Glean AI y la Ley de IA de la UE: una guía de cumplimiento para el responsable del despliegue
Glean es búsqueda RAG empresarial sobre tus datos, casi siempre de riesgo mínimo. La exposición real está en el reflejo de permisos y el control de acceso.
Una empresa de SaaS de 700 personas conecta Glean a Slack, Google Drive, Jira y Confluence para que el personal pueda hacer una pregunta y obtener una respuesta extraída de sus propios documentos. ¿Es eso un sistema de IA de alto riesgo según la Ley de IA de la UE? Casi nunca. La búsqueda interna de conocimiento empresarial no es una categoría de alto riesgo enumerada y, para la gran mayoría de los responsables del despliegue, un despliegue de Glean se sitúa en riesgo mínimo.
Eso no significa cero obligaciones ni cero riesgo. Las obligaciones son breves —la alfabetización en IA del artículo 4 y una entrada en el inventario— y la exposición real está donde casi ninguna lista de comprobación de cumplimiento mira: el reflejo de permisos y el control de acceso. La historia de cumplimiento de Glean es la gobernanza de datos, no la pila de obligaciones de alto riesgo.
¿Es Glean de alto riesgo según la Ley de IA de la UE? Casi nunca
Glean es un asistente de búsqueda empresarial y de generación aumentada por recuperación (RAG). Indexa los datos de tu propia empresa —hilos de Slack, archivos de Drive, páginas de Confluence, tickets de soporte, wikis— y responde preguntas recuperando de ese índice y sintetizando una respuesta. No toma decisiones sobre personas; saca a la luz y resume documentos que ya tienes.
La Ley de IA de la UE no clasifica las herramientas por su nombre. Según el artículo 6 y el anexo III del Reglamento (UE) 2024/1689, un sistema es de alto riesgo solo cuando su finalidad prevista encaja en una categoría enumerada: biometría, infraestructuras críticas, educación, empleo, servicios esenciales, aplicación de la ley, migración, justicia. La búsqueda interna de conocimiento no está entre ellas; no hay una línea del anexo III para "responder preguntas sobre tu propia wiki".
Ajusta tus expectativas con honestidad. Para el responsable del despliegue típico, el uso interno de Glean es de riesgo mínimo según la Ley: sin evaluación de la conformidad, sin documentación técnica del anexo IV, sin registro en la base de datos de la UE. La mayoría de la IA empresarial de uso general se comporta igual: asistentes de productividad, herramientas de búsqueda y RAG, enrutamiento interno. Las obligaciones realistas para esa clase son la alfabetización en IA del artículo 4, la transparencia del artículo 50 solo cuando la salida llega a terceros, y la gobernanza de datos.
Una nota aguas arriba: Glean se construye sobre modelos de IA de uso general (GPAI) suministrados por un proveedor de modelos, y las obligaciones del capítulo V sobre esos modelos —artículos 51-55— recaen sobre ese proveedor.
La exposición real: el reflejo de permisos y el control de acceso
La promesa central de diseño de Glean es que hereda y refleja los permisos existentes de cada usuario en los sistemas de origen: si no puedes abrir un documento en Drive, Glean no te lo mostrará. La trampa es la escala. Un índice RAG unificado saca a la luz todo lo que un usuario está nominalmente autorizado a ver, al instante, incluido contenido que nunca se esperaba que encontrara. Un documento enterrado catorce carpetas de profundidad que nadie ha abierto en años no es más que otra fuente recuperable. El permiso siempre estuvo ahí; el índice lo hace alcanzable.
Eso convierte los permisos demasiado amplios o caducos en un problema inmediato. Una compartición heredada "para todo el personal" en una carpeta de SharePoint, un documento de Drive con enlace abierto, un espacio de Confluence con acceso de grupo heredado: cada uno se convierte en una exposición de confidencialidad en el momento en que un índice unificado se sitúa encima. Los permisos estaban latentes; Glean los despierta.
Esto no es un disparador de alto riesgo de la Ley de IA. Es una exposición de gobernanza de datos y de seguridad según el artículo 5(1)(f) del RGPD (integridad y confidencialidad) y el artículo 32 (seguridad del tratamiento): el riesgo práctico dominante para esta clase de herramientas.
Higiene previa al despliegue
- Audita y ajusta los alcances de permisos de origen antes de conectar un sistema, no después.
- Elimina las comparticiones caducas, los enlaces abiertos huérfanos y las carpetas heredadas para todo el personal.
- Confirma que el índice respeta las listas de control de acceso de origen en tiempo real, de modo que un cambio de permiso se propague en lugar de servir una autorización en caché.
- Vuelve a ejecutar la comprobación tras cualquier migración grande de contenido, cuando los permisos se desvían.
Los vectores de fuga en sí —exposición de indicaciones, conservación, reutilización para entrenamiento— se cubren en el análisis específico de fuga de datos. La confidencialidad de los datos empresariales es el tema; el control de acceso es la palanca.
Diligencia debida sobre el proveedor
Cuando Glean trata datos personales en tu nombre, confirma un compromiso de no entrenar con los datos del cliente, un acuerdo de tratamiento de datos del artículo 28 del RGPD y residencia de datos en la UE o una transferencia adecuada para la UE cuando el tratamiento ocurre fuera del EEE. Estas son comprobaciones contractuales, no pasos de conformidad de la Ley de IA, pero innegociables antes de indexar datos personales.
La clasificación de riesgo de Glean de un vistazo
La tabla mapea cinco patrones de uso típicos de Glean frente a la categoría probable de la Ley de IA y la disposición que la rige, y muestra el único caso límite que rompe el patrón de riesgo mínimo.
| Patrón de uso | Categoría probable | Disposición que rige |
|---|---|---|
| Búsqueda interna de conocimiento / preguntas y respuestas sobre documentos de la empresa | Riesgo mínimo | Sin pila obligatoria; aplican la gobernanza de datos + el artículo 4 |
| Respuestas o resúmenes generados por IA mostrados solo al personal interno | Riesgo mínimo | El artículo 50 no se activa: la salida se queda interna |
| Salida de Glean mostrada a partes externas (portal de cliente, respuestas a socios) | Riesgo limitado para esa vía | Se activa la transparencia del artículo 50 para la salida externa |
| Salida de Glean conectada a una decisión sobre una persona (p. ej., cribado de contratación) | Flujo de alto riesgo | Anexo III, punto 4: el flujo, no la herramienta de búsqueda |
| Glean usado solo para recuperar y citar documentos de origen | Riesgo mínimo | Sin categoría del anexo III; aplica la gobernanza de datos |
Las obligaciones autónomas de alto riesgo del artículo 6(2) no recaen sobre la búsqueda interna, solo sobre un flujo de alto riesgo construido encima, e incluso entonces es el flujo lo que se clasifica, no el motor de recuperación.
Lo que realmente debes como responsable del despliegue de Glean
El conjunto de obligaciones para un despliegue interno normal es breve, y sobredimensionarlo desperdicia un esfuerzo mejor empleado en el control de acceso.
Alfabetización en IA del artículo 4
En vigor desde el 2 de febrero de 2025. Asegúrate de que el personal que usa Glean entiende sus capacidades y límites: que las respuestas se sintetizan a partir de fuentes indexadas, que la recuperación puede ser incompleta o errónea, y que una respuesta necesita verificación contra el documento subyacente antes de que nadie se apoye en ella. Esto significa que tu gente sabe qué es y qué no es la herramienta, no un programa de certificación.
Inventaría y registra la clasificación
Introduce Glean en tu registro de IA con el proveedor, el uso interno previsto, la determinación de riesgo mínimo y la fecha. El artículo 26 fija la diligencia básica del responsable del despliegue —usar el sistema según las instrucciones, mantener la supervisión— y registrar la clasificación es el rastro incluso para una herramienta de riesgo mínimo.
Transparencia del artículo 50: solo cuando la salida sale del edificio
El artículo 50 aplica cuando la salida de IA llega a terceros o podría confundirse con contenido escrito por humanos o interactivo. Las respuestas internas mostradas a tu propio personal no disparan una obligación de etiquetado; conecta Glean a un portal de cara al cliente o a respuestas a socios y entonces etiquetas la salida solo para esa vía. Para la búsqueda puramente interna —el caso normal— no hay aviso de revelación que añadir.
Gobernanza de datos y control de acceso
Esta es la corriente de trabajo sustantiva: auditorías de permisos, conectores de origen de mínimo privilegio, registro de logs y revisión de conservación, y una política de confidencialidad para los repositorios sensibles.
Ejemplo práctico
Meridian Cloud, una empresa de SaaS B2B de la UE de 700 personas, conecta Glean a Slack, Google Drive, Jira y Confluence. La clasificación aterriza en riesgo mínimo: búsqueda interna de conocimiento, sin categoría del anexo III. El trabajo vinculante es una auditoría de permisos, que encuentra una carpeta de Drive heredada "para todo el personal" con documentos de RR. HH. —cartas de oferta firmadas, una hoja de bandas salariales— y la cierra antes del arranque. Imparten un módulo de 20 minutos del artículo 4 para los 700 empleados, añaden una entrada en el registro con la conclusión de riesgo mínimo y la fecha, y firman un acuerdo de tratamiento de Glean con residencia de datos en la UE confirmada. Sin pila de alto riesgo, sin evaluación de impacto relativa a los derechos fundamentales; el entregable dominante fue una carpeta que nadie sabía que estaba abierta.
Los casos límite de "alto riesgo" y el calendario que los rige
Glean solo se acerca al alto riesgo si un responsable del despliegue conecta su salida a una decisión del anexo III —por ejemplo, el cribado de empleo del anexo III, punto 4 (4(a) contratación, 4(b) durante el empleo)—. Incluso entonces es el flujo de cribado lo que se clasifica de alto riesgo, no la herramienta de búsqueda que tiene debajo.
Si construyes ese flujo, importa el artículo 25: un responsable del despliegue se convierte en proveedor —y hereda las obligaciones de proveedor— si pone su nombre en un sistema de alto riesgo, hace una modificación sustancial, o reutiliza un sistema de modo que pase a ser de alto riesgo. Apuntar la recuperación de Glean a una decisión sobre una persona es justo ese tipo de reutilización; la búsqueda interna no lo es.
En cuanto a las fechas, las obligaciones autónomas de alto riesgo del anexo III del artículo 6(2) tienen ya una fecha asentada: el 2 de diciembre de 2027. El Ómnibus Digital que la fija está adoptado —el Parlamento lo votó en pleno el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026—, y solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. El aplazamiento es un conjunto de fechas fijas de calendario, no un mecanismo de "parar el reloj". Planifica ya contra el 2 de diciembre de 2027 para cualquier flujo de alto riesgo que construyas.
Para un despliegue interno normal de Glean, ninguno de estos plazos aplica: las únicas obligaciones en vigor siguen siendo la alfabetización en IA del artículo 4 (desde el 2 de febrero de 2025) y la gobernanza de datos.
Cómo ayuda Confir
Añade Glean a tu inventario y el motor de clasificación de Confir pregunta cómo lo usas —papel, fuentes de datos, quién ve la salida— y luego mapea el uso de búsqueda interna a la categoría correcta. Para el caso normal devuelve riesgo mínimo, saca a la luz el breve conjunto de obligaciones reales (la alfabetización del artículo 4, una entrada en el registro, la corriente de trabajo de gobernanza de datos) y produce un registro de clasificación fechado y auditable. Describe la conexión de la salida a una decisión del anexo III y, en cambio, marca el cambio de papel del artículo 25.
El motor es determinista y basado en reglas: sin inferencia de modelos, sin alucinaciones. La misma entrada produce la misma conclusión, y la regla que se disparó está escrita en lenguaje claro para que cualquier revisor pueda comprobar por qué Glean aterrizó donde lo hizo.
Preguntas frecuentes
¿Es Glean AI de alto riesgo según la Ley de IA de la UE?
Casi nunca. La Ley de IA de la UE clasifica los sistemas por su finalidad prevista, no por el nombre del producto, y la búsqueda interna de conocimiento empresarial no es una categoría de alto riesgo del anexo III (artículo 6, anexo III). Para el responsable del despliegue típico que usa Glean para buscar y responder preguntas sobre su propio contenido de Slack, Drive y wiki, el despliegue es de riesgo mínimo: no se aplica ninguna pila de obligaciones de alto riesgo. Las obligaciones realistas son la alfabetización en IA del artículo 4 y la gobernanza de datos, no el régimen completo de cumplimiento de alto riesgo.
¿Qué significa realmente el reflejo de permisos de Glean para el cumplimiento?
Glean hereda los permisos existentes de cada usuario en los sistemas de origen, así que solo muestra a las personas lo que ya podían acceder. La trampa de cumplimiento es la escala: un índice unificado saca a la luz todo lo que un usuario está nominalmente autorizado a ver, al instante. Si tus permisos de Drive o SharePoint están caducos o son demasiado amplios, Glean sacará a la luz documentos que nadie esperaba que el personal encontrara. Eso no es un disparador de alto riesgo de la Ley de IA: es una exposición de gobernanza de datos y de seguridad de los artículos 5(1)(f) y 32 del RGPD, el riesgo práctico dominante para esta clase de herramientas.
¿Tengo que hacer algo según la Ley de IA de la UE antes de desplegar Glean?
Sí, pero la lista es breve. Imparte la alfabetización en IA del artículo 4 para que el personal entienda que las respuestas de Glean se sintetizan y necesitan verificación (en vigor desde el 2 de febrero de 2025). Registra Glean en tu registro de IA con su uso interno previsto y la clasificación de riesgo mínimo como diligencia básica del responsable del despliegue del artículo 26. Ejecuta una auditoría de permisos de origen antes de habilitarlo de forma amplia. Ninguna de las obligaciones de alto riesgo aplica a la búsqueda interna normal: no sobredimensiones el cumplimiento para una herramienta de riesgo mínimo.
¿Aplica la transparencia del artículo 50 a Glean?
Solo cuando la salida de IA de Glean llega a terceros o podría confundirse con contenido escrito por humanos o interactivo. Las respuestas internas mostradas a tu propio personal no activan el artículo 50. Si conectas Glean a un portal de cara al cliente o a respuestas de cara a socios, etiqueta la salida generada por IA para esa vía. Para la búsqueda interna pura de conocimiento —el caso normal— el artículo 50 no se activa, y no necesitas un aviso de revelación en los resultados de búsqueda del personal.
¿Quién se ocupa de las obligaciones de GPAI de los modelos detrás de Glean?
El proveedor del modelo de IA de uso general, no tú. Las obligaciones del capítulo V (artículos 51-55) —documentación técnica, información aguas abajo, política de derechos de autor, resumen de los datos de entrenamiento— recaen sobre el proveedor del modelo y aplican desde el 2 de agosto de 2025. Como responsable del despliegue de la aplicación Glean eres un responsable del despliegue según el artículo 26, no un proveedor de GPAI, así que te beneficias del cumplimiento aguas arriba sin heredar esas obligaciones de proveedor.
¿Podría usar Glean convertir alguna vez a mi organización en proveedor de un sistema de alto riesgo?
Solo si construyes un flujo de alto riesgo encima. Según el artículo 25, un responsable del despliegue se convierte en proveedor si pone su nombre en un sistema de alto riesgo, hace una modificación sustancial, o reutiliza un sistema de modo que pase a ser de alto riesgo. La búsqueda interna no hace esto. Pero si conectaras la salida de Glean directamente a, pongamos, el cribado de contratación (anexo III, punto 4), ese flujo podría convertirse en de alto riesgo y podrías asumir obligaciones de proveedor. Para la búsqueda normal de conocimiento, esto no surge.
¿Cuándo son los plazos de alto riesgo y afectan a Glean?
Para el uso interno normal de Glean no aplican: no hay ninguna obligación de alto riesgo que cumplir. Si construiste un flujo autónomo del anexo III encima, la fecha de referencia es el 2 de diciembre de 2027, ya adoptada bajo el Ómnibus Digital: el Parlamento la votó en pleno el 16 de junio de 2026 y el Consejo la adoptó formalmente el 29 de junio de 2026; solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026.
Guías relacionadas
- construye tu inventario de IA de la Ley de IA de la UE
- Riesgo de Microsoft 365 Copilot y obligaciones del responsable del despliegue
- Riesgo de fuga de datos de IA y controles
- detecta y gobierna la IA en la sombra
- Requisitos de transparencia del artículo 50
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →