AI Act y HubSpot: qué obligaciones te aplican y cómo cumplir

¿Qué funciones de HubSpot incorporan IA y cómo las clasifica el AI Act?

HubSpot ha integrado IA en varias áreas de su plataforma durante 2024-2026: lead scoring predictivo (Smart CRM), generación de contenido con IA (Content Hub, Breeze Copilot), chatbot conversacional (Conversations IA), personalización de email con IA generativa (Marketing Hub), transcripción y resumen de llamadas (Sales Hub) y automatizaciones con reglas aprendidas (Workflows).

Antes del 2 de agosto de 2026 —fecha en la que entran en vigor las obligaciones de sistemas de alto riesgo del Reglamento (UE) 2024/1689— cualquier pyme española que use HubSpot debe clasificar cada una de estas funciones y aplicar las obligaciones que correspondan. El error habitual es asumir que todo HubSpot es alto riesgo o, al contrario, que nada lo es: la realidad depende del uso real.

• Lead scoring predictivo: riesgo mínimo en comercial B2B, ALTO RIESGO solo si decide acceso a servicio esencial.
• Content Hub con IA generativa (textos de blog, emails, landing pages): riesgo limitado (Art. 50.2 — marcar contenido sintético).
• Conversations IA (chatbot web o WhatsApp): riesgo limitado (Art. 50.1 — declarar que es IA).
• Breeze Copilot interno (asistente al equipo): riesgo limitado (Art. 4 — formación del equipo).
• Transcripción y resumen de llamadas con IA: riesgo limitado + base jurídica RGPD para grabar.
• Workflows con reglas aprendidas automáticamente: normalmente riesgo mínimo.

Lead scoring predictivo: cuándo pasa de riesgo mínimo a ALTO RIESGO

Esta es la pregunta clave que determina qué documentación necesita tu empresa. El Anexo III punto 5.b del Reglamento (UE) 2024/1689 clasifica como alto riesgo los sistemas de IA destinados a evaluar la solvencia o puntuación crediticia de personas físicas, o utilizados para decidir sobre el acceso a servicios esenciales (financieros, sanitarios, educativos, de vivienda, servicios públicos de empleo).

El lead scoring comercial B2B de HubSpot —priorizar qué leads trabaja antes el equipo comercial, sin denegar ningún servicio— NO cae en el Anexo III. Es un uso administrativo de IA que mejora la eficiencia pero no quita derechos a nadie. Las obligaciones aplicables son las generales: documentar que usas IA (Art. 50 si el output llega al cliente) y formar al equipo (Art. 4).

El lead scoring pasa a ALTO RIESGO cuando el output deniega o condiciona de forma automática un servicio esencial. Casos típicos: una entidad financiera que use HubSpot para pre-aprobar o rechazar automáticamente solicitudes de crédito, una aseguradora que lo use para decidir primas, una academia o universidad que lo use para asignar plazas, una plataforma sanitaria que lo use para priorizar atención. En estos casos, HubSpot deja de ser una herramienta de riesgo mínimo y entra en el régimen pleno de alto riesgo del AI Act.

Content Hub con IA generativa: Art. 50.2 y la transparencia del contenido sintético

El Content Hub de HubSpot permite generar borradores de artículos, emails, landing pages, posts de redes sociales e imágenes con IA. Todo contenido generado total o parcialmente con IA está sujeto al Art. 50.2 del Reglamento (UE) 2024/1689: cuando el contenido pueda confundirse con uno creado por humanos y trate asuntos de interés público, el proveedor debe marcarlo como generado o manipulado artificialmente, por medios técnicos legibles por máquina.

En la práctica, para una pyme que usa HubSpot para marketing comercial estándar, esto significa: declararlo en la política de privacidad y de uso del sitio, no publicar como opinión editorial textos íntegramente generados por IA sin revisión humana, y usar las marcas de agua o declaraciones de contenido sintético cuando se publiquen imágenes generadas con IA (Content Hub integra DALL-E / Stable Diffusion). El Art. 50.4 añade una obligación específica para los deepfakes: siempre identificados como tales, sin excepciones.

Conversations IA (chatbot web): la obligación del Art. 50.1

Si usas el chatbot IA de HubSpot (Conversations) para atender clientes en tu web o WhatsApp, estás obligado por el Art. 50.1 del AI Act a informar a la persona de que está interactuando con un sistema de IA. La obligación aplica desde el inicio de la conversación y debe ser clara, no enterrada en términos y condiciones.

La implementación es sencilla: un mensaje de apertura tipo «Hola, soy el asistente IA de [empresa]; si prefieres hablar con una persona, escribe la palabra humano». Esta frase cumple el Art. 50.1 y añade escalado a persona (buena práctica aunque no sea obligatorio). Opcionalmente, registra las conversaciones con política de retención documentada —necesario para RGPD si vas a usar los datos para mejorar el servicio.

Obligaciones concretas para una pyme que usa HubSpot (checklist operativo)

Si tu empresa usa HubSpot con las funciones de IA activadas y el uso cae en riesgo limitado (que es el caso del 90% de las pymes comerciales B2B/B2C), estas son las obligaciones mínimas que debes cubrir:

• Art. 4 (alfabetización): formar al equipo que opera HubSpot sobre qué funciones usan IA y cómo interpretarlas. 2-3 horas de sesión + materiales documentados.
• Art. 50.1 (chatbot): declarar al principio de la conversación de Conversations IA que es un asistente de IA y permitir escalado a persona.
• Art. 50.2 (contenido generativo): política interna que exija revisión humana antes de publicar textos del Content Hub; declaración en política de privacidad del uso de IA generativa.
• RGPD + lead scoring: incluir en la política de privacidad que las decisiones comerciales no se toman exclusivamente de forma automática; garantizar derecho a revisión humana si un lead rechazado lo solicita.
• Registro básico: documento interno con las funciones IA activas en HubSpot, su finalidad, su clasificación de riesgo y la persona responsable.
• Si pasas a ALTO RIESGO (financiero, sanitario, educativo con denegación automática): sumar Art. 9 (gestión de riesgos), Art. 11 (documentación técnica completa), Art. 14 (supervisión humana obligatoria), EIPD y transparencia reforzada al cliente.

Marco sancionador: cuánto puede costar incumplir el AI Act usando HubSpot

El Art. 99 del Reglamento (UE) 2024/1689 fija tres tramos de sanciones aplicables desde el 2 de agosto de 2026. Para los sistemas prohibidos (que no es el caso típico de HubSpot), hasta 35 millones de euros o el 7% de la facturación anual mundial, lo que sea mayor. Para incumplimiento de obligaciones en sistemas de alto riesgo, hasta 15 millones de euros o el 3% de la facturación anual mundial. Para suministrar información incorrecta o engañosa a las autoridades, hasta 7,5 millones o el 1,5%.

Para pymes y startups se aplica la cuantía menor de las dos (importe fijo o porcentaje de facturación). La AESIA (Agencia Española de Supervisión de IA) es la autoridad competente en España para inspeccionar y sancionar. Las primeras inspecciones se esperan desde la segunda mitad de 2026 y afectarán tanto a proveedores como a usuarios profesionales (deployers) de sistemas de IA, incluyendo pymes.

Plan de 5 pasos para cumplir el AI Act con HubSpot antes del 2 de agosto de 2026

Este plan asume que tu empresa es un deployer típico de HubSpot con funciones de IA activadas en uso comercial B2B/B2C estándar (riesgo limitado). Si tu caso es financiero, sanitario o educativo con decisiones automáticas, consulta con alguien que te acompañe en el régimen de alto riesgo.

• Semana 1: inventario de funciones IA activas en tu portal HubSpot (ir a Settings → AI → ver qué está habilitado). Documentar cada una con finalidad y responsable interno.
• Semana 2: clasificar cada función según el AI Act. Para la mayoría de pymes B2B/B2C: todo riesgo limitado salvo lead scoring sobre servicios esenciales.
• Semana 3: implementar el mensaje de transparencia del chatbot (Art. 50.1) y actualizar la política de privacidad con la cláusula de uso de IA generativa y lead scoring.
• Semana 4: formación interna del equipo de marketing, ventas y servicio (Art. 4). 2-3 horas con un acta firmada por asistentes.
• Mes 2: redactar la política de IA empresarial (documento interno de 2-4 páginas), establecer el procedimiento de revisión humana para contenido generativo y archivar la documentación en un repositorio accesible para una posible inspección AESIA.

Cómo automatizar el cumplimiento sin pagar 10.000 EUR a una consultoría

Una consultoría boutique para auditar HubSpot bajo AI Act cobra habitualmente entre 4.000 y 10.000 EUR, y el entregable típico es un informe estático de 60-100 páginas que queda desactualizado en cuanto HubSpot libera una nueva función de IA (ocurre cada 2-3 meses).

Alternativa: usar una plataforma de compliance AI Act que mantenga el inventario actualizado automáticamente, clasifique cada función según su uso declarado, genere la documentación técnica mínima (Art. 11) y avise cuando una herramienta añade una función que cambia el nivel de riesgo. Para pymes que solo usan HubSpot y 4-6 herramientas SaaS más, es una alternativa viable y mantenible frente a la auditoría estática tradicional.