Notion AI y el Reglamento de IA: guía de cumplimiento para el responsable del despliegue
Notion AI suele ser de riesgo mínimo o limitado. Deberes reales: alfabetización (art. 4), transparencia (art. 50) y control de la IA en la sombra.
Probablemente no es de alto riesgo. Para una empresa que lo despliega, Notion AI es un asistente de productividad integrado —redacta, resume, traduce, responde preguntas sobre tu propio espacio de trabajo— construido sobre un modelo de IA de propósito general de terceros. Esa actividad no coincide con ninguna de las finalidades de alto riesgo del anexo III. En uso normal se sitúa en riesgo mínimo o limitado, punto.
Esta guía es para el responsable del despliegue, no para el creador del modelo. La empresa que entrenó el modelo subyacente carga con las obligaciones de GPAI del capítulo V (artículos 51 a 55, en vigor desde el 2 de agosto de 2025); tus deberes son ligeros: alfabetización en IA del artículo 4, transparencia ligera del artículo 50 y gobierno de la IA en la sombra, más una vía estrecha que podría cambiar el nivel. El problema particular de Notion AI es que se activa dentro de la edición cotidiana, así que se extiende sin una decisión de compra.
Dónde se sitúa Notion AI en la jerarquía de riesgo
Hazte la pregunta correcta: no «¿es Notion AI de alto riesgo?», sino «¿es de alto riesgo el uso que mi organización hace de él?». Para la mayoría de los espacios de trabajo, no. El anexo III (leído junto con el artículo 6(2)) enumera las finalidades de alto impacto que convierten en alto riesgo a un sistema autónomo: empleo, infraestructuras críticas, acceso al crédito, educación, servicios esenciales. Redactar una propuesta o resumir la nota de una reunión no es ninguna de esas cosas; en uso normal, Notion AI es una herramienta de riesgo mínimo, el nivel base que el Reglamento fomenta en lugar de gravar.
Las obligaciones del modelo quedan aguas arriba. Conforme a los artículos 51 a 55, en vigor desde el 2 de agosto de 2025, el proveedor del modelo carga con la documentación técnica, el resumen de los datos de entrenamiento y los deberes de política de derechos de autor. Te beneficias de ese cumplimiento pero no lo heredas: el rol determina la obligación, y el tuyo es responsable del despliegue.
Qué activa realmente una obligación (y qué no)
Riesgo mínimo: uso cotidiano del espacio de trabajo
Esto cubre casi todo lo que hacen los equipos —redactar, resumir, traducir, preguntas y respuestas sobre tu propio contenido, autocompletar propiedades de bases de datos— y no conlleva evaluación de la conformidad, ni documentación técnica del artículo 11, ni expediente del anexo IV, ni registro.
Riesgo limitado: cuando la salida de la IA llega a terceros (artículo 50)
La transparencia del artículo 50 muerde solo donde la salida cruza hacia personas ajenas a tu equipo. El artículo 50(1) exige decir a las personas que están tratando con un sistema de IA salvo que resulte evidente, relevante cuando Notion AI alimenta un agente de cara al exterior. El artículo 50(2) exige marcar el contenido generado por máquina como generado artificialmente, con excepciones para edición claramente creativa o asistencial, relevante cuando artículos redactados por IA aparecen en un sitio público construido con Notion. Estas disposiciones aterrizan el 2 de diciembre de 2026; la redacción puramente interna nunca activa el artículo 50.
La vía estrecha al alto riesgo, y por qué rara vez aplica
El alto riesgo surge solo si una empresa reorienta deliberadamente la salida de Notion AI hacia un uso del anexo III: conectándola al cribado de selección o contratación (anexo III, punto 4(a)) o a decisiones sobre personas que ya están en plantilla (anexo III, punto 4(b)). Esto es una elección de construcción, no cómo se comporta la herramienta de fábrica. Incluso entonces, el filtro del artículo 6(3) puede sacar de ámbito un uso procedimental estrecho cuando solo mejora una actividad humana ya completada sin influir en la decisión, aunque la elaboración de perfiles de personas físicas es siempre de alto riesgo.
Los tres deberes realistas para un responsable del despliegue de Notion AI
Artículo 4: alfabetización en IA para quienes lo usan
La alfabetización en IA del artículo 4 se aplica desde el 2 de febrero de 2025 y te vincula sea cual sea el nivel de riesgo. El personal debería entender, a un nivel adecuado a su rol, qué puede y qué no puede hacer la herramienta: que los resúmenes pueden omitir, que los borradores pueden inventar, que la salida no debe confiarse a ciegas. Una breve nota de uso aceptable más orientación adecuada a cada rol cumplen con esto; no se exige un programa formal.
Artículo 50: divulgación cuando la salida es externa
Si alguna salida de Notion AI llega a terceros, añade la divulgación: un aviso de interacción con IA, un marcado de contenido generado por máquina, o ambos. Para la redacción puramente interna no aplica, así que acota la obligación a lo que cubre en lugar de inflar una herramienta interna.
Gobierno de la IA en la sombra: el deber que el Reglamento presupone que ya tienes
Esto distingue a Notion AI de un chatbot que adquieres deliberadamente. Como se activa dentro de la edición cotidiana en todo el espacio de trabajo, se extiende sin una decisión de compra: los equipos lo usan antes de que nadie lo haya clasificado. Y, sin embargo, el Reglamento presupone que sabes qué IA ejecutas, y tanto la alfabetización del artículo 4 como cualquier divulgación del artículo 50 dependen de saber dónde se usa la herramienta y sobre qué datos. Incluye Notion AI una sola vez en tu inventario, acota qué espacios de trabajo y categorías de datos puede tocar, y decide quién puede activarlo.
Una salvedad de gobierno de datos va junto a estos: el RGPD se aplica con independencia del Reglamento de IA, así que confirma una base lícita y un acuerdo de tratamiento de datos antes de que el personal ponga datos personales o de categorías especiales en los prompts. Para el uso normal, toda la huella es una entrada de inventario, una nota de alfabetización, una regla de divulgación para la salida externa y una política de activación.
Mapa de obligaciones de Notion AI por caso de uso
La tabla asigna cinco patrones habituales a su nivel de riesgo, el deber activado y la referencia. La mayoría caen en riesgo mínimo o limitado; solo la fila de cribado de empleo construida a propósito alcanza el alto riesgo.
| Caso de uso | Nivel de riesgo | Deber activado | Referencia |
|---|---|---|---|
| Redacción y resumen internos | Mínimo | Solo alfabetización (art. 4) | Artículo 6(2) / anexo III (ninguno aplica) |
| Contenido público generado por IA / sitio de clientes construido con Notion | Limitado | Marcado de contenido desde el 2 de diciembre de 2026 | Artículo 50(2) |
| Agente de IA que responde a usuarios externos | Limitado | Aviso de interacción con IA | Artículo 50(1) |
| Salida de IA que alimenta el cribado en selección | Alto riesgo (si se construye así) | Deberes del responsable del despliegue + evaluación | Anexo III, punto 4(a), artículos 26 y 27 |
| Cualquier dato personal en los prompts | Capa RGPD (no Reglamento de IA) | Base lícita / acuerdo de datos | RGPD, no el Reglamento de IA |
La columna del nivel es el mensaje: predominan el mínimo y el limitado, el alto riesgo es la excepción que construyes a propósito.
Ejemplo práctico: una empresa de 140 personas despliega Notion AI
Marolla Studio, una firma de diseño de producto y consultoría de 140 personas en Lisboa, activa Notion AI en todo su espacio de trabajo para redactar propuestas a clientes, resumir llamadas con clientes y alimentar un centro de ayuda público construido con Notion con artículos generados por IA, más un widget de preguntas y respuestas con IA para clientes externos.
La redacción interna de propuestas y los resúmenes de llamadas son de riesgo mínimo; la alfabetización del artículo 4 es el único deber. El centro de ayuda público activa el marcado de contenido del artículo 50(2) desde el 2 de diciembre de 2026; el widget de preguntas y respuestas para clientes externos activa el artículo 50(1), el aviso de interacción con IA. No hay ninguna finalidad del anexo III en juego, así que no se adhiere ninguna obligación de alto riesgo. La lista de acciones es corta: una entrada de inventario, una nota de alfabetización de una página (artículo 4), marcado de contenido y un aviso de interacción (artículo 50), un acuerdo de tratamiento de datos que prohíba los datos de categorías especiales en los prompts (capa del artículo 9 del RGPD) y una decisión sobre qué espacios de trabajo pueden habilitar la IA.
La contrahipótesis hace concreto el límite. Si Marolla conectara más tarde la salida de Notion AI a una clasificación automatizada de CV para su propia contratación, ese único uso pasaría a ser de alto riesgo del anexo III, punto 4(a) y arrastraría los deberes del responsable del despliegue del artículo 26 y una evaluación de impacto relativa a los derechos fundamentales del artículo 27: un sistema nuevo y deliberado, no el despliegue descrito, que sigue siendo un ejercicio de inventario y política de media jornada en lugar de un proyecto de evaluación de la conformidad.
Plazos y sanciones: proporcionados, no alarmistas
Las fechas en vigor aquí están asentadas. La alfabetización en IA del artículo 4 y las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025; las obligaciones de GPAI (artículos 51 a 55) desde el 2 de agosto de 2025; las nuevas disposiciones de marcado de contenido del artículo 50 aterrizan el 2 de diciembre de 2026.
El calendario del alto riesgo importa solo como contingencia, con una salvedad. El alto riesgo autónomo del anexo III se aplica desde el 2 de diciembre de 2027: el Digital Omnibus que aplaza ese plazo ya está adoptado —pleno del Parlamento Europeo el 16 de junio de 2026, adopción del Consejo el 29 de junio de 2026— y entra en vigor con la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. El aplazamiento son fechas de calendario fijas, no la variante «parar el reloj» dependiente de normas, que se rechazó.
La transparencia del artículo 50 y el incumplimiento de la mayoría de las obligaciones del responsable del despliegue conllevan multas de hasta 15 millones de euros o el 3 % del volumen de negocios anual mundial total, lo que sea mayor (artículo 99(4)). El incumplimiento de prácticas prohibidas del artículo 5 llega a 35 millones de euros o el 7 % del volumen de negocios anual mundial total, lo que sea mayor (artículo 99(3)). Facilitar información incorrecta o engañosa a las autoridades conlleva hasta 7,5 millones de euros o el 1 % del volumen de negocios anual mundial total, lo que sea mayor (artículo 99(5)). Para pymes y empresas emergentes, cada multa se limita al menor de los dos importes, el porcentaje o la cantidad fija (artículo 99(6)). Para el uso de riesgo mínimo no hay exposición a multas más allá de acertar con la divulgación ligera del artículo 50.
Cómo ayuda Confir
Incluye Notion AI en el registro de IA de Confir y responde a las preguntas de admisión sobre rol, caso de uso, tipos de datos y audiencia. El motor determinista y basado en reglas —sin inferencia de modelos, sin alucinaciones— deriva el nivel (mínimo, el limitado del artículo 50 o la rara vía del anexo III) y la lista de obligaciones correspondiente, indicando en lenguaje claro la regla que se ha disparado. El resultado es un registro fechado y reproducible del razonamiento de tu clasificación.
Preguntas frecuentes
¿Es Notion AI de alto riesgo según el Reglamento de IA?
No, no en uso normal. Para una empresa que lo despliega, Notion AI es un asistente de productividad integrado —redacta, resume, preguntas y respuestas sobre tu propio espacio de trabajo— y esa actividad no coincide con ninguna de las finalidades de alto riesgo del anexo III (artículo 6(2)). Casi siempre se sitúa en riesgo mínimo o limitado. Solo pasaría a alto riesgo si conectaras deliberadamente su salida a un uso del anexo III, como el cribado automatizado en selección (anexo III, punto 4(a)). Las obligaciones del modelo de propósito general (artículos 51 a 55) pertenecen al proveedor del modelo, no a ti como responsable del despliegue.
¿Qué tiene que hacer realmente una empresa para usar Notion AI cumpliendo la norma?
