Replit AI y el Reglamento de IA: el entorno de construcción es mínimo, la app que publicas no
Replit AI es de riesgo mínimo como generador de código. Pero la app que publicas se clasifica aparte, y publicarla puede convertirte en proveedor (art. 25).
Dos respuestas, porque hay dos sistemas. Como herramienta que usas para escribir código, Replit AI —incluido Replit Agent, que convierte un prompt en lenguaje natural en una app en funcionamiento, aprovisiona la base de datos y la despliega en una URL pública— es de riesgo mínimo. Usarlo para construir software no es una actividad del anexo III más de lo que lo es usar un compilador. Pero la app que publicas con él es un sistema separado que carga con su propia clasificación, y publicar una función de IA que generaste puede convertirte en su proveedor según los artículos 25 y 16. Mantén los dos separados y el análisis es sencillo.
Esta guía es para la empresa que construye con Replit, no para el creador del modelo. El proveedor del modelo de IA de propósito general subyacente que alimenta Replit Agent carga con las obligaciones del capítulo V (artículos 51 a 55, en vigor desde el 2 de agosto de 2025). Tu uso para escribir código es mínimo; tus obligaciones reales, si las hay, se adhieren a lo que pones delante de los usuarios.
Dos sistemas, dos clasificaciones
La distinción más útil aquí es entre el entorno de construcción y el producto. Replit AI es el entorno de construcción: ayuda a un desarrollador (o a alguien sin perfil técnico) a generar, probar y desplegar código más rápido. Clasifica ese uso y es de riesgo mínimo: escribir software no es una finalidad listada en el anexo III (leído junto con el artículo 6(2)). La app que sale por el otro extremo es un sistema distinto, y la clasificas por lo que hace: una página de aterrizaje de marketing es mínima; un chatbot de cara al cliente es de riesgo limitado según el artículo 50; una herramienta de puntuación de candidatos o una comprobación de solvencia crediticia es de alto riesgo según el anexo III.
Así que «¿es Replit AI de alto riesgo?» es la pregunta equivocada por partida doble. La herramienta de construcción es mínima sea cual sea lo que construyas con ella, exactamente igual que un procesador de textos no es responsable del contrato escrito en él. La app publicada se clasifica por su propio uso, y ahí es donde reside cualquier obligación real.
Cuándo te conviertes en proveedor (artículo 25)
Esta es la parte que los fundadores se pierden. Si generas una función de IA con Replit Agent y la introduces en el mercado o la pones en servicio con tu propio nombre, eres el proveedor de ese sistema de IA, no meramente su responsable del despliegue. El artículo 16 expone las obligaciones del proveedor, y el artículo 25 rige cómo la responsabilidad del proveedor se mueve a lo largo de la cadena de valor: asumes los deberes del proveedor cuando introduces un sistema en el mercado con tu nombre o marca, o cuando modificas sustancialmente un sistema de alto riesgo, o cuando reorientas otro sistema hacia un uso de alto riesgo.
El giro solo muerde cuando la app publicada es ella misma de alto riesgo o de riesgo limitado. Publica un cuadro de mando interno de riesgo mínimo y ser su «proveedor» no acarrea ninguna carga significativa del Reglamento de IA. Publica un sistema de alto riesgo —pongamos, una herramienta que criba candidatos a un puesto— y el estatus de proveedor según el artículo 16 trae todo el peso: un sistema de gestión de riesgos (artículo 9), gobernanza de datos (artículo 10), documentación técnica (artículo 11 / anexo IV), supervisión humana (artículo 14), una evaluación de la conformidad (artículo 43) y registro (artículo 49). El generador de código no creó esa carga; la decisión de publicar un sistema de alto riesgo sí. Replit Agent solo hizo más rápida la publicación.
Qué activa realmente un deber, y qué no
Riesgo mínimo: usar Replit AI para escribir código
Generar funciones, montar el andamiaje de una app, corregir errores, aprovisionar una base de datos desde un prompt: todo ello es de riesgo mínimo para ti como usuario de la herramienta. Ninguna evaluación de la conformidad, ni documentación técnica, ni registro se adhieren al acto de construir. La única salvedad del mundo real es la higiene de licencias y de seguridad del código generado, que es buena práctica de ingeniería más que una obligación del Reglamento de IA.
