Tableau Pulse bajo la Ley de IA de la UE: cuando los insights se vuelven decisiones
Tableau Pulse y Tableau AI son de riesgo mínimo para analítica — de alto riesgo solo si su salida impulsa una decisión del anexo III como la solvencia.
Para la mayoría de las empresas, Tableau Pulse es de riesgo mínimo bajo la Ley de IA de la UE. Genera resúmenes en lenguaje sencillo y aflora tendencias sobre datos que ya tienes —analítica, no adjudicación—. Usarlo para vigilar tus KPI no activa más obligación que la alfabetización en IA del artículo 4.
La línea solo se mueve cuando el insight deja de ser un insight y empieza a ser una decisión sobre una persona. Si un resumen de Pulse alimenta —o se convierte en— una determinación sobre la solvencia de alguien, su acceso a un servicio esencial o su candidatura a un empleo, has cruzado de la analítica a un posible caso de uso del anexo III. La herramienta no cambió; lo que haces con su salida sí.
Esta página fija el valor por defecto (riesgo mínimo), nombra la condición precisa que lo invierte y muestra dónde muerde la capa del RGPD antes de que la capa de la Ley de IA de la UE lo haga siquiera.
Qué hacen realmente Tableau Pulse y Tableau AI
Tableau Pulse, parte de Tableau de Salesforce, ofrece insights de IA sobre las métricas que defines. Produce resúmenes personalizados de KPI, explica el «porqué» de un cambio en lenguaje natural con contexto visual, responde preguntas en lenguaje sencillo con citas y envía esos insights a Slack, Microsoft Teams y el correo —en el flujo de trabajo—. La familia más amplia de Tableau AI (Tableau Agent, las skills Concierge e Inspector) extiende la misma idea: prepara datos, genera visualizaciones y monitoriza métricas mediante lenguaje natural.
Lo que todo esto tiene en común es el sujeto del análisis: tus propios datos de negocio. Ingresos, abandono, pipeline, volúmenes de soporte, métricas operativas. Generar un resumen narrativo de una tendencia de ventas, o avisarte de que una métrica cruzó un umbral, es de riesgo mínimo. No toca ningún área del anexo III, no activa ningún deber de transparencia hacia un tercero y, más allá del artículo 4 (adoptar medidas para apoyar la alfabetización en IA del personal que lo usa), no lleva ningún requisito obligatorio bajo el Reglamento (UE) 2024/1689.
Por debajo, Tableau AI funciona sobre modelos de IA de uso general (GPAI). Esos modelos llevan sus propias obligaciones bajo el capítulo V (artículo 53) —pero esos deberes recaen en el proveedor del modelo, no en ti como responsable del despliegue de Tableau—. Tu clasificación depende enteramente de lo que hagas con la salida.
El valor por defecto y el cambio
Dos escenarios, la misma herramienta, clasificaciones opuestas:
| Uso de Tableau Pulse | Nivel de riesgo | Por qué |
|---|---|---|
| Resumir KPI de ventas, abandono, soporte u operaciones | Riesgo mínimo | Analítica sobre datos de negocio; sin uso del anexo III, sin persona evaluada |
| La salida impulsa una decisión del anexo III sobre una persona (p. ej., solvencia, acceso a un servicio, evaluación de trabajadores) | Potencialmente de alto riesgo | La salida de IA influye materialmente en una decisión enumerada en el anexo III |
La condición de cambio es precisa. Bajo el artículo 6 y el anexo III, un sistema de IA es de alto riesgo cuando se usa en una de las áreas enumeradas —incluyendo, en el punto 5(b), la evaluación de la solvencia de personas físicas o el establecimiento de su calificación crediticia (detección de fraude excluida), y en el punto 5(c), la evaluación de riesgos y la fijación de precios de los seguros de vida y salud—. Si un modelo de Pulse produce un insight de riesgo crediticio que impulsa materialmente si una persona obtiene un préstamo, ese despliegue concreto puede ser de alto riesgo —no porque Tableau sea un producto de puntuación crediticia, sino porque has conectado su salida a una determinación del anexo III—.
La pregunta decisiva, entonces, no es «¿es Tableau Pulse de alto riesgo?». Es: ¿la salida de esta métrica de Pulse impulsa una decisión sobre una persona en un área del anexo III? Para la inmensa mayoría de los cuadros de mando —rendimiento interno, analítica de marketing, operaciones—, la respuesta es no, y la herramienta se queda en riesgo mínimo.
Dos salvaguardas mantienen honestos a los equipos aquí:
- Las métricas de negocio agregadas no son decisiones sobre individuos. Una tendencia de tasa de abandono en una base de clientes es analítica. Una puntuación adjudicada a un cliente concreto que condiciona su acceso a un servicio es una evaluación.
- Que una persona lea un gráfico y decida no es lo mismo que la IA decidiendo. Cuando Pulse solo informa a una persona que toma la decisión por su propio juicio, puede aplicar el filtro del artículo 6(3) —un sistema del anexo III no es de alto riesgo cuando cumple una tarea estrecha o solo apoya, sin reemplazar ni influir indebidamente, una valoración humana ya completada—. Pero esa exención debe documentarse (y el sistema sigue registrándose en la base de datos de la UE conforme al artículo 49(2)), y cualquier sistema que elabore perfiles de personas físicas es siempre de alto riesgo con independencia del filtro.
La capa del RGPD viene primero
Antes de que la pregunta de la Ley de IA de la UE surja siquiera, Tableau Pulse plantea una de protección de datos —porque resume y razona sobre datos que con frecuencia incluyen datos personales—.
Cuando Pulse analiza registros de clientes, empleados o candidatos, estás tratando datos personales y el RGPD los rige con independencia de la Ley de IA:
- Base jurídica y limitación de la finalidad (artículos 5-6 del RGPD). Usar datos personales para generar insights de IA debe descansar en una base jurídica y mantenerse dentro de la finalidad para la que se recogieron los datos. Alimentar registros de RR. HH. a una métrica que elabora perfiles del personal puede exceder la finalidad original.
- Decisiones únicamente automatizadas (artículo 22 del RGPD). Si una salida impulsada por Pulse lleva a una decisión que produce efectos jurídicos o significativos similares sobre una persona sin intervención humana significativa, se aplican las restricciones del artículo 22 del RGPD —separadas de, y adicionales a, cualquier deber de alto riesgo de la Ley de IA—.
- EIPD (artículo 35 del RGPD). El tratamiento de alto riesgo de datos personales puede requerir una evaluación de impacto relativa a la protección de datos bajo el RGPD —que es distinta de la evaluación de impacto relativa a los derechos fundamentales de la Ley de IA (artículo 27)—.
Para la analítica de negocio ordinaria, estas obligaciones son rutinarias. Se vuelven agudas precisamente donde el cambio de la Ley de IA de la UE también acecha —cuando un insight empieza a conformar resultados para personas identificables—. Trata la comprobación del RGPD como la primera puerta, no como una ocurrencia tardía.
Ejemplo práctico: Nordbalt Kredit AS, un prestamista de 140 personas
Nordbalt Kredit AS, un prestamista de consumo estonio, ~140 empleados, ~24 millones de euros de volumen de negocios, usa Tableau en toda la empresa. Dos despliegues, dos respuestas.
Despliegue uno: analítica de cartera. El equipo de riesgos usa Tableau Pulse para seguir las tasas de impago, las tendencias de morosidad y el rendimiento de cobros en toda la cartera de préstamos, con resúmenes semanales en lenguaje natural enviados a Slack. Esto es analítica agregada sobre la cartera. Ningún individuo es puntuado por la IA; las personas leen las tendencias y fijan política. Riesgo mínimo bajo la Ley de IA. Las obligaciones del RGPD sobre los datos personales subyacentes siguen aplicando, pero no se adhiere ningún deber del anexo III.
Despliegue dos: insights de crédito a nivel de solicitante. Un product manager conecta una métrica de Pulse para generar un insight de riesgo por solicitante que los agentes de préstamos usan luego para aprobar o denegar solicitudes, con la puntuación de la IA pesando mucho en la decisión. Esto se sitúa en el anexo III, punto 5(b) —evaluación de solvencia—. Como la salida impulsa materialmente una decisión sobre una persona, el despliegue es potencialmente de alto riesgo; si escapa vía el filtro del artículo 6(3) depende de demostrar que el agente de préstamos ejerce un juicio genuinamente independiente —y la elaboración de perfiles derrotaría el filtro de plano—. Nordbalt, como responsable del despliegue (artículo 26), debería cumplir los deberes del responsable del despliegue y, al usar IA para evaluar la solvencia de personas físicas (anexo III, punto 5(b)), realizar la EIDF del artículo 27; si construyó o renombró sustancialmente la lógica de puntuación, el artículo 25 podría convertirla en el proveedor con toda la batería del artículo 16, exigible desde el 2 de diciembre de 2027 (originalmente el 2 de agosto de 2026) en virtud del Ómnibus Digital —Reglamento (UE) 2026/1744, publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026—.
La misma herramienta, la misma empresa —el segundo despliegue creó un programa de alto riesgo y el primero no—. La diferencia fue una decisión de cableado, no de compra.
Sobre la exposición: una infracción de un responsable del despliegue de los requisitos de alto riesgo se sitúa en 15.000.000 € o el 3 % del volumen de negocios anual mundial bajo el artículo 99(4), y para una pyme el tope del artículo 99(6) toma la menor de las dos cifras.
Cómo ayuda Confir
Confir registra cada forma en que tu empresa usa una herramienta como Tableau Pulse como un sistema de IA distinto y lo clasifica por su uso real bajo los artículos 5 y 6 con la lógica del anexo III —así el cuadro de mando de cartera y el despliegue de puntuación de solicitantes obtienen veredictos distintos, y el filtro del artículo 6(3) y el cruce con el RGPD se aplican explícitamente en vez de asumirse—. El motor es determinista y basado en reglas: la misma entrada, el mismo hallazgo, con la regla que se disparó mostrada en lenguaje sencillo. Cuando un despliegue alcanza el alto riesgo, acota los deberes del responsable del despliegue del artículo 26 y la EIDF del artículo 27 cuando sea relevante.
Preguntas frecuentes
¿Es Tableau Pulse de alto riesgo bajo la Ley de IA de la UE?
Por defecto, no —Tableau Pulse es de riesgo mínimo—. Generar resúmenes en lenguaje natural e insights de tendencias sobre tus métricas de negocio no toca ningún caso de uso del anexo III y no lleva más obligación que la alfabetización en IA del artículo 4. Solo pasa a ser potencialmente de alto riesgo en el caso concreto en que su salida impulsa materialmente una decisión sobre una persona en un área del anexo III, como la solvencia o el acceso a un servicio esencial.
¿Qué hace exactamente que un despliegue de Tableau Pulse sea de alto riesgo?
El cambio ocurre cuando la salida de IA se conecta a una decisión del anexo III sobre una persona física —por ejemplo, un insight de riesgo crediticio por solicitante que impulsa las aprobaciones de préstamos (anexo III, punto 5(b))—. La analítica agregada sobre una base de clientes o sobre KPI operativos no cualifica, porque ningún individuo es evaluado por la IA. La pregunta es si el insight impulsa una decisión sobre una persona, no si la herramienta es «IA».
¿Aplica la exención del artículo 6(3) si una persona revisa el insight?
Puede. El artículo 6(3) significa que un sistema del anexo III no es de alto riesgo cuando cumple una tarea estrecha o solo apoya a una persona que toma la decisión por su propio juicio, sin verse influida indebidamente. Si un agente de préstamos decide genuinamente y el insight de Pulse es una entrada más entre varias, el filtro puede aplicar —pero debes documentar la evaluación, y cualquier sistema que elabore perfiles de personas físicas es siempre de alto riesgo con independencia del filtro—.
¿Se aplican las obligaciones del RGPD a Tableau Pulse?
Sí, y a menudo antes de que surja la pregunta de la Ley de IA. Cuando Pulse analiza datos personales, debes tener una base jurídica (artículos 5-6 del RGPD), respetar la limitación de la finalidad y vigilar el artículo 22 del RGPD si una salida lleva a una decisión únicamente automatizada con efectos significativos. Una EIPD bajo el artículo 35 del RGPD puede ser necesaria —distinta de la EIDF del artículo 27 de la Ley de IA—. Trata la comprobación del RGPD como la primera puerta.
¿Quién es responsable del modelo de GPAI dentro de Tableau AI?
El proveedor del modelo. Los modelos de IA de uso general detrás de Tableau AI llevan obligaciones del capítulo V bajo el artículo 53 —documentación técnica, información aguas abajo, una política de derechos de autor y un resumen de datos de entrenamiento— que recaen en sus proveedores, no en ti como responsable del despliegue de Tableau. Tus obligaciones fluyen solo de cómo usas la salida, por eso la clasificación es sobre el despliegue, no sobre el modelo.
¿Somos responsable del despliegue o proveedor cuando usamos Tableau Pulse?
Casi siempre responsable del despliegue (artículo 26) —usas la herramienta bajo tu autoridad para tus propias finalidades—. Solo te convertirías en proveedor bajo el artículo 25 si colocaras en el mercado bajo tu propio nombre un sistema de IA construido sobre la salida de Pulse, lo modificaras sustancialmente o lo reorientaras a un uso de alto riesgo. Para la mayoría de las empresas que ejecutan cuadros de mando internos, el estatus de responsable del despliegue es la respuesta correcta, y sus deberes son más ligeros que la batería del proveedor.
Guías relacionadas
- Salesforce Einstein y la Ley de IA de la UE: clasifique por uso
- Anexo III de la Ley de IA de la UE: casos de uso de alto riesgo y obligaciones
- Artículo 6 de la Ley de IA de la UE: reglas de clasificación de IA de alto riesgo
- Artículo 26 de la Ley de IA de la UE: obligaciones del responsable del despliegue
- Responsable del despliegue — definición y obligaciones de la Ley de IA de la UE
- Sistema de IA de alto riesgo: definición (glosario)
- Proveedor frente a responsable del despliegue: ¿quién soporta qué deberes de la Ley de IA?
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →