Google Gemini y el cumplimiento del Reglamento de IA: depende del uso
¿Google Gemini cumple el Reglamento de IA? Depende del uso: productividad en Workspace (riesgo mínimo), de cara al cliente (art. 50) o anexo III (alto riesgo).
Google Gemini no es "de alto riesgo" ni "de riesgo mínimo" por sí mismo. El Reglamento de IA, Reglamento (UE) 2024/1689, clasifica por el uso, no por la herramienta ni por la marca. El mismo Gemini dentro de Google Workspace es de riesgo mínimo para un equipo que lo usa para productividad, y de alto riesgo si lo conectas a una decisión del anexo III. Esta guía separa los escenarios, aclara qué obligaciones recaen sobre Google y cuáles sobre ti, cuándo construir sobre la API te convierte en proveedor, y dónde el RGPD entra en juego.
La regla de oro: clasifica por uso
Olvídate de la etiqueta del producto. Pregunta qué hace el sistema en tu despliegue concreto. No existe un "nivel Gemini": el mismo asistente cae en niveles distintos según para qué lo uses.
| Uso de Google Gemini | Nivel | Tu obligación principal |
|---|---|---|
| Gemini en Workspace (Docs, Gmail, Meet, Sheets) | Riesgo mínimo | Sin obligaciones obligatorias; alfabetización en IA (art. 4) |
| Función de cara al cliente (chatbot, agente externo) | Riesgo limitado | Transparencia: avisar de que se interactúa con una IA (art. 50(1)) |
| Uso del anexo III (p. ej. cribar candidatos) | Alto riesgo | Régimen completo de alto riesgo según tu rol |
Casi todo el uso que una empresa hace de Gemini es de productividad dentro de Workspace y, por tanto, de riesgo mínimo. El nivel sube solo cuando el resultado llega a un cliente sin intermediación humana o cuando entra en una decisión sensible del anexo III.
Escenario 1: Gemini en Workspace = riesgo mínimo
Tu equipo usa Gemini para redactar borradores en Docs, resumir hilos en Gmail, tomar notas en Meet o construir fórmulas en Sheets. Una persona revisa el resultado antes de actuar sobre él. Esto es riesgo mínimo: el Reglamento no impone obligaciones específicas para este nivel —ni evaluación de la conformidad (artículo 43), ni documentación técnica (artículo 11), ni registro (artículo 49)—. Lo único transversal es la alfabetización en IA (artículo 4), en vigor desde el 2 de febrero de 2025 y aplicable a toda la IA. Desde el 27 de julio de 2026, en la redacción del Reglamento (UE) 2026/1744, el deber es adoptar medidas para apoyar la alfabetización en IA de tu personal, sin garantizar un nivel concreto. En la práctica, tu personal necesita saber que el resultado es un borrador que puede equivocarse o inventar. Una política breve y una sesión informativa lo cubren.
Escenario 2: función de cara al cliente = transparencia del artículo 50
Si conectas Gemini a un chatbot o agente con el que conversan tus clientes, entra el artículo 50(1): debes informar a la persona de que está interactuando con un sistema de IA, salvo que resulte evidente. Es un deber de transparencia ligero —un aviso claro al inicio—, no el régimen de alto riesgo. La transparencia del artículo 50 se aplica desde el 2 de agosto de 2026, incluido el marcado de contenido sintético del artículo 50(2), que recae en el proveedor del sistema generativo; solo los sistemas generativos comercializados antes de esa fecha tienen hasta el 2 de diciembre de 2026 para el marcado. Las infracciones del artículo 50 se sitúan en el tramo de 15 millones de euros o el 3% (artículo 99(4)), no en el más alto.
Escenario 3: uso del anexo III = alto riesgo
Aquí cambia todo. Si usas Gemini (o su API) para una finalidad del anexo III —por ejemplo, cribar currículos o preseleccionar candidatos en contratación (anexo III, punto 4), evaluar a estudiantes o decidir sobre el acceso a servicios esenciales—, el sistema es de alto riesgo. Las obligaciones dependen de tu rol: si lo usas tal cual eres responsable del despliegue (artículo 26); si construyes y comercializas la función bajo tu nombre pasas a ser proveedor (artículo 16) por la vía del artículo 25, con el régimen completo —gestión de riesgos (artículo 9), documentación técnica, supervisión humana (artículo 14), conformidad—. Recuerda el plazo: las obligaciones de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027 (originalmente, el 2 de agosto de 2026). Las aplazó el Digital Omnibus, el Reglamento (UE) 2026/1744, publicado en el Diario Oficial de la UE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026; para la IA de alto riesgo integrada en productos del anexo I, la fecha es el 2 de agosto de 2028.
Google es el proveedor del modelo (GPAI), no tú
Gemini es un modelo de uso general (GPAI). Las obligaciones de modelo de uso general —documentación técnica, información a los integradores, política de derechos de autor, resumen de los datos de entrenamiento (artículos 51 a 55)— recaen sobre Google como proveedor del modelo, no sobre ti. Están en vigor desde el 2 de agosto de 2025 y las supervisa la Oficina Europea de IA; las multas a los proveedores de modelos GPAI las impone la Comisión por la vía del artículo 101, no las autoridades nacionales. A ti, como usuario, esa capa GPAI no te corresponde: lo tuyo es el sistema que despliegas o construyes encima.
Construir sobre la API: el artículo 25 puede convertirte en proveedor
Si te limitas a usar Gemini en Workspace, eres responsable del despliegue. Pero si tomas la API de Gemini (o Vertex AI) y construyes una función de IA que comercializas bajo tu nombre dentro de tu producto, el artículo 25 te convierte en proveedor (artículo 16) de ese sistema, con sus obligaciones —que se disparan si la función entra en un uso del anexo III—. La línea está en si comercializas algo propio bajo tu marca o solo consumes una herramienta de terceros.
El RGPD se aplica en paralelo
El Reglamento de IA no sustituye al RGPD. Si introduces datos personales en Gemini —de clientes, candidatos o empleados— necesitas base jurídica, información a los interesados y un encargado del tratamiento con las garantías oportunas. Para Workspace de pago, estos tratamientos se rigen por la modificación del tratamiento de datos (DPA) de Google; en Vertex AI puedes fijar la región de datos en la UE para mantener la residencia. Valora una evaluación de impacto (RGPD, artículo 35) cuando el tratamiento sea de alto riesgo. Las dos normas conviven: clasifica el uso bajo el Reglamento de IA y, además, cumple el RGPD sobre los datos personales.
Ejemplo práctico: una pyme de 25 personas en Málaga
Sur Digital, una empresa tecnológica de 25 personas (~2,6 M€ de facturación), tiene Google Workspace con Gemini y lo usa de tres maneras. (1) Internamente, para redactar propuestas en Docs y resumir correos en Gmail. (2) Construye un chatbot de soporte en su web con la API de Gemini. (3) Valora una función de "preselección de candidatos" para su propia contratación.
Veredictos: el uso (1) es de riesgo mínimo —solo alfabetización del artículo 4—. El uso (2) es de riesgo limitado: avisar en el chatbot de que se conversa con una IA (artículo 50(1)); como Sur lo construye sobre la API y lo ofrece bajo su marca, conviene revisar si el artículo 25 la convierte en proveedora de ese sistema. El uso (3) sería de alto riesgo (anexo III, punto 4); de momento lo aparca. En los tres casos Google es el proveedor del modelo GPAI, y Sur cumple el RGPD sobre cualquier dato personal que introduzca. Tres usos de la misma herramienta, tres niveles distintos.
Cómo ayuda Confir
Confir registra cada uso de Gemini por separado y devuelve el nivel —mínimo, limitado o alto riesgo— y tu rol, citando el artículo y la regla que se aplicó, y señalando cuándo el artículo 25 te convertiría en proveedor o cuándo entra el RGPD. El motor es determinista y basado en reglas: el mismo dato de entrada produce siempre el mismo resultado, sin inferencia de modelo ni alucinaciones.
Guías relacionadas
- Google Gemini en tu inventario de IA
- Transparencia del artículo 50
- Proveedor o responsable del despliegue
- Obligaciones del proveedor (artículo 16)
- Clasificación de IA de selección de personal
- ChatGPT y el cumplimiento del Reglamento de IA
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →