Celonis y el Reglamento de IA: la minería de procesos se sitúa en riesgo mínimo

Para prácticamente cualquier empresa, Celonis es de riesgo mínimo según el Reglamento de IA. La minería de procesos reconstruye cómo fluye realmente el trabajo a través de tus sistemas: dónde se atascan los pedidos, dónde se reprocesan las facturas, dónde un ciclo de aprovisionamiento pierde tiempo. Eso es análisis sobre tus propios datos operativos, no una decisión sobre ninguna persona. Más allá del deber general de alfabetización en IA del artículo 4 (adoptar medidas para apoyar la alfabetización en IA del personal que lo utiliza), no existe ninguna obligación específica bajo el Reglamento (UE) 2024/1689 por utilizarlo.

El veredicto solo cambia si conectas el resultado de un análisis de Celonis a una decisión que el Reglamento de IA enumera como de alto riesgo, y para el tipo de trabajo para el que se diseñó Celonis, eso casi nunca ocurre. La obligación más apremiante suele venir de la capa que está por debajo del Reglamento: la gobernanza de datos del RGPD sobre los registros de eventos que Celonis ingiere.

Esta página fija el caso por defecto, nombra la condición estrecha que podría darle la vuelta a un despliegue y explica por qué la verificación de protección de datos va primero.

---

Qué hace realmente Celonis

Celonis es un producto de inteligencia de procesos. Su núcleo es la minería de procesos centrada en objetos: lee registros de eventos de tu ERP, tu CRM y otros sistemas (las marcas de tiempo de cada paso por el que pasó una transacción) y reconstruye el proceso real, de principio a fin, como un modelo que puedes interrogar. Sobre eso se asientan funciones de IA: el Process Intelligence Graph, que ofrece un "gemelo digital" de las operaciones, agentes tipo AgentC y los Process Copilots, que responden preguntas en lenguaje natural y señalan dónde un proceso se desvía de su ruta ideal.

Todo esto analiza el proceso, no a las personas. Tiempo de ciclo del order-to-cash, tasas de reproceso en cuentas a pagar, cuellos de botella en la cadena de suministro, gasto fuera de contrato en compras. Producir un modelo de cómo se mueven las facturas, o avisarte de que un paso del proceso se está ralentizando, es de riesgo mínimo. No toca ningún ámbito del anexo III, no activa ningún deber de transparencia frente a un tercero y no conlleva ningún requisito específico bajo el Reglamento más allá del artículo 4.

La capa de IA funciona sobre modelos de IA de uso general (GPAI). Estos arrastran sus propias obligaciones bajo el capítulo V (artículo 53), pero esos deberes recaen en el proveedor del modelo, no en ti como responsable del despliegue de Celonis. Tu clasificación depende por completo de qué hagas con el resultado.

El caso por defecto y la excepción (poco frecuente)

Según el artículo 6 y el anexo III, un sistema de IA es de alto riesgo cuando se utiliza en uno de los ocho ámbitos enumerados. Para Celonis, las vías realistas por las que un despliegue podría llegar ahí son estrechas:

• Anexo III, punto 4 — empleo y gestión de los trabajadores: si minaras la actividad de empleados concretos para evaluar su rendimiento o comportamiento y esa evaluación impulsara decisiones de ascenso, asignación o despido, ese despliegue concreto sería un sistema de decisión laboral. Minar el proceso que ejecuta un equipo es análisis; puntuar a las personas para decidir cómo se las trata es una evaluación.
• Anexo III, punto 5(b) — solvencia: si una señal derivada de Celonis impulsara de forma sustancial si una persona obtiene crédito, ese despliegue tocaría el punto 5(b). Esto queda muy lejos del cometido normal del producto, pero el principio se mantiene: decide el uso, no la herramienta.

Para la inmensa mayoría de los despliegues de Celonis (eficiencia de procesos, operaciones financieras, cadena de suministro) nada de esto aplica, y el veredicto sigue siendo de riesgo mínimo. La pregunta decisiva no es "¿es Celonis de alto riesgo?". Es: ¿el resultado de este análisis impulsa una decisión sobre una persona en un ámbito del anexo III? El análisis agregado de procesos sobre miles de transacciones no es una decisión sobre ningún individuo.

Dos salvaguardas:

• Las métricas agregadas de procesos no son decisiones sobre individuos. Una tasa de reproceso en un proceso de cuentas a pagar es análisis. Una puntuación de rendimiento asociada a un empleado concreto y nombrado que condiciona su ascenso es una evaluación.
• Una persona que lee el análisis y decide no es la IA decidiendo. Cuando Celonis se limita a informar a un humano que toma la decisión, puede aplicarse el filtro del artículo 6(3): un sistema del anexo III no es de alto riesgo cuando realiza una tarea limitada o se limita a apoyar, sin sustituir ni influir indebidamente, una evaluación humana. Documéntalo y recuerda que cualquier sistema que elabore perfiles de personas físicas es siempre de alto riesgo, con independencia del filtro.

La capa del RGPD va primero

Para Celonis, la cuestión de protección de datos suele ser la que está viva, porque los registros de eventos contienen con frecuencia datos personales. Un registro de pedidos lleva los nombres de las personas que iniciaron y aprobaron cada paso; un registro de un proceso de RR. HH. es dato personal de principio a fin.

• Base jurídica y limitación de la finalidad (artículos 5–6 del RGPD). Minar registros de eventos que identifican a empleados necesita una base jurídica y debe mantenerse dentro de la finalidad para la que se recogieron los datos. Reutilizar registros operativos para vigilar la productividad de empleados concretos puede exceder esa finalidad original: una trampa de cumplimiento clásica de la minería de procesos.
• Minimización de datos (artículo 5(1)(c) del RGPD). Seudonimizar o agregar los campos de usuario en los registros de eventos, cuando el análisis no necesita individuos nombrados, es el control estándar, y además mantiene el despliegue del lado seguro del riesgo mínimo del Reglamento de IA.
• Decisiones únicamente automatizadas (artículo 22 del RGPD). Si un resultado impulsado por Celonis llevara a una decisión con efectos jurídicos o similarmente significativos sobre una persona sin intervención humana real, se aplican las restricciones del artículo 22 del RGPD, al margen de cualquier deber del Reglamento de IA.
• EIPD (artículo 35 del RGPD). La vigilancia sistemática que pueda elaborar perfiles del personal puede exigir una evaluación de impacto relativa a la protección de datos bajo el RGPD, distinta de la evaluación de impacto relativa a los derechos fundamentales (FRIA) del Reglamento de IA (artículo 27).

Trata la gobernanza RGPD de tus registros de eventos como la primera puerta. En la práctica es donde reside casi todo el trabajo real de cumplimiento con Celonis.

Ejemplo práctico: Veldhoven Logistiek BV, un operador logístico de 300 personas

Veldhoven Logistiek BV, una empresa neerlandesa de logística para terceros, ~300 empleados, ~48 millones de euros de facturación, despliega Celonis en sus operaciones. Dos despliegues, dos respuestas.

Despliegue uno: minería de order-to-cash. El equipo de operaciones mina el proceso order-to-cash para encontrar dónde se atascan los envíos y se reprocesan las facturas, con Process Copilot respondiendo preguntas en lenguaje natural. El análisis recae sobre el proceso: miles de transacciones agregadas. Ningún individuo está siendo evaluado por la IA; los responsables leen los hallazgos y cambian el flujo de trabajo. Riesgo mínimo bajo el Reglamento de IA. Los registros de eventos siguen conteniendo datos personales, así que los controles del RGPD (base jurídica, minimización, seudonimización de los campos de usuario) se aplican.

Despliegue dos: puntuación del rendimiento de operarios de almacén. Un responsable propone minar los registros de actividad de cada preparador de pedidos para producir puntuaciones de productividad por trabajador que alimenten la asignación de turnos y las evaluaciones de desempeño. Esto se situaría en el anexo III, punto 4 — gestión de los trabajadores. Como el resultado impulsaría de forma sustancial decisiones laborales sobre personas nombradas, ese despliegue sería potencialmente de alto riesgo; el filtro del artículo 6(3) solo ayudaría si un responsable decidiera de verdad con criterio independiente, y la puntuación por trabajador elabora perfiles de individuos, lo que invalida el filtro de plano. También plantearía problemas serios de los artículos 22 y 35 del RGPD. Veldhoven, ejecutándolo bajo su propia autoridad, sería el responsable del despliegue (artículo 26); los deberes del responsable de alto riesgo se aplicarían desde el 2 de diciembre de 2027, la fecha fijada por el Ómnibus Digital (Reglamento (UE) 2026/1744, publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026).

Mismo producto, misma empresa: el segundo diseño crearía un programa de alto riesgo y una exposición seria al RGPD, mientras que el primero no hace ninguna de las dos cosas. La solución para el segundo suele ser mantener el análisis a nivel de proceso y no puntuar a individuos en absoluto.

Sobre la exposición: un incumplimiento de los requisitos de alto riesgo por parte del responsable del despliegue se sitúa en 15 000 000 EUR o el 3 % del volumen de negocios anual mundial según el artículo 99(4), y para una pyme el artículo 99(6) aplica la menor de las dos cifras. Desde el Ómnibus, el artículo 99(6 bis) extiende ese tope a la cifra menor en las multas de los apartados 4 y 5 a las pequeñas empresas de mediana capitalización, como Veldhoven con sus ~300 empleados.

Cómo ayuda Confir

Confir registra cada forma en que tu empresa usa Celonis como un sistema de IA distinto y lo clasifica por su uso real conforme a los artículos 5 y 6 con la lógica del anexo III, de modo que la minería para eficiencia de procesos y cualquier puntuación por trabajador obtienen veredictos diferentes, y el filtro del artículo 6(3) y el cruce con el RGPD se aplican de forma explícita en lugar de darse por supuestos. El motor es determinista y basado en reglas: misma entrada, mismo resultado, con la regla que se disparó mostrada en lenguaje claro. Cuando un despliegue alcanza el alto riesgo, delimita los deberes del responsable del despliegue del artículo 26 y la FRIA del artículo 27 cuando proceda.

Preguntas frecuentes

¿Es Celonis de alto riesgo bajo el Reglamento de IA?

No, para prácticamente cualquier despliegue. La minería de procesos analiza datos operativos de eventos para mostrar cómo fluye el trabajo: no toca ningún caso de uso del anexo III y, más allá de la alfabetización en IA del artículo 4, no conlleva obligaciones específicas, así que es de riesgo mínimo. Solo podría volverse potencialmente de alto riesgo en el caso estrecho en que su resultado impulse de forma sustancial una decisión sobre una persona en un ámbito del anexo III, como puntuar el rendimiento de un trabajador concreto para condicionar un ascenso. El análisis agregado de procesos no es una decisión sobre nadie.

¿Podría Celonis llegar a ser alguna vez de alto riesgo?

En teoría, sí, si haces un mal uso del resultado. Si minaras la actividad de empleados concretos para producir puntuaciones de rendimiento que impulsaran decisiones laborales (anexo III, punto 4), o alimentaras una señal en una decisión de solvencia (punto 5(b)), ese despliegue concreto podría ser de alto riesgo. Estos usos quedan muy lejos del cometido normal del producto. La clasificación sigue al uso, no a la herramienta: mantén el análisis a nivel de proceso y seguirá siendo de riesgo mínimo.

¿Aplica el RGPD a los registros de eventos de Celonis?

Sí, y suele ser la obligación que aprieta antes. Los registros de eventos de los sistemas ERP, CRM y de RR. HH. identifican con frecuencia a las personas que ejecutaron cada paso, así que necesitas una base jurídica (artículos 5–6 del RGPD), debes respetar la limitación de la finalidad y deberías minimizar o seudonimizar los campos de usuario cuando el análisis no necesite individuos nombrados (artículo 5(1)(c) del RGPD). Para la mayoría de las empresas, la gobernanza RGPD de los registros es donde reside el trabajo real de cumplimiento con Celonis.

¿Podemos usar la minería de procesos para vigilar la productividad de empleados concretos?

Con cautela. Reutilizar registros operativos para vigilar y puntuar a empleados nombrados puede exceder la finalidad original bajo el RGPD, puede activar el artículo 22 sobre decisiones automatizadas y, si la puntuación impulsa decisiones laborales, puede arrastrar el despliegue al terreno de alto riesgo del anexo III, punto 4. El patrón más seguro es mantener el análisis a nivel de proceso en lugar de puntuar individuos, lo que te mantiene en riesgo mínimo bajo el Reglamento de IA y sobre un terreno RGPD más sólido.

¿Quién es responsable del modelo GPAI dentro de Celonis AI?

El proveedor del modelo. Los modelos de IA de uso general que están detrás de las funciones de IA de Celonis arrastran obligaciones del capítulo V bajo el artículo 53 (documentación técnica, información para los agentes posteriores, una política de derechos de autor y un resumen de los datos de entrenamiento) que recaen en sus proveedores, no en ti como responsable del despliegue de Celonis. Tus obligaciones nacen únicamente de cómo uses el resultado, y por eso la clasificación va sobre el despliegue, no sobre el modelo subyacente.

¿Somos responsable del despliegue o proveedor cuando usamos Celonis?

Casi siempre responsable del despliegue (artículo 26): ejecutas la minería de procesos bajo tu propia autoridad para tus propias operaciones. Solo te convertirías en proveedor bajo el artículo 25 si introdujeras en el mercado, con tu propio nombre, un sistema de IA construido sobre el resultado de Celonis, si modificaras sustancialmente un sistema de alto riesgo o si reutilizaras uno para un uso de alto riesgo. Para la inteligencia de procesos interna, la condición de responsable del despliegue es la respuesta correcta, y sus deberes son más ligeros que el conjunto de obligaciones del proveedor.

Guías relacionadas

• Snowflake Cortex y el Reglamento de IA
• SAP Joule y el Reglamento de IA
• Anexo III — los ocho casos de uso de alto riesgo explicados
• Artículo 6 — cómo se clasifican los sistemas de IA de alto riesgo
• Artículo 26 — obligaciones del responsable del despliegue explicadas
• Responsable del despliegue — definición y obligaciones
• Proveedor frente a responsable del despliegue — ¿cuál eres?