Riesgo limitado: la app que publicas tiene una función de IA de cara a los usuarios (artículo 50)
Si la app que construyes integra un chatbot o genera contenido para los usuarios finales, la transparencia del artículo 50 aplica a esa app: el artículo 50(1) para decir a los usuarios que están interactuando con un sistema de IA, el artículo 50(2) para marcar el contenido generado por IA como generado artificialmente. Estas son obligaciones del producto publicado, no de Replit AI. Todo el artículo 50 se aplica desde el 2 de agosto de 2026, incluido el marcado de contenido (con una transición hasta el 2 de diciembre de 2026 solo para los sistemas generativos ya introducidos en el mercado antes de que el artículo 50 empezara a aplicarse, artículo 111(4), en virtud del Ómnibus Digital); una app nueva publicada desde el 2 de agosto de 2026 debe marcar desde el primer día.
Alto riesgo: la app que publicas sirve a una finalidad del anexo III
Si el producto hace algo de la lista del anexo III —cribado en selección (punto 4(a)), solvencia crediticia (punto 5(b)), acceso a servicios esenciales—, entonces, como su proveedor, cargas con las obligaciones del proveedor del artículo 16, y el filtro del artículo 6(3) es la única salida estrecha, no disponible siempre que el sistema elabore perfiles de personas físicas. Esto es raro para un MVP típico construido con Replit, pero es el caso a vigilar, porque es la diferencia entre un prototipo de fin de semana y un producto regulado.
Los deberes realistas para una empresa que construye con Replit AI
La alfabetización en IA del artículo 4 se aplica desde el 2 de febrero de 2025 a todos los que usan herramientas de IA, incluidos los desarrolladores que dan prompts a Replit Agent: una breve nota de que el código generado debe revisarse, probarse y asegurarse antes de publicarse. Mantén una entrada de inventario para Replit AI como herramienta de construcción de riesgo mínimo y —más importante— una entrada de inventario separada para cada app que publicas que contenga una función de IA, clasificada por su propio uso. Esa segunda lista es donde aflorarán tus obligaciones de proveedor, si las hay. El RGPD se aplica con independencia: confirma una base lícita antes de que datos personales fluyan por el proceso de construcción o por la app publicada.
Mapa de obligaciones de Replit AI por caso de uso
La tabla separa la herramienta de construcción del producto publicado, la distinción que impulsa todo el análisis.
| Caso de uso | Nivel de riesgo | Deber activado | Referencia |
|---|---|---|---|
| Usar Replit AI / Agent para escribir y desplegar código | Mínimo | Solo alfabetización (art. 4) | Artículo 6(2) / anexo III (ninguno aplica) |
| Publicar una app interna o de riesgo mínimo | Mínimo | Entrada de inventario; estatus de proveedor sin más carga que la alfabetización (art. 4) | Artículo 16 (nominal) |
| Publicar una app con un chatbot de cara al cliente o contenido generado | Limitado | Transparencia del artículo 50 sobre la app | Artículo 50(1)/(2) |
| Publicar una app que sirve a una finalidad del anexo III | Alto riesgo | Obligaciones completas del proveedor | Artículos 16, 25, 9 a 15, 43, 49 |
| Datos personales a través de la construcción o de la app publicada | Capa RGPD (no Reglamento de IA) | Base lícita / acuerdo de datos | RGPD, no el Reglamento de IA |
El mensaje de la tabla: la herramienta de construcción nunca se mueve del mínimo; la app publicada es donde reside toda obligación real.
Ejemplo práctico: una empresa emergente de 25 personas publica con Replit Agent
Nordveld AS, una empresa emergente de tecnología de RR. HH. de 25 personas en Oslo que vende en la UE con unos 3 M€ de facturación, usa Replit Agent para construir su producto rápido. Los fundadores dan prompts al Agente para generar la app, aprovisionar la base de datos y desplegar. Como actividad de construcción esto es de riesgo mínimo; el único deber es la alfabetización del artículo 4 más la disciplina de revisar y asegurar el código generado.
El producto publicado es donde ocurre la clasificación. La versión uno es una sencilla app de planificación de turnos para trabajadores por turnos: riesgo mínimo; Nordveld es su proveedor según el artículo 16, pero sin ninguna carga significativa del Reglamento de IA. La lista de acciones son dos entradas de inventario (la herramienta de construcción y la app publicada) y una nota de alfabetización.
La contrahipótesis es toda la lección. Nordveld usa entonces Replit Agent para añadir una función que puntúa y ordena a los candidatos a un puesto para sus clientes. Esa función es un sistema de selección de alto riesgo del anexo III, punto 4(a), y, como Nordveld lo introduce en el mercado con su propio nombre, es el proveedor según los artículos 25 y 16, ahora cargando con un sistema de gestión de riesgos (artículo 9), gobernanza de datos (artículo 10), documentación técnica (artículo 11), supervisión humana (artículo 14), una evaluación de la conformidad (artículo 43) y registro (artículo 49). Replit Agent hizo rápida la construcción de la función; no hizo desaparecer las obligaciones. Como pyme, Nordveld se beneficia de la tasa proporcionada y del acceso prioritario al espacio controlado de pruebas que el Reglamento reserva a los pequeños proveedores, pero los deberes en sí siguen aplicando.
Plazos y sanciones: proporcionados, no alarmistas
Las fechas asentadas: la alfabetización en IA del artículo 4 y las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025; las obligaciones de GPAI (artículos 51 a 55) desde el 2 de agosto de 2025; todo el artículo 50 desde el 2 de agosto de 2026, incluido el marcado de contenido (con un plazo transitorio hasta el 2 de diciembre de 2026 solo para los sistemas generativos ya introducidos en el mercado antes de que el artículo 50 empezara a aplicarse, artículo 111(4)).
El calendario del alto riesgo es la fecha que importa si publicas una app del anexo III. El alto riesgo autónomo del anexo III se aplica desde el 2 de diciembre de 2027 (originalmente el 2 de agosto de 2026). El Ómnibus Digital que aplazó ese plazo es ya Derecho vigente: el Parlamento votó en pleno el 16 de junio de 2026 y el Consejo lo adoptó el 29 de junio de 2026; se publicó en el Diario Oficial el 24 de julio de 2026 como Reglamento (UE) 2026/1744 y está en vigor desde el 27 de julio de 2026. El aplazamiento es una fecha de calendario fija: la propuesta de la Comisión de noviembre de 2025 vinculaba el inicio del alto riesgo a la disponibilidad de normas, con fechas límite de reserva, pero los colegisladores adoptaron fechas fijas.
Sobre las sanciones: el incumplimiento del proveedor y del responsable del despliegue, y el artículo 50, conllevan multas de hasta 15 millones de euros o el 3 % del volumen de negocios anual mundial total, lo que sea mayor (artículo 99(4)). El incumplimiento de prácticas prohibidas del artículo 5 llega a 35 millones de euros o el 7 % (artículo 99(3)). Facilitar información incorrecta o engañosa a las autoridades conlleva hasta 7,5 millones de euros o el 1 % (artículo 99(5)). Para pymes y empresas emergentes, cada multa se limita al menor de los dos importes, el porcentaje o la cantidad fija (artículo 99(6)): una protección real para una empresa emergente construida con Replit.
Cómo ayuda Confir
Registra dos cosas en el registro de IA de Confir: Replit AI como herramienta de construcción de riesgo mínimo, y cada app que publicas que contenga una función de IA. El motor determinista y basado en reglas —sin inferencia de modelos, sin alucinaciones— clasifica cada app publicada por su uso, te dice si publicarla te convierte en proveedor según el artículo 25 y deriva la lista de obligaciones correspondiente del artículo 16, indicando en lenguaje claro la regla exacta que se ha disparado. Para un constructor que se mueve rápido, esa separación entre la herramienta y el producto es la diferencia entre un registro limpio y un sistema de alto riesgo sin evaluar en producción.
Guías relacionadas
- crea tu inventario de sistemas de IA
- proveedor frente a responsable del despliegue: ¿cuál eres?
- responsabilidades del artículo 25 a lo largo de la cadena de valor
- obligaciones del proveedor del artículo 16
- qué significa riesgo mínimo según el Reglamento
- GitHub Copilot y el Reglamento de IA
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →