Grammarly y el Reglamento de IA de la UE: guía de cumplimiento para el responsable del despliegue
Grammarly es un asistente de escritura de riesgo mínimo en el Reglamento de IA. Las obligaciones reales del responsable del despliegue.
No. Una empresa que usa Grammarly para redactar y editar textos no opera un sistema de IA de alto riesgo, y sobreclasificarlo desperdicia esfuerzo.
Grammarly es un asistente de escritura con IA —sugerencias de gramática, ortografía y tono, además de reescritura generativa— que funciona sobre modelos de uso general de terceros; no es un sistema que Grammarly entrene internamente para tomar una decisión regulada. Para la escritura corriente, la clasificación honesta es riesgo mínimo: sin evaluación de la conformidad, sin registro del artículo 49, sin nada del bloque de obligaciones del proveedor de los artículos 8 a 15 ni del artículo 16. La única obligación ya vigente es la alfabetización en IA del artículo 4; también puede surgir un único supuesto estrecho del artículo 50. Esta página cubre exactamente esas obligaciones y se resiste a fabricar un gancho de alto riesgo donde no lo hay.
Dónde se sitúa Grammarly en la jerarquía de riesgo del Reglamento de IA
El Reglamento de IA, el Reglamento (UE) 2024/1689, ordena las obligaciones según lo que hace un sistema, no según cómo se le llame. Grammarly ayuda a una persona que escribe textos, retoca la redacción y pide una reescritura. Esa actividad no encaja en ninguna categoría del anexo III en su uso normal: no hay puntuación de candidatos, ni decisiones de solvencia, ni identificación biométrica, ni triaje de servicios esenciales.
Tu papel es el de responsable del despliegue según el artículo 26. Las obligaciones del modelo de uso general subyacente (artículos 51 a 55) recaen en el proveedor del modelo que hay detrás de la herramienta, no en ti. Para una empresa que redacta correos, textos de marketing y documentos internos, la posición práctica es la siguiente:
- Sin evaluación de la conformidad y sin documentación técnica del artículo 11.
- Sin registro del artículo 49 en la base de datos de la UE y sin sistema de gestión de riesgos del artículo 9.
- La única obligación viva para toda organización: la alfabetización en IA del artículo 4, en vigor desde el 2 de febrero de 2025.
- Una única obligación estrecha de transparencia del artículo 50, que se trata más abajo.
Todo lo demás aquí consiste en hacer bien esas pocas cosas, y en la exposición al RGPD y a la confidencialidad que es, en la práctica, el riesgo más afilado.
Por qué Grammarly no es de alto riesgo en el uso de escritura corriente
El anexo III se define por caso de uso, no por tipo de herramienta — artículo 6(2)
El artículo 6(2) y el anexo III definen el alto riesgo por el caso de uso. Los ocho epígrafes del anexo III abarcan la biometría, las infraestructuras críticas, la educación, el empleo, los servicios esenciales, la aplicación de la ley, la migración y el control de fronteras, y la administración de justicia. Ayudar a una persona a escribir un texto no encaja en ninguno de ellos.
Incluso cerca de un flujo regulado, se aplica el filtro del artículo 6(3)
Incluso cuando el texto editado acaba tocando un proceso de RR. HH. o de concesión de crédito, el artículo 6(3) descarta un sistema que realiza una tarea estrecha, procedimental o puramente auxiliar que no influye sustancialmente en el fondo de una decisión humana. Un reclutador que pasa una carta de rechazo por Grammarly para ajustar el tono no ha dejado que Grammarly decida el rechazo. La evaluación debe documentarse, pero la edición corriente casi siempre queda fuera del alto riesgo.
El aplazamiento de alto riesgo del Ómnibus Digital
La norma de alto riesgo para los sistemas autónomos del anexo III pasa a fijarse en el 2 de diciembre de 2027. El Ómnibus Digital que fija ese aplazamiento ya está adoptado: el Parlamento lo votó en pleno el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026; se publicó en el DOUE el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026, fecha en la que hasta ahora regía el texto original. Si algún uso futuro de Grammarly llegara alguna vez al alto riesgo, la fecha de referencia es ya el 2 de diciembre de 2027.
La trampa del artículo 25
La única vía por la que el uso corriente se vuelve más pesado es el artículo 25: un responsable del despliegue se convierte en proveedor si pone su propio nombre o marca en el sistema, lo modifica sustancialmente o cambia su finalidad prevista a un uso de alto riesgo. Integrar la reescritura de Grammarly dentro de tu propio producto de marca que impulsa una decisión regulada cruza esa línea; redactar y editar tus propios documentos no. No sobreclasifiques: exagerar el riesgo quema tiempo escaso de cumplimiento en una herramienta que solo merece un conjunto de controles breve y proporcionado.
Alfabetización en IA del artículo 4: la única obligación que ya se aplica
El artículo 4 se aplica desde el 2 de febrero de 2025. Exige que el personal que usa herramientas de IA tenga un nivel de alfabetización en IA apropiado a su función y al contexto en el que se usa la herramienta.
Para Grammarly esto es ligero pero real. Quien lo usa debe entender que una reescritura generativa puede introducir errores de hecho o suavizar un matiz que el autor pretendía: una cláusula reescrita «para mayor claridad» puede cambiar una obligación contractual; un párrafo dulcificado puede eliminar un matiz que importaba.
Aquí la alfabetización no significa un curso formal para cada usuario. Una breve nota de uso aceptable, más orientación por funciones para el personal que publica externamente, es proporcionada. Lo que importa es que la medida exista y quede registrada en el mismo registro que usas para otras herramientas de riesgo mínimo: el artículo 4 es una obligación que no puedes satisfacer de forma retroactiva una vez que un mal uso ha causado un daño.
Gobernanza de datos y confidencialidad sobre el texto que procesa
La exposición real más afilada con Grammarly no es el nivel de riesgo del Reglamento de IA. Es lo que sale de tu perímetro en el texto que envías para revisión.
El RGPD va antes que el Reglamento de IA
Un uso profesional que trata datos personales necesita una base jurídica (artículo 6 del RGPD) y, para una relación de encargado del tratamiento, un contrato de encargo y la cobertura de subencargados (artículo 28 del RGPD), controles que las cuentas de nivel de consumidor suelen no tener. Los datos de categorías especiales, como notas de salud, expedientes disciplinarios o la afiliación sindical, activan el artículo 9 del RGPD y no deberían pegarse en un asistente de escritura general sin una base jurídica específica.
La confidencialidad es un problema distinto de la privacidad
Borradores de contratos, cifras financieras no publicadas y código fuente pegados para un repaso de «tono» son una fuga de secreto empresarial aunque no haya datos personales de por medio. El Reglamento de IA guarda silencio sobre eso; tus propias obligaciones de confidencialidad, no.
El control práctico es una política de tratamiento de datos que indique qué categorías de texto el personal no puede enviar, combinada con la preferencia por un nivel empresarial administrado con controles de conservación y de datos de entrenamiento. Esa misma política refuerza el registro de alfabetización del artículo 4.
El único lugar donde puede morder la transparencia del artículo 50
Las correcciones de gramática y tono de Grammarly no son «contenido generado por IA» a efectos del artículo 50. Ayudan a una persona que sigue siendo la autora del texto.
La obligación pertinente es el artículo 50(4): los responsables del despliegue de IA que genera o manipula texto publicado para informar al público sobre asuntos de interés público deben revelar que está generado artificialmente, con una excepción cuando una persona conserva la responsabilidad y la revisión editorial. El disparador realista es estrecho. Tendrías que usar la reescritura generativa para producir un texto sustancialmente escrito por la máquina y luego publicarlo a terceros como si lo hubiera redactado una persona, en un contexto de interés público como el comentario de actualidad.
Los textos de marketing corrientes, los memorandos internos y los borradores editados por una persona, en los que alguien es dueño del resultado, no cruzan esa línea. Las obligaciones de marcado de contenido del lado del proveedor del artículo 50(2) —la salida sintética marcada en un formato legible por máquina— se aplican desde el 2 de agosto de 2026 (el Ómnibus Digital, en vigor desde el 27 de julio de 2026, solo da hasta el 2 de diciembre de 2026 a los sistemas generativos ya introducidos en el mercado antes del 2 de agosto de 2026) y recaen en el proveedor de la IA generativa.
En caso de duda, mantén a una persona como responsable editorial de todo lo que se publique externamente. Eso satisface la excepción del artículo 50(4) y te mantiene al margen de cualquier debate sobre el marcado del lado del proveedor.
Grammarly en tu inventario de IA en la sombra: un ejemplo práctico
La tabla siguiente contrasta tres patrones de uso de Grammarly con su tratamiento bajo el Reglamento de IA, la obligación viva y el plazo.
| Patrón de uso | Tratamiento del riesgo | Obligación viva | Plazo |
|---|---|---|---|
| Redacción y edición internas | Riesgo mínimo | Solo alfabetización del artículo 4 | En vigor desde el 2 de febrero de 2025 |
| Texto de interés público sustancialmente generado por máquina y publicado como humano | Riesgo limitado | Transparencia del artículo 50(4) / excepción del editor humano | Desde el 2 de agosto de 2026; marcado del proveedor ya comercializado, a más tardar el 2 de diciembre de 2026 |
| Editar entradas de una decisión regulada de RR. HH. o de crédito | Evaluar con el filtro del artículo 6(3) — casi siempre sigue sin ser de alto riesgo | Documentar la evaluación | Norma de alto riesgo el 2 de diciembre de 2027 (aplazamiento del Ómnibus Digital, ya adoptado) |
El ejemplo práctico. Meridian Freight, una empresa de logística de la UE con 600 personas, realiza una auditoría de gastos y encuentra Grammarly instalado en 140 equipos que nadie había aprobado. El personal lo usa para pulir correos de clientes, informes internos y cartas a proveedores. Es IA en la sombra de manual, pero no es de alto riesgo.
La resolución se mide en horas, no en un programa de conformidad. Meridian registra Grammarly una vez en el inventario de IA, lo clasifica como riesgo mínimo con una nota de alfabetización del artículo 4, le adjunta una regla de tratamiento de datos que veta los datos personales de clientes y el texto de contratos, y le asigna un responsable. Esa es toda la respuesta.
Fíjate en la calibración de las sanciones para que nadie cunda el pánico. La mayoría de los incumplimientos del responsable del despliegue y de transparencia se sitúan en 15 millones de euros o el 3 % del volumen de negocios anual total mundial, lo que sea mayor (artículo 99(4)); facilitar información incorrecta a las autoridades se sitúa en 7,5 millones de euros o el 1 % (artículo 99(5)); las empresas que cumplen la definición de pyme tienen como tope el menor de los dos según el artículo 99(6).
Cómo ayuda Confir
Añade Grammarly al registro y el motor de Confir ejecuta la misma admisión en dos pasos que usa para cada herramienta: primero una comprobación de prácticas prohibidas del artículo 5 y, después, el encuadre del artículo 6 / anexo III. Para el uso de escritura corriente, el motor devuelve riesgo mínimo con el ítem de alfabetización del artículo 4 y una indicación de gobernanza de datos, no un hallazgo de alto riesgo fabricado. La justificación se redacta en lenguaje claro, vinculada al artículo concreto, para que un revisor pueda ver exactamente por qué Grammarly se clasificó como mínimo, y el razonamiento del artículo 6(3) si se introdujo un uso límite.
La lógica es determinista y basada en reglas —sin inferencia de modelos, sin alucinaciones—, de modo que la misma admisión arroja el mismo hallazgo. Eso hace que la clasificación sea defendible ante una auditoría y rápida de aplicar a un lote de herramientas de IA en la sombra de una sola sentada.
Preguntas frecuentes
¿Es Grammarly de alto riesgo bajo el Reglamento de IA de la UE?
No. Grammarly es un asistente de escritura con IA para gramática, tono y reescritura generativa, y el uso editorial corriente no encaja en ninguna categoría del anexo III según el artículo 6(2). Es de riesgo mínimo para un responsable del despliegue: sin evaluación de la conformidad, sin registro del artículo 49. Incluso cuando el texto editado alimenta un proceso de RR. HH. o de concesión de crédito, el filtro del artículo 6(3) suele excluir una herramienta que realiza una tarea estrecha y auxiliar que no influye en la decisión de fondo. La única obligación ya vigente es la alfabetización en IA del artículo 4, que se aplica desde el 2 de febrero de 2025.
¿Qué tenemos que hacer en realidad para usar Grammarly de forma conforme?
Tres cosas proporcionadas. Primero, satisfacer la alfabetización en IA del artículo 4 (en vigor desde el 2 de febrero de 2025): el personal debe entender que las reescrituras generativas pueden alterar el significado o introducir errores. Segundo, gobernar los datos: fija una política sobre qué categorías de texto el personal no puede enviar y prefiere un nivel empresarial administrado con controles del RGPD adecuados. Tercero, registra Grammarly una vez en tu inventario de IA y deja constancia de la clasificación de riesgo mínimo. Eso es unas pocas horas de trabajo, no un programa de conformidad.
¿Se aplica la transparencia del artículo 50 cuando usamos Grammarly?
Solo en un caso estrecho. Las correcciones de gramática y tono ayudan a una persona y no son contenido generado por IA. El artículo 50(4) impone una obligación de transparencia al texto generado o manipulado por IA publicado para informar al público sobre asuntos de interés público, e incluso entonces exime el contenido en el que una persona conserva la responsabilidad y la revisión editorial. Así que si mantienes a una persona como editora dueña del texto publicado externamente, la obligación no muerde. El marcado de contenido del lado del proveedor del artículo 50(2) se aplica desde el 2 de agosto de 2026; el Ómnibus Digital (en vigor desde el 27 de julio de 2026) solo da hasta el 2 de diciembre de 2026 a los sistemas generativos ya introducidos en el mercado antes del 2 de agosto de 2026.
¿Cuál es el riesgo real: el nivel del Reglamento de IA o los datos que pegamos?
Los datos, en la mayoría de los casos. El nivel del Reglamento de IA para Grammarly es mínimo, pero el texto que envías puede llevar datos personales (base jurídica del artículo 6 del RGPD, condiciones de encargado del artículo 28) o datos de categorías especiales (artículo 9 del RGPD), y las cuentas de nivel de consumidor a menudo carecen de los controles contractuales que ofrece un nivel empresarial. La confidencialidad es distinta de la privacidad: borradores de contratos, cifras financieras o código fuente pegados para edición son una fuga de secreto empresarial aun sin datos personales de por medio. Gobierna esto con una política clara de tratamiento de datos.
¿Podría usar Grammarly convertirnos alguna vez en proveedor?
Solo si vas más allá del uso editorial. Según el artículo 25, un responsable del despliegue se convierte en proveedor si pone su propio nombre o marca en el sistema, lo modifica sustancialmente o cambia su finalidad prevista a un uso de alto riesgo, por ejemplo, integrar la reescritura generativa dentro de tu propio producto de marca que influye en una decisión regulada. Redactar y editar tus propios documentos no hace nada de esto. Las obligaciones del modelo de uso general que hay detrás de la herramienta (artículos 51 a 55) recaen en el proveedor del modelo, no en ti.
¿Qué sanciones se aplican si gestionamos mal la gobernanza de Grammarly?
La exposición es modesta porque las obligaciones son ligeras. La mayoría de los incumplimientos del responsable del despliegue y de transparencia se sitúan en hasta 15 millones de euros o el 3 % del volumen de negocios anual total mundial (artículo 99(4)); facilitar información incorrecta a las autoridades llega hasta 7,5 millones de euros o el 1 % (artículo 99(5)). Las empresas que cumplen la definición de pyme reciben el tope del menor de los dos según el artículo 99(6). En la práctica, el mayor riesgo financiero de un asistente de escritura es una infracción del RGPD o un documento confidencial filtrado, no una multa del Reglamento de IA por una herramienta de riesgo mínimo.
Guías relacionadas
- crea tu inventario de sistemas de IA
- ChatGPT se clasifica por uso, no por nombre
- obligaciones de riesgo limitado explicadas
- requisitos de alfabetización en IA del artículo 4
- detectar la IA en la sombra en tu organización
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →