Reglamento de IA de la UE: Cómo utiliza formexposed la IA

Este documento se publica en varios idiomas. En caso de discrepancia entre las versiones lingüísticas, la versión polaca es vinculante.

Versión 1.1 · Última actualización: 23 de octubre de 2026

Qué significa el Reglamento (UE) 2024/1689 (el “Reglamento de IA”), modificado por el Reglamento (UE) 2026/1744, para formexposed, dónde utiliza el servicio inteligencia artificial, dónde expresamente no la utiliza, qué datos puede ver un modelo y cómo evaluamos las obligaciones del Reglamento que nos son aplicables. Esta página describe el estado actual del servicio y nuestra evaluación jurídica; no es un documento contractual, y lo que debemos a los Clientes se rige por las Condiciones del Servicio y el Acuerdo de Tratamiento de Datos. Forma parte de nuestros documentos legales junto con la Política de Privacidad y el Registro de Actividades de Tratamiento.

1. La versión breve

El Reglamento de IA entró en vigor el 1 de agosto de 2024. Sus prohibiciones y la obligación de alfabetización en materia de IA se aplican desde el 2 de febrero de 2025, las obligaciones para los modelos de uso general desde el 2 de agosto de 2025, y las obligaciones de transparencia del art. 50 desde el 2 de agosto de 2026 (art. 113).

formexposed utiliza un modelo de lenguaje en tres lugares: como ayuda para clasificar un formulario que nuestras reglas no reconocen, para resumir los hallazgos del escaneo como un plan de acción priorizado para cuentas de pago y en “Fix it for me”, donde, a petición suya, integra nuestro módulo de protección en el código de su formulario. En los tres casos, el modelo se ejecuta en nuestro propio servidor en Polonia; ninguna entrada se envía a un proveedor de IA. La puntuación, el dictamen, las alertas, la prevención de abusos y la protección contra spam del plugin no son IA, sino reglas que hemos escrito y que se pueden recalcular a mano. Ninguna salida de IA decide nada sobre una persona.

2. Dónde utiliza IA formexposed

2.1 Clasificación de formularios en el servicio de verificación

En cada verificación, el rastreador necesita saber qué tipo de formulario está viendo: formulario de contacto, inicio de sesión, pedido, búsqueda, boletín y demás. Esto determina si un formulario se evalúa o no. La clasificación se realiza en dos etapas:

Primero las reglas. Los tipos de campos, nombres de campos, etiquetas, textos de botones y el texto alrededor del formulario se comparan con listas fijas de palabras en alemán, inglés y polaco. Esto resuelve la gran mayoría de los formularios.
El modelo de lenguaje solo si las reglas indican “desconocido”. Entonces recibe una descripción del formulario y responde con un tipo y una confianza entre 0 y 1. Si no responde, responde sin contenido o con algo desconocido, el formulario permanece como “desconocido”. Si el modelo falla, la verificación continúa sin esta etapa.

Lo que puede hacer el modelo está estrictamente limitado, en el código y no solo como intención:

Un formulario clasificado por el modelo nunca se envía. Los envíos de prueba existen únicamente para formularios de contacto que las reglas han reconocido con alta confianza y, para los clientes, solo en dominios con prueba de control.
Un formulario clasificado por el modelo no cuenta para la puntuación ni el dictamen. Permanece visible en la lista de formularios encontrados, pero nunca se trata como el formulario de contacto relevante del dominio, al que se vinculan el monitoreo, la comparación visual, el portal de clientes y “Fix it for me”. Si el modelo considera que algo es un formulario de contacto, el código reduce su confianza a un máximo de 0.6, porque en nuestras pruebas confundió campos de búsqueda y calculadoras de seguros con formularios de contacto.
Junto a cada formulario, el informe indica de dónde procede su clasificación: “reglas” o “IA”, con la confianza como porcentaje.

2.2 “Fix it for me”: integrar el módulo de protección en su código

En los planes de pago, los propietarios y administradores de un espacio de trabajo reciben un módulo de protección listo para usar para PHP, Node.js o Python. El propio módulo es una plantilla fija sin IA; solo se insertan su nombre de host y los nombres de los campos de la última verificación. Opcionalmente, puede pegar el código de su formulario y el modelo de lenguaje integra el módulo en él. Recibe el archivo modificado y, salvo en archivos muy grandes, un parche. Antes de que vea el resultado, nuestro código comprueba dos cosas sin IA:

si realmente se ha integrado la llamada al módulo; si falta, la interfaz indica expresamente: no lo implemente así;
si la sintaxis es correcta (php -l, node --check o py_compile); su código se verifica, no se ejecuta.

Con cada resultado, la interfaz indica que procede de una IA, que una IA puede cometer errores y que la comprobación de sintaxis no prueba su lógica. No implementamos nada: no tenemos acceso a su servidor ni lo solicitamos. La siguiente verificación muestra si el cambio funciona.

2.3 Asistentes de IA de terceros mediante nuestra interfaz MCP

En el plan Business, puede conectar su propio asistente de IA (como Claude, ChatGPT o Cursor) a su cuenta mediante el Model Context Protocol para consultar sus dominios, verificaciones e incidentes. Esta no es IA nuestra: proporcionamos datos al asistente, del mismo modo que lo hace la API REST. Su elección y su contrato con ese proveedor determinan qué proveedor hace qué con los datos. Mediante la interfaz, el asistente solo puede leer e iniciar una verificación.

2.4 Google reCAPTCHA en nuestros propios formularios

Nuestros propios formularios (verificación gratuita, herramienta de encabezados, exclusión, inicio de sesión, registro, contraseña, soporte y contacto) están protegidos por Google reCAPTCHA v3. Para ello, Google calcula un valor entre 0 y 1 con sus propios métodos; nosotros solo vemos ese valor y rechazamos un envío por debajo de un umbral fijo. El método es de Google, no nuestro. Quien sea rechazado puede intentarlo de nuevo o comunicarse con nosotros por correo electrónico. Encontrará los detalles en la Política de Privacidad.

2.5 Plan de acción priorizado en informes de pago

Para las verificaciones que cumplen los requisitos de dominios en cuentas de pago, el mismo modelo local también redacta un breve plan de acción priorizado a partir del nombre de host, el resultado global y la puntuación, el CMS, el tipo de formulario relevante y la dirección de la página, cualquier plugin identificado y determinados hallazgos fallidos o poco claros. Para esta finalidad no recibe capturas de pantalla ni valores enviados en formularios. El plan se etiqueta como un resumen de IA; los hallazgos individuales siguen siendo la referencia determinante. No modifica el sitio web ni el resultado del escaneo.

Se indica al modelo que produzca de 3 a 5 pasos breves y numerados, o de 1 a 2 pasos cuando la protección ya es buena. Estas son instrucciones para el modelo, no una garantía de que las recomendaciones sean correctas. La salida se acorta y se limpia como texto sin formato; no se ha implementado ninguna comprobación de su exactitud factual.

3. Dónde no utiliza IA formexposed

Las siguientes partes se basan exclusivamente en reglas establecidas por seres humanos. No infieren nada de los datos, no aprenden nada y, por ello, no son sistemas de IA en el sentido del art. 3, punto 1, como se explica en el considerando 12:

Puntuación y dictamen: una suma ponderada de las medidas de protección que faltan (CAPTCHA, campo trampa, token, marca de tiempo y otras) de 0 a 100; por encima de umbrales fijos, “Expuesto”, “Parcialmente protegido” o “Protegido”. Nosotros establecemos las ponderaciones; no cambian según los datos verificados.
Detección de medidas de protección, scripts de terceros, banners de cookies, accesibilidad: comparación con características conocidas en el código fuente y en el comportamiento de la página.
Monitoreo y alertas: comparación con la verificación anterior; tiempos de respuesta frente a una referencia basada en la mediana de las primeras mediciones, con umbrales fijos.
Prevención de abusos en la verificación gratuita: recuentos por dirección IP, sesión y periodo con límites fijos. Quien supera un límite es rechazado durante el periodo actual, por un máximo de 24 horas. Las anomalías se señalan y las resuelve una persona.
Comparación visual de formularios: las capturas de pantalla de verificaciones sucesivas se comparan mediante perfiles de brillo de sus filas y columnas con umbrales fijos, para informar sobre un formulario desplazado u oculto.
Protección colectiva: un dominio de los enlaces de mensajes bloqueados se agrega a la lista compartida si aparece en un número mínimo de sitios web diferentes dentro de un periodo fijo; los servicios grandes están exentos y cada bloqueo termina en cuarentena, no en el olvido.
Protección contra spam en el plugin de WordPress y la extensión de TYPO3: campo trampa, token firmado, tiempo mínimo para completar el formulario, prueba de interacción, desafío aritmético, comprobaciones de saltos de línea y de un dominio de correo capaz de recibir correo electrónico, limitación de frecuencia, listas de direcciones desechables, sistemas de escritura por clases Unicode, listas de palabras personalizadas y países. La propia verificación se ejecuta en el sitio web del Cliente. Mientras el sitio web está conectado a una cuenta, solo recibimos recuentos, nombres y versiones de extensiones y, mientras participa en la protección colectiva (activada de forma predeterminada en el plugin de WordPress), los dominios de los enlaces de mensajes bloqueados: ningún mensaje ni dirección.

4. Qué datos recibe el modelo y dónde se ejecuta

Función	Entrada al modelo	Salida	Qué se almacena
Clasificación de formularios	Título y dirección de la página, texto de los botones de envío, para cada campo su tipo, nombre, etiqueta, marcador de posición y si es obligatorio u oculto, como máximo 400 caracteres de texto visible del formulario. Ningún valor ingresado.	Tipo de formulario y confianza	Tipo, confianza, origen “IA” y nombre del modelo con el resultado de la verificación, sujetos a su plazo de conservación; no la propia solicitud
“Fix it for me”	el código que pega (como máximo 30,000 caracteres) y nuestro módulo de protección con su nombre de host y sus nombres de campos	el archivo modificado	nada del código (para la comprobación de sintaxis, el archivo modificado se mantiene en nuestro servidor web como archivo temporal solo durante esa comprobación); en el registro de actividad, únicamente el lenguaje, la longitud, si se realizó correctamente, si se integró la llamada y el resultado de la comprobación de sintaxis
Plan de acción priorizado en informes de pago	Nombre de host, resultado global y puntuación, CMS, tipo de formulario relevante y dirección de la página, cualquier plugin identificado y, como máximo, 18 hallazgos distintos fallidos o poco claros con claves, resultados y notas acortadas a 200 caracteres cada una; ninguna captura de pantalla ni valor enviado en los campos	Un breve plan priorizado en el idioma seleccionado, limitado a 1,500 caracteres	Solicitud y respuesta temporalmente en la cola interna de trabajos; el texto del plan recogido, el idioma, el estado y la marca de tiempo con el resultado del escaneo conforme a su plazo de conservación

Sin salida de datos. El modelo se ejecuta en nuestro propio servidor de verificación en Polonia. El rastreador accede a él desde su entorno aislado y nuestro servidor web mediante nuestra red interna. Ninguna entrada se envía a un proveedor de IA ni a ningún otro tercero. El código de la aplicación y del proceso worker no permite determinar si el servicio del modelo registra el contenido de las solicitudes. La configuración de registros del host del modelo no se ha verificado en esta revisión; por ello, aquí no afirmamos que todos los registros del servicio del modelo contengan únicamente metadatos técnicos.
Sin entrenamiento. No entrenamos ni modificamos el modelo y no utilizamos los resultados de las verificaciones ni su código para mejorarlo. Cada solicitud es independiente.
Datos personales. Estas funciones no requieren mensajes de visitantes ni valores reales enviados en formularios para sus finalidades previstas. Esto no significa que sus entradas sean anónimas. Excepcionalmente, un nombre puede aparecer en el texto de un formulario de una página de terceros, por ejemplo el de una persona de contacto junto al formulario. En “Fix it for me” le pedimos que elimine contraseñas, claves de API y datos personales antes de pegar el código; la interfaz le recuerda las contraseñas y las claves de API en la entrada.
Almacenamiento del plan de acción. La solicitud se almacena temporalmente en nuestra cola interna de trabajos. Una vez recogido el resultado, se elimina la entrada de la cola; la limpieza programada también elimina las entradas de la cola con más de una hora de antigüedad. El texto generado, el idioma, el estado y la marca de tiempo se almacenan con el resultado del escaneo y siguen su plazo de conservación, incluida la conservación de la última verificación completada para cada dominio y la eliminación cuando se elimina el dominio.
Entradas del plan de acción. Los nombres de host, las direcciones de páginas y las notas de los hallazgos pueden contener información personal de forma incidental. La instrucción del plan de acción no solicita mensajes de visitantes ni valores ingresados en los campos.
Límites de uso: “Fix it for me” con IA está limitado a un número de solicitudes por espacio de trabajo al día, para que el servidor siga disponible para las verificaciones.

5. Nuestro rol conforme al Reglamento de IA

El modelo: Utilizamos un modelo de lenguaje de uso general disponible libremente, con pesos abiertos, de un proveedor externo. Las obligaciones relativas al propio modelo (art. 53 y siguientes) corresponden a su proveedor. Puesto que no lo entrenamos ni modificamos, no nos convertimos nosotros mismos en proveedores de un modelo de ese tipo.

Los sistemas: Hemos creado la clasificación de formularios, la función de planes de acción y “Fix it for me” y los operamos bajo el nombre formexposed. Según nuestra evaluación, somos el proveedor de estos sistemas de IA (art. 3, punto 3), porque los desarrollamos nosotros mismos y los pusimos en servicio bajo nuestro propio nombre. También operamos nosotros mismos la clasificación de formularios y la función de planes de acción y, en esa medida, somos el responsable del despliegue (art. 3, punto 4). El simple hecho de recibir o leer un plan de acción no convierte por sí solo a un Cliente en responsable del despliegue. Nuestros clientes utilizan “Fix it for me” en el ejercicio de su actividad profesional; al hacerlo, son, según nuestra evaluación, responsables del despliegue.

Clasificación de riesgo: Ninguna de estas tres funciones, para las finalidades previstas aquí descritas, pertenece a los ámbitos de alto riesgo del anexo III (como biometría, infraestructuras críticas, educación, empleo, servicios esenciales, aplicación de la ley, migración o administración de justicia) ni es un componente de seguridad de un producto del anexo I. Clasifican formularios, resumen hallazgos técnicos del escaneo como pasos orientativos y editan código de programación; no evalúan personas. Por tanto, no son sistemas de IA de alto riesgo conforme al art. 6; los requisitos para esos sistemas y las obligaciones de sus proveedores y responsables del despliegue (capítulo III) no les son aplicables. Están sujetos a la obligación de alfabetización en materia de IA (art. 4) y, cuando se cumplen sus condiciones, a las obligaciones de transparencia del art. 50.

Prácticas prohibidas (art. 5): formexposed no realiza reconocimiento de emociones, categorización o identificación biométrica, puntuación social, predicción de delitos ni técnicas manipuladoras o subliminales.

6. Transparencia (art. 50)

Sin chatbot. Nadie conversa con una IA en formexposed. El art. 50, apartado 1, se refiere a sistemas de IA destinados a interactuar directamente con personas físicas. El plan de acción se genera en segundo plano y se identifica de forma visible en el informe como generado por IA. La clasificación de formularios no entra en contacto con nadie; “Fix it for me” recibe código y devuelve código, y la interfaz indica expresamente que el resultado procede de una IA. Por tanto, quien utiliza la función sabe en cualquier caso que está tratando con una IA.
Código generado. “Fix it for me” genera código de programación y lo identifica como salida de IA. El cambio previsto consiste en insertar nuestro módulo de protección; eso puede modificar el comportamiento y el significado del código. Por ello, no suponemos que la excepción para la edición estándar o la semántica sin cambios del art. 50, apartado 2, se aplique en todos los casos. La aplicabilidad de esa disposición y de cualquier excepción debe evaluarse para la salida concreta. Un parche muestra las líneas modificadas cuando está disponible, pero no demuestra por sí mismo una exención ni una marcación legible por máquina. Para archivos muy grandes no hay parche; en ese caso, compare el archivo usted mismo.
Texto del plan de acción y marcación legible por máquina. El plan de acción crea un resumen y recomendaciones priorizadas a partir de los hallazgos. Para esta finalidad lo tratamos como texto generado comprendido en el art. 50, apartado 2, y no como edición estándar que deja el significado sin cambios. Esa disposición exige una marcación legible por máquina y la posibilidad de detección, conforme a sus condiciones y al estado de la técnica. Un aviso visible de IA por sí solo no demuestra el cumplimiento de ese requisito técnico. La revisión actual del código confirma el aviso visible y el almacenamiento y la presentación como texto sin formato; no demuestra una marcación legible por máquina eficaz a lo largo de la cadena de generación y salida. Por ello, no afirmamos que este requisito se haya verificado plenamente.
Contexto del informe. El plan se genera en segundo plano como orientación para un operador de sitio web. No se produce con la finalidad de informar al público sobre asuntos de interés público conforme al art. 50, apartado 4. No obstante, cualquier persona que tenga el enlace aleatorio de un informe puede abrirlo sin iniciar sesión. Una publicación posterior con una finalidad de interés público requiere su propia evaluación; el acceso mediante un enlace que permite el acceso a quien lo tenga no constituye una exención general de las reglas de transparencia.
Las clasificaciones en el informe se etiquetan como “IA” siempre que proceden del modelo.
Los planes de acción en los informes de pago se etiquetan como resúmenes de nuestra IA en nuestros propios servidores. El aviso indica que los hallazgos individuales son la referencia determinante.
No generamos imágenes, contenido de audio o video, ni ultrafalsificaciones.

7. Supervisión humana y ausencia de decisiones automatizadas

Las salidas del modelo son ayudas, no decisiones. La clasificación de formularios no puede desencadenar nada por sí sola: ningún envío, dictamen ni alerta. “Fix it for me” no modifica nada en su servidor; usted lee el resultado, decide y lo implementa por su cuenta. El plan de acción es únicamente texto orientativo: mostrarlo no modifica el sitio web, la puntuación ni el dictamen; el usuario decide qué pasos seguir. Según nuestra evaluación, ninguna función de formexposed toma una decisión que produzca efectos jurídicos sobre una persona o le afecte de modo similar y significativo (art. 22 del RGPD). Si reCAPTCHA o uno de nuestros límites fijos rechaza automáticamente una entrada, puede intentarlo de nuevo o escribirnos; entonces una persona examinará el caso. Nuestras evaluaciones se refieren a sitios web y formularios, no a personas.

Si considera que una clasificación es incorrecta, escríbanos con el enlace al informe. La examinaremos y mejoraremos las reglas.

8. Alfabetización en materia de IA (art. 4) y calidad

El propietario ha creado por sí mismo las funciones de IA de formexposed y las opera por sí mismo; actualmente ninguna otra persona trabaja con ellas. Antes de cada cambio de modelo, se familiariza con su funcionamiento y sus límites, y con el estado actual del Reglamento. Si se incorporan empleados o prestadores de servicios que trabajen con estas funciones, recibirán instrucciones sobre su funcionamiento, límites y riesgos antes de utilizarlas por primera vez; registramos esas instrucciones por escrito.
Antes de implementar o cambiar un modelo, lo probamos con una colección de formularios de prueba para comprobar el tiempo de respuesta, las respuestas válidas y las clasificaciones incorrectas. Es una etapa de trabajo que realiza el propietario, no un proceso impuesto en el código. Los límites de la sección 2.1 se basan en esas mediciones.
El art. 4 también se le aplica a usted como Cliente si utiliza “Fix it for me” profesionalmente. Esta página y los avisos de la interfaz tienen por objeto ayudarle a ello.

9. Cambios y contacto

Actualizaremos esta página en cuanto se agregue, se modifique significativamente o se elimine una función de IA; los cambios significativos se enumeran en Cambios en los Documentos Contractuales. Envíe sus preguntas e inquietudes sobre nuestro uso de IA a contact@lukaswojcik.com, mediante la página de contacto o la ventana de soporte. Las reclamaciones siguen el procedimiento de Reclamaciones. Esto no afecta al derecho a presentar una reclamación ante la autoridad de vigilancia del mercado competente (art. 85).

Proveedor: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland.

¿Cómo podemos ayudarle?