POLÍTICA DE GOBERNANZA DE INTELIGENCIA ARTIFICIAL — ScalePath Hub, S.L. (v0.2-MVAA)

1. Identificación de la sociedad

SCALEPATH HUB, S.L.

NIF: B26883132 · Domicilio: Calle Fuencarral, núm. 133 (1F), 28010 Madrid, España

Registro Mercantil de Madrid · IRUS: 1000469050269

Email de contacto general en materia de gobernanza de IA: legal@scalepathub.com

Email de contacto en materia de privacidad y datos personales asociados a IA: privacy@scalepathub.com

Sitio web: https://scalepathub.com

Importante. Para reportes de output AI-generated incorrecto, escalación de error o consultas sobre gobernanza de IA general usa legal@scalepathub.com. Si la consulta o reporte involucra preocupaciones de privacidad o datos personales relacionadas con IA, usa privacy@scalepathub.com (canal canónico sujeto al plazo de 72 horas del Art. 33 RGPD para brechas). El alias interno de administración no es un punto de contacto público. El alias dpo@scalepathub.com — si existiera — no equivale a una designación formal de DPO del Art. 37 RGPD.

2. Posicionamiento canónico — "structured decision-support system, NOT autonomous decision engine"

Statement canónico vinculante (canon §1).

ScalePath Hub es un sistema digital estructurado de apoyo a la decisión ("structured decision-support system") para empresas que evalúan, preparan, organizan o ejecutan procesos de expansión internacional.

ScalePath Hub NO es un motor autónomo de decisión ("autonomous decision engine"). La inteligencia artificial, cuando se utiliza, opera como capa de apoyo, asistencia, generación, estructuración o enriquecimiento, NUNCA como sustituto de la decisión empresarial del Usuario.

Cualquier copy de marketing, publicidad o comunicación que sugiera un "AI advisor autónomo" o equivalente es overclaim y no refleja el sistema real (canon §1.1).

3. Objeto de esta Política

Esta Política establece reglas, principios, límites, responsabilidades y medidas de gobernanza aplicables al uso de inteligencia artificial en ScalePath Hub:

Naturaleza del uso de IA en SPH.
Papel de la IA dentro del diagnóstico y ScaleIndex.
Ausencia de decisiones automatizadas vinculantes.
Uso permitido y prohibido de funcionalidades de IA.
Responsabilidad del Usuario sobre inputs, prompts y datos.
Naturaleza orientativa y no vinculante de los outputs.
Revisión humana best-effort founding cohort (Layer 7 MVAA).
Tratamiento de datos personales y empresariales en IA.
Uso de proveedores externos.
Prohibición de entrenar modelos con datos del cliente.
Disclaimers AI Act Art. 50 — transparencia.
Medidas de gobernanza interna, seguridad, supervisión y mejora.
Relación con RGPD, AI Act, T&C, Política de Privacidad y DPA.

Forma parte de la arquitectura contractual y de compliance de ScalePath Hub.

4. Marco normativo y enfoque regulatorio

SPH diseña esta Política teniendo en cuenta:

Reglamento (UE) 2024/1689 (AI Act). Marco regulatorio basado en riesgos para sistemas de IA en la UE.
Reglamento (UE) 2016/679 (RGPD).
LOPDGDD (Ley Orgánica 3/2018).
Ley 34/2002 (LSSI-CE).
Directiva (UE) 2024/2853 (responsabilidad por productos defectuosos — awareness + monitoring per §40.4).
Normativa ePrivacy aplicable.
Principios de transparencia, responsabilidad proactiva, minimización, seguridad, supervisión humana, proporcionalidad y gestión de riesgos.

4.1. Clasificación de riesgo bajo AI Act

Posicionamiento bajo AI Act (no-high-risk).

SPH considera, con base en el diseño actual del MVP / MVAA founding cohort, que su sistema de IA NO es de alto riesgo en el sentido del Anexo III del AI Act. SPH opera como funcionalidad de apoyo a la decisión empresarial y no como sistema de IA de alto riesgo.

Justificación. El servicio NO está diseñado para los casos del Anexo III del AI Act: (a) identificación biométrica; (b) infraestructuras críticas; (c) educación/admisión con efectos; (d) empleo, selección o evaluación laboral; (e) acceso a servicios públicos esenciales; (f) aplicación de la ley; (g) migración, asilo o control fronterizo; (h) administración de justicia; (i) evaluación crediticia de personas físicas; (j) decisiones con efectos jurídicos automatizados sobre personas físicas.

Mantenimiento del posicionamiento: SPH NO clasifica la IA como motor de scoring; el scoring ScaleIndex es determinista. SPH revisará esta clasificación si se introducen nuevas funcionalidades, casos de uso, mercados, integraciones, niveles de automatización o funcionalidades de marketplace que cambien el perfil de riesgo.

