Lovable bajo la Ley de IA de la UE: el constructor es mínimo, la app que publicas no
Generar apps con Lovable es riesgo mínimo, como un asistente de código. La app que publicas se clasifica por su uso y eres su proveedor. Chatbots art. 50.
El acto de generar código con Lovable es de riesgo mínimo. La aplicación que publicas con él es un sistema de IA aparte que debes clasificar por sí mismo —y eres su proveedor o su responsable del despliegue.
Lovable es un constructor de apps de IA de la categoría «vibe coding»: describes una app en lenguaje natural y genera aplicaciones web listas para producción —front-end, back-end, autenticación, despliegue. Usado así, es un asistente de código, como otras herramientas de generación de código. Generar tu propio software con él no activa una obligación obligatoria de la Ley de IA de la UE. La pregunta regulatoria vive un nivel más arriba: ¿qué hace realmente la app que construiste y publicaste? Esa app es su propio sistema de IA (si incrusta IA), clasificado por su finalidad prevista bajo el artículo 6, y respondes por ella como su proveedor o responsable del despliegue —no Lovable.
Esta página separa la herramienta de lo que haces con ella, señala la trampa del artículo 50 para los chatbots que la gente construye, y ofrece un ejemplo trabajado.
El constructor en sí: riesgo mínimo
Usar Lovable para generar una app web es funcionalmente un uso de generación de código. Como cualquier asistente de código, el paso de generación no clasifica, puntúa ni decide nada sobre una persona —produce software. Eso se sitúa en riesgo mínimo bajo el Reglamento (UE) 2024/1689, sin registro, sin evaluación de la conformidad, sin documentación del artículo 11 por el acto de construir.
El único deber permanente es la alfabetización en IA del artículo 4 (en vigor desde el 2 de febrero de 2025): las personas que usan Lovable deben entender, de forma proporcionada a su rol, que el código generado puede contener errores, patrones inseguros o problemas de licencia y debe revisarse —exactamente como revisarías cualquier código generado por IA antes de que llegue a producción.
El motor de generación de Lovable funciona sobre modelos de IA de propósito general de terceros. Esos proveedores de modelos GPAI cargan con las obligaciones del capítulo V (artículo 53) sobre los propios modelos; eso está aguas arriba de ti.
La app que publicas: clasificada por separado, por su uso
Aquí está el movimiento que pilla a la gente. La app web que Lovable produce para ti es un producto distinto. Si esa app contiene una función de IA, es su propio sistema de IA, y la clasificas por lo que hace:
| La app que construyes con Lovable | Nivel probable |
|---|---|
| Un panel interno o un sitio de marketing, sin función de IA que afecte a personas | Mínimo |
| Un chatbot o asistente de IA dirigido al cliente | Limitado — transparencia del artículo 50 |
| Una app que genera texto/imágenes sintéticos para el público | Limitado — marcado de contenido del artículo 50(2) |
| Una herramienta que criba o clasifica candidatos a un empleo | Alto riesgo — anexo III, punto 4(a) |
| Una función de solvencia o calificación crediticia | Alto riesgo — anexo III, punto 5(b) |
El método de generación es irrelevante para el nivel de la app —una app de cribado de selección es de alto riesgo tanto si la programaste a mano como si la construiste en Lovable en una tarde. Ejecuta el filtro del artículo 6(3) sobre cualquier candidato del anexo III (tarea procedimental acotada, trabajo preparatorio, mejorar una actividad humana ya completada → no de alto riesgo; pero elaborar perfiles de personas físicas → siempre de alto riesgo), y documenta el resultado.
El caso más común: un chatbot del artículo 50. Lovable se usa mucho para montar chatbots y asistentes de IA dirigidos al cliente. Si publicas uno, el artículo 50(1) te exige decir a los usuarios que interactúan con un sistema de IA salvo que sea obvio por el contexto; si genera contenido sintético, el artículo 50(2) exige que ese contenido se marque de forma legible por máquina como generado por IA (el marcado de contenido aterriza el 2 de diciembre de 2026). La transparencia del artículo 50 para la interacción con IA aplica desde el 2 de agosto de 2026. Las infracciones del artículo 50 se sitúan en el tramo de sanción de 15 M€/3 % (artículo 99(4)).
Tu rol: proveedor o responsable del despliegue de la app
Cuando construyes una app en Lovable y la introduces en el mercado o la pones en servicio con tu propio nombre, eres el proveedor de esa app bajo el artículo 3(3) —y si la app es de alto riesgo, aplica la pila del artículo 16 (gestión de riesgos art. 9, gobernanza de datos art. 10, documentación técnica art. 11/anexo IV, supervisión humana art. 14, evaluación de la conformidad art. 43, registro art. 49, declaración de conformidad art. 47). Esta es la realidad de la cadena de valor del artículo 25: publicar un sistema de alto riesgo bajo tu marca te convierte en su proveedor, sin más.
Si en cambio construyes una herramienta interna que solo usas tú, eres su responsable del despliegue (artículo 26): úsala con sensatez, mantén la supervisión, registra donde se requiera. La mayoría de las empresas que construyen con Lovable acaban siendo proveedor de apps dirigidas al cliente y responsable del despliegue de las internas. En cualquier caso, las obligaciones se adhieren a ti, no al constructor que usaste.
El RGPD corre por debajo de todo ello: cualquier app que maneje datos personales necesita una base lícita (artículo 6 del RGPD) y los controles habituales de protección de datos, con independencia de cómo se construyera.
El plazo
Si tu app publicada es de alto riesgo autónoma del anexo III, las obligaciones aplican desde el 2 de diciembre de 2027 bajo el aplazamiento del Ómnibus Digital acordado por el Parlamento y el Consejo en mayo de 2026. Ese aplazamiento ya está adoptado —el Parlamento votó en pleno el 16 de junio de 2026 y el Consejo lo adoptó el 29 de junio de 2026; entra en vigor con la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026—, así que el alto riesgo autónomo del anexo III se aplica desde el 2 de diciembre de 2027. La transparencia del artículo 50 para chatbots y contenido generado es una fecha del 2 de agosto de 2026 (no aplazada), con el marcado de contenido desde el 2 de diciembre de 2026. La alfabetización del artículo 4 y las prohibiciones del artículo 5 están en vigor ya.
Ejemplo trabajado: Cobalt Studio OÜ
Cobalt Studio OÜ, un estudio de producto estonio con ~30 empleados y ~4 M€ de facturación, publica tres cosas construidas en Lovable:
- Un panel interno de proyectos para su propio equipo, sin función de IA que toque a personas — riesgo mínimo. Nada que hacer más allá de la alfabetización del artículo 4.
- Un chatbot de soporte al cliente incrustado en la web de un cliente — riesgo limitado bajo el artículo 50. Cobalt, como proveedor de esta app, debe asegurar que el bot revele que es un sistema de IA (art. 50(1)) y que cualquier contenido generado por IA se marque (art. 50(2)). La transparencia aplica desde el 2 de agosto de 2026; el marcado de contenido desde el 2 de diciembre de 2026.
- Una app web de preselección de candidatos que Cobalt construye para un cliente de RR. HH. y publica bajo el nombre de Cobalt — alto riesgo, anexo III, punto 4(a). Cobalt es el proveedor (artículo 16): pila completa de los art. 9 a 15, evaluación de la conformidad (art. 43), registro (art. 49), declaración de conformidad (art. 47). Plazo: 2 de diciembre de 2027, fijado por el Ómnibus Digital, adoptado en junio de 2026. Para Cobalt, una pyme, cualquier multa se limita a la menor del porcentaje o la cantidad fija bajo el artículo 99(6).
El constructor fue mínimo en todos los casos. Las tres apps aterrizan en tres niveles distintos —fijados por el uso, no por la herramienta.
Cómo ayuda Confir
Registra cada app que publicas desde Lovable como su propio sistema de IA, y el motor basado en reglas de Confir la clasifica por su finalidad prevista, no por cómo se construyó. Señala la divulgación del chatbot del artículo 50, separa una herramienta interna mínima de una de alto riesgo del anexo III, y deriva si eres proveedor o responsable del despliegue mediante la lógica del artículo 25. El motor es determinista —misma entrada, misma conclusión— y muestra la regla que se activó en lenguaje claro para que cualquier revisor la compruebe.
Guías relacionadas
- Article 50 transparency obligations
- classifying a customer support chatbot
- Article 25 value-chain responsibilities
- provider vs deployer explained
- minimal-risk AI explained
- Article 6 high-risk classification
- AI system inventory management
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →