monday.com AI y el Reglamento de IA: un Work OS que se clasifica por su uso
monday.com AI es de riesgo mínimo en uso normal. Lo que importa: alfabetización (art. 4), aviso del art. 50 y la única vía al anexo III: los tableros de RR. HH.
Riesgo mínimo en casi todos los despliegues, pero monday.com es lo bastante configurable como para que la respuesta dependa de lo que construyas. monday.com AI aporta su inteligencia mediante bloques de IA que se insertan en columnas, automatizaciones y en el creador de flujos de trabajo, además de los agentes de IA nativos que los equipos pueden configurar y desplegar. Cuando se usa para resumir actualizaciones, clasificar elementos, redactar texto y automatizar tareas rutinarias del tablero, esa actividad no coincide con ninguna de las finalidades de alto riesgo del anexo III. Se sitúa en riesgo mínimo. Como monday es un sistema operativo de trabajo y no una aplicación de finalidad fija, la clasificación sigue al flujo de trabajo que montas, no a la marca de la pantalla de inicio de sesión.
Esta guía es para el responsable del despliegue. El proveedor del modelo de IA de propósito general que hay debajo carga con las obligaciones del capítulo V (artículos 51 a 55, en vigor desde el 2 de agosto de 2025); tus deberes son ligeros: alfabetización en IA del artículo 4, una parte estrecha de la transparencia del artículo 50 y el gobierno de dónde se ejecutan realmente tus bloques y agentes de IA. La configurabilidad es lo que hay que vigilar: un bloque de IA montado sobre el tablero equivocado es la única vía realista hacia un nivel más exigente.
Clasifica el flujo de trabajo, no el Work OS
La pregunta correcta no es «¿es monday.com AI de alto riesgo?», sino «¿es de alto riesgo este flujo de trabajo que he construido?». Para seguimiento de proyectos, embudos tipo CRM, calendarios de marketing y tableros de operaciones, la respuesta es no. El anexo III, leído junto con el artículo 6(2), enumera las finalidades de alto impacto que convierten en alto riesgo a un sistema autónomo: empleo y gestión de trabajadores, acceso a servicios esenciales, solvencia crediticia, educación, infraestructuras críticas, biometría. Un bloque de IA que resume la actualización de un proyecto o asigna una tarea según la carga de trabajo no es ninguna de esas cosas.
Como monday te deja componer libremente columnas de IA, automatizaciones y agentes, dos empresas pueden ejecutar el mismo producto en dos niveles distintos. El producto es de riesgo mínimo por defecto; un flujo de trabajo concreto que montas —pongamos, un agente de IA que puntúa candidatos a un puesto en un tablero de selección— es lo que podría cambiar la respuesta. Las obligaciones pesadas del modelo, mientras tanto, quedan aguas arriba con quien entrenó el modelo fundacional que hay detrás de los bloques de IA. Conforme a los artículos 51 a 55, ese proveedor sostiene la documentación técnica, el resumen de los datos de entrenamiento y los deberes de política de derechos de autor; tú te beneficias sin heredarlos. El rol determina la obligación, y el tuyo es responsable del despliegue (artículo 26).
Qué activa realmente un deber, y qué no
Riesgo mínimo: automatización cotidiana del tablero
Los bloques de IA que resumen elementos, clasifican o etiquetan entradas, extraen datos, redactan texto y automatizan movimientos rutinarios del tablero sobre tus propios datos operativos no conllevan evaluación de la conformidad, ni documentación técnica del artículo 11, ni expediente del anexo IV, ni registro del artículo 49. Así es como los equipos usan monday.com AI en su mayor parte, y no atrae ninguna obligación obligatoria del Reglamento de IA más allá de la alfabetización.
Riesgo limitado: cuando un agente se dirige a personas externas (artículo 50)
La transparencia del artículo 50 muerde donde la salida de la IA cruza hacia personas ajenas a tu organización. Un agente de IA de monday que responde a clientes externos, o una automatización que envía mensajes redactados por IA a personas fuera de tu equipo, activa el artículo 50(1): esas personas deben saber que están tratando con un sistema de IA, salvo que resulte evidente. Es un deber de diseño del proveedor del sistema, pero si el agente lo montas tú y lo presentas con tu marca, asegúrate de que el aviso está ahí (y, si lo ofreces como sistema propio, el deber pasa a ser tuyo). La automatización interna del tablero nunca llega a un tercero, así que para la mayoría de los usos de monday AI el artículo 50 no aplica.
La única vía hacia el alto riesgo: lo que montas en un tablero de RR. HH.
monday se usa mucho para gestionar procesos de selección, incorporaciones, evaluaciones del desempeño y planificación de plantilla. En el momento en que un bloque o agente de IA en uno de esos tableros produce una decisión sobre personas —ordenar candidatos, descartar aspirantes, puntuar a empleados para promoción, evaluación o asignación de tareas que fija las condiciones de alguien—, entras en el anexo III, punto 4, empleo y gestión de trabajadores. El punto 4(a) cubre la selección y contratación; el punto 4(b) cubre las decisiones sobre personas que ya están en plantilla.
Esto es una elección de construcción, no cómo se comporta monday.com AI de fábrica. Un bloque de IA que etiqueta una candidatura entrante por región es administrativo; un agente de IA que ordena a los aspirantes en una lista corta es un sistema de decisión en selección. Incluso cuando hay un uso del anexo III en juego, el filtro del artículo 6(3) puede sacar de ámbito un uso procedimental estrecho —por ejemplo, cuando la IA solo mejora una evaluación humana ya completada sin influir en el resultado—, pero todo sistema que elabore perfiles de una persona física es siempre de alto riesgo, lo que mantiene estrecha esa salida en un tablero que afecta a personas.
Los tres deberes realistas para un responsable del despliegue de monday.com AI
Artículo 4: alfabetización en IA para quienes construyen y usan los bloques
El artículo 4 se aplica desde el 2 de febrero de 2025 y te vincula sea cual sea el nivel de riesgo; en su redacción modificada por el Digital Omnibus (desde el 27 de julio de 2026) exige adoptar medidas para apoyar el desarrollo de la alfabetización en IA del personal, sin garantizar un nivel concreto por persona. Quienes configuran columnas y agentes de IA necesitan especialmente entender qué puede y qué no puede hacer con fiabilidad un bloque de IA: que un resumen omite, que una clasificación puede equivocarse, que un mensaje redactado por IA necesita una revisión humana antes de salir de la empresa. Una breve nota de uso aceptable más orientación adecuada a cada rol cumplen con esto; no se exige un programa formal en riesgo mínimo.
Artículo 50: divulgación cuando un agente o automatización se dirige a personas externas
Aplica la divulgación del artículo 50 solo cuando la salida de monday AI llega a terceros: un aviso de «interacción con IA» en cualquier agente de cara al cliente o automatización externa. El artículo 50 se aplica en su totalidad desde el 2 de agosto de 2026; el 2 de diciembre de 2026 es solo el plazo transitorio del marcado del artículo 50(2) para sistemas generativos ya comercializados antes de que el artículo 50 empezara a aplicarse (artículo 111(4)). Para la automatización puramente interna, la obligación está vacía, porque no se produce nada externo.
Gobernar lo que se construye: el deber que el Reglamento presupone que tienes
La fuerza de monday —cualquiera puede montar un bloque de IA o desplegar un agente sin código— es también donde puede aparecer un uso de alto riesgo sin gobernar. El Reglamento presupone que sabes qué IA ejecutas y sobre qué datos. Incluye monday.com AI en tu inventario, registra qué tableros y categorías de datos pueden tocar los bloques y agentes de IA, y establece una regla por la que los tableros que deciden sobre personas pasen una comprobación de clasificación antes de que un bloque de IA entre en producción. Ese único control es lo que evita que una automatización de RR. HH. bienintencionada se convierta en silencio en un sistema del anexo III sin evaluar.
Un punto de gobierno de datos va junto a estos: el RGPD se aplica con independencia del Reglamento de IA, así que confirma una base lícita y un acuerdo de tratamiento de datos antes de que datos personales o de categorías especiales fluyan hacia columnas de IA o prompts de agentes.
Mapa de obligaciones de monday.com AI por caso de uso
La tabla asigna patrones habituales a su nivel de riesgo, el deber que cada uno activa y la referencia. Predominan el mínimo y el limitado; solo las filas de empleo construidas a propósito alcanzan el alto riesgo.
| Caso de uso | Nivel de riesgo | Deber activado | Referencia |
|---|---|---|---|
| Bloques de IA que resumen, etiquetan y automatizan tableros internos | Mínimo | Solo alfabetización (art. 4) | Artículo 6(2) / anexo III (ninguno aplica) |
| Agente de IA que responde a clientes externos | Limitado | Aviso de interacción con IA | Artículo 50(1) |
| Contenido generado por IA publicado externamente | Limitado | Revelar deepfakes o texto de interés público (el marcado del art. 50(2) es del proveedor) | Artículo 50(4) |
| Agente de IA que puntúa u ordena candidatos a un puesto | Alto riesgo (si se construye así) | Deberes del responsable del despliegue + información a los trabajadores | Anexo III, punto 4(a), artículo 26 |
| IA que impulsa decisiones laborales en un tablero de RR. HH. | Alto riesgo (si se construye así) | Deberes del responsable del despliegue + información a los trabajadores | Anexo III, punto 4(b), artículo 26 |
| Datos personales que fluyen a columnas de IA o prompts de agentes | Capa RGPD (no Reglamento de IA) | Base lícita / acuerdo de datos | RGPD, no el Reglamento de IA |
La columna del nivel lleva el mensaje: mínimo por defecto, alto riesgo solo en un tablero que apuntas deliberadamente a decisiones sobre personas.