5. Naturaleza del servicio y función de la IA en SPH

ScalePath Hub es un sistema digital de apoyo a la decisión y ejecución estructurada para internacionalización empresarial. Puede incluir: cuestionarios estructurados; ScaleIndex; diagnóstico de preparación para expansión; puntuaciones o indicadores; identificación de bloqueos; recomendaciones orientativas; roadmaps; planes de acción; seguimiento de progreso; asistencia conversacional o generativa; generación de resúmenes; clasificación o estructuración de información; contenidos e insights.

5.1. La IA puede utilizarse para

(a) analizar inputs proporcionados por el Usuario; (b) resumir información empresarial; (c) estructurar respuestas; (d) generar recomendaciones preliminares; (e) preparar borradores de roadmaps; (f) organizar acciones; (g) clasificar información por áreas clave; (h) asistir en la interpretación de resultados; (i) generar textos explicativos; (j) ayudar a priorizar acciones; (k) facilitar interacción conversacional; (l) apoyar flujos internos de automatización; (m) mejorar la experiencia de usuario.

5.2. La IA NO se utiliza para

(a) decidir si una empresa debe o no expandirse; (b) aprobar o rechazar solicitudes; (c) conceder o denegar derechos; (d) imponer obligaciones vinculantes; (e) sustituir asesoramiento profesional; (f) tomar decisiones legales, fiscales, financieras, laborales, regulatorias o estratégicas por cuenta del Usuario; (g) producir efectos jurídicos automáticos sobre personas físicas; (h) decidir sobre elegibilidad, solvencia, empleo, crédito, seguros, educación, salud, servicios públicos o derechos fundamentales.

6. Arquitectura MVAA — 7 capas con supervisión humana

Arquitectura canónica MVAA Spec v0. El sistema opera en 7 capas con disclaimers diferenciados por capa (cf. docs/legal/disclaimers-per-layer-mvaa-v0.2.md):

| Layer | Función | IA involucrada | Disclaimer |

|---|---|---|---|

| L1 Scoring determinista | Cálculo ScaleIndex | No IA — fórmula determinista frozen | "Score determinista, reproducible bajo mismos inputs" |

| L2 Narrative diagnostic | Redacción narrativa del diagnóstico | LLM redacta desde JSON estructurado | Disclaimer General |

| L3 Personalized roadmap | Hoja de ruta personalizada | TEMPLATE curado + LLM contextualización | Disclaimer General |

| L4 Module guidance | Guía de módulos | CURADO 100% MANUAL por equipo SPH (sin IA) | Disclaimer informativo |

| L5 Contextual recommendations con citation RAG (read-only) | Recomendaciones con citas a biblioteca legal/regulatoria | NO ACTIVO en v1 — deferred a v2 post-credibility-test PASS | Reservado v2 |

| L6 Continuity templates | Plantillas de continuidad | No IA | Disclaimer informativo |

| L7 Human Review (founding cohort) | Revisión humana best-effort de outputs AI antes de delivery | N/A — proceso humano | "Output revisado por equipo SPH antes de delivery (best-effort)" |

6.1. ScaleIndex y scoring determinista

NO IA en scoring. La fórmula ScaleIndex es determinista, frozen, no modificable por LLM. Bajo idénticos inputs el sistema produce idénticos outputs. El score es objetivo, reproducible y auditable. La capa de IA del MVAA NO modifica el score.

6.2. Layer 7 — Human Review founding cohort (alineación Art. 14 AI Act, best-effort standard)

Supervisión humana best-effort durante founding cohort SS2026 (beta controlada). Durante la fase founding cohort SS2026 (beta controlada), ScalePath Hub hará todo lo razonablemente posible para garantizar que los outputs AI-generated del MVAA sean revisados por personal cualificado de SPH antes de su entrega al Usuario. SPH se reserva la discrecionalidad de ajustar el alcance de revisión, sampling, o procedimientos fallback en función de condiciones operativas (e.g., disponibilidad del reviewer, volumen de outputs, incidentes técnicos). Esta revisión se diseña para alinearse con:

- Art. 14 AI Act — supervisión humana efectiva sobre sistemas de IA.

- Canon §1.2 SPH — credibility gate (defensibilidad + credibilidad como gates co-iguales).

- Canon §1 SPH — "structured decision-support, NOT autonomous decision engine".

SLA objetivo de entrega tras human review: ≤24h naturales desde generación, salvo causa de fuerza mayor o condiciones operativas excepcionales.

Disclosure transparente al Usuario (trust signal). El founding cohort recibe explícitamente la información de que sus outputs son revisados por equipo SPH antes de delivery bajo este estándar best-effort. Esto NO es marketing — es signal técnico de defensibilidad y credibilidad.

Post-founding cohort (post-credibility-test PASS): la modalidad de revisión podrá evolucionar a sample-based (1 de cada N outputs, con N a determinar según métricas de calidad) con decisión documentada del equipo SPH.

7. Análisis automatizado estructurado y ausencia de decisiones automatizadas Art. 22 RGPD

SPH puede realizar análisis automatizado estructurado sobre datos proporcionados por el Usuario (puntuaciones, categorización, identificación de brechas, detección de inconsistencias, priorización, recomendación de pasos, sugerencia de plan, explicaciones).

Este análisis NO constituye decisión automatizada vinculante. El Usuario conserva el control y puede aceptar, rechazar, modificar, contrastar o ignorar los resultados.

SPH NO realiza decisiones automatizadas con efectos jurídicos o efectos significativamente similares sobre personas físicas en el sentido del Art. 22 RGPD. En particular, SPH: no aprueba ni rechaza solicitudes; no concede ni deniega acceso a derechos legales; no decide sobre empleo, crédito, seguros, educación, salud o servicios esenciales; no produce efectos jurídicos automáticos; no impide que el Usuario actúe; no adopta decisiones empresariales por cuenta del Usuario; no sustituye la intervención humana del Usuario.

8. Naturaleza no vinculante de los outputs y disclaimer AI Act Art. 50

8.1. Naturaleza orientativa

Todos los outputs generados por ScalePath Hub, incluyendo los generados o asistidos mediante IA, tienen carácter orientativo, informativo y no vinculante.

Los outputs pueden incluir: textos, diagnósticos, puntuaciones, explicaciones, recomendaciones, alertas, roadmaps, planes de acción, listas de prioridades, resúmenes, comparativas, sugerencias de plan, respuestas conversacionales.

Ningún output debe interpretarse como asesoramiento profesional personalizado. El Usuario debe revisar todos los outputs antes de utilizarlos.

8.2. Disclaimer canónico AI Act Art. 50 — transparencia

Aviso de transparencia obligatorio (AI Act Art. 50).

"Este texto ha sido generado o asistido por un sistema de inteligencia artificial con revisión humana best-effort del equipo ScalePath Hub. Los outputs son orientativos, no vinculantes, y deben ser revisados por el Usuario antes de cualquier uso operativo."

Este disclaimer se muestra de forma material y proporcional cada vez que el Usuario interactúa con una funcionalidad que utiliza IA de manera material. Cf. matriz completa en docs/legal/disclaimers-per-layer-mvaa-v0.2.md.

9. Exclusión de asesoramiento profesional

SPH NO presta asesoramiento legal, fiscal, financiero, contable, laboral, regulatorio, migratorio, de inversión, bancario, societario, comercial ni estratégico personalizado. Los sistemas de IA integrados no sustituyen a profesionales cualificados.

Los outputs AI-generated o system-generated pueden ayudar a identificar áreas de atención pero no deben utilizarse como base única para decisiones con consecuencias legales, fiscales, financieras, regulatorias, laborales o comerciales relevantes. El Usuario debe consultar asesores profesionales cualificados cuando la naturaleza de la decisión lo requiera.

10. Responsabilidad del Usuario sobre decisiones

El Usuario es el único responsable de: evaluar los outputs; verificar su exactitud; contrastarlos con fuentes externas; obtener asesoramiento profesional cuando sea necesario; decidir si sigue o no las recomendaciones; implementar acciones; asumir riesgos empresariales; cumplir normativa local aplicable; validar requisitos legales, fiscales, laborales, migratorios o regulatorios; decidir si entra o no en un mercado.

SPH no garantiza resultados empresariales, comerciales, financieros, legales o regulatorios derivados del uso de sus sistemas de IA.

11. Limitaciones conocidas de la inteligencia artificial

El Usuario reconoce que los sistemas de IA pueden: generar información incorrecta; producir respuestas incompletas; generar afirmaciones plausibles pero erróneas; omitir matices relevantes; reflejar sesgos presentes en datos o modelos; no estar actualizada; interpretar incorrectamente el contexto; no captar particularidades locales; producir traducciones imperfectas; generar recomendaciones insuficientes; no identificar todos los riesgos; depender excesivamente de la calidad del input.

El Usuario debe actuar con diligencia y criterio profesional al utilizar outputs AI-generated o AI-assisted.

12. Calidad de los inputs y responsabilidad del Usuario

La calidad, precisión y utilidad de los outputs depende directamente de la calidad, completitud, actualidad y exactitud de los inputs. El Usuario se compromete a: proporcionar información veraz; no introducir datos engañosos; actualizar la información cuando cambie; no omitir información relevante; no introducir datos ilícitos; no introducir datos personales innecesarios; no introducir datos confidenciales de terceros sin autorización; no introducir datos sensibles salvo base jurídica suficiente; revisar la información antes de enviarla.

13. Datos empresariales, personales y confidenciales en prompts — política PII híbrida

Política PII híbrida aplicada al MVAA.

- Datos sensibles (PII raw de terceros, IDs nacionales, IBAN, salud, religión, etnia, orientación, sindical) o innecesarios para el diagnóstico → Opción B (notify/reformulate). El sistema avisa al Usuario antes del procesamiento y solicita reformulación o exclusión. Bloquea el ingest hasta resolución.

- Datos incidentales y no necesarios (ej. nombre de tercero mencionado de paso, dato no-sensible irrelevante para el output) → Silent redact. El pipeline pre-prompt redacta automáticamente sin notificar. Acción registrada en audit log.

El Usuario debe evitar introducir: datos personales innecesarios; sensibles; de menores; penales; de salud; biométricos; de clientes sin base jurídica; secretos comerciales de terceros sin autorización; información con restricciones contractuales; información no necesaria para la finalidad.

Cuando el Usuario introduzca datos personales de terceros, será responsable de contar con base jurídica válida y cumplir las obligaciones de información aplicables. Consultas a privacy@scalepathub.com.

14. Uso de datos del cliente para entrenamiento de modelos — prohibido salvo autorización

SPH NO utilizará datos del cliente tratados como encargado para entrenar, ajustar, mejorar o desarrollar modelos de inteligencia artificial de SPH o de terceros, ya sean públicos, propietarios o comerciales, salvo instrucción documentada del cliente, base jurídica suficiente y, cuando sea necesario, autorización específica del cliente.

Cuando SPH utilice proveedores externos de IA como subencargados, SPH seleccionará proveedores y modalidades contractuales que NO permitan el uso de datos del cliente para entrenamiento o mejora de modelos del proveedor, salvo autorización expresa o participación voluntaria del cliente en un programa específico.

SPH NO introducirá datos del cliente en servicios de IA de consumo, cuentas personales o modalidades no empresariales que permitan el uso de dichos datos para entrenamiento, mejora de modelos o finalidades incompatibles.

Lo anterior no impide que proveedores de IA traten datos de forma limitada para prestar el servicio, mantener seguridad, prevenir abusos, cumplir obligaciones legales o conservar registros técnicos.

15. Uso interno de herramientas de IA por el equipo SPH

El equipo de SPH (empleados, administradores, colaboradores, desarrolladores, contratistas, proveedores internos) debe cumplir esta Política al utilizar herramientas de IA.

Queda prohibido introducir datos reales de clientes, datos personales, información confidencial o información empresarial sensible en: cuentas personales de IA; servicios de IA de consumo; herramientas no aprobadas; cuentas gratuitas o individuales no controladas por SPH; servicios que permitan entrenamiento con datos introducidos; herramientas sin condiciones contractuales adecuadas.

Los datos reales de clientes solo podrán tratarse mediante herramientas aprobadas, configuradas y revisadas por SPH conforme a sus obligaciones contractuales, de privacidad y seguridad.

16. Proveedores externos de IA

ScalePath Hub puede utilizar proveedores externos de IA para determinadas funcionalidades. Entre los considerados o utilizados pueden encontrarse:

OpenAI (LLM inference; US — bajo SCC Módulo 3 + zero-retention API + no-training mode).
Otros proveedores de modelos de lenguaje o sistemas de IA (Anthropic/Claude u otros equivalentes, solo si se activan).
Proveedores de automatización u orquestación conectados a sistemas de IA (n8n self-hosted en VPS SPH).
Proveedores de infraestructura necesarios para operar flujos de IA.

SPH selecciona proveedores considerando: condiciones contractuales; disponibilidad de DPA; restricciones de uso para entrenamiento; seguridad; confidencialidad; ubicación del tratamiento; garantías de transferencias internacionales; capacidad técnica; fiabilidad; cumplimiento normativo.

16.1. Relación con OpenAI y otros proveedores

El tratamiento se rige por: contratos aplicables entre SPH y el proveedor; términos de servicio del proveedor; políticas de privacidad del proveedor; condiciones de tratamiento de datos aplicables; configuraciones técnicas seleccionadas por SPH; garantías de privacidad, seguridad y transferencia internacional disponibles.

SPH utiliza modalidades empresariales / API / planes profesionales adecuados para tratar datos del servicio, evitando servicios de consumo cuando ello pueda comprometer confidencialidad, privacidad o control de datos.

16.2. Transferencias internacionales en servicios de IA

El uso de proveedores globales de IA puede implicar transferencias internacionales. Cuando ocurran, SPH aplicará mecanismos adecuados (SCC, TIA, medidas técnicas complementarias, minimización, configuración de privacidad). Cf. Política de Privacidad §14 y DPA Anexo IV.

17. Seguridad en el uso de IA

SPH aplicará medidas razonables: controles de acceso; uso de proveedores aprobados; restricciones de uso interno; minimización de datos; seudonimización cuando proceda; cifrado en tránsito; cifrado en reposo cuando esté disponible; revisión de proveedores; gestión de subencargados; monitorización técnica; limitación de prompts; controles sobre datos sensibles; documentación de flujos relevantes; revisión de outputs críticos.

El Usuario reconoce que ningún sistema de IA es completamente seguro.

18. Supervisión humana — Art. 14 AI Act (best-effort)

ScalePath Hub se diseña bajo un principio de supervisión humana efectiva, alineado con el Art. 14 AI Act. Esto significa:

(a) los Usuarios revisan los resultados; (b) los Usuarios deciden si actúan o no; (c) los outputs no se ejecutan automáticamente; (d) SPH no adopta decisiones por cuenta del Usuario; (e) las recomendaciones pueden ser contrastadas; (f) el Usuario puede solicitar asesoramiento externo; (g) el Usuario conserva control sobre la ejecución; (h) durante founding cohort SS2026, SPH hará todo lo razonablemente posible para que el equipo SPH revise los outputs AI antes de delivery (Layer 7 MVAA — best-effort standard).

La supervisión humana es especialmente relevante cuando los outputs puedan influir en decisiones con impacto legal, fiscal, financiero, laboral, regulatorio, comercial u operativo.

19. Transparencia frente al Usuario y trust signal founding cohort

Disclosure transparente founding cohort (credibility gate).

ScalePath Hub informa expresamente y de forma proactiva al founding cohort SS2026 que: (i) los outputs AI-generated son objeto de revisión best-effort por equipo cualificado SPH antes de su delivery; (ii) este es trust signal y se diseña para alinearse con Art. 14 AI Act; (iii) la modalidad de revisión podrá evolucionar post-credibility-test PASS.

Esto NO es marketing copy — es defensibilidad técnica + credibilidad comunicadas con honestidad al usuario.

SPH informará al Usuario cuando una funcionalidad relevante utilice IA o análisis automatizado de forma material. La transparencia se proporciona mediante: esta Política; Política de Privacidad; avisos dentro de la plataforma; textos explicativos en el diagnóstico; disclaimers en outputs (cf. matriz docs/legal/disclaimers-per-layer-mvaa-v0.2.md); documentación del producto; tooltips o mensajes contextuales; términos aplicables al servicio.

SPH no tiene la obligación de revelar secretos comerciales, código fuente, prompts internos, ponderaciones exactas, modelos propietarios, arquitectura técnica confidencial o lógica interna protegida, salvo cuando lo exija la normativa aplicable.

20. Explicabilidad razonable

SPH procurará ofrecer explicaciones razonables sobre el funcionamiento general del sistema: qué datos se consideran; qué pilares se evalúan; qué tipo de reglas se aplican; qué significan las puntuaciones; cómo interpretar bloqueos; qué limitaciones existen; qué debe revisar el Usuario; cuándo conviene consultar especialistas.

SPH no garantiza explicabilidad completa de todos los outputs generados por modelos de IA de terceros.

21. AI Act Art. 4 — AI Literacy

SPH se compromete con la AI literacy de su equipo (Art. 4 AI Act). El personal de SPH involucrado en el desarrollo, operación o supervisión de funcionalidades AI recibe formación adecuada sobre: AI Act compliance; uso responsable de IA; identificación de riesgos; supervisión humana efectiva; transparencia frente al Usuario; protección de datos en contexto AI.

22. Prohibición de prácticas de IA prohibidas (AI Act Art. 5)

ScalePath Hub no utilizará IA para prácticas prohibidas bajo el AI Act. En particular, SPH no diseñará ni utilizará sus sistemas para:

(a) manipulación subliminal o engañosa prohibida; (b) explotación de vulnerabilidades de personas; (c) social scoring de personas físicas; (d) inferencia prohibida de emociones en contextos regulados; (e) categorización biométrica prohibida; (f) identificación biométrica remota en espacios públicos; (g) predicción delictiva individual prohibida; (h) otras prácticas que la normativa aplicable califique como inaceptables.

SPH revisará sus usos conforme evolucione la interpretación regulatoria de la Comisión Europea y autoridades competentes.

23. Usos prohibidos por los Usuarios

El Usuario no podrá utilizar las funcionalidades de IA de ScalePath Hub para:

(a) generar contenidos ilegales; (b) defraudar a terceros; (c) infringir derechos de propiedad intelectual; (d) vulnerar confidencialidad; (e) introducir datos personales sin base jurídica; (f) generar asesoramiento profesional engañoso; (g) tomar decisiones automatizadas sobre personas físicas sin base legal; (h) discriminar a personas o colectivos; (i) generar malware, phishing o ataques; (j) eludir controles de seguridad; (k) realizar scraping o extracción no autorizada; (l) crear sistemas competidores mediante copia de metodología; (m) entrenar modelos externos con outputs de SPH; (n) suplantar identidades; (o) incumplir sanciones, embargos o normativa aplicable.

Estos usos se complementan con la Política de Uso Aceptable (AUP).

24. Prohibición de reliance exclusivo

El Usuario no debe basarse exclusivamente en outputs de IA o diagnósticos automatizados para tomar decisiones relevantes. Antes de actuar, debe considerar: contexto específico; normativa local; datos actualizados; asesoramiento profesional; riesgos financieros, legales y operativos; situación comercial; cambios regulatorios; limitaciones del sistema.

SPH no será responsable por decisiones adoptadas sin validación suficiente.

25. Exactitud, actualización y verificación

SPH trabaja para mejorar la calidad de los outputs pero no garantiza exactitud absoluta. Los outputs pueden no reflejar: cambios legislativos recientes; prácticas regulatorias locales; criterios administrativos; jurisprudencia; condiciones económicas; cambios fiscales; requisitos sectoriales; restricciones operativas; información no proporcionada por el Usuario.

El Usuario debe verificar la información crítica antes de actuar.

26. Propiedad de inputs y outputs en contexto de IA

El Usuario conserva la titularidad sobre los inputs introducidos, sujeto a los derechos y licencias en los T&C. El Usuario podrá utilizar internamente los outputs generados para su propio uso empresarial.

SPH conserva todos los derechos sobre: metodología; ScaleIndex; lógica de scoring; estructura de análisis; prompts base; flujos internos; taxonomías; frameworks; plantillas; arquitectura funcional; diseño del sistema; propiedad intelectual propia.

El Usuario no podrá utilizar outputs, estructura, prompts, lógica o metodología de SPH para crear, entrenar, mejorar o comercializar un producto competidor.

27. Uso de outputs para mejora del servicio

SPH podrá utilizar datos agregados, anonimizados o seudonimizados derivados del uso del sistema para mejorar reglas, corregir errores, optimizar experiencia, detectar patrones, mejorar calidad de outputs, desarrollar benchmarking, mejorar metodología, entrenar o ajustar componentes internos cuando no exista identificación personal ni uso no autorizado de datos del cliente.

Cuando SPH actúe como encargado, el uso de datos del cliente para mejora se sujetará al DPA, instrucciones del cliente y base jurídica aplicable.

28. Logs, trazabilidad, auditoría y retención canónica

Audit log retention canónico 24 meses. SPH mantiene registros técnicos o logs relacionados con uso de funcionalidades de IA para: garantizar seguridad; depurar errores; mejorar funcionamiento; investigar abusos; prevenir usos prohibidos; cumplir obligaciones legales; documentar incidencias; proteger derechos de SPH y Usuarios.

Cada output AI tiene metadata: fuentes RAG usadas (si Layer 5 activo — NOT activo v1); classification (Canonical/Contextual/AI-Derivative); disclaimer aplicado; audit_trail_id; registro de revisión humana Layer 7 (founding cohort, best-effort).

Retención: 24 meses por razones de ventana forense, defensa legal y auditoría regulatoria.

29. Monitorización de abusos

SPH podrá implementar controles para detectar usos indebidos o abusivos de IA: límites de uso; filtros de seguridad; revisión de patrones anómalos; suspensión de funcionalidades; bloqueo de prompts prohibidos; detección de intentos de elusión; auditoría de incidentes; medidas antifraude.

SPH podrá suspender o restringir el acceso a funcionalidades de IA cuando detecte riesgos legales, técnicos, de seguridad o de abuso.

30. Gestión de errores y outputs problemáticos — escalation path

El Usuario puede reportar outputs que considere incorrectos, incompletos, sesgados, ofensivos, inseguros, engañosos, desactualizados, jurídicamente sensibles o no pertinentes.

Canales de escalación:

legal@scalepathub.com — para reportes generales de gobernanza de IA.
privacy@scalepathub.com — cuando el reporte involucre datos personales (canal canónico sujeto al plazo de 72 horas del Art. 33 RGPD).

Compromiso de respuesta: 5 días hábiles desde la recepción.

SPH podrá revisar dichos reportes y adoptar medidas razonables: corrección de reglas; ajuste de prompts; mejora de disclaimers; revisión de flujos; escalado técnico; restricción de funcionalidades; comunicación al proveedor correspondiente; actualización de documentación.

31. Cambios en modelos, proveedores o funcionalidades de IA

SPH podrá modificar, sustituir, añadir o retirar modelos, proveedores o funcionalidades de IA. Las razones pueden ser: mejoras técnicas; seguridad; cambios contractuales; cambios regulatorios; coste o disponibilidad; rendimiento; calidad de outputs; cumplimiento de privacidad; estrategia de producto.

Cuando un cambio afecte materialmente a privacidad, seguridad, transferencias internacionales o características esenciales, SPH actualizará la documentación o informará al Usuario por medios razonables.

32. Gobernanza interna de IA

SPH aplicará gobernanza interna proporcional a la naturaleza, escala y riesgos del sistema: inventario de casos de uso de IA; clasificación de riesgos; revisión de proveedores; reglas internas de uso; controles sobre datos de clientes; prohibición de cuentas personales para datos reales; documentación de decisiones relevantes; revisión periódica de outputs; control de cambios; evaluación de incidentes; formación interna (AI literacy Art. 4 AI Act); actualización de políticas.

La intensidad de estas medidas evolucionará conforme SPH crezca o incorpore nuevas funcionalidades.

33. Evaluación periódica de riesgos

SPH revisará periódicamente los riesgos asociados al uso de IA. La revisión considerará: naturaleza de los datos tratados; volumen de Usuarios y datos; dependencia de proveedores externos; impacto de outputs; feedback de Usuarios; incidentes reportados; cambios regulatorios; evolución técnica; nuevas funcionalidades; activación futura de marketplace; uso de datos de CRM a mayor escala.

Si se identifican riesgos significativos, SPH actualizará medidas, documentos, flujos o funcionalidades.

34. Futuro marketplace o red de especialistas — fuera del MVP

El MVP / founding cohort SS2026 NO incluye el lanzamiento operativo del modelo de consultores externos. Si en el futuro SPH activa este modelo y dichas funcionalidades incluyen IA para recomendar especialistas, rankear perfiles, asignar consultores, analizar ratings, valorar desempeño, sugerir matches o priorizar expertos — SPH revisará: clasificación regulatoria; roles de tratamiento; transparencia; posibles efectos sobre personas físicas; necesidad de DPO; garantías aplicables; documentación contractual.

Hasta entonces, esta Política se aplica al sistema MVP y funcionalidades existentes.

35. Integraciones futuras

SPH podrá incorporar integraciones con sistemas externos (CRM, financieras, calendarios, gestores documentales, email, productividad, bases de datos, herramientas de análisis, sistemas autorizados). Si dichas integraciones alimentan funcionalidades de IA, SPH informará de: datos accedidos; finalidad; permisos; proveedor; riesgos; opciones de desconexión; impacto en privacidad; posible uso para outputs.

36. Relación con Política de Privacidad, DPA y AUP

Cuando el uso de IA implique tratamiento de datos personales, dicho tratamiento se rige por la Política de Privacidad. Cuando SPH trate datos personales por cuenta del cliente mediante IA, se aplicará el DPA. El uso de IA debe cumplir la AUP.

37. Retención de datos asociados a IA

Los datos asociados al uso de IA se conservan conforme a la Política de Privacidad y, cuando aplique, al DPA: prompts; inputs; outputs; logs técnicos (24m retención canónica); errores; metadatos; información de seguridad; trazabilidad de acciones; registros de Layer 7 human review (best-effort). SPH aplicará criterios de minimización y conservación limitada, sin perjuicio de obligaciones legales, seguridad, defensa de derechos o continuidad operativa.

38. Derechos de los Usuarios e interesados

Cuando el uso de IA implique tratamiento de datos personales, los interesados podrán ejercer: acceso, rectificación, supresión, oposición, limitación, portabilidad, retirada del consentimiento, derecho a no ser objeto de decisiones automatizadas (en los términos legalmente previstos).

Las solicitudes pueden dirigirse a: privacy@scalepathub.com

Cuando SPH actúe como encargado, la solicitud podrá tener que ser gestionada por el cliente responsable.

39. Reporte de incidencias o preocupaciones

El Usuario puede contactar con SPH si considera que una funcionalidad de IA: genera resultados incorrectos; produce información sensible; vulnera derechos; genera contenido inseguro; presenta sesgos; produce información engañosa; plantea riesgos legales; trata datos indebidamente.

Contacto:

legal@scalepathub.com — gobernanza de IA general.
privacy@scalepathub.com — preocupaciones que involucren datos personales.

SPH evaluará el reporte y adoptará medidas razonables según la naturaleza del problema.

40. Responsabilidad y limitaciones — refinada AI Act + Dir UE 2024/2853 (espeja T&C §30)

40.1. Marco general

El uso de funcionalidades de IA se sujeta a las limitaciones de responsabilidad de los T&C (cf. T&C v0.2 §30). En la máxima medida permitida por la ley, SPH no será responsable por: decisiones tomadas por el Usuario; uso de outputs sin validación; errores derivados de inputs incompletos; omisiones del Usuario; falta de asesoramiento profesional; incumplimientos de normativa local por parte del Usuario; resultados empresariales; errores de proveedores externos; uso indebido de IA; introducción de datos sin base jurídica; uso de datos sensibles no autorizado.

40.2. Alcance específico de outputs AI-asistidos — naturaleza orientativa y revisión humana (best-effort)

Statement canónico explícito sobre outputs AI (canon §1).

Los outputs generados o asistidos por IA en ScalePath Hub son AI-assisted, NOT autonomous decisions:

1. Alcance AI-asistido (no autónomo). El sistema NO toma decisiones por el Usuario, NO ejecuta acciones automáticas, NO produce efectos jurídicos vinculantes, NO sustituye a profesionales cualificados, y NO constituye decisión automatizada del Art. 22 RGPD.

2. Revisión humana best-effort. Durante founding cohort SS2026, SPH hará todo lo razonablemente posible para garantizar que los outputs AI-generated sean revisados por personal cualificado de SPH antes de su entrega (Layer 7 — Art. 14 AI Act alignment). SPH se reserva la discrecionalidad de ajustar el alcance de revisión, sampling, o procedimientos fallback en función de condiciones operativas. Esta revisión no exime al Usuario de su deber de revisión profesional propia antes de actuar.

3. Consentimiento informado del Usuario al actuar. El Usuario reconoce que actúa sobre outputs AI bajo su propia diligencia profesional, validando con asesores cualificados cuando la naturaleza de la decisión lo requiera.

4. Disclaimers Art. 50 AI Act baked-in. Cada output AI-asistido lleva disclaimer canónico AI Act Art. 50 (cf. docs/legal/disclaimers-per-layer-mvaa-v0.2.md).

40.3. Cap de responsabilidad B2B founding cohort

La responsabilidad total acumulada de SPH frente al Usuario (en relación con el uso de funcionalidades de IA, incluyendo errores u omisiones de outputs AI-asistidos) queda limitada conforme al T&C v0.2 §30.3 a la cantidad mayor entre:

(a) las cantidades efectivamente pagadas por el Usuario a SPH durante los doce (12) meses anteriores al hecho que dio lugar a la reclamación; o

(b) mil euros (€1.000).

Cap estándar de mercado SaaS B2B. Si el Usuario no hubiera pagado cantidad alguna, la responsabilidad máxima quedará limitada a mil euros (€1.000), salvo que la ley aplicable exija otra cosa.

40.4. Reconocimiento Dir UE 2024/2853 (responsabilidad por productos defectuosos AI)

Marco emergente — disclosure de awareness.

SPH es consciente de que la Directiva (UE) 2024/2853, publicada el 18 de noviembre de 2024 y en vigor desde el 9 de diciembre de 2024 (plazo de transposición 9 de diciembre de 2026), establece un régimen actualizado de responsabilidad por productos defectuosos que podría extenderse a outputs de sistemas de IA defectuosos.

SPH monitorizará la transposición y aplicación efectiva de dicha Directiva en España y demás Estados Miembros UE relevantes, y ajustará sus medidas de mitigación, esta cláusula §40 y los procesos internos conforme evolucione el marco. Mecanismos de mitigación SPH ya activos pre-D0:

(i) supervisión humana best-effort Layer 7 founding cohort;

(ii) disclaimers Art. 50 AI Act baked-in;

(iii) trazabilidad y audit log con retención 24 meses;

(iv) revisión post-D0 D+30 con counsel externo limited scope para validar suficiencia de medidas frente a la Directiva 2024/2853 efectiva.

Nada en esta cláusula podrá interpretarse como limitación de responsabilidad SPH cuando dicha limitación esté prohibida por norma imperativa aplicable. La responsabilidad por dolo, fraude o daños personales causados por negligencia cuando legalmente no pueda excluirse no queda excluida ni limitada.

40.5. Sanciones administrativas — exclusión del cap + gobernanza institucional de IA

Las sanciones administrativas (incluyendo, entre otras, las del AI Act o de la normativa de protección de datos) son obligaciones de naturaleza pública y no pueden limitarse por contrato. Esta cláusula §40 no pretende limitarlas: regula únicamente la responsabilidad civil entre las partes.

Gobernanza institucional de IA. SPH ejerce la supervisión institucional de gobernanza de IA y privacidad a través del equipo legal y de cumplimiento cualificado de SPH, conforme a los principios de transparencia, supervisión humana efectiva, AI literacy (Art. 4 AI Act) y responsabilidad proactiva del RGPD. SPH se compromete a re-evaluar el engagement de counsel externo en scope limitado post-D0 D+30 con ground truth founding cohort para validar la suficiencia de las medidas adoptadas internamente.

41. Cambios en esta Política

SPH podrá modificar esta Política para reflejar cambios normativos (incluyendo evolución del AI Act + Dir UE 2024/2853 transposición); criterios de autoridades; nuevos proveedores; nuevas funcionalidades; cambios técnicos; nuevas integraciones; cambios en riesgos; evolución del producto. La versión actualizada se publicará. Cuando los cambios sean materiales, SPH notificará al Usuario por medios razonables.

42. Revisión periódica

SPH revisará esta Política especialmente cuando: se incorporen nuevos sistemas de IA; cambien proveedores; cambie la finalidad del tratamiento; aumente significativamente la escala; se activen datos de CRM a gran escala; se activen funcionalidades de marketplace; se introduzcan sistemas de recomendación de especialistas; se modifique la lógica del diagnóstico; se utilicen modelos más avanzados; se identifiquen incidentes relevantes; transposición efectiva Dir UE 2024/2853.

43. Contacto

SCALEPATH HUB, S.L.

Calle Fuencarral, núm. 133 (1F) · 28010 Madrid, España · NIF B26883132

Email de contacto general en materia de gobernanza de IA: legal@scalepathub.com

Email de contacto en materia de privacidad y datos personales asociados a IA: privacy@scalepathub.com