Política de Inteligencia Artificial

1. Objeto y alcance

Esta política describe cómo Vexakon cumple las obligaciones de transparencia del Artículo 50 del Reglamento (UE) 2024/1689 (AI Act) en los productos conversacionales que comercializa: VEXA-VOICE (asistente de voz) y VEXA-CHAT (asistente conversacional en la web del cliente), incluido su modo de recuperación documental.

El AI Act entró en vigor el 1 de agosto de 2024 —veinte días después de su publicación en el DOUE— y es aplicable por tramos: los capítulos I y II desde el 2 de febrero de 2025, y el resto —incluido el Artículo 50— desde el 2 de agosto de 2026 (art. 113 del Reglamento). Entrar en vigor y ser aplicable no son lo mismo: la obligación de transparencia del art. 50 es exigible desde la segunda fecha, no desde la primera.

2. Marco legal aplicable

• Reglamento (UE) 2024/1689 · arts. 50, 99 y 113.
• Recital 132 del AI Act (consideración de grupos vulnerables).
• Reglamento (UE) 2016/679 (RGPD) · arts. 13, 14 y 22.
• Ley Orgánica 3/2018 (LOPDGDD) · arts. 11 y 22.
• Autoridad supervisora en España: AESIA (A Coruña).

3. Disclosure por canal

Conforme al art. 50(1) y (5), Vexakon implementa un two-layer disclosure pattern:

3.1 VEXA-VOICE (canal de voz)

• Capa 1 — primera interacción audible (producción cliente real): el sistema saluda con la fórmula canónica:

  "Hola, soy [NOMBRE_AGENTE], el asistente de inteligencia artificial de [CLIENTE]. Esta llamada está siendo asistida por una IA y queda grabada con fines de calidad. Si en cualquier momento prefieres hablar con una persona, dilo y te paso con el equipo. ¿En qué puedo ayudarte?"

• Capa 1 adaptada — agentes DEMO Vexakon (vs01-dental-demo, vs03-hotel-demo): las demos de producto (hoy en sesiones guiadas; la antigua página /demo se retiró el 19/07/2026 y su URL redirige a la portada) adaptan el wording sustituyendo [CLIENTE] por "Vexakon", [NOMBRE_AGENTE] por "asistente virtual de demostración", y reemplazan "fines de calidad" por "procesamiento de la demo por Retell" porque no hay cliente real cuyas comunicaciones se graben. El resto de elementos canónicos (declaración IA, opción de pasar con humano, propósito) se mantienen idénticos. Marcado con # LOCKED-AIA50 BEGIN / # LOCKED-AIA50 END en los YAML de Retell · drift detection automatizada en cada despliegue: si el bloque cambia sin autorización, la validación falla y el despliegue se detiene.

• Capa 2 — disponible bajo demanda: ante la pregunta "¿eres una persona?" o equivalente, el sistema reafirma su naturaleza IA con la fórmula del bloque LOCKED-AIA50 hardcoded en el system prompt.

3.2 VEXA-CHAT (canal web)

• Capa 1 — primer mensaje: texto canónico:

  "Hola 👋 Soy el asistente de IA de [CLIENTE]. Te respondo automáticamente para resolver dudas y agendar citas. Si quieres hablar con una persona del equipo, escribe 'humano' y te paso. ¿En qué puedo ayudarte?"

• Capa 2 — paso a una persona: cuando pides hablar con alguien del equipo, el asistente deja de responder por su cuenta y te da el canal de contacto directo: un formulario donde dejas tu nombre y tu email, el enlace para reservar una llamada y la dirección de correo del equipo. No es una transferencia en caliente: nadie se pone al otro lado en ese momento. Te contestamos por el canal que hayas dejado.

• Persistencia del disclosure: el indicador de IA permanece visible durante toda la sesión; al reabrir el widget en una sesión nueva se repite el primer mensaje canónico.

3.3 VEXA-CHAT · modo documental (canal chat web)

• Capa 1 — banner permanente: indicador visual AI · IA siempre visible en el widget. Cumple WCAG 2.2 AA.

• Capa 2 — disclaimer primer turno: mensaje canónico:

  "Soy el asistente de IA de [CLIENTE]. Respondo en base a la documentación pública del sitio. Si necesitas atención humana, contacta directamente con el equipo en [URL_CONTACTO]."

4. Grupos vulnerables (Recital 132)

Vexakon adapta la formulación del disclosure cuando el cliente final del servicio dirige sus comunicaciones a menores de edad o personas con discapacidad cognitiva o visual. En estos casos:

• Lenguaje sencillo nivel A2 (verificable con métricas Flesch-Szigriszt).
• Soporte de lectores de pantalla y contraste WCAG 2.2 AA.
• Posibilidad de obtener la respuesta en formato audio cuando el canal lo permita.

5. Derechos del usuario frente a la IA

• Derecho a saber que interactúa con un sistema de IA (art. 50.1 AI Act).
• Derecho a no ser objeto de decisiones automatizadas con efectos jurídicos significativos (art. 22 RGPD).
• Derecho a solicitar intervención humana en cualquier momento.
• Derechos ARSULIPO (acceso, rectificación, supresión, limitación, portabilidad, oposición) sobre datos tratados por el sistema IA.

Para ejercer cualquier derecho: legal@vexakon.com. Plazo de respuesta ≤ 30 días.

6. Modelos de IA utilizados y proveedores

• VEXA-VOICE: Retell · Deepgram Nova-3 · ElevenLabs · OpenAI GPT-4o mini.
• VEXA-CHAT: widget web propio · Qdrant (recuperación) · Cohere (rerank) · OpenAI GPT-4o mini · N8N (orquestación).
• VEXA-DOCS: Qdrant (vector store) · OpenAI text-embedding-3-small · Cohere rerank-v3.5 (rerank multilingüe) · OpenAI GPT-4o mini.

Los proveedores indicados son responsables como proveedores de modelos de IA bajo art. 53 del AI Act. Vexakon actúa como deployer en los términos del art. 26.

7. Inmutabilidad del disclosure

El bloque de disclosure está hardcoded en los prompts de sistema de los tres productos VEXA-*, marcado con <!-- LOCKED-AIA50 BEGIN --> / <!-- LOCKED-AIA50 END -->. El subagente prompt-engineer de Vexakon tiene prohibido modificar contenido entre estos marcadores. Cualquier cambio del wording requiere:

1. Aprobación escrita del titular de Vexakon (datos identificativos en /legal/aviso-legal).
2. Revisión por Passas Abogados.
3. Nueva entrada en el audit log SHA-256 hash-chain.
4. Re-ejecución del eval Promptfoo de cobertura disclosure (objetivo 100%).

8. Auditoría y trazabilidad

Vexakon mantiene registro tamper-evident de versiones de la presente política y de los prompts de sistema en /audit/legal/legal-versions.jsonl con cadena SHA-256 verificable por terceros. La cadena es accesible bajo solicitud motivada de AEPD/AESIA conforme al deber de cooperación con la autoridad de control del art. 31 RGPD.

9. Sanciones aplicables

El incumplimiento del Artículo 