Ejemplo práctico: una scale-up de 160 personas usa monday en toda la empresa
Talvio OÜ, una scale-up de tecnología logística de 160 personas en Tallin con unos 24 M€ de facturación, usa monday.com en operaciones, marketing y soporte. Los bloques de IA resumen incidencias de entregas, clasifican los tickets entrantes y redactan notas de estado internas; un agente de IA responde preguntas rutinarias de clientes externos en un portal de soporte.
La automatización de operaciones y marketing es de riesgo mínimo; la alfabetización del artículo 4 es el único deber. El agente de soporte externo activa el artículo 50(1): un aviso claro de que los clientes están hablando con un agente de IA. No hay ninguna finalidad del anexo III en juego, así que no se adhiere ninguna obligación de alto riesgo. La lista de acciones es una entrada de inventario, una nota de alfabetización de una página, un aviso de interacción en el agente de soporte y una regla de datos que mantenga los datos de categorías especiales de clientes fuera de los prompts del agente (capa del artículo 9 del RGPD).
Ahora la contrahipótesis. El equipo de personas de Talvio construye más tarde un tablero de selección donde un agente de IA de monday puntúa y ordena a los aspirantes y rechaza automáticamente al tramo inferior. Ese único flujo de trabajo pasa a ser de alto riesgo del anexo III, punto 4(a), arrastrando, desde el 2 de diciembre de 2027, los deberes del responsable del despliegue del artículo 26 (supervisión humana, conservación de logs e información previa a los representantes de los trabajadores del artículo 26(7)), porque Talvio está desplegando un sistema de IA para seleccionar candidatos, un uso de alto impacto de la lista. La evaluación de impacto del artículo 27 no le aplica: Talvio es una empresa privada que no presta servicios públicos, y para ese tipo de responsables del despliegue el artículo 27 solo alcanza a los usos de solvencia y seguros del anexo III, punto 5(b) y (c). Es un sistema nuevo y deliberado, no el despliegue descrito, que sigue siendo un ejercicio de inventario y política de media jornada.
Plazos y sanciones: proporcionados, no alarmistas
Las fechas asentadas: la alfabetización en IA del artículo 4 y las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025; las obligaciones de GPAI (artículos 51 a 55) desde el 2 de agosto de 2025; todo el artículo 50 desde el 2 de agosto de 2026, incluido el marcado de contenido (con un plazo transitorio hasta el 2 de diciembre de 2026 solo para los sistemas generativos ya comercializados antes de que el artículo 50 empezara a aplicarse, artículo 111(4)).
El calendario del alto riesgo importa aquí solo como contingencia. El alto riesgo autónomo del anexo III se aplica desde el 2 de diciembre de 2027 (originalmente el 2 de agosto de 2026): el Digital Omnibus que aplazó ese plazo —Reglamento (UE) 2026/1744, aprobado por el Parlamento Europeo el 16 de junio de 2026 y por el Consejo el 29 de junio de 2026— se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026. El aplazamiento es una fecha de calendario fija, no la versión «parar el reloj» dependiente de normas que se rechazó.
Sobre las sanciones: el incumplimiento del artículo 50 y de la mayoría de las obligaciones del responsable del despliegue conlleva multas de hasta 15 millones de euros o el 3 % del volumen de negocios anual mundial total, lo que sea mayor (artículo 99(4)). El incumplimiento de prácticas prohibidas del artículo 5 llega a 35 millones de euros o el 7 % (artículo 99(3)). Facilitar información incorrecta o engañosa a las autoridades conlleva hasta 7,5 millones de euros o el 1 % (artículo 99(5)). Para pymes y empresas emergentes, cada multa se limita al menor de los dos importes, el porcentaje o la cantidad fija (artículo 99(6)). Para la automatización de tableros de riesgo mínimo no hay exposición a multas más allá de acertar con la divulgación ligera.
Cómo ayuda Confir
Incluye monday.com AI en el registro de IA de Confir y responde a las preguntas de admisión sobre rol, caso de uso, tipos de datos y audiencia, y, como monday es configurable, clasifica el flujo de trabajo concreto en lugar del producto en su conjunto. El motor determinista y basado en reglas —sin inferencia de modelos, sin alucinaciones— deriva el nivel (mínimo, la franja limitada del artículo 50 o la vía de empleo del anexo III) y la lista de obligaciones correspondiente, indicando en lenguaje claro la regla exacta que se ha disparado. El resultado es un registro fechado y reproducible de por qué cada flujo de trabajo de IA se clasificó como se clasificó, y una alerta en el momento en que alguien apunta un bloque de IA hacia una decisión sobre personas.
Guías relacionadas
- crea tu inventario de sistemas de IA
- detecta la IA en la sombra en tu espacio de trabajo
- qué significa riesgo mínimo según el Reglamento
- ¿es de alto riesgo la IA de cribado en selección?
- IA de decisión laboral y el anexo III
- obligaciones de transparencia del artículo 50
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →