Google NotebookLM y el Reglamento de IA: riesgo mínimo, deberes de confidencialidad reales
Google NotebookLM es de riesgo mínimo para investigación interna. Los deberes reales son RGPD y confidencialidad de los archivos, más el art. 50 si
Para la organización que lo despliega, Google NotebookLM es de riesgo mínimo. Las obligaciones que de verdad importan no están en absoluto en el régimen de alto riesgo del Reglamento de IA: residen en el RGPD, la confidencialidad y lo que haces con las salidas.
NotebookLM es el asistente de investigación y toma de notas de Google. Subes tus propias fuentes —PDF, documentos de Google, páginas web, texto pegado— y las resume, responde preguntas ancladas únicamente en esas fuentes con citas en línea, y genera esquemas, guías de estudio e informes. Su rasgo distintivo es que se queda dentro de lo que le das: no clasifica personas, no puntúa candidatos ni toma decisiones sobre los derechos de nadie. Como trabajo interno de conocimiento, se sitúa en riesgo mínimo según el Reglamento (UE) 2024/1689. El trabajo a hacer es real, pero va sobre los documentos que le suministras y adónde va la salida, no sobre evaluaciones de la conformidad.
Esta página fija la base de riesgo mínimo, nombra los deberes de RGPD y confidencialidad que sí muerden, señala el único caso límite del artículo 50 y recorre un ejemplo práctico.
La base: riesgo mínimo
Resumir tus propios documentos, hacer preguntas sobre un corpus de investigación y generar informes internos no son actividades reguladas de alto riesgo. NotebookLM no toca ningún caso de uso del anexo III en su uso interno estándar, así que no hay registro, ni evaluación de la conformidad, ni documentación técnica del artículo 11, ni EIDF.
El único deber ya vigente para toda organización es la alfabetización en IA del artículo 4 (en vigor desde el 2 de febrero de 2025). El personal que depende de NotebookLM debería entender, de forma proporcionada a su rol, qué hace y dónde puede equivocarse. El anclaje en fuentes reduce el error, pero no lo elimina: un resumen aún puede tergiversar o sobregeneralizar una fuente, y las citas deberían comprobarse al azar. Ese entendimiento es, en la práctica, la obligación del artículo 4.
NotebookLM funciona sobre los modelos de IA de propósito general subyacentes de Google. Esos proveedores de modelos GPAI cargan con los deberes del capítulo V (artículo 53) para los modelos; eso queda aguas arriba de ti, no es una obligación del responsable del despliegue.
Lo que de verdad muerde: RGPD y confidencialidad sobre los documentos subidos
El riesgo genuino con NotebookLM no es su clasificación, sino lo que subes a él. Cada documento que añades es un dato que sale de tu control directo y entra en un servicio de terceros, lo que plantea dos deberes distintos.
RGPD. Si los documentos contienen datos personales —expedientes de clientes, registros de empleados, notas de reuniones con nombres de personas—, subirlos es un tratamiento conforme al RGPD. Necesitas una base lícita (artículo 6 del RGPD), un acuerdo de tratamiento de datos adecuado con Google para la versión que uses, claridad sobre la ubicación y la conservación de los datos, y una posición defendible sobre la minimización de datos. Los datos de categorías especiales (salud, etnia, religión, afiliación sindical) se rigen por el artículo 9 del RGPD y necesitan consentimiento explícito u otra base legal específica antes de acercarse a una subida. Los niveles de consumidor y empresa difieren en el tratamiento de datos y en los compromisos de entrenamiento; confirma en qué nivel estás y qué dicen sus términos antes de subir nada sensible.
Confidencialidad. Con independencia del RGPD, subir material comercialmente confidencial —contratos sin firmar, documentos de consejo, código fuente, secretos comerciales, documentos legales privilegiados— puede vulnerar acuerdos de confidencialidad, las condiciones de un encargo con un cliente o tu propia política de seguridad de la información. El modo de fallo más rápido en el mundo real aquí no es un regulador; es un empleado pegando un documento confidencial de un cliente en un cuaderno que el cliente nunca aceptó. Establece una política de uso aceptable que diga, en términos claros, qué categorías de documento pueden y no pueden subirse.
| Uso de NotebookLM | Qué lo gobierna |
|---|---|
| Resumir tu propia investigación publicada / no personal | Riesgo mínimo; alfabetización del artículo 4 |
| Subir documentos que contienen datos personales | RGPD (art. 6, ATD; art. 9 si son de categorías especiales) |
| Subir material confidencial / privilegiado | Acuerdo de confidencialidad / contrato / política de seguridad (no el Reglamento de IA) |
| Publicar externamente la salida de NotebookLM | Puede aplicar el marcado de contenido del artículo 50(2) |
El único caso límite del Reglamento de IA: publicar la salida
El uso interno se mantiene en mínimo. Pero si publicas externamente la salida generada por NotebookLM —un informe, un reporte, un resumen de audio generado por IA difundido al público—, puedes entrar en el artículo 50(2), que exige que el contenido sintético generado por IA se marque como tal de forma legible por máquina (con excepciones estrechas para edición claramente creativa o asistencial). El marcado de contenido se aplica desde el 2 de diciembre de 2026. Es un deber de divulgación, no una evaluación de la conformidad, y solo surge cuando la salida es para una audiencia más allá de tus propios muros. Usado como asistente interno de investigación, NotebookLM no lo activa.
Los plazos que aplican
Como NotebookLM es de riesgo mínimo en uso normal, la fecha del alto riesgo del 2 de diciembre de 2027 no te concierne a menos que de algún modo conectes sus salidas a una decisión regulada de alto riesgo. Lo que sí está vigente: la alfabetización del artículo 4 (desde el 2 de febrero de 2025), todos los deberes del RGPD (ahora) y —solo si publicas la salida externamente— el marcado de contenido del artículo 50(2) desde el 2 de diciembre de 2026. Las prohibiciones del artículo 5 también están en vigor, aunque el uso ordinario de investigación no las toca.
Ejemplo práctico: Meridian Advisory OÜ
Meridian Advisory OÜ, una consultora estonia con unos 40 empleados y unos 6 M€ de facturación, adopta NotebookLM en toda la firma. El panorama de cumplimiento gira por completo en torno a la higiene documental, no a la clasificación:
- Resumir textos regulatorios públicos y el liderazgo de pensamiento publicado por la propia firma para crear informes internos: riesgo mínimo. Alfabetización del artículo 4 para los consultores; nada más exigido.
- Un consultor sube la presentación estratégica confidencial de un cliente para consultarla más rápido: esta es la exposición real: trata los datos del cliente en una herramienta de terceros y puede vulnerar las condiciones de confidencialidad del encargo, con independencia del Reglamento de IA. La respuesta de Meridian es una política de uso aceptable de documentos (sin datos confidenciales de clientes ni personales sin autorización y un ATD) más formación del artículo 4, no una evaluación de la conformidad.
- Publicar un informe de mercado generado por NotebookLM para clientes y en su sitio web: Meridian lo marca como generado por IA para mantenerse limpia conforme al artículo 50(2) (marcado de contenido desde el 2 de diciembre de 2026).
Resultado neto: herramienta de riesgo mínimo, cero obligaciones de alto riesgo, pero un programa genuino de RGPD y confidencialidad en torno a lo que se sube, que es donde vive el riesgo real.
Cómo ayuda Confir
Registra NotebookLM en tu inventario de IA y el motor basado en reglas de Confir confirma la clasificación de riesgo mínimo, y luego te encamina a los deberes que de verdad aplican: el registro de alfabetización del artículo 4, el mapeo cruzado con el RGPD para documentos que contienen datos personales y la alerta del artículo 50(2) si publicas la salida externamente. El motor es determinista: la misma admisión produce el mismo resultado, y la regla que se disparó se muestra en lenguaje claro, de modo que un revisor puede ver exactamente por qué una herramienta de investigación cae en riesgo mínimo y dónde residen sus obligaciones reales.
Guías relacionadas
- riesgo mínimo de IA, explicado
- requisitos de alfabetización en IA del artículo 4
- correspondencia entre el RGPD y el Reglamento de IA
- obligaciones de transparencia del artículo 50
- riesgos de fuga de datos en herramientas de IA
- cómo clasificar la IA por uso
- gestión del inventario de sistemas de IA
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →