Reglamento de IA de la UE: cómo utiliza formexposed la IA

Este documento se publica en varios idiomas. En caso de discrepancia entre las versiones lingüísticas, prevalecerá la versión polaca.

Versión 1.0 · Última actualización: 16 de octubre de 2026

Qué significa el Reglamento (UE) 2024/1689 (el «Reglamento de Inteligencia Artificial») para formexposed, dónde utiliza el servicio inteligencia artificial, dónde expresamente no lo hace, qué datos llega a ver un modelo y cómo valoramos las obligaciones del Reglamento en la medida en que nos afectan. Esta página describe el estado actual del servicio y nuestra valoración jurídica; no es un documento contractual, y lo que debemos a los Clientes se rige por las Condiciones del servicio y el Contrato de encargo del tratamiento. Forma parte de nuestros documentos legales junto con la Política de privacidad y el Registro de las actividades de tratamiento.

1. En resumen

El Reglamento de Inteligencia Artificial entró en vigor el 1 de agosto de 2024. Sus prohibiciones y la obligación de alfabetización en materia de IA se aplican desde el 2 de febrero de 2025, las obligaciones relativas a los modelos de uso general desde el 2 de agosto de 2025 y las obligaciones de transparencia del Art. 50 desde el 2 de agosto de 2026 (Art. 113).

formexposed utiliza un modelo de lenguaje exactamente en dos lugares: como ayuda para clasificar un formulario que nuestras reglas no reconocen, y en «Fix it for me», donde, a petición suya, integra nuestro módulo de protección en el código de su formulario. En ambos casos el modelo se ejecuta en nuestro propio servidor en Polonia; ningún dato de entrada llega a un proveedor de IA. La puntuación, el veredicto, las alertas, la prevención de abusos y la protección antispam del plugin no son IA, sino reglas que hemos escrito nosotros y que pueden recalcularse a mano. Ningún resultado de la IA decide nada sobre una persona.

2. Dónde utiliza formexposed la IA

2.1 Clasificación de formularios en el servicio de comprobación

En cada comprobación, el rastreador necesita saber qué tipo de formulario tiene delante: formulario de contacto, inicio de sesión, pedido, búsqueda, boletín, etc. De ello depende que un formulario se evalúe o no. La clasificación se realiza en dos fases:

1. Primero, las reglas. Los tipos de campo, los nombres de campo, las etiquetas, los textos de los botones y el texto que rodea el formulario se cotejan con listas fijas de palabras en alemán, inglés y polaco. Así se resuelve la gran mayoría de los formularios.
2. El modelo de lenguaje, solo si las reglas dicen «desconocido». En ese caso recibe una descripción del formulario y responde con un tipo y un grado de confianza entre 0 y 1. Si no responde, responde sin contenido o con algo desconocido, el formulario sigue siendo «desconocido». Si el modelo falla, la comprobación continúa sin esta fase.

Lo que el modelo puede hacer está estrictamente limitado, y lo está en el código, no solo como intención:

• Un formulario clasificado por el modelo nunca se envía. Los envíos de prueba solo existen para formularios de contacto que las reglas han reconocido con un alto grado de confianza y, en el caso de los clientes, solo en dominios con prueba de control.
• Un formulario clasificado por el modelo no cuenta para la puntuación ni para el veredicto. Sigue siendo visible en la lista de formularios encontrados, pero nunca se trata como el formulario de contacto relevante del dominio, al que se vinculan la monitorización, la comparación visual, el portal de clientes y «Fix it for me». Si el modelo considera que algo es un formulario de contacto, el código reduce su grado de confianza a 0,6 como máximo, porque en nuestras pruebas tomó campos de búsqueda y calculadoras de seguros por formularios de contacto.
• Junto a cada formulario, el informe indica de dónde procede su clasificación: «reglas» o «IA», con el grado de confianza en porcentaje.

2.2 «Fix it for me»: integración del módulo de protección en su código

En los planes de pago, los propietarios y administradores de un espacio de trabajo reciben un módulo de protección listo para usar en PHP, Node.js o Python. El módulo en sí es una plantilla fija sin IA; solo se insertan su nombre de host y los nombres de campo de la última comprobación. Opcionalmente, puede pegar el código de su formulario y el modelo de lenguaje integrará el módulo en él. Recibirá el archivo modificado y, salvo en el caso de archivos muy grandes, un parche. Antes de que vea el resultado, nuestro código comprueba dos cosas sin IA:

• si la llamada al módulo se ha integrado realmente; si falta, la interfaz indica expresamente que no debe desplegarse así;
• si la sintaxis es correcta (php -l, node --check o py_compile); su código se comprueba, no se ejecuta.

Con cada resultado, la interfaz indica que procede de una IA, que una IA puede cometer errores y que la comprobación de sintaxis no verifica su lógica. No desplegamos nada: no tenemos acceso a su servidor ni lo solicitamos. La siguiente comprobación muestra si el cambio funciona.

2.3 Asistentes de IA de terceros a través de nuestra interfaz MCP

En el plan Business, puede conectar su propio asistente de IA (como Claude, ChatGPT o Cursor) a su cuenta mediante el Model Context Protocol para consultar sus dominios, comprobaciones e incidencias. No se trata de una IA nuestra: proporcionamos datos al asistente, igual que lo hace la API REST. Qué hace cada proveedor con los datos depende de su elección y de su contrato con dicho proveedor. A través de la interfaz, el asistente solo puede leer e iniciar una comprobación.

2.4 Google reCAPTCHA en nuestros propios formularios

Nuestros propios formularios (comprobación gratuita, herramienta de cabeceras, opt-out, inicio de sesión, registro, contraseña, soporte y contacto) están protegidos por Google reCAPTCHA v3. Para ello, Google calcula un valor entre 0 y 1 con sus propios métodos; nosotros solo vemos ese valor y rechazamos un envío por debajo de un umbral fijo. El método es de Google, no nuestro. Quien sea rechazado puede volver a intentarlo o contactarnos por correo electrónico. Encontrará más detalles en la Política de privacidad.

3. Dónde no utiliza formexposed la IA

Las siguientes partes se basan exclusivamente en reglas establecidas por personas. No infieren nada a partir de datos, no aprenden nada y, por tanto, no son sistemas de IA en el sentido del Art. 3(1), tal como se explica en el considerando 12:

• Puntuación y veredicto: una suma ponderada de las medidas de protección que faltan (CAPTCHA, campo trampa, token, marca de tiempo y otras) de 0 a 100; por encima de umbrales fijos, «Expuesto», «Parcialmente protegido» o «Protegido». Las ponderaciones las fijamos nosotros; no cambian en función de los datos comprobados.
• Detección de medidas de protección, scripts de terceros, banners de cookies y accesibilidad: cotejo con características conocidas en el código fuente de la página y en el comportamiento de la página.
• Monitorización y alertas: comparación con la comprobación anterior; tiempos de respuesta frente a una referencia basada en la mediana de las primeras mediciones, con umbrales fijos.
• Prevención de abusos en la comprobación gratuita: recuentos por dirección IP, sesión y periodo con límites fijos. Quien supera un límite es rechazado durante el periodo en curso, como máximo 24 horas. Las anomalías se señalan y las resuelve una persona.
• Comparación visual de formularios: las capturas de pantalla de comprobaciones sucesivas se comparan mediante perfiles de brillo de sus filas y columnas con umbrales fijos, para notificar un formulario desplazado u oculto.
• Protección colectiva: un dominio procedente de enlaces en mensajes bloqueados se añade a la lista compartida si aparece en un número mínimo de sitios web distintos dentro de un periodo fijo; los grandes servicios están exentos, y todo bloqueo acaba en cuarentena, no en el olvido.
• Protección antispam en el plugin de WordPress y en la extensión de TYPO3: campo trampa, token firmado, tiempo mínimo de cumplimentación, prueba de interacción, operación aritmética, comprobaciones de saltos de línea y de un dominio de correo capaz de recibir correo electrónico, limitación de frecuencia, listas de direcciones desechables, sistemas de escritura por clases Unicode, listas de palabras y países personalizadas. La comprobación en sí se ejecuta en el sitio web del Cliente. Mientras el sitio web está conectado a una cuenta, solo recibimos recuentos, nombres y versiones de extensiones y, mientras participa en la protección colectiva (activada por defecto en el plugin de WordPress), los dominios de los enlaces en mensajes bloqueados; ningún mensaje y ninguna dirección.

4. Qué datos recibe el modelo y dónde se ejecuta

Función	Datos de entrada al modelo	Resultado	Qué se almacena
Clasificación de formularios	Título y dirección de la página, texto de los botones de envío, para cada campo su tipo, nombre, etiqueta, texto de ejemplo y si es obligatorio u oculto, como máximo 400 caracteres de texto visible del formulario. Ningún valor introducido.	Tipo de formulario y grado de confianza	Tipo, grado de confianza, origen «IA» y nombre del modelo junto con el resultado de la comprobación, sujeto a su plazo de conservación; no la solicitud en sí
«Fix it for me»	el código que usted pega (como máximo 30.000 caracteres) y nuestro módulo de protección con su nombre de host y sus nombres de campo	el archivo modificado	nada del código (para la comprobación de sintaxis, el archivo modificado se guarda en nuestro servidor web como archivo temporal solo durante esa comprobación); en el registro de actividad, solo el lenguaje, la longitud, si ha tenido éxito, si se ha integrado la llamada y el resultado de la comprobación de sintaxis

• Ninguna salida de datos. El modelo se ejecuta en nuestro propio servidor de comprobación en Polonia. El rastreador accede a él desde su entorno aislado, y nuestro servidor web a través de nuestra red interna. Ningún dato de entrada llega a un proveedor de IA ni a ningún otro tercero. El servicio del modelo solo registra datos técnicos como la hora, la duración y el código de estado de una solicitud, no su contenido.
• Ningún entrenamiento. No entrenamos ni modificamos el modelo y no utilizamos ni los resultados de las comprobaciones ni su código para mejorarlo. Cada solicitud es independiente.
• Datos personales: ninguna de las dos funciones los necesita. Excepcionalmente, un nombre puede llegar al texto del formulario de una página de terceros, por ejemplo el de una persona de contacto junto al formulario. En «Fix it for me» le pedimos que elimine contraseñas, claves de API y datos personales antes de pegar el código; la interfaz le recuerda lo de las contraseñas y claves de API en el campo de entrada.
• Límites de uso: «Fix it for me» con IA está limitado a un número de solicitudes por espacio de trabajo y día, para que el servidor siga disponible para las comprobaciones.

5. Nuestro papel con arreglo al Reglamento de Inteligencia Artificial

El modelo: Utilizamos un modelo de lenguaje de uso general de libre acceso, con pesos abiertos, de un proveedor tercero. Las obligaciones relativas al propio modelo (Art. 53 y siguientes) recaen en su proveedor. Como no lo entrenamos ni lo modificamos, no nos convertimos nosotros mismos en proveedores de dicho modelo.

Los sistemas: Hemos creado la clasificación de formularios y «Fix it for me» y los explotamos bajo el nombre formexposed. Según nuestra valoración, somos el proveedor de un sistema de IA (Art. 3(3)) en ambos casos, porque los hemos desarrollado nosotros mismos y los hemos puesto en servicio con nuestro propio nombre. También utilizamos nosotros mismos la clasificación de formularios y somos, en esa medida, también responsable del despliegue (Art. 3(4)). «Fix it for me» lo utilizan nuestros clientes en el marco de su actividad profesional; al hacerlo, son, según nuestra valoración, responsables del despliegue.

Clasificación del riesgo: Ninguna de las dos funciones se encuadra en los ámbitos de alto riesgo del anexo III (como la biometría, las infraestructuras críticas, la educación, el empleo, los servicios esenciales, la garantía del cumplimiento del Derecho, la migración o la administración de justicia) ni es un componente de seguridad de un producto con arreglo al anexo I. Clasifican formularios y editan código de programa; no evalúan a personas. Por tanto, no son sistemas de IA de alto riesgo con arreglo al Art. 6; los requisitos aplicables a dichos sistemas y las obligaciones de sus proveedores y responsables del despliegue (capítulo III) no se les aplican. Están sujetas a la obligación de alfabetización en materia de IA (Art. 4) y, cuando se cumplan sus condiciones, a las obligaciones de transparencia del Art. 50.

Prácticas prohibidas (Art. 5): formexposed no realiza reconocimiento de emociones, categorización ni identificación biométrica, puntuación ciudadana, predicción de delitos ni técnicas manipuladoras o subliminales.

6. Transparencia (Art. 50)

• Ningún chatbot. En formexposed nadie conversa con una IA. El Art. 50(1) se refiere a los sistemas de IA destinados a interactuar directamente con personas físicas. La clasificación de formularios no entra en contacto con nadie; «Fix it for me» recibe código y devuelve código, y la interfaz indica expresamente que el resultado procede de una IA. Por tanto, quien utiliza la función sabe en cualquier caso que está tratando con una IA.
• Texto generado. «Fix it for me» genera código de programa. La interfaz lo identifica como resultado de una IA, y solo le llega a usted, no al público. No está resuelto si el código de programa es «texto» en el sentido del Art. 50(2). Según nuestra valoración, en cualquier caso se aplica la excepción prevista en esa disposición para los sistemas de IA que no alteran sustancialmente los datos de entrada facilitados por el responsable del despliegue o su semántica: la función está destinada a insertar una llamada a nuestro módulo de protección en su código y dejarlo por lo demás sin cambios; el parche, con cada línea modificada, muestra si se ha conseguido. Para archivos muy grandes no hay parche; en ese caso, compare usted mismo el archivo.
• Las clasificaciones del informe se identifican como «IA» siempre que proceden del modelo.
• No generamos contenido de imagen, audio ni vídeo, ni ultrasuplantaciones.

7. Supervisión humana y ausencia de decisiones automatizadas

Los resultados del modelo son ayudas, no decisiones. La clasificación de formularios no puede desencadenar nada por sí sola: ningún envío, ningún veredicto, ninguna alerta. «Fix it for me» no cambia nada en su servidor; usted lee el resultado, decide y lo despliega por sí mismo. Según nuestra valoración, ninguna función de formexposed adopta una decisión que produzca efectos jurídicos en una persona o le afecte significativamente de modo similar (Art. 22 RGPD). Si reCAPTCHA o uno de nuestros límites fijos rechaza automáticamente una entrada, puede volver a intentarlo o escribirnos; entonces una persona examinará el caso. Nuestras evaluaciones se refieren a sitios web y formularios, no a personas.

Si considera que una clasificación es errónea, escríbanos con el enlace del informe. La revisaremos y mejoraremos las reglas.

8. Alfabetización en materia de IA (Art. 4) y calidad

• El titular ha creado él mismo las funciones de IA de formexposed y las explota él mismo; actualmente no trabajan con ellas otras personas. Antes de cada cambio de modelo, se familiariza con su funcionamiento y sus límites, así como con el estado actual del Reglamento. Si se incorporan empleados o proveedores de servicios que trabajen con estas funciones, se les instruirá sobre su funcionamiento, sus límites y sus riesgos antes de que las utilicen por primera vez; dejamos constancia de la instrucción por escrito.
• Antes de implantar o cambiar un modelo, lo probamos con una colección de formularios de prueba en cuanto a tiempo de respuesta, respuestas válidas y clasificaciones erróneas. Se trata de un paso de trabajo que realiza el titular, no de un proceso impuesto en el código. Los límites del apartado 2.1 se basan en tales mediciones.
• El Art. 4 también se le aplica a usted como Cliente si utiliza «Fix it for me» profesionalmente. Esta página y los avisos de la interfaz pretenden ayudarle en ello.

9. Cambios y contacto

Actualizaremos esta página en cuanto se añada una función de IA, cambie de forma significativa o se elimine; los cambios significativos se recogen en Cambios en los documentos contractuales. Envíe sus preguntas e inquietudes sobre nuestro uso de la IA a contact@lukaswojcik.com, a través de la página de contacto o de la ventana de soporte. Las reclamaciones siguen el procedimiento descrito en Reclamaciones. Ello no afecta al derecho a presentar una reclamación ante la autoridad de vigilancia del mercado competente (Art. 85).

Proveedor: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polonia.