 % del volumen de negocios anual mundial total, lo que sea mayor (artículo 99(4)). Las infracciones de prácticas prohibidas del artículo 5 alcanzan los 35 millones de euros o el 7 % (artículo 99(3)). Suministrar información incorrecta o engañosa a las autoridades conlleva hasta 7,5 millones de euros o el 1 % (artículo 99(5)). Para pymes y empresas emergentes, cada multa se topa en la menor del porcentaje o la cifra fija (artículo 99(6)). Para el uso de riesgo mínimo de Asana AI no hay exposición a multas más allá de acertar con la divulgación ligera.
Cómo ayuda Confir
Lista Asana AI en el registro de IA de Confir y responde las preguntas de admisión sobre rol, caso de uso, tipos de datos y audiencia. El motor determinista y basado en reglas —sin inferencia de modelos, sin alucinaciones— deriva el nivel (mínimo, la porción limitada del artículo 50 o la rara vía de empleo del anexo III) y la lista de obligaciones correspondiente, indicando en lenguaje llano la regla exacta que se activó. El resultado es un registro fechado y reproducible de por qué tu uso de Asana AI se clasificó como se clasificó, y una alerta temprana si un equipo empieza a orientarlo hacia una decisión de contratación o desempeño.
Guías relacionadas
- construye tu inventario de sistemas de IA
- detecta la IA en la sombra en tu espacio de trabajo
- qué significa riesgo mínimo bajo la Ley
- ¿es de alto riesgo la IA de cribado de candidaturas?
- IA de decisión de empleo y el anexo III
- Obligaciones de transparencia del artículo 50
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →