Dropbox Dash bajo la Ley de IA de la UE: buscar es mínimo, el RGPD muerde primero

Dropbox Dash es de riesgo mínimo bajo la Ley de IA de la UE. Buscar en las aplicaciones de tu empresa y obtener respuestas generadas por IA sobre tus propios archivos no roza ningún caso de uso del Anexo III y, más allá del deber general de alfabetización en IA del art. 4, no conlleva obligación imperativa. Las dos cosas que de verdad merecen tu atención son más estrechas y fáciles de pasar por alto: un deber de transparencia del art. 50 si expones Dash a clientes, y una verdadera cuestión de gobernanza de datos del RGPD que llega antes que la cuestión de la Ley de IA.

Dash indexa todo lo que puede alcanzar —Gmail, OneDrive, Notion, Jira, Confluence, Salesforce y más— y responde preguntas sobre ese corpus. Esa amplitud es el valor del producto y también el origen de su huella de cumplimiento: el riesgo no lo crea el responder, sino qué se le permite leer a Dash y quién puede preguntarle. Esta página recorre ambas cosas.

---

Qué hace realmente Dropbox Dash

Dash es la capa de búsqueda universal y respuestas con IA de Dropbox. Se conecta a las aplicaciones que una empresa ya usa, ejecuta búsqueda con IA en todas a la vez y —a través de su función de chat y respuestas— destila documentos e hilos largos en respuestas claras y con fuentes, resumiendo y comparando contenido y sugiriendo seguimientos. Dropbox lo comercializa como una combinación de búsqueda universal con control de acceso universal al contenido.

Para el despliegue estándar —empleados buscando conocimiento interno y obteniendo respuestas resumidas—, Dash es de riesgo mínimo. Ayudar a un compañero a encontrar un documento o a resumir el hilo de un proyecto no es un uso del Anexo III. No evalúa a nadie, no bloquea ningún servicio esencial y no toma ninguna decisión sobre una persona. Aparte del deber general del art. 4 de adoptar medidas para apoyar la alfabetización en IA del personal que lo usa, no se vincula ningún requisito imperativo de la Ley de IA de la UE bajo el Reglamento (UE) 2024/1689.

Dash funciona sobre modelos de IA de uso general (GPAI), y esos modelos asumen las obligaciones del Capítulo V bajo el art. 53, pero esos deberes recaen en el proveedor del modelo, no en ti como responsable del despliegue de Dash. Tus obligaciones nacen de cómo despliegas Dash, por eso importan las dos cuestiones de abajo y la capa del modelo no cambia tu posición.

La cuestión del art. 50: ¿quién le pregunta a Dash?

El nivel de riesgo no cambia cuando Dash responde a un empleado. Cambia cuando Dash responde a un cliente.

Si pones una experiencia de búsqueda o respuestas con Dash delante del público —un centro de ayuda externo, un asistente de soporte al cliente, un bot de conocimiento en tu web—, entonces los usuarios están interactuando con un sistema de IA, y el art. 50(1) exige que se les informe de ese hecho, salvo que sea obvio por el contexto. Este es el nivel de transparencia de riesgo limitado:

El deber del art. 50 es ligero: un aviso claro de que la persona interactúa con un asistente de IA generalmente lo satisface. Se aplica desde el 2 de agosto de 2026, así que ya está en vigor. Una infracción se sitúa en el nivel del art. 99(4) de 15.000.000 de euros o el 3 % del volumen de negocios anual mundial, y para una pyme el tope del art. 99(6) toma la menor de las dos.

Una cosa que el art. 50 no es: no convierte un Dash de cara al cliente en alto riesgo. La información es toda la obligación. El alto riesgo solo entra si el asistente estuviera conectado a una decisión del Anexo III, lo que una herramienta de búsqueda de conocimiento, por diseño, no es.

La cuestión del RGPD: ¿qué se le permite leer a Dash?

Esta es la parte que muerde primero y más fuerte. El valor de Dash es que lee a través de todo tu patrimonio conectado, y ese patrimonio está lleno de datos personales. En el momento en que Dash indexa buzones de correo, archivos de RR. HH., registros de clientes y contratos, estás tratando datos personales a gran escala, y el RGPD lo gobierna con independencia de la Ley de IA:

• Base jurídica y limitación de la finalidad (arts. 5-6 del RGPD). Indexar datos personales para la búsqueda con IA debe apoyarse en una base jurídica y mantenerse dentro de las finalidades para las que se recogieron los datos. Volcar buzones de empleados o registros de RR. HH. en un motor de respuestas de toda la empresa puede exceder esas finalidades originales.
• El control de acceso es un control de protección de datos. El "control de acceso universal al contenido" de Dash hace trabajo de RGPD: un motor de respuestas no debe exponer, a un empleado, datos personales que no tenía derecho a ver. Los permisos mal configurados convierten una herramienta de búsqueda en un canal de divulgación no autorizada: un fallo de protección de datos, no de la Ley de IA.
• Registro de actividades de tratamiento y EIPD (arts. 30 y 35 del RGPD). Un sistema nuevo que lee a través de todo el patrimonio pertenece a tu registro de actividades de tratamiento, y la amplitud del tratamiento puede justificar una Evaluación de Impacto relativa a la Protección de Datos conforme al art. 35 del RGPD.
• Datos de categorías especiales (art. 9 del RGPD). Si las fuentes conectadas contienen datos de salud, de afiliación sindical u otros de categorías especiales, aplican las condiciones más estrictas del art. 9 del RGPD a su tratamiento.

Ninguna de estas es una obligación de la Ley de IA de la UE. Todas son reales, y aterrizan antes que cualquier análisis bajo la Ley de IA. Para un despliegue interno de Dash, el trabajo de gobernanza del RGPD —acotar conectores, bloquear permisos, documentar la base— es la tarea sustantiva de cumplimiento; el lado de la Ley de IA es genuinamente ligero.

Ejemplo práctico: Werkstroom B.V., una consultora de 110 personas

Werkstroom B.V., una firma de servicios profesionales de Róterdam, ~110 empleados, ~18 M€ de facturación, despliega Dropbox Dash en toda la empresa. Dos usos, dos panoramas de cumplimiento distintos.

Uso uno: búsqueda de conocimiento interno. Los consultores conectan Dash al Google Drive, Notion y Slack de la firma, y le piden encontrar precedentes y resumir el historial de proyectos. Esto es riesgo mínimo bajo la Ley de IA: sin uso del Anexo III, sin decisión sobre una persona, sin deber de transparencia. El trabajo real está en el lado del RGPD: Werkstroom acota qué conectores se permiten, confirma que Dash respeta los permisos existentes de cada fuente para que un consultor junior no pueda exponer el archivo de RR. HH. de un compañero, añade el sistema a su registro de actividades de tratamiento del art. 30 del RGPD y ejecuta una EIPD del art. 35 del RGPD dada la amplitud de la indexación. Esa gobernanza —no una presentación bajo la Ley de IA— es el entregable.

Uso dos: un portal de conocimiento de cara al cliente. La firma expone más tarde un widget de respuestas con Dash en su portal de clientes, para que los clientes se autosirvan respuestas de la guía publicada. Ahora los clientes interactúan con un sistema de IA, así que aplica el art. 50(1): Werkstroom añade un aviso claro de "estás chateando con un asistente de IA". El widget se queda en riesgo limitado: la información es toda la obligación; no pasa a alto riesgo, porque no toma ninguna decisión del Anexo III. El deber del art. 50 aplica desde el 2 de agosto de 2026.

La lección: la exposición de Werkstroom a la Ley de IA con Dash es un aviso de transparencia, mientras que su exposición al RGPD es el programa sustantivo. Para una herramienta de búsqueda y respuestas, esa es la forma normal, y hacerlo al revés (tratar la Ley de IA como la carga pesada y el RGPD como una formalidad) es el error común.

Cómo ayuda Confir

Confir registra Dropbox Dash como un sistema de IA en tu inventario, lo clasifica por su despliegue real bajo los arts. 5 y 6 —separando el uso de búsqueda interna (mínimo) de uno de cara al cliente (riesgo limitado del art. 50)— y correlaciona el resultado con tus obligaciones de RGPD para que el trabajo de gobernanza de datos que una herramienta de búsqueda de verdad activa no caiga por la grieta entre los dos regímenes. El motor de clasificación es determinista y basado en reglas: la misma entrada produce el mismo hallazgo, y la regla que se activó se muestra en lenguaje claro. Cuando aplica el art. 50, registra la obligación de transparencia y la fecha del 2 de agosto de 2026.

Preguntas frecuentes

¿Es Dropbox Dash de alto riesgo bajo la Ley de IA de la UE?

No. Dash es una herramienta de búsqueda y respuestas con IA sobre tus propios archivos y aplicaciones, y ese uso es de riesgo mínimo: no roza ningún caso de uso del Anexo III y no toma ninguna decisión sobre una persona. Aparte del deber general de alfabetización en IA del art. 4, la única obligación de la Ley de IA que puede vincularse es el deber de transparencia del art. 50, y solo si expones Dash a clientes. No pasa a alto riesgo por indexar más datos; la clasificación es sobre el uso, no la escala.

¿Cuándo aplica el art. 50 a Dropbox Dash?

Cuando Dash responde a personas de fuera de tu organización: un centro de ayuda, un asistente de soporte o un widget de conocimiento de cara al cliente. El art. 50(1) exige que se informe a la persona de que interactúa con un sistema de IA, salvo que sea obvio por el contexto. Un aviso claro lo satisface. La búsqueda interna de empleados no activa el art. 50. El deber aplica desde el 2 de agosto de 2026 y las infracciones se sitúan en el nivel de 15 M€ o el 3 % bajo el art. 99(4).

¿Qué obligaciones de RGPD activa Dropbox Dash?

Como Dash indexa a través de tus aplicaciones, trata datos personales a gran escala. Necesitas una base jurídica y limitación de la finalidad (arts. 5-6 del RGPD), controles de acceso correctamente configurados para que las respuestas nunca expongan datos que un usuario no deba ver, una entrada en tu registro de actividades de tratamiento (art. 30 del RGPD) y, probablemente, una EIPD (art. 35 del RGPD). Si las fuentes conectadas contienen datos de categorías especiales, aplican las condiciones del art. 9 del RGPD. Estas obligaciones aterrizan antes que cualquier análisis bajo la Ley de IA.

¿Quién es responsable del modelo de IA que hay detrás de Dash?

El proveedor del modelo. Los modelos de IA de uso general que mueven Dash asumen las obligaciones del Capítulo V bajo el art. 53 —documentación técnica, información para los agentes posteriores, una política de derechos de autor y un resumen de los datos de entrenamiento— que recaen en sus proveedores, no en ti. Como responsable del despliegue de Dash, tus obligaciones nacen solo de cómo lo despliegas, por eso la capa del modelo no cambia tu valor por defecto de riesgo mínimo.

¿El control de acceso de Dash satisface nuestros deberes de RGPD?

Ayuda, pero no los cumple. El control de acceso al contenido de Dash es un control técnico útil que debería impedir que la herramienta exponga datos que un usuario no tenga derecho a ver, lo que apoya directamente el cumplimiento del RGPD. Pero sigues debiendo tú mismo el trabajo de base jurídica, limitación de la finalidad, registros y EIPD, y debes configurar y verificar los permisos. La función es una ayuda al cumplimiento del RGPD, no un sustituto de tu responsabilidad.

¿Somos responsable del despliegue o proveedor cuando desplegamos Dash?

Responsable del despliegue (art. 26). Usas Dash bajo tu propia autoridad para tus propias finalidades. Solo te convertirías en proveedor bajo el art. 25 si introdujeras en el mercado un sistema de IA construido con Dash bajo tu propio nombre, lo modificaras sustancialmente o lo reorientaras hacia un uso de alto riesgo, nada de lo cual implica un despliegue de búsqueda normal, interno o de cara al cliente. El estatus de responsable del despliegue, con un posible aviso del art. 50, es la respuesta correcta para la mayoría de las empresas.

Guías relacionadas

• Slack AI bajo la Ley de IA de la UE
• Notion AI bajo la Ley de IA de la UE
• Art. 50 — obligaciones de transparencia para la IA de riesgo limitado
• Ultrafalsificaciones e información de contenido de IA — art. 50 explicado
• Responsable del despliegue — definición y obligaciones
• Art. 26 — obligaciones del responsable del despliegue explicadas
• Proveedor frente a responsable del despliegue — ¿cuál eres?