n8n AI y el Reglamento de IA: clasifica cada flujo de trabajo, no la herramienta
n8n es de riesgo mínimo como herramienta. Cada flujo se clasifica por lo que hace: cribar CV es alto riesgo del anexo III; un chatbot activa el art. 50.
n8n es de riesgo mínimo como herramienta. Pero eso no te dice casi nada, porque cada flujo de trabajo de IA que construyas en ella hay que clasificarlo por separado, según lo que ese flujo hace.
n8n es una plataforma de automatización de flujos de trabajo con capacidades de IA: un editor visual basado en nodos, cientos de integraciones y un conjunto de nodos de IA (construidos sobre LangChain) que te permiten conectar LLM, recuperación, memoria y «agentes» autónomos dentro de las automatizaciones. Se puede autoalojar. Como pieza de infraestructura de automatización, n8n no tiene un nivel de riesgo propio en el Reglamento de IA. Los objetos regulados son los sistemas de IA que montas dentro de ella, y una sola instancia de n8n puede ejecutar una automatización interna inofensiva junto a otra que criba candidatos a un puesto. La primera es mínima; la segunda es de alto riesgo del anexo III.
Esta página muestra cómo clasificar flujo a flujo, dónde el cambio de proveedor del artículo 25 atrapa a los integradores, y recorre un ejemplo práctico.
La herramienta es mínima; el flujo de trabajo es la unidad de análisis
Trata n8n como lo trata el Reglamento: como fontanería. Construir un flujo que mueve datos entre sistemas, publica una notificación o resume un documento interno es de riesgo mínimo según el Reglamento (UE) 2024/1689: sin registro, sin evaluación de la conformidad, sin documentación del artículo 11. El único deber permanente es la alfabetización en IA del artículo 4 (vigente desde el 2 de febrero de 2025) para quienes construyen estos flujos y dependen de ellos.
Pero «n8n es mínima» no es una conclusión de cumplimiento. La pregunta correcta se hace por flujo: ¿qué hace esta automatización, a quién o para quién? Cada flujo habilitado con IA es su propio sistema de IA, clasificado por finalidad prevista según el artículo 6.
| Lo que hace un flujo de n8n | Nivel probable |
|---|---|
| Sincronizar registros, enrutar tickets, resumir un documento interno | Mínimo |
| Clasificar / responder automáticamente en un chatbot de clientes | Limitado: artículo 50 |
| Generar contenido sintético de cara al público | Limitado: marcado del artículo 50(2) |
| Cribar, ordenar o filtrar candidatos a un puesto / CV | Alto riesgo: anexo III, punto 4 |
| Puntuar la solvencia crediticia | Alto riesgo: anexo III, punto 5(b) |
| Inferir las emociones de los empleados | Prohibido: artículo 5(1)(f) |
El caso del cribado de CV es el que hay que vigilar. Es genuinamente fácil construir un flujo de n8n que recoge los CV entrantes, los envía a un nodo de LLM y ordena o filtra candidatos. Eso es IA usada para selección o contratación —anexo III, punto 4(a)— y el flujo es de alto riesgo, con todos los deberes del responsable del despliegue (y posiblemente del proveedor) que de ello se derivan. La sencillez visual oculta el peso regulatorio. A la inversa, un flujo de chatbot de clientes activa el deber de transparencia más ligero del artículo 50. Aplica el filtro del artículo 6(3) a cualquier flujo del anexo III (tarea procedimental estrecha / trabajo preparatorio / mejorar una actividad humana ya completada → no es alto riesgo; elaboración de perfiles de personas físicas → siempre alto riesgo), y documéntalo.
El giro del artículo 25: cuando el integrador se convierte en proveedor
La mayoría de las empresas usan n8n como responsable del despliegue, construyendo automatizaciones internas que ejecutan ellas mismas, con los deberes del artículo 26 (uso conforme a las instrucciones, supervisión humana según el artículo 14 de cualquier salida que afecte a una persona, conservación de registros, información a los trabajadores cuando proceda).
Pero el artículo 25 cambia el rol si integras un flujo en un producto y lo comercializas con tu propio nombre o marca, o modificas sustancialmente un sistema hacia un uso de alto riesgo. Una agencia que empaqueta una automatización de cribado basada en n8n y la vende a sus clientes bajo su propia marca se convierte en el proveedor de ese sistema de alto riesgo, heredando el conjunto del artículo 16: gestión de riesgos (art. 9), gobernanza de datos (art. 10), documentación técnica (art. 11 / anexo IV), supervisión humana (art. 14), evaluación de la conformidad (art. 43), registro (art. 49), declaración de conformidad (art. 47). Las obligaciones de GPAI quedan aguas arriba con el proveedor del modelo que alimenta tus nodos de IA (capítulo V, artículo 53); tu deber recae sobre el flujo-como-sistema que comercializaste.
El plazo
Si un flujo es de alto riesgo autónomo del anexo III, las obligaciones se aplican desde el 2 de diciembre de 2027 conforme al aplazamiento del Digital Omnibus acordado por el Parlamento y el Consejo en mayo de 2026. Ese aplazamiento ya está adoptado: el Parlamento votó en pleno el 16 de junio de 2026 y el Consejo lo adoptó el 29 de junio de 2026; entra en vigor con la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. La transparencia de chatbot del artículo 50 es una fecha del 2 de agosto de 2026 (no aplazada); el marcado de contenido aterriza el 2 de diciembre de 2026. La alfabetización del artículo 4 y las prohibiciones del artículo 5 —incluida la prohibición del reconocimiento de emociones— ya están en vigor.
Ejemplo práctico: Bramble Automations OÜ
Bramble Automations OÜ, una agencia de automatización estonia con unos 25 empleados y unos 3 M€ de facturación, ejecuta una instancia autoalojada de n8n con tres flujos en producción:
- Un notificador interno de «nuevo acuerdo» que vigila el CRM y publica en el chat: pura fontanería, riesgo mínimo. Nada exigido más allá de la alfabetización del artículo 4.
- Un chatbot de soporte del sitio web que Bramble construyó para sí misma: riesgo limitado, artículo 50: debe revelar a los visitantes que están hablando con un sistema de IA (art. 50(1)) y marcar cualquier contenido generado (art. 50(2)). Se aplica desde el 2 de agosto de 2026.
- Un flujo de clasificación de CV que Bramble construyó para un cliente de selección de personal y comercializa bajo su propia marca: este recoge los CV de los aspirantes en un nodo de LLM y produce una lista corta ordenada. Eso es anexo III, punto 4(a), alto riesgo, y, como Bramble lo vende con su propio nombre, el giro del artículo 25 convierte a Bramble en el proveedor (artículo 16): el conjunto completo de los artículos 9 a 15, evaluación de la conformidad (art. 43), registro (art. 49). El abogado de Bramble también confirma que un cuarto flujo propuesto —inferir si los entrevistados sonaban «seguros» a partir del audio— está prohibido según el artículo 5(1)(f) si se ejecuta sobre el propio personal del cliente, y se descarta. Plazo para el flujo de cribado: 2 de diciembre de 2027 (Ómnibus Digital adoptado). El límite de multa para pymes del artículo 99(6) se aplica a Bramble.
Una instancia, cuatro flujos, cuatro respuestas distintas: exactamente por qué clasificas el flujo, no la herramienta.
Cómo ayuda Confir
Registra cada flujo de n8n como su propio sistema de IA, y el motor basado en reglas de Confir lo clasifica por lo que el flujo hace —separando un notificador interno (mínimo) de un chatbot (artículo 50) de un flujo de cribado de CV (alto riesgo del anexo III)— y deriva si eres responsable del despliegue o, vía artículo 25, proveedor. El motor es determinista: la misma admisión arroja el mismo resultado, y la regla que se disparó está escrita en lenguaje claro, de modo que un integrador que ejecuta decenas de flujos puede auditar cada veredicto.
Guías relacionadas
- IA de cribado en selección y el anexo III
- obligaciones de transparencia del artículo 50
- responsabilidades en la cadena de valor del artículo 25
- cumplimiento de la IA agéntica
- proveedor frente a responsable del despliegue, explicado
- ¿es de alto riesgo mi IA?
- gestión del inventario de sistemas de IA
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →