Cuando encontramos un error en lo que publicamos, o en la base normativa que usa el copiloto, lo corregimos después de abrir el texto oficial y lo dejamos anotado aquí: cuándo, qué decía, qué dice ahora y en qué fuente nos apoyamos. Esta página se genera sola a partir del registro de correcciones.
La mayoría de las correcciones de septiembre de 2026 salen de una revisión propia de todo lo que publicamos, frase a frase, contra el texto oficial (BOE, DOUE, EUR-Lex). La hemos hecho nosotros, con nuestro agente; no es la revisión de un despacho externo. Cifras, método y límites de la revisión →
Mostrando 781–840 de 1887, de la más reciente a la más antigua.
/sectores/academias · casos de sanción · Asesoramos tu Formación con Calidad
Decía:(no figuraba: se añade)
Dice: PS/00098/2025 · Asesoramos tu Formación con Calidad · 10.000 € · Una empresa de formación (Asesoramos tu Formación con Calidad, S.L.) dio de alta en un fichero de morosos una deuda de una persona con la que no constaba relación contractual. La AEPD le impuso 10.000 € (art. 6.1 RGPD) y le ordenó adoptar medidas en un mes.
Fuente: AEPD, PS/00098/2025, https://www.aepd.es/documento/ps-00098-2025.pdf: «No consta la existencia de una relación contractual entre ASESORAMOS y la parte reclamante»; «dio de alta el 09/06/2022 un impago de la parte reclamante [...] en el fichero de ASNEF empresas»; «IMPONER a ASESORAMOS TU FORMACIÓN CON CALIDAD, S.L., [...] artículo 6.1 del RGPD, [...] una multa de 10.000,00 euros» · comprobado el 27/09/2026
Decía:AEPD · patrón documentado (plataformas e-learning) · 6.000 € · Usar plataformas de formación online sin contrato Art. 28 ni control de dónde se alojan los datos de los alumnos deja al centro expuesto.
Dice: Se retira de la lista de casos: era un «patrón documentado» sin número de procedimiento ni resolución enlazable en aepd.es.
Fuente: No se ha encontrado en aepd.es una resolución que respalde este caso ni su importe (buscador de resoluciones: https://www.aepd.es/informes-y-resoluciones/resoluciones); los casos del sector que sí la tienen están en la ficha: PS/00516/2022, PS/00234/2020, PS/00404/2023, PS/00140/2021, PS/00098/2025 · comprobado el 27/09/2026
Decía:AEPD · patrón documentado (menores) · 8.000 € · Muchas academias tienen alumnos menores: tratar sus datos sin respetar el consentimiento por edad (Art. 7 LOPDGDD) e informar a los padres es una infracción.
Dice: Se retira de la lista de casos: era un «patrón documentado» sin número de procedimiento ni resolución enlazable en aepd.es.
Fuente: No se ha encontrado en aepd.es una resolución que respalde este caso ni su importe (buscador de resoluciones: https://www.aepd.es/informes-y-resoluciones/resoluciones); los casos del sector que sí la tienen están en la ficha: PS/00516/2022, PS/00234/2020, PS/00404/2023, PS/00140/2021, PS/00098/2025 · comprobado el 27/09/2026
Decía:AEPD · patrón documentado (marketing) · 4.000 € · Campañas a leads y antiguos alumnos sin consentimiento vulneran el Art. 21 LSSI-CE.
Dice: Se retira de la lista de casos: era un «patrón documentado» sin número de procedimiento ni resolución enlazable en aepd.es.
Fuente: No se ha encontrado en aepd.es una resolución que respalde este caso ni su importe (buscador de resoluciones: https://www.aepd.es/informes-y-resoluciones/resoluciones); los casos del sector que sí la tienen están en la ficha: PS/00516/2022, PS/00234/2020, PS/00404/2023, PS/00140/2021, PS/00098/2025 · comprobado el 27/09/2026
Decía:AEPD · patrón documentado (imágenes) · 6.000 € · Publicar fotos de clases y alumnos (menores incluidos) en web y redes sin consentimiento específico se sanciona.
Dice: Se retira de la lista de casos: era un «patrón documentado» sin número de procedimiento ni resolución enlazable en aepd.es.
Fuente: No se ha encontrado en aepd.es una resolución que respalde este caso ni su importe (buscador de resoluciones: https://www.aepd.es/informes-y-resoluciones/resoluciones); los casos del sector que sí la tienen están en la ficha: PS/00516/2022, PS/00234/2020, PS/00404/2023, PS/00140/2021, PS/00098/2025 · comprobado el 27/09/2026
/sectores/academias · aviso de ficha en preparación (también en su tarjeta de /sectores)
Decía:(no figuraba: se añade)
Dice: Ficha en preparación. Todavía no tiene todo lo que pedimos a una ficha completa: cinco casos de sanción comprobados, cinco situaciones, cinco plantillas y la base sectorial del copiloto. Los casos que ves están comprobados uno a uno en su resolución de aepd.es. Tarjeta del índice: «En preparación».
Fuente: Recuento de la ficha tras la verificación: 5 casos comprobados en su resolución de aepd.es (https://www.aepd.es/informes-y-resoluciones/resoluciones), 4 situaciones y 3 plantillas, y sin base sectorial del copiloto; el mínimo de una ficha completa (5, 5 y 5, con base sectorial) es el de tests/test_v111_verticals.py y tests/test_v116_residencias.py · comprobado el 27/09/2026
/sectores/abogados · título
Decía:El secreto profesional de tu despacho, a prueba de auditoría.
Dice: El secreto profesional de tu despacho y lo que exige la ley para guardarlo.
Fuente: Decisión 0.6 de 27/09/2026 sobre lo que promete la web: el producto te dice qué te obliga y qué no, con la cita de cada cosa, y prepara los documentos con tus datos para que los revises. «A prueba de auditoría» prometía un resultado que ningún sistema puede garantizar, y la publicidad que puede inducir a error sobre los resultados que cabe esperar de un servicio es desleal (Ley 3/1991 de Competencia Desleal, arts. 5.1.b y 7, https://www.boe.es/buscar/act.php?id=BOE-A-1991-628) · comprobado el 27/09/2026
/sectores/abogados · situaciones · Secreto profesional y acceso a expedientes · sanción
Decía:3.000 € - 30.000 €
Dice: Revelar datos de un expediente o enviar de más es infracción de los arts. 5.1.c y 5.1.f RGPD (art. 83.5 RGPD: hasta 20 M€ o el 4 % del volumen de negocio anual, si es mayor); caso real: 10.000 € a un despacho que envió a todos los implicados un informe policial con los datos de todos (PS/00417/2023)
Fuente: «3.000 € - 30.000 €» no tiene fuente: no sale de ninguna resolución de la AEPD localizada. AEPD, PS/00417/2023, https://www.aepd.es/documento/ps-00417-2023.pdf: «el abogado (parte reclamada) que representa a la aseguradora de la instalación dañada remitió una carta a todas las personas que se encuentran relacionadas con los desperfectos»; «En la carta constan los datos de todas las personas implicadas y se anexa el informe emitido por la policía municipal»; «presunta infracción del 5.1.c)»; «10.000 euros»; «En fecha 19 de enero de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 6000 euros»; lo que dice la norma: RGPD, https://eur-lex.europa.eu/eli/reg/2016/679/oj · comprobado el 27/09/2026
Dice: Sin contrato de encargo, infracción del art. 28 RGPD (art. 83.4 RGPD: hasta 10 M€ o el 2 % del volumen de negocio anual, si es mayor)
Fuente: «3.000 € - 20.000 €» no tiene fuente: no sale de ninguna resolución de la AEPD localizada. Lo que dice la norma: RGPD, https://eur-lex.europa.eu/eli/reg/2016/679/oj · comprobado el 27/09/2026
/sectores/abogados · situaciones · Conservación y supresión de expedientes · sanción
Decía:3.000 € - 15.000 €
Dice: Conservar datos más tiempo del necesario es infracción del art. 5.1.e RGPD (art. 83.5 RGPD: hasta 20 M€ o el 4 % del volumen de negocio anual, si es mayor); caso real: 1.000 € a un despacho que no cumplió la orden de la AEPD sobre una supresión (PS/00054/2022)
Fuente: «3.000 € - 15.000 €» no tiene fuente: no sale de ninguna resolución de la AEPD localizada. AEPD, PS/00054/2022, https://www.aepd.es/documento/ps-00054-2022.pdf: «remita a la parte reclamante certificación por la que se atienda el derecho de Supresión ejercido»; «se sancione a DESPACHO IBERFORO MADRID SLP, [...] por una infracción del Artículo 58.2 del RGPD, tipificada en el Artículo 83.6 del RGPD, una multa de 1.000,00 €»; «ha procedido al pago de la sanción en la cuantía de 800 euros»; lo que dice la norma: RGPD, https://eur-lex.europa.eu/eli/reg/2016/679/oj · comprobado el 27/09/2026
/sectores/abogados · sanciones · resumen
Decía:Datos sensibles de clientes + sujeto obligado de blanqueo: doble frente sancionador (AEPD y SEPBLAC)
Dice: Cuatro procedimientos de la AEPD contra despachos de abogados, cada uno con su resolución enlazada
Fuente: Lo que decía no tiene fuente oficial; se sustituye por los casos comprobados de la ficha, cada uno con su resolución: PS/00417/2023 (https://www.aepd.es/documento/ps-00417-2023.pdf), PS/00526/2023 (https://www.aepd.es/documento/ps-00526-2023.pdf), PS/00395/2023 (https://www.aepd.es/documento/ps-00395-2023.pdf), PS/00054/2022 (https://www.aepd.es/documento/ps-00054-2022.pdf) · comprobado el 27/09/2026
/sectores/abogados · sanciones · detalle
Decía:Brechas de confidencialidad y fallos de PBC: de varios miles a cifras muy altas según el caso
Dice: Importes que citan las resoluciones: de 1.000 € (PS/00054/2022) a 10.000 € (PS/00417/2023)
Fuente: Lo que decía no tiene fuente oficial; se sustituye por los casos comprobados de la ficha, cada uno con su resolución: PS/00417/2023 (https://www.aepd.es/documento/ps-00417-2023.pdf), PS/00526/2023 (https://www.aepd.es/documento/ps-00526-2023.pdf), PS/00395/2023 (https://www.aepd.es/documento/ps-00395-2023.pdf), PS/00054/2022 (https://www.aepd.es/documento/ps-00054-2022.pdf) · comprobado el 27/09/2026
/sectores/abogados · casos de sanción · Roca & Asociados
Decía:(no figuraba: se añade)
Dice: PS/00526/2023 · Roca & Asociados · 5.000 € · Un despacho (Roca & Asociados Abogados y Economistas, S.L.P.) mantenía en la página de su equipo la fotografía de una persona con su nombre y primer apellido sin base jurídica. La AEPD le impuso 5.000 € (art. 6.1 RGPD) y le ordenó adoptar medidas para no publicar datos personales en su web sin cumplirlo.
Fuente: AEPD, PS/00526/2023, https://www.aepd.es/documento/ps-00526-2023.pdf: «puede observarse la publicación de una fotografía con la imagen de la parte reclamante, en cuyo pie de foto aparece su nombre y primer apellido»; «IMPONER a ROCA & ASOCIADOS ABOGADOS Y ECONOMISTAS, S.L.P., [...] Artículo 6.1 del RGPD, [...] una multa de 5.000 €» · comprobado el 27/09/2026
Decía:Ley 10/2010 · patrón documentado (PBC) · 60.000 € · Los abogados son sujetos obligados de prevención del blanqueo cuando participan en ciertas operaciones (compraventa de inmuebles o entidades, gestión de fondos, constitución de sociedades — Art. 2 Ley 10/2010). No identificar al cliente ni al titular real, o no conservar la documentación, expone a multas de la Ley 10/2010 de al menos 60.000 € si la infracción es grave o 150.000 € si es muy grave (arts. 56 y 57). El cumplimiento lo supervisa el SEPBLAC (art. 47) y las multas las imponen el Ministro de Economía o el Consejo de Ministros (art. 61.3).
Dice: Se retira de la lista de casos: no era un caso de sanción sino la regla de la norma, que sigue explicada en las situaciones de la ficha.
Fuente: No se ha encontrado en aepd.es una resolución que respalde este caso ni su importe (buscador de resoluciones: https://www.aepd.es/informes-y-resoluciones/resoluciones); los casos del sector que sí la tienen están en la ficha: PS/00417/2023, PS/00526/2023, PS/00395/2023, PS/00054/2022 · comprobado el 27/09/2026
/sectores/abogados · casos de sanción · Despacho Torrente
Decía:(no figuraba: se añade)
Dice: PS/00417/2023 · Despacho Torrente · 10.000 € · El abogado de la aseguradora de una instalación dañada envió a todos los implicados una carta con el informe de la policía local: DNI, domicilio y filiación de todos, entre ellos una menor. La AEPD le abrió procedimiento por tratar datos de más (minimización, art. 5.1.c RGPD) con 10.000 €; Despacho Torrente, S.L.P. pagó 6.000 € con las dos reducciones.
Fuente: AEPD, PS/00417/2023, https://www.aepd.es/documento/ps-00417-2023.pdf: «el abogado (parte reclamada) que representa a la aseguradora de la instalación dañada remitió una carta a todas las personas que se encuentran relacionadas con los desperfectos»; «En la carta constan los datos de todas las personas implicadas y se anexa el informe emitido por la policía municipal»; «presunta infracción del 5.1.c)»; «10.000 euros»; «En fecha 19 de enero de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 6000 euros» · comprobado el 27/09/2026
/sectores/abogados · casos de sanción · Despacho Iberforo Madrid
Decía:(no figuraba: se añade)
Dice: PS/00054/2022 · Despacho Iberforo Madrid · 1.000 € · La AEPD ordenó a un despacho (Despacho Iberforo Madrid, S.L.P.) atender el derecho de supresión de una persona o denegarlo motivadamente, y no lo cumplió. Le propuso 1.000 € por no cumplir su resolución (art. 58.2 RGPD, infracción del art. 83.6); pagó 800 € con la reducción por pago voluntario.
Fuente: AEPD, PS/00054/2022, https://www.aepd.es/documento/ps-00054-2022.pdf: «remita a la parte reclamante certificación por la que se atienda el derecho de Supresión ejercido»; «se sancione a DESPACHO IBERFORO MADRID SLP, [...] por una infracción del Artículo 58.2 del RGPD, tipificada en el Artículo 83.6 del RGPD, una multa de 1.000,00 €»; «ha procedido al pago de la sanción en la cuantía de 800 euros» · comprobado el 27/09/2026
/sectores/abogados · casos de sanción · Bufete-RA
Decía:(no figuraba: se añade)
Dice: PS/00395/2023 · Bufete-RA · 2.500 € · Un bufete (Coyare, S.L.U., Bufete-RA) mandó un correo de publicidad a 95 personas con todas las direcciones a la vista, en copia y no en copia oculta. La AEPD le impuso 2.000 € por vulnerar la confidencialidad (art. 5.1.f RGPD) y 500 € por falta de medidas (art. 32).
Fuente: AEPD, PS/00395/2023, https://www.aepd.es/documento/ps-00395-2023.pdf: «un correo electrónico que estaba dirigido a 95 destinatarios [...] que contenía publicidad comercial de los servicios del Bufete-RA, en el que las 95 direcciones de correo electrónico aparecían visibles»; «multa de 2.000 € [...] Artículo 5.1.f)» y «multa de 500 € [...] Artículo 32» · comprobado el 27/09/2026
Decía:AEPD · patrón documentado (encargados) · 10.000 € · Trabajar con peritos, procuradores externos, software de gestión en la nube o servicios de transcripción sin contrato de encargado (Art. 28 RGPD) deja los datos del cliente sin cobertura.
Dice: Se retira de la lista de casos: era un «patrón documentado» sin número de procedimiento ni resolución enlazable en aepd.es.
Fuente: No se ha encontrado en aepd.es una resolución que respalde este caso ni su importe (buscador de resoluciones: https://www.aepd.es/informes-y-resoluciones/resoluciones); los casos del sector que sí la tienen están en la ficha: PS/00417/2023, PS/00526/2023, PS/00395/2023, PS/00054/2022 · comprobado el 27/09/2026
Decía:AEPD · patrón documentado (confidencialidad) · 20.000 € · El envío de documentación de un cliente a un destinatario equivocado, o el acceso de personal no autorizado a expedientes, vulnera el deber de secreto (Art. 5.1.f RGPD) reforzado por el secreto profesional del abogado. Es uno de los incidentes más frecuentes en despachos.
Dice: Se retira de la lista de casos: era un «patrón documentado» sin número de procedimiento ni resolución enlazable en aepd.es.
Fuente: No se ha encontrado en aepd.es una resolución que respalde este caso ni su importe (buscador de resoluciones: https://www.aepd.es/informes-y-resoluciones/resoluciones); los casos del sector que sí la tienen están en la ficha: PS/00417/2023, PS/00526/2023, PS/00395/2023, PS/00054/2022 · comprobado el 27/09/2026
Decía:AEPD · patrón documentado (categorías especiales) · 30.000 € · Los expedientes de un despacho contienen a menudo datos penales o de salud (familia, laboral, penal). Tratarlos sin medidas reforzadas y sin base jurídica adecuada (Art. 9 y 10 RGPD) agrava la responsabilidad.
Dice: Se retira de la lista de casos: era un «patrón documentado» sin número de procedimiento ni resolución enlazable en aepd.es.
Fuente: No se ha encontrado en aepd.es una resolución que respalde este caso ni su importe (buscador de resoluciones: https://www.aepd.es/informes-y-resoluciones/resoluciones); los casos del sector que sí la tienen están en la ficha: PS/00417/2023, PS/00526/2023, PS/00395/2023, PS/00054/2022 · comprobado el 27/09/2026
/sectores/abogados · aviso de ficha en preparación (también en su tarjeta de /sectores)
Decía:(no figuraba: se añade)
Dice: Ficha en preparación. Todavía no tiene todo lo que pedimos a una ficha completa: cinco casos de sanción comprobados, cinco situaciones, cinco plantillas y la base sectorial del copiloto. Los casos que ves están comprobados uno a uno en su resolución de aepd.es. Tarjeta del índice: «En preparación».
Fuente: Recuento de la ficha tras la verificación: 4 casos comprobados en su resolución de aepd.es (https://www.aepd.es/informes-y-resoluciones/resoluciones), 4 situaciones y 3 plantillas, y sin base sectorial del copiloto; el mínimo de una ficha completa (5, 5 y 5, con base sectorial) es el de tests/test_v111_verticals.py y tests/test_v116_residencias.py · comprobado el 27/09/2026
/sectores/<slug> · cada situación · rótulo de la sanción
Decía:Sanción típica si se incumple
Dice: Qué puede costar si se incumple
Fuente: Tras H7 cada situación da un caso real con su procedimiento o el tramo legal de la infracción con su artículo (correcciones_H7.json); ninguno es una sanción «típica» medida · comprobado el 27/09/2026
/roadmap · lo que no haremos
Decía:No anunciaremos funciones que no estén al menos en beta.
Dice: No presentaremos como disponible nada que no esté al menos en beta: lo que viene se marca como hoja de ruta, como en esta página.
Fuente: La propia hoja de ruta y el catálogo enseñan lo que está en hoja de ruta (aegis/modules/marcos/catalogue.py, estado ROADMAP, visible en /plataforma y /numeros); lo comprometido es no presentarlo como disponible · comprobado el 27/09/2026
/roadmap · fase 3
Decía:Nuevos sectores y activación de los marcos hoy en beta hacia su interfaz completa. · Primera expansión internacional, empezando por Portugal con su autoridad y normativa.
Dice: Nuevos sectores y activación de los 2 marcos que hoy están en hoja de ruta. · Un segundo país con el mismo motor, cuando lo anterior esté probado.
Fuente: aegis/modules/marcos/catalogue.py: 0 marcos en beta y 2 en hoja de ruta (psd3 y fida) el 27/09/2026; la cifra se lee ahora del catálogo. PLAN_MAESTRO.md, «Más allá (H3)»: «segundo país con el mismo motor», sin nombrar Portugal ni fecha · comprobado el 27/09/2026
/roadmap · fase 2
Decía:Más verticales y módulos regulatorios · Profundización de los sectores con más demanda, con su base de conocimiento propia. · Verifactu integrado antes del plazo de 2027. · Compliance penal + canal de denuncias combinados, y módulo de blanqueo.
Dice: Más profundidad por sector y por norma · Profundización de los sectores con más demanda, con su base de conocimiento propia. · Valoración de puestos por convenio en cinco sectores más, cada uno comprobado contra un caso real antes de activarse. · Medir en producción cuánto tarda una norma nueva en llegar a quien le afecta (en curso).
Fuente: PLAN_MAESTRO.md no incluye «Verifactu integrado» ni fecha alguna para ello. Los marcos Verifactu, Cumplimiento Penal (art. 31 bis) y Prevención del Blanqueo (Ley 10/2010) ya están activos en el catálogo (aegis/modules/marcos/catalogue.py) y el canal de denuncias existe (aegis/modules/whistleblowing): no son «lo que viene». Acciones 3.3 (abierta) y 3.1 (en curso) del plan · comprobado el 27/09/2026
/roadmap · fase 1 (en curso)
Decía:Programa de partners con marca blanca y afiliados para asesorías. · Contenido y guías sobre los marcos del catálogo. · Acercamiento a asesorías como canal principal.
Dice: Para asesorías, ya disponibles: marca blanca, alta de clientes por CSV y panel de cartera. En curso: tres asesorías piloto. · Contenido y guías sobre los marcos del catálogo. · En català: el recorrido público ya está en /ca/, pendiente de revisión por una persona nativa; después, euskara y galego.
Fuente: Afiliados: no hay programa en el código (commit 0ded4363 del 23/08/2026: «no existe programa de afiliados en el codigo»; /partners ofrece pactar condiciones caso a caso por /contacto) ni acción en PLAN_MAESTRO.md, así que no está «en curso». Marca blanca, alta por CSV y panel de cartera: acción 4.1, hecha el 23/09/2026 (aegis/modules/settings/routes.py, scripts/probar_alta_masiva.py); tres asesorías piloto: acción 0.2, en curso; català: acción 4.6, parcial (falta la revisión nativa) · comprobado el 27/09/2026
/roadmap · fase 0 (completada)
Decía:Agenda de citas propia, sin depender de terceros.
Dice: Fe de erratas pública y verificación contra la fuente oficial: qué decíamos y qué decimos, con la fuente, y el acta.
Fuente: aegis/modules/scheduling/routes.py: AGENDA_ENABLED = False (/agenda redirige a /contacto: la agenda está construida y desactivada). /correcciones y /verificacion-juridica: acciones 1.5 y 3.5 de PLAN_MAESTRO.md, hechas · comprobado el 27/09/2026
/roadmap · cabecera
Decía:Un plan por fases, con hitos y decisiones atadas a métricas. Comprometido públicamente para que nos puedas pedir cuentas.
Dice: Un plan por fases, con hitos y decisiones atadas a métricas, y sin fechas que no podamos sostener. Revisado el 27/09/2026 contra nuestro plan interno y contra el producto: lo que dice «en curso» lo está.
Fuente: PLAN_MAESTRO.md (v3, 21/09/2026; estado de cada acción según scripts/probar_plan.py el 27/09/2026) y el código de cada línea (abajo). La página no tenía fecha de revisión · comprobado el 27/09/2026
/reglamento-ia · preguntas · ¿Y los sistemas de alto riesgo?
Decía:El Reglamento (UE) 2026/1744 modificó el calendario y trasladó el régimen de alto riesgo a fechas posteriores (aparecen 2 de diciembre de 2027 y 2 de agosto de 2028). Si te lo están vendiendo como urgente para este año, conviene confirmar el reparto exacto entre anexos antes de comprometer inversión.
Dice: El Reglamento (UE) 2026/1744 modificó el calendario (art. 113): las obligaciones de los sistemas de alto riesgo del anexo III (empleo, crédito, educación, servicios esenciales…) se aplican desde el 2 de diciembre de 2027, y las de los del anexo I (productos regulados por otras normas de la UE, art. 6.1) desde el 2 de agosto de 2028. Si te lo están vendiendo como urgente para este año, no lo es.
Fuente: Reglamento (UE) 2024/1689, art. 113, en la redacción del Reglamento (UE) 2026/1744 (texto consolidado CELEX:02024R1689-20260727, EUR-Lex/CELLAR); son las mismas fechas que el radar (/radar), comprobadas en la revisión 3.5 · comprobado el 27/09/2026
/reglamento-ia · Qué te obliga y desde cuándo · Desde el 2 de febrero de 2025
Decía:Alfabetización del personal (art. 4) y prácticas prohibidas (art. 5). Es la parte que más se ha pasado por alto. Desde el 27 de julio de 2026 (Reglamento (UE) 2026/1744), el art. 4 obliga a adoptar medidas para promover la alfabetización, no a garantizar un nivel concreto de cada persona.
Dice: Alfabetización del personal (art. 4) y prácticas prohibidas (art. 5). Es la parte que más se ha pasado por alto. Desde el 27 de julio de 2026 (Reglamento (UE) 2026/1744), el art. 4 obliga a adoptar medidas para apoyar la promoción de la alfabetización en materia de IA, no a garantizar un nivel concreto de cada persona.
Fuente: Reglamento (UE) 2024/1689, art. 4.1, en la redacción del Reglamento (UE) 2026/1744 (consolidado 02024R1689-20260727, https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:02024R1689-20260727; texto leído en https://publications.europa.eu/resource/celex/02024R1689-20260727): «Los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA [...]. Esta obligación no exige que [...] garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.» Según CELLAR, el Reglamento (UE) 2026/1744 sustituyó el art. 4 con efectos del 27/07/2026 y no hay consolidación posterior a la de esa fecha · comprobado el 27/09/2026
/reglamento-ia · Preguntas · ¿Qué es la alfabetización en IA y cómo se demuestra?
Decía:Es la obligación de adoptar medidas para apoyar la alfabetización en IA de quien maneja sistemas de IA, según sus conocimientos y el contexto de uso. Desde el 27/07/2026 no exige garantizar un nivel concreto. No hace falta un certificado: basta un registro interno de las formaciones, con quién las recibió y cuándo.
Dice: Es la obligación de adoptar medidas para apoyar la promoción de la alfabetización en materia de IA del personal y de quien maneje sistemas de IA en su nombre, según sus conocimientos y el contexto de uso (art. 4). Desde el 27/07/2026 no exige garantizar un nivel concreto. No hace falta un certificado: basta un registro interno de las formaciones, con quién las recibió y cuándo.
Fuente: Reglamento (UE) 2024/1689, art. 4.1, en la redacción del Reglamento (UE) 2026/1744 (consolidado 02024R1689-20260727, https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:02024R1689-20260727; texto leído en https://publications.europa.eu/resource/celex/02024R1689-20260727): «Los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA [...]. Esta obligación no exige que [...] garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.» Según CELLAR, el Reglamento (UE) 2026/1744 sustituyó el art. 4 con efectos del 27/07/2026 y no hay consolidación posterior a la de esa fecha · comprobado el 27/09/2026
/reglamento-ia · Lo que te toca hoy · lo que se paga
Decía:Las tres están en el plan gratuito. No porque sean poco valiosas, sino porque generar un documento es la parte fácil — lo que se paga es que siga vigente cuando la norma se mueva, y esta se va a mover.
Dice: No todo es gratis. La formación del personal con su justificante va con la vigilancia, en los planes de pago; qué entra en cada plan, en precios. Generar un documento es la parte fácil: lo que se paga es que siga vigente cuando la norma se mueva, y esta se va a mover.
Fuente: Catálogo publicado: /precios («¿Qué se paga exactamente entonces? [...] y la formación del personal con su justificante») y /empresas («Con la vigilancia · según tu plantilla: [...] y la formación con justificante»), https://www.aim-aegis.ai/precios. Ley 3/1991, art. 5.1.b, https://www.boe.es/buscar/act.php?id=BOE-A-1991-628 · comprobado el 27/09/2026
/reglamento-ia · Lo que te toca hoy · Formar a quien la usa
Decía:La alfabetización del art. 4 se exige desde febrero de 2025; desde el 27 de julio de 2026 consiste en adoptar medidas para apoyarla, según los conocimientos y la experiencia del personal, el contexto de uso y las personas afectadas. No hace falta un certificado: la Comisión indica que basta un registro interno de las formaciones. Documentar quién se formó, cuándo y en qué es la mejor forma de acreditarlo. · Lo resuelve: Formación con certificado
Dice: La alfabetización del art. 4 se exige desde febrero de 2025; desde el 27 de julio de 2026 consiste en adoptar medidas para apoyar su promoción, según los conocimientos y la experiencia del personal, el contexto de uso y las personas afectadas. No hace falta un certificado: la Comisión indica que basta un registro interno de las formaciones. Documentar quién se formó, cuándo y en qué es la mejor forma de acreditarlo. · Lo resuelve: Formación con justificante
Fuente: Reglamento (UE) 2024/1689, art. 4.1, en la redacción del Reglamento (UE) 2026/1744 (consolidado 02024R1689-20260727, https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:02024R1689-20260727; texto leído en https://publications.europa.eu/resource/celex/02024R1689-20260727): «Los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA [...]. Esta obligación no exige que [...] garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.» Según CELLAR, el Reglamento (UE) 2026/1744 sustituyó el art. 4 con efectos del 27/07/2026 y no hay consolidación posterior a la de esa fecha. «Formación con certificado» contradecía la propia obligación («No hace falta un certificado»); /empresas y /precios la llaman «formación con justificante» · comprobado el 27/09/2026
/registro-horario · ¿Ya tienes un sistema de fichaje? · titular
Decía:Todos registran la hora. Tres cosas no las hace ninguno.
Dice: Registrar la hora lo hace cualquiera. Estas tres cosas, no.
Fuente: Ley 3/1991, art. 10.b: la comparación ha de hacerse «de modo objetivo entre una o más características esenciales, pertinentes, verificables y representativas»; que «ninguno» de los demás sistemas lo haga no se puede verificar, https://www.boe.es/buscar/act.php?id=BOE-A-1991-628 · comprobado el 27/09/2026
/registro-horario · ¿Ya tienes un sistema de fichaje? · el trabajador comprueba sus horas
Decía:Desde su enlace ve si alguno de sus fichajes se ha modificado después de sellarse. En los demás sistemas, si RRHH edita un fichaje, el trabajador no tiene forma de saberlo.
Dice: Desde su enlace ve si alguno de sus fichajes se ha modificado después de sellarse. Si RRHH edita un fichaje en un sistema que no lo encadena ni lo sella, el trabajador no tiene forma de saberlo.
Fuente: Ley 3/1991, art. 10.b (comparación objetiva y verificable): se describe la condición técnica, no a «los demás sistemas», https://www.boe.es/buscar/act.php?id=BOE-A-1991-628 · comprobado el 27/09/2026
/registro-horario · cabecera
Decía:La Inspección pide el registro. El juez pide la prueba de que no se ha tocado. Casi todos los sistemas dan lo primero. Este da lo segundo, y te entrega el programa para que lo compruebe quien quiera.
Dice: La Inspección pide el registro. En un juicio, además, importa poder probar que no ha cambiado después. Aquí cada fichaje se encadena al anterior, un tercero sella la fecha y te damos el programa para que lo compruebe quien quiera.
Fuente: Reglamento (UE) 910/2014 (eIDAS), art. 41.1 (no se deniega eficacia a un sello de tiempo por no ser cualificado) y 41.2 (solo el cualificado disfruta de «una presunción de exactitud de la fecha y hora [...] y de la integridad de los datos»), https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX%3A02014R0910-20140917: con un sello no cualificado la prueba se valora, no se da por hecha (la misma matización que la revisión 3.5 aplicó en /empresas) · comprobado el 27/09/2026
/radar · pie de cada hito
Decía:Verificado · revisión del radar del 25 de septiembre de 2026
Dice: Comprobado en el BOE el 25 de septiembre de 2026 · en cada hito, el día en que se leyó ese hito y dónde (el BOE, el DOUE o el texto consolidado de EUR-Lex): el 25/09/2026 en once hitos y el 27/09/2026 en tres (canal interno de información, registro diario de jornada y alfabetización en IA); también en /radar.json y /radar.csv (campo comprobado_el)
Fuente: La fecha de revisión de todo el radar no es el día en que se leyó cada hito. Historial: primera lectura el 08/08/2026 (commit b0ed1496) y nueva lectura en la revisión 3.5, lote G1, «abierto el 25/09/2026» (docs/legal/revision_3.5/correcciones_G1.json); sin constancia anterior, hoy en la API del BOE: Ley 2/2023, arts. 7.2, 8.1, 9.2.c, 10.1 y 26.1, https://www.boe.es/buscar/act.php?id=BOE-A-2023-4513, y Estatuto de los Trabajadores, art. 34.9, https://www.boe.es/buscar/act.php?id=BOE-A-2015-11430; y el art. 4 del Reglamento de IA en https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:02024R1689-20260727 · comprobado el 27/09/2026
/radar (y /radar.json y /radar.csv) · hito «Alfabetización en IA del personal» · qué hacer
Decía:Adoptar medidas (formación, guías, instrucciones de uso) para apoyar la alfabetización en IA del personal y de quien opere los sistemas en tu nombre, adaptadas a sus conocimientos y al contexto de uso. Documentarlas no es obligatorio, pero es la mejor forma de acreditarlo. Las prácticas prohibidas del art. 5 rigen desde el 02/02/2025; las dos añadidas por el Reglamento (UE) 2026/1744 (imágenes íntimas o sexuales no consentidas y material de abuso sexual infantil), desde el 02/12/2026.
Dice: Adoptar medidas (formación, guías, instrucciones de uso) para apoyar la promoción de la alfabetización en materia de IA del personal y de quien opere los sistemas en tu nombre, adaptadas a sus conocimientos y al contexto de uso. Documentarlas no es obligatorio, pero es la mejor forma de acreditarlo. Las prácticas prohibidas del art. 5 rigen desde el 02/02/2025; las dos añadidas por el Reglamento (UE) 2026/1744 (imágenes íntimas o sexuales no consentidas y material de abuso sexual infantil), desde el 02/12/2026.
Fuente: Reglamento (UE) 2024/1689, art. 4.1, en la redacción del Reglamento (UE) 2026/1744 (consolidado 02024R1689-20260727, https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:02024R1689-20260727; texto leído en https://publications.europa.eu/resource/celex/02024R1689-20260727): «Los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA [...]. Esta obligación no exige que [...] garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.» Según CELLAR, el Reglamento (UE) 2026/1744 sustituyó el art. 4 con efectos del 27/07/2026 y no hay consolidación posterior a la de esa fecha · comprobado el 27/09/2026
/radar (y /radar.json y /radar.csv) · hito «Alfabetización en IA del personal» · matiz
Decía:El Reglamento (UE) 2026/1744 (Ómnibus digital, en vigor desde el 27/07/2026) reformuló el art. 4: obliga a adoptar medidas para apoyar la alfabetización y aclara que no exige garantizar un nivel concreto de ninguna persona en particular.
Dice: El Reglamento (UE) 2026/1744 (Ómnibus digital, en vigor desde el 27/07/2026) reformuló el art. 4: obliga a adoptar medidas para apoyar la promoción de la alfabetización en materia de IA y aclara que no exige garantizar un nivel concreto de ninguna persona en particular.
Fuente: Reglamento (UE) 2024/1689, art. 4.1, en la redacción del Reglamento (UE) 2026/1744 (consolidado 02024R1689-20260727, https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:02024R1689-20260727; texto leído en https://publications.europa.eu/resource/celex/02024R1689-20260727): «Los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA [...]. Esta obligación no exige que [...] garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.» Según CELLAR, el Reglamento (UE) 2026/1744 sustituyó el art. 4 con efectos del 27/07/2026 y no hay consolidación posterior a la de esa fecha · comprobado el 27/09/2026
/que-me-aplica?plantilla=1-9§or=estetica · Residuos Peligrosos y Sanitarios del Pequeño Productor · motivo
Decía:su actividad (estética) suele requerirlo
Dice: Solo si se generan residuos peligrosos (por ejemplo, envases con restos de tintes o aerosoles): Ley 7/2022
Fuente: Ley 7/2022, de residuos y suelos contaminados, cuyas obligaciones de productor de residuos peligrosos dependen de que se generen, https://www.boe.es/buscar/act.php?id=BOE-A-2022-5809 · abierto el 27/09/2026
/que-me-aplica?plantilla=1-9§or=estetica · Reglamentos de Productos Sanitarios y Diagnóstico in Vitro · motivo
Decía:su actividad (estética) suele requerirlo
Dice: (se retira: el MDR/IVDR obliga a quien fabrica, importa o distribuye productos sanitarios; quien solo usa un aparato no tiene obligaciones propias, y el diagnóstico in vitro no tiene relación con la actividad)
Fuente: RD 192/2023, art. 35.2: notifican los incidentes graves «los profesionales sanitarios y las autoridades» y «los pacientes y usuarios también podrán notificar», https://www.boe.es/buscar/act.php?id=BOE-A-2023-7416 · abierto el 27/09/2026
Dice: Solo para productos químicos que no son cosméticos (limpieza, desinfección): los cosméticos terminados quedan fuera del CLP y de las fichas de datos de seguridad de REACH
Fuente: Reglamento (CE) 1272/2008 (CLP), art. 1.5.c: no se aplica a «los productos cosméticos» en la fase de producto terminado destinados al usuario final (consolidado 02008R1272-20260701); Reglamento (CE) 1907/2006 (REACH), art. 2.6.b: el título IV no se aplica a los «productos cosméticos» terminados destinados al usuario final (consolidado 02006R1907-20260622), https://publications.europa.eu/resource/celex/02008R1272-20260701 y https://publications.europa.eu/resource/celex/02006R1907-20260622 · abierto el 27/09/2026
/que-me-aplica?plantilla=1-9§or=estetica · Prevención de Riesgos Laborales · motivo
Decía:tiene personas trabajadoras
Dice: tiene personas trabajadoras · Peluquería y estética: la evaluación de riesgos incluye el riesgo químico de tintes, decolorantes y productos de limpieza (art. 16.2.a de la Ley 31/1995)
Fuente: Ley 31/1995, art. 16.2.a: la evaluación de riesgos se hará también «con ocasión de la elección de los equipos de trabajo, de las sustancias o preparados químicos», https://www.boe.es/buscar/act.php?id=BOE-A-1995-24292#a16 · abierto el 27/09/2026
/que-me-aplica?plantilla=1-9§or=estetica · Autorización de Centros Sanitarios · motivo
Decía:su actividad (estética) suele requerirlo
Dice: (se retira: un centro de estética o una peluquería sin médico no es centro sanitario; la medicina estética sí, y sigue apareciendo por su sector)
Fuente: RD 1277/2003, art. 2.1.a («Centro sanitario: conjunto organizado de medios técnicos e instalaciones en el que profesionales capacitados […] realizan básicamente actividades sanitarias») y anexo II, U.48 («Medicina estética: unidad asistencial en la que un médico es responsable de realizar tratamientos no quirúrgicos»), https://www.boe.es/buscar/act.php?id=BOE-A-2003-19572 · abierto el 27/09/2026
/que-me-aplica?plantilla=1-9§or=estetica · Agentes Cancerígenos, Mutágenos o Reprotóxicos · motivo
Decía:su actividad (estética) suele requerirlo
Dice: Solo si hay exposición a agentes cancerígenos, mutágenos o reprotóxicos (por ejemplo, productos de alisado que liberan formaldehído): RD 665/1997
Fuente: RD 665/1997 (agentes cancerígenos, mutágenos y reprotóxicos), que se aplica cuando hay o puede haber exposición a esos agentes, https://www.boe.es/buscar/act.php?id=BOE-A-1997-11145 · abierto el 27/09/2026
/que-me-aplica?plantilla=1-9§or=estetica (sin «Vendo por internet») · Comercio Electrónico y Derechos del Consumidor · motivo
Decía:Sector: Centros de estética y peluquerías
Dice: (se retira sin venta en línea: aparece al marcar «Vendo por internet»)
Fuente: Ley 34/2002 (LSSI), que regula la contratación por vía electrónica, https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758 · abierto el 27/09/2026
/que-me-aplica?plantilla=1-9§or=estetica (sin «Tengo una web») · Cookies y consentimiento (LSSI · Guía AEPD) · motivo
Decía:Sector: Centros de estética y peluquerías
Dice: (se retira sin web: aparece al marcar «Tengo una web» o «Vendo por internet»)
Fuente: Ley 34/2002 (LSSI), art. 22.2: el consentimiento se exige a quien utiliza «dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios», https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758 · abierto el 27/09/2026
Decía:Emite facturas — sistemas informáticos de facturación (VeriFactu)
Dice: Emite facturas: si usa un programa informático de facturación, debe estar adaptado a VeriFactu antes del 01/01/2027 (sociedades) o del 01/07/2027 (resto) · solo con domicilio fiscal en territorio común y si no lleva los libros por el SII (RD 1007/2023, arts. 1.3 y 3.3 y DF 4.ª)
Fuente: RD 1007/2023, DF 4.ª en la redacción del RD-ley 15/2025 («los obligados tributarios a que se refiere el artículo 3.1.a) deberán tener adaptados los sistemas informáticos […] antes del 1 de enero de 2027. El resto […] antes del 1 de julio de 2027»), art. 3.3 (no se aplica a quien lleva los libros por el SII) y art. 1.3 (respecto del País Vasco y Navarra, solo con domicilio fiscal en territorio común), https://www.boe.es/buscar/act.php?id=BOE-A-2023-24840 · abierto el 27/09/2026
/que-me-aplica · entradilla
Decía:Cuéntanos tu plantilla, tu sector y lo que haces: te decimos qué normas te aplican, por qué y por dónde empezar. Sin registrarte y sin guardar nada.
Dice: Cuéntanos tu plantilla, tu sector y lo que haces: te decimos qué normas te aplican, por qué y por dónde empezar. Sin registrarte y sin cookies. No guardamos quién eres: solo contamos visitas y consultas —con el sector, el tramo de plantilla y una huella (hash) de la IP, no la IP— y se borran a los 90 días.
Fuente: aegis/modules/analytics/models.py y track.py (ProductEvent: evento, sector, tramo de plantilla y sha256(IP + clave secreta del servicio); ni IP en claro ni navegador), la llamada track("triaje_result") de _que_me_aplica (aegis/modules/marketing/routes.py), la visita de página de app.py (_record_marketing_pageview) y la purga de más de 90 días de aegis/modules/ops/backups.py. «Sin guardar nada» no era verdad: algo se guarda, sin nombre · comprobado el 27/09/2026
/privacidad · §6 · registro de auditoría
Decía:Logs de auditoría inmutables para eventos críticos (alta, baja, cambio de rol, cesión, acceso administrador).
Dice: Registro de auditoría de los eventos importantes (inicio y cierre de sesión, alta, invitaciones, cambios de rol y de activación, doble factor, restablecimiento de contraseña, exportación de datos, firma de documentos, consultas de expedientes del canal de denuncias y cambios en quién puede verlos). Es una tabla de la base de datos que el administrador de cada organización consulta en Ajustes → Pista de auditoría; no es de solo añadir ni lleva una cadena de huellas. La cadena de huellas con árbol de Merkle y sello de tiempo de un tercero es la del registro de jornada.
Fuente: aegis/core/db.py, clase AuditLog: una tabla normal (sin cadena de huellas ni protección de solo añadir; tampoco en migrations/); la escriben auth.py (inicio y cierre de sesión, doble factor, contraseña), settings/routes.py (equipo, organización), whistleblowing (acceso y consultas del canal) y otros módulos; el administrador la ve en /settings/auditoria (settings/routes.py, función audit_log, «Pista de auditoría»). La cadena con árbol de Merkle y sello RFC 3161 es la del registro de jornada (aegis/modules/attendance/anclaje.py) · comprobado el 27/09/2026
/privacidad · §6 · límite de peticiones
Decía:Rate-limiting agresivo en endpoints públicos (3 req/24h por IP en demo).
Dice: Límite de peticiones por dirección IP donde se puede abusar sin cuenta o antes de entrar: inicio de sesión (10 intentos por minuto), recuperación de contraseña, canal de denuncias, formulario de contacto (5 envíos al día) y preguntas a Atlas en la portada (3 al día); y, con cuenta, 10 consultas por minuto al asistente.
Fuente: La demo se retiró el 20/09/2026 (marketing/routes.py, función demo). Límites en el código: aegis/core/auth.py (login:ip 10 en 60 s; forgot:ip 5 en 300 s), whistleblowing/routes.py (public_post_guard «canal», 10 en 600 s), leads/routes.py (DAILY_LIMIT = 5), sandbox/routes.py (DAILY_LIMIT = 3) y assistant/routes.py (10 por minuto y usuario) · comprobado el 27/09/2026
/privacidad · §6 · HTTPS
Decía:HTTPS obligatorio en toda la aplicación (HSTS preload).
Dice: HTTPS obligatorio en toda la aplicación, con HSTS de un año para todos los subdominios (a 27/09/2026 el dominio no figura en la lista de precarga de los navegadores).
Fuente: app.py (cabecera Strict-Transport-Security, max-age=31536000; includeSubDomains) y la lista de precarga oficial, https://hstspreload.org/api/v2/status?domain=aim-aegis.ai (estado «unknown»: no está); /seguridad ya lo decía (aegis/modules/marketing/seguridad.py) · comprobado el 27/09/2026
/privacidad · §3.5 · evaluación continua
Decía:Mantenemos un Golden testing: la suite de 220+ tests automáticos que se ejecuta antes de cada release valida el comportamiento del agente sobre casos de referencia, incluida la verificación de citas. El DPO revisa periódicamente el rendimiento y los logs de UNVERIFIED.
Dice: Una vez por semana, si hay un modelo de IA configurado, el agente responde a un conjunto fijo de preguntas de referencia y se comprueba que acude a las normas que corresponden; el resultado queda registrado en el panel de administración. Antes de cada despliegue pasan comprobaciones automáticas: que la aplicación arranca y sus plantillas se pintan, que la web no cita como vigente una norma que no lo está ni da una multa sin su artículo, y que no hace promesas absolutas.
Fuente: «220+» (aquí) y «280+» (/aegis/dpia) estaban escritos a mano y no coincidían; las pruebas automáticas (pytest) no corren antes de cada despliegue. Lo que sí: aegis/modules/evals/runner.py (INTERVAL_HOURS = 168, preguntas de aegis/modules/evals/golden.py con las normas esperadas, se salta si no hay IA configurada; resultados en /admin/evaluacion) y scripts/desplegar.sh (predeploy, ux_lint, lint_legal y probar_promesas antes de cada push) · comprobado el 27/09/2026
/privacidad · §3.3 · trazabilidad
Decía:Cada respuesta del agente expone su cadena de razonamiento (interpretación, plan, retrieves con cita, cross-mapping, síntesis). Cada cita producida pasa por el Citation Verifier que la valida contra el catálogo RKB; si no matchea, se marca UNVERIFIED en ámbar. La supervisión humana se materializa en la posibilidad del partner-counsel de revisar paso a paso antes de entregar.
Dice: Cada respuesta del agente expone su cadena de razonamiento (interpretación, plan, retrieves con cita, cross-mapping, síntesis). Cada artículo citado se busca en la base normativa, en la norma que se nombra: la respuesta dice cuántos se han encontrado («N de M artículos citados encontrados en la base normativa») y cuántos con su texto oficial; el que no se encuentra se marca «no verificada» en ámbar, no se muestra entre comillas y rebaja la confianza del paso. A 27/09/2026 se comprueba que el artículo existe, no que diga lo que la respuesta afirma. La supervisión humana se materializa en la posibilidad del partner-counsel de revisar paso a paso antes de entregar.
Fuente: aegis/modules/assistant/fuentes.py (rotulo_citas: «N de M artículos citados encontrados en la base normativa»; ALCANCE: «no se coteja todavía que diga lo que la respuesta afirma»; aviso_sin_fuentes); citation_verifier.py (la cita no encontrada queda verified=False y rebaja un punto la confianza del paso); templates/modules/assistant/chat.html (marca «NO VERIFICADA» en ámbar, sin texto entre comillas); y la propia /verificacion-juridica (revisión 3.5) · comprobado el 27/09/2026
/privacidad · §2 · datos que tratamos · demo pública
Decía:Demo pública anónima · Dirección IP (rate-limiting), pregunta libre, fecha · Interés legítimo · Art. 6.1.f RGPD (prevenir abuso) · 30 días desde la última actividad
Dice: Preguntas a Atlas en la portada, sin cuenta · Huella (hash con clave secreta) de la dirección IP, para el límite de 3 consultas al día; la pregunta (hasta 300 caracteres), la respuesta servida y la fecha. Antes de enviar la pregunta al proveedor de IA se ocultan DNI y NIE, correos, teléfonos, IBAN y números de la Seguridad Social; los nombres no, por eso pedimos no incluir datos personales · Pendiente de fijar a 27/09/2026 · A 27/09/2026 no hay un plazo fijado ni borrado automático: se conservan. Pendiente de fijar
Fuente: aegis/modules/marketing/routes.py, función demo: /demo redirige a /contacto desde el 20/09/2026 (lo comprueba tests/test_v18.py::test_demo_page_has_ai_disclosure_banner). La consulta pública que existe hoy es la de la portada: aegis/modules/sandbox/routes.py (ask y ask_stream: _ip_hash con SECRET_KEY, DAILY_LIMIT = 3, longitud 12-300, honeypot; _build_payload guarda SandboxQuery con la huella de la IP, la pregunta y la respuesta) y models.py; ningún proceso borra sandbox_queries. La pregunta sale al modelo por aegis/core/llm.py (call_llm), que oculta antes los identificadores (aegis/core/seudonimo.py, Seudonimos.ocultar: DNI/NIE, correo, teléfono, IBAN, NSS) · comprobado el 27/09/2026
/privacidad · §2 · auditoría de seguridad · conservación
Decía:12 meses
Dice: Plazo fijado: 12 meses. A 27/09/2026 el borrado al cumplirse está pendiente de automatizar: hasta entonces, el registro de auditoría se conserva entero
Fuente: Ningún proceso borra filas de AuditLog: no hay purga por occurred_at en aegis/ (ni en ops/ ni en los programadores de worker.py) · comprobado el 27/09/2026
/privacidad · tabla de tratamientos · estadística de uso
Decía:(la tabla no recogía la estadística de uso de la web pública)
Dice: Estadística de uso de la web pública (sin cookies): página visitada (la ruta, sin lo que va detrás de «?»); de dónde llega la visita (la campaña o el dominio del enlace, nunca la dirección completa); algunos pasos (empezar o terminar un autodiagnóstico o el triaje, con el área, el sector y el tramo de plantilla elegidos); y una huella (hash con clave secreta) de la IP, nunca la IP · Interés legítimo en saber qué partes de la web se usan para mejorarlas · Art. 6.1.f RGPD · 90 días; después se borra de forma automática
Fuente: Lo que hace el código: aegis/modules/analytics/track.py (track y record_pageview: ProductEvent con event, slug, source e ip_hash = sha256(IP|SECRET_KEY)); app.py (solo la ruta y el host del referente o utm_source); purga a los 90 días en aegis/modules/ops/backups.py · comprobado el 27/09/2026
/privacidad · cabecera
Decía:Esta política está redactada con la misma metodología que AIM ÆGIS aplica a sus partners: cada declaración sustantiva se ancla en una fuente primaria — AEPD, RGPD, LOPDGDD, EDPB — del catálogo del agente. Si una afirmación no se sostiene, el sistema la marca UNVERIFIED. · ÚLTIMA REVISIÓN · 25/09/2026 · VERSIÓN 1.1 · APLICABLE DESDE LA PUBLICACIÓN
Dice: Esta política está redactada con la misma metodología que AIM ÆGIS aplica a sus partners: cada declaración sustantiva se ancla en una fuente primaria — AEPD, RGPD, LOPDGDD, EDPB — del catálogo del agente. · ÚLTIMA REVISIÓN · 27/09/2026 · VERSIÓN 1.2 · APLICABLE DESDE LA PUBLICACIÓN
Fuente: Ningún código marca «UNVERIFIED» las frases de esta política: la marca de las citas del asistente dice hoy «no verificada» (aegis/modules/assistant/fuentes.py y templates/modules/assistant/chat.html); la versión sube porque el texto cambia hoy · comprobado el 27/09/2026
/privacidad · Medidas de seguridad
Decía:Backups cifrados y rotación diaria; restauración probada trimestralmente.
Dice: Copia de seguridad diaria verificada, con rotación; desde el 27/09/2026, además, una copia cifrada fuera del volumen (almacenamiento de objetos de Railway en Ámsterdam) y un simulacro de restauración semanal.
Fuente: Las copias locales no iban cifradas por la aplicación y no constaba ningún simulacro trimestral; RGPD art. 32.1.c y d, https://eur-lex.europa.eu/eli/reg/2016/679/oj · comprobado en el código y los registros el 27/09/2026
/privacidad · 2 · Preguntas a Atlas en la portada, sin cuenta · Conservación
Decía:A 27/09/2026 no hay un plazo fijado ni borrado automático: se conservan. Pendiente de fijar
Dice: 90 días; después se borra de forma automática
Fuente: Borrado automático programado hoy, como el de la telemetría: aegis/modules/sandbox/models.py (purgar_consultas_antiguas, RETENCION_DIAS = 90), llamado desde el hilo de operaciones de aegis/modules/ops/backups.py (ensure_backup_scheduler); prueba en tests/test_h8_privacidad_rat.py. La base jurídica sigue «pendiente de fijar» · comprobado el 27/09/2026