Windsurf y la Ley de IA de la UE: riesgo mínimo, clasifica lo que publicas
Windsurf, el IDE agéntico de Codeium, es riesgo mínimo como herramienta de código. Tus deberes: alfabetización (art. 4), revisión y clasificar lo que publicas.
Riesgo mínimo como herramienta de programación. Windsurf —el IDE agéntico de Codeium (hoy parte de Cognition), construido en torno al agente Cascade y a las sugerencias de código Supercomplete— ayuda a los developers a escribir, refactorizar y publicar código en todo un repositorio. Usarlo para programar software no es más una actividad del anexo III que usar cualquier otro editor. Para la empresa cuyos developers lo ejecutan, Windsurf se sitúa en riesgo mínimo. La clasificación que de verdad importa es la del software que construyes con él, que se juzga por su propio uso, no por el del IDE.
Esta guía es para la empresa cuyos ingenieros usan Windsurf, no para quien fabrica el modelo. Los modelos de IA de uso general que dan vida a Cascade se suministran aguas arriba, y sus proveedores cargan con las obligaciones del capítulo V (artículos 51 a 55, en vigor desde el 2 de agosto de 2025). Tu uso para programar es mínimo; las obligaciones reales, si las hay, viven en el producto que pones delante de los usuarios.
Clasifica el uso, no el IDE
«¿Es Windsurf de alto riesgo?» es la pregunta equivocada. La correcta es «¿es de alto riesgo lo que hago con él?». Escribir y refactorizar código no es una finalidad enumerada en el anexo III (leído junto con el artículo 6(2)), que cubre empleo, servicios esenciales, solvencia, educación, infraestructuras críticas, biometría y demás. Un agente que planifica un cambio en varios archivos, ejecuta un comando de terminal y edita tu base de código es un asistente de developer, no un sistema regulado de toma de decisiones. Windsurf es de riesgo mínimo por la misma razón que lo son GitHub Copilot y Cursor: la herramienta acelera la construcción, y construir no es el acto regulado.
Las obligaciones pesadas del modelo recaen aguas arriba en quien entrenó los modelos fundacionales que hay detrás de Cascade. Con los artículos 51 a 55, esos proveedores asumen la documentación técnica, el resumen de los datos de entrenamiento y los deberes de política de derechos de autor. Tú te beneficias de ese cumplimiento sin heredarlo: el rol determina la obligación y, como usuario de Windsurf, no eres el proveedor de esos modelos.
La distinción que importa: el IDE frente a la app que publicas
Windsurf es el entorno de construcción. El software que te ayuda a producir es un sistema aparte, clasificado por lo que hace. Un sitio de marketing es mínimo; una app con un chatbot de cara al cliente es de riesgo limitado según el artículo 50; una herramienta que criba candidatos a un empleo o evalúa la solvencia es de alto riesgo según el anexo III. El IDE nunca cambia de nivel sin importar lo que construyas, pero si pones en el mercado bajo tu propio nombre una función de IA que tú creaste, te conviertes en su proveedor según los artículos 25 y 16, y el nivel del sistema publicado pasa entonces a marcar tus obligaciones.
Para la mayoría de los equipos de ingeniería que usan Windsurf para mantener una base de código existente, ese giro no tiene consecuencias: ya eres el proveedor o el responsable del despliegue de tu propio producto, y Windsurf no es más que una forma más rápida de trabajar en él. Lo que hay que retener es que ninguna obligación de la Ley de IA llega porque hayas usado una herramienta de programación con IA: las obligaciones llegan de lo que hace tu producto y del rol que ocupas sobre él.
Qué dispara de verdad un deber, y qué no
Riesgo mínimo: usar Windsurf para escribir código
Cascade planificando cambios, Supercomplete sugiriendo código, el agente ejecutando comandos y editando archivos en todo tu proyecto: todo es de riesgo mínimo para ti como usuario. Ninguna evaluación de la conformidad, ninguna documentación técnica del artículo 11, ningún registro del artículo 49 se adhiere al acto de construir. Las verdaderas preocupaciones aquí son de ingeniería —revisión, pruebas, seguridad e higiene de licencias del código generado y modificado por IA—, y son buenas prácticas, no deberes de la Ley de IA.
Artículo 4: alfabetización y gobernanza del código
La alfabetización en IA del artículo 4 se aplica desde el 2 de febrero de 2025 y te vincula sea cual sea el nivel. Desde el 27 de julio de 2026, el Ómnibus Digital la formula como un deber de adoptar medidas para apoyar el desarrollo de la alfabetización en IA de tu personal, sin exigir que garantices un nivel concreto en cada persona. Para un IDE agéntico importa más que para un autocompletado pasivo: los developers tienen que entender que Cascade puede introducir bugs sutiles, filtrar contexto o arrastrar dependencias, y que el código escrito por IA debe revisarse y probarse antes de fusionarlo. Una política de ingeniería breve —revisar todo cambio de IA, vigilar los secretos en el contexto, acotar la autonomía del agente en los repositorios sensibles— es justo ese tipo de medida y es, sencillamente, sentido común.
La app que publicas: donde vive cualquier obligación real
Si el software que construyes incorpora una función de IA de cara al usuario, la transparencia del artículo 50 se aplica a ese producto (50(1) para chatbots, 50(2) para contenido generado). Si sirve a una finalidad del anexo III, cargas con todas las obligaciones de proveedor según el artículo 16: gestión de riesgos (artículo 9), gobernanza de datos (artículo 10), documentación técnica (artículo 11), supervisión humana (artículo 14), evaluación de la conformidad (artículo 43), registro (artículo 49). Nada de eso lo dispara Windsurf; lo dispara lo que publicas.
Los deberes realistas para un equipo que usa Windsurf
Mantén dos registros. Primero, una entrada de inventario para Windsurf como herramienta de developer de riesgo mínimo, anotando que los ingenieros la usan en toda la base de código. Segundo —y más importante—, clasifica cada producto que tu equipo publique que contenga una función de IA, por su propio uso, porque ahí es donde afloran las obligaciones de proveedor o de responsable del despliegue. Acompáñalo de una política de código con IA breve (revisión humana obligatoria de los cambios de IA, reglas de manejo de secretos, comprobación de dependencias) para satisfacer el artículo 4 y mantener limpia la base de código. El RGPD se aplica de forma independiente: confirma una base jurídica antes de que cualquier dato personal llegue a la ventana de contexto de Cascade o a cualquier función publicada.
Mapa de obligaciones de Windsurf por caso de uso
La tabla separa el IDE del producto: la distinción que guía el análisis.
| Caso de uso | Nivel de riesgo | Deber disparado | Referencia |
|---|---|---|---|
| Usar Windsurf / Cascade para escribir y refactorizar código | Mínimo | Alfabetización del artículo 4 + política de revisión de código | Artículo 6(2) / anexo III (ninguno aplica) |
| Publicar un producto interno o de riesgo mínimo | Mínimo | Entrada de inventario; estatus de proveedor pero sin carga de la Ley de IA | Artículo 16 (nominal) |
| Publicar un producto con chatbot o contenido generado de cara al usuario | Limitado | Transparencia del artículo 50 sobre el producto | Artículo 50(1)/(2) |
| Publicar un producto que sirve a una finalidad del anexo III | Alto riesgo | Todas las obligaciones de proveedor | Artículos 16, 25, 9 a 15, 43, 49 |
| Datos personales en el contexto del agente o en una función publicada | Capa del RGPD (no Ley de IA) | Base jurídica / acuerdo de datos | RGPD, no la Ley de IA |
El IDE se mantiene en mínimo en todas las filas; el producto publicado es donde están las obligaciones.
Ejemplo práctico: un equipo SaaS de 70 personas adopta Windsurf
Lumaria s.r.o., una empresa SaaS de 70 personas en Brno con unos 11 M€ de facturación, despliega Windsurf en su equipo de ingeniería para acelerar el trabajo de funcionalidades sobre su producto existente. Cascade gestiona los refactores en varios archivos; Supercomplete rellena el código rutinario. Como actividad de construcción es de riesgo mínimo; los deberes son la alfabetización del artículo 4 más una política de revisión de código con IA.
La clasificación ocurre en el producto, no en el IDE. El producto de Lumaria es un panel de analítica B2B sin función de IA de cara al usuario: riesgo mínimo; Lumaria es su proveedor según el artículo 16 sin carga significativa de la Ley de IA. La lista de acciones son dos entradas de inventario (Windsurf y el producto), una política de código con IA de una página y una nota de alfabetización.
El contrafactual afila la frontera. Lumaria usa Windsurf para construir un módulo nuevo que clasifica y filtra candidatos a empleo para sus clientes de RR. HH. Ese módulo es un sistema de contratación de alto riesgo del anexo III, punto 4(a) y, como Lumaria lo publica bajo su propio nombre, es el proveedor según los artículos 25 y 16, cargando con la gestión de riesgos (artículo 9), la gobernanza de datos (artículo 10), la documentación técnica (artículo 11), la supervisión humana (artículo 14), la evaluación de la conformidad (artículo 43) y el registro (artículo 49). Windsurf hizo el módulo rápido de construir; las obligaciones vienen del uso del módulo, no del IDE.
Plazos y sanciones: proporcionados, no alarmistas
Las fechas asentadas: la alfabetización en IA del artículo 4 y las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025; las obligaciones de GPAI (artículos 51 a 55) desde el 2 de agosto de 2025; todo el artículo 50, incluido el marcado de contenido del artículo 50(2), desde el 2 de agosto de 2026; el 2 de diciembre de 2026 es solo el plazo transitorio de ese marcado para los sistemas generativos ya introducidos en el mercado con anterioridad al 2 de agosto de 2026 (artículo 111(4)).
El calendario del alto riesgo —relevante solo si publicas un producto del anexo III— lleva un matiz. El Ómnibus Digital aplazó el alto riesgo autónomo del anexo III al 2 de diciembre de 2027 (la fecha original era el 2 de agosto de 2026). Ya es ley: el Reglamento (UE) 2026/1744, publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026. El 2 de diciembre de 2027 es la fecha legal. El aplazamiento es una fecha de calendario fija: la propuesta de la Comisión de noviembre de 2025 vinculaba el inicio del alto riesgo a la disponibilidad de normas, con fechas límite de reserva, pero los colegisladores adoptaron fechas fijas.
Sobre las sanciones: las infracciones de proveedor, responsable del despliegue y del artículo 50 conllevan multas de hasta 15 millones de euros o el 3 % del volumen de negocios anual mundial total, lo que sea mayor (artículo 99(4)). Las infracciones de prácticas prohibidas del artículo 5 llegan a 35 millones de euros o el 7 % (artículo 99(3)). Facilitar información incorrecta o engañosa a las autoridades conlleva hasta 7,5 millones de euros o el 1 % (artículo 99(5)). Para pymes y empresas emergentes, cada multa se limita al menor de la cifra porcentual o la fija (artículo 99(6)). Para el uso de riesgo mínimo del propio Windsurf no hay exposición a multas.
Cómo ayuda Confir
Registra Windsurf en el registro de IA de Confir como herramienta de developer de riesgo mínimo, y registra cada producto que tu equipo publique que contenga una función de IA. El motor determinista y basado en reglas —sin inferencia de modelos, sin alucinaciones— clasifica cada producto publicado por su uso, te dice si publicarlo te convierte en proveedor según el artículo 25 y deriva la lista de obligaciones del artículo 16 que corresponde, indicando en lenguaje llano la regla exacta que se activó. La separación entre la herramienta de programación y el producto es justo lo que evita que un equipo de ingeniería rápido publique en silencio una función de alto riesgo sin evaluar.
Guías relacionadas
- crea tu inventario de sistemas de IA
- proveedor o responsable del despliegue: ¿cuál eres?
- responsabilidades del artículo 25 a lo largo de la cadena de valor
- qué significa riesgo mínimo según la Ley
- GitHub Copilot y la Ley de IA de la UE
- Cursor AI y la Ley de IA de la UE
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →