La Ley de IA de la UE y John CEO: un compañero de IA construido para las reglas europeas

Imagina un nuevo compañero en el Slack de tu empresa. Un lunes a las 7:42 ya ha respondido tres preguntas, ha redactado la actualización para un cliente y ha propuesto una hora para la siguiente llamada. Es cortés, va al grano y es rápido. ¿Sabe todo el que habla con él que no es una persona?

Si ese compañero es una IA, la legislación europea ahora tiene algo que decir. Desde el 2 de agosto de 2026, el artículo 50 del Reglamento de Inteligencia Artificial de la UE (la Ley de IA) exige que las personas sepan cuándo están interactuando con un sistema de IA. Un compañero de IA que redacta correos, responde en Slack y trabaja dentro de tus herramientas es justo el tipo de producto para el que se escribió esa norma.

John CEO lo desarrolla JHELY GLOBAL SL, una sociedad constituida en Málaga, España. No teníamos la opción de tratar las normas europeas como un problema ajeno. Este artículo explica qué dicen realmente esas normas y qué decisiones técnicas, legales y de proceso tomamos para que John las cumpla desde el diseño, no a base de parches.

Las reglas de la UE en palabras sencillas

Tres piezas legales determinan cómo puede trabajar un compañero de IA en Europa.

La Ley de IA (Reglamento (UE) 2024/1689). La primera ley amplia sobre IA del mundo clasifica los sistemas según su riesgo. Una lista corta de prácticas está prohibida sin más. Los sistemas de "alto riesgo", como la IA que filtra candidatos a un empleo, evalúa la solvencia o gestiona infraestructuras críticas, tienen obligaciones exigentes: gestión de riesgos, documentación, supervisión humana y registro. Un grupo intermedio, el de los sistemas que conversan con personas o generan contenido, tiene obligaciones de transparencia. El resto queda prácticamente sin regular.

La Ley se aplica por fases:

Las dos últimas fechas son nuevas. En julio de 2026 la UE adoptó el "Digital Omnibus on AI" (Reglamento (UE) 2026/1744), que entró en vigor el 27 de julio de 2026. Aplazó los plazos de alto riesgo, suavizó la obligación de alfabetización en IA para convertirla en un deber de adoptar medidas que apoyen el desarrollo de la alfabetización en IA y dio a los proveedores de sistemas generativos ya comercializados hasta el 2 de diciembre de 2026 para marcar el contenido generado por IA en un formato legible por máquina. Lo que no retrasó es el núcleo del artículo 50: avisar a las personas de que están tratando con una IA.

El RGPD. Cualquier compañero de IA que lee tu correo trata datos personales, a menudo de personas que nunca se registraron en nada. El RGPD decide quién es responsable de esos datos, adónde pueden viajar y qué derechos tienen las personas sobre ellos.

Tu propio papel. La Ley de IA distingue entre el "proveedor", que crea el sistema, y el "responsable del despliegue", que lo utiliza en su actividad. En el caso de John, nosotros somos el proveedor del sistema y tú, como cliente, eres el responsable del despliegue dentro de tu empresa. Esa división importa, y volveremos a ella más adelante.

¿Dónde encaja John? John es un compañero de trabajo generalista: redacta, resume, organiza la agenda y actúa en las herramientas que conectas. Eso lo sitúa de lleno en el nivel de transparencia. Nuestros Términos de servicio van un paso más allá y prohíben usar John como parte de un sistema de alto riesgo, por ejemplo para tomar decisiones de contratación, crédito, seguros o elegibilidad sobre personas sin una revisión humana real.

Decisión 1: John es transparente sobre ser una IA

La transparencia es la norma que afecta a John de forma más directa, así que fue nuestro punto de partida.

• El primer contacto lo dice claramente. Cuando alguien habla con John por primera vez en un espacio de Slack, nuestra plataforma publica un aviso: "You are interacting with an AI system operated for" el nombre del titular de la cuenta "through John CEO." El texto lo revisaron nuestros asesores legales; no se improvisó. En Telegram, John tiene instrucciones de empezar con un mensaje equivalente.
• John nunca se hace pasar por humano. Cada espacio de trabajo arranca con instrucciones permanentes: no afirmar nunca que es humano, no eliminar ni reformular nunca una línea que indique que un mensaje lo envió un sistema de IA y, si alguien lo pregunta, responder con honestidad que es un compañero de IA.

Nuestros Términos también dejan clara la parte del cliente: te comprometes a no eliminar, ocultar ni pedir a John que oculte estos avisos y, como responsable del despliegue, te encargas de la transparencia adicional que requiera tu propio uso, por ejemplo explicar a tu equipo cómo usas John internamente.

Decisión 2: un espacio de trabajo privado por cliente

La mayoría de los productos de IA atienden a todos sus clientes en un único sistema compartido y los separan con reglas de software. Nosotros elegimos otro camino. Cada cliente de John recibe su propio espacio de trabajo privado: un espacio preparado solo para ti, con su propio almacenamiento, sin mezclarse con el de nadie más.

• Los nuevos espacios de trabajo se crean en Alemania. Los alojamos en Hetzner, en Falkenstein. La aplicación que coordina los espacios de trabajo funciona en Irlanda y su base de datos está alojada en la UE.
• Somos sinceros sobre el procesamiento de IA. Los nuevos espacios de trabajo están en Alemania, pero el modelo de IA y el enrutamiento que eliges deciden dónde se "piensa". Algunos proveedores de modelos procesan las solicitudes fuera del Espacio Económico Europeo, y también algunos de nuestros socios de servicios. Nuestra Política de privacidad lo dice abiertamente, aplica las cláusulas contractuales tipo de la Comisión Europea cuando hace falta y trata tu elección de modelo como tu instrucción documentada. Preferimos decírtelo antes que prometer que "tus datos nunca salen de la UE" y forzar la verdad en silencio.
• Los secretos de la plataforma nunca llegan a tu espacio de trabajo. Es una de las pocas reglas que nuestro manual de ingeniería llama "ley": ningún secreto de la plataforma acaba jamás en el espacio de trabajo de un cliente. Lo único sensible que llega allí pertenece a tu cuenta: una clave de AI spend propia, tu conexión opcional con el chat de Telegram, pases de acceso que solo funcionan para tu propio espacio de trabajo y un código de configuración de un solo uso que se guarda solo como huella, funciona una vez y caduca en menos de una hora. El acceso a tus aplicaciones conectadas pasa por nuestro lado, así que el acceso principal de nuestro socio de aplicaciones nunca está junto a tus datos.
• Los accesos guardados están cifrados. Tu clave de AI spend y los accesos a los canales que conectas, como Slack y Telegram, se cifran con AES-256-GCM, y la clave que los protege se queda en nuestro lado, nunca en un espacio de trabajo. Los accesos a tus aplicaciones conectadas los guarda nuestro socio de aplicaciones y nunca se colocan en tu espacio de trabajo.

El aislamiento no es, por sí mismo, un requisito legal. Pero el RGPD exige una seguridad "adecuada al riesgo", y es mucho más fácil razonar sobre los datos de un cliente cuando están físicamente en un solo lugar.

Decisión 3: las personas aprueban las acciones importantes

Las normas de alto riesgo de la Ley de IA giran en torno a la supervisión humana. John no es un sistema de alto riesgo, pero creemos que el principio es el correcto para cualquier cosa que actúe en tu nombre.

• Leer es libre, escribir pide permiso. Cuando John quiere usar una aplicación conectada, cada acción se clasifica antes de ejecutarse. Leer, buscar y generar informes pasa directamente. Todo lo que escribe, borra o envía algo al exterior se detiene y pide aprobación en tu chat. Si no podemos saber qué hace una acción, se trata como escritura. El sistema bloquea por defecto.
• Tú decides cuánta confianza das. Aprobar una vez, aprobar en esta conversación durante unos diez minutos, permitir este tipo de acción durante 30 días o denegar. Una denegación impide simplemente reintentar esa misma acción, así que John tiene que cambiar de rumbo.
• Las aprobaciones dejan un rastro a prueba de manipulaciones. Las aprobaciones, denegaciones y acciones en aplicaciones conectadas se registran en un libro de acciones en el que cada entrada lleva una huella criptográfica de la anterior. Editar o eliminar una entrada anterior rompe la cadena. El registro también se niega a guardar campos que parezcan contraseñas o claves secretas.

Nuestros Términos describen el mismo modelo en lenguaje contractual: el trabajo de bajo riesgo se ejecuta directamente, las acciones de mayor riesgo pueden requerir aprobación expresa y John no mueve dinero en tu nombre.

Decisión 4: menos datos por defecto

La mejor protección de los datos personales es no tenerlos.

• Por defecto no entrenamos con tus conversaciones. No usamos tus conversaciones, instrucciones ni las respuestas de John para entrenar o mejorar modelos salvo que lo aceptes expresamente, y esa opción nunca se aplica a los datos de Slack.
• Algunos datos están fuera de los límites. Nuestros Términos prohíben usar John para categorías especiales de datos, como datos de salud o biométricos, números de tarjetas de pago, contraseñas de otras personas y datos de menores. También se aplica en el software: los números de tarjeta se detectan y la acción se bloquea antes de llegar a una aplicación conectada, y John tiene instrucciones de rechazar con educación las tareas centradas en datos prohibidos.
• La analítica espera al consentimiento. En nuestra web y en el panel, las herramientas de analítica solo se cargan después de que las aceptes en el banner de cookies.
• Los informes de errores se depuran. Cuando algo falla, los informes que ven nuestros ingenieros están configurados para no incluir datos personales, y un filtro elimina los campos sensibles antes de que salgan.

Decisión 5: un marco legal que encaja con la arquitectura

Los documentos legales solo sirven si describen el sistema que realmente funciona. Los nuestros siguen las mismas líneas que la tecnología.

• Papeles claros según el RGPD. Para tu cuenta, facturación y ajustes, somos el responsable del tratamiento. Para los datos personales con los que John trabaja dentro de las herramientas que conectas, el responsable eres tú y nosotros actuamos como encargado del tratamiento, siguiendo tus instrucciones. Hay disponible, bajo petición, un contrato de encargo del tratamiento conforme al artículo 28 del RGPD.
• Socios con nombre, en público. Las empresas que nos ayudan a operar John, desde el alojamiento hasta los pagos, figuran en nuestra página de subencargados, junto con dónde operan.
• Una autoridad conocida. Como empresa española, nuestra autoridad principal de protección de datos es la Agencia Española de Protección de Datos (AEPD).
• La Ley de IA, escrita en el contrato. Tanto nuestra Política de privacidad como nuestros Términos de servicio citan expresamente el artículo 50, y nuestros Términos definen quién es el responsable del despliegue y excluyen el uso de alto riesgo.

Decisión 6: el proceso también es cumplimiento

Las normas se cumplen o se incumplen en el trabajo diario de ingeniería, no en los documentos de políticas. Algunos hábitos que incorporamos a cómo se desarrolla John:

• La profundidad de la revisión crece con el riesgo. Cada cambio se clasifica de S0 (textos y documentación) a S3 (código del que dependen muchas otras partes). Todo lo que está por encima de S0 necesita la revisión de un revisor nuevo cuyo trabajo es romper el cambio, no aprobarlo. A partir de S2 se exige además una revisión de seguridad independiente. Los cambios que afectan a seguridad, aprobaciones, facturación, datos o inicio de sesión quedan sujetos automáticamente a un nivel mínimo más alto.
• Los documentos legales están congelados. Nuestros Términos y nuestra Política de privacidad no se pueden editar de pasada. Cualquier cambio necesita la aprobación expresa de una persona sobre el texto exacto, confirmada dos veces. Ninguna herramienta automática puede tocarlos por su cuenta.
• Los planes se escriben antes que el código. Los cambios grandes empiezan con un plan escrito y aprobado que se guarda junto al código, para que el motivo de cada decisión sobreviva a la memoria de quienes la tomaron.
• Producción es un paso aparte y controlado. Los cambios llegan a john.ceo solo mediante una promoción revisada desde nuestra rama de desarrollo, nunca enviándolos directamente a producción.

Qué significa para ti

Si usas John en tu empresa, la Ley de IA te considera responsable del despliegue. Merece la pena hacer algunas cosas:

1. Cuéntaselo a tu equipo. Explica a tus compañeros que John es un compañero de IA y de qué se encarga. Es una buena práctica y el espíritu de la obligación de alfabetización en IA.
2. No ocultes que es una IA. Nuestros Términos prohíben eliminar u ocultar los avisos de IA. Tómalos como una ventaja: la gente confía más en un asistente claramente identificado que en uno sospechoso.
3. Elige el modelo a conciencia. La elección de modelo influye en dónde se procesa la IA. Si te importa que se quede dentro del EEE, tenlo en cuenta y pregúntanos los detalles.
4. Deja las decisiones sobre personas en manos de personas. Usa John para preparar, redactar y resumir. Las decisiones de contratación, crédito y similares, que las tome una persona.
5. Pide la documentación cuando la necesites. Si necesitas un contrato de encargo del tratamiento, escribe a [email protected].

A veces se dice que el enfoque europeo de la IA frena la innovación. Construyendo John descubrimos lo contrario. La mayoría de las normas describen cosas que cualquier equipo cuidadoso querría de todos modos: decir la verdad a las personas, guardar los datos donde dijiste que estarían, dejar que las personas aprueben lo importante y dejar por escrito el porqué. La ley simplemente hizo que lo hiciéramos desde el primer día.

Este artículo describe cómo está diseñado John CEO y no constituye asesoramiento jurídico. Para tus propias obligaciones, consulta a un asesor cualificado. Fuentes: Reglamento (UE) 2024/1689, Reglamento (UE) 2026/1744 y el calendario de aplicación de la Ley de IA de la Comisión Europea.