Para el uso ordinario del espacio de trabajo, la huella es ligera. Cumple la alfabetización en IA del artículo 4, en vigor desde el 2 de febrero de 2025, con una breve nota adecuada a cada rol sobre qué puede y qué no puede hacer la herramienta. Aplica la transparencia del artículo 50 solo cuando la salida de la IA llega a terceros: un aviso de interacción con IA o un marcado de contenido generado por máquina. Incluye Notion AI una sola vez en tu inventario de IA y decide qué espacios de trabajo pueden habilitarlo. Por debajo del Reglamento de IA, confirma una base lícita y un acuerdo de datos según el RGPD antes de que entren datos personales en los prompts. No se exige evaluación de la conformidad ni documentación técnica en riesgo mínimo.
¿Cuándo aplica la transparencia del artículo 50 a la salida de Notion AI?
Solo cuando la salida llega a personas ajenas a tu equipo. Si Notion AI alimenta un agente de cara al cliente, el artículo 50(1) exige decir a los usuarios que están interactuando con un sistema de IA salvo que resulte evidente. Si publicas contenido generado por IA —por ejemplo, artículos en un sitio de ayuda público construido con Notion—, el artículo 50(2) exige marcarlo como generado artificialmente, con excepciones para edición asistencial o trabajo claramente creativo. Estas disposiciones de transparencia y marcado de contenido se aplican desde el 2 de diciembre de 2026. La redacción y el resumen puramente internos no activan el artículo 50 en absoluto.
¿Por qué es el gobierno de la IA en la sombra el riesgo real con Notion AI?
Porque Notion AI está habilitado en todo el espacio de trabajo y se activa dentro de la edición cotidiana, se extiende sin una decisión de compra: los equipos lo usan antes de que nadie lo haya clasificado. El Reglamento presupone que sabes qué IA ejecutas: la alfabetización del artículo 4 y cualquier divulgación del artículo 50 dependen ambas de que sepas dónde se usa la herramienta y sobre qué datos. Incluir Notion AI en tu inventario de IA, acotar qué espacios de trabajo y categorías de datos puede tocar, y decidir quién puede habilitarlo convierte una herramienta invisible en una gobernada. Esto es buena práctica más que una obligación de alto riesgo.
¿Podría el uso de Notion AI convertirnos alguna vez en un responsable del despliegue de alto riesgo?
Solo si lo integras en una finalidad del anexo III. El ejemplo realista es alimentar la salida de Notion AI hacia la selección o contratación de candidatos, que es el anexo III, punto 4(a), o hacia decisiones sobre personas en plantilla según el punto 4(b). Eso es un sistema nuevo y deliberado, no cómo se comporta Notion AI de fábrica. Si llegara a aplicar, se adherirían los deberes del responsable del despliegue del artículo 26 y una evaluación de impacto relativa a los derechos fundamentales del artículo 27. El filtro del artículo 6(3) aún puede sacar de ámbito un uso procedimental estrecho, pero la elaboración de perfiles de personas físicas es siempre de alto riesgo.
¿Qué plazos y sanciones debemos planificar?
La alfabetización en IA del artículo 4 y las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025; las obligaciones de IA de propósito general desde el 2 de agosto de 2025; las disposiciones de marcado de contenido del artículo 50 aterrizan el 2 de diciembre de 2026. Los plazos del alto riesgo autónomo se aplican desde el 2 de diciembre de 2027: el Digital Omnibus que aplaza ese plazo ya está adoptado —acuerdo político el 6 y 7 de mayo de 2026, pleno del Parlamento Europeo el 16 de junio de 2026, adopción del Consejo el 29 de junio de 2026— y entra en vigor con la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. El incumplimiento del artículo 50 y de los deberes del responsable del despliegue conlleva multas de hasta 15 millones de euros o el 3 % del volumen de negocios mundial (artículo 99(4)); las pymes se limitan al importe menor (artículo 99(6)).
Guías relacionadas
- crea tu inventario de sistemas de IA
- detecta la IA en la sombra en tu espacio de trabajo
- qué significa riesgo limitado según el artículo 50
- obligaciones de transparencia del artículo 50
- Microsoft 365 Copilot y el Reglamento de IA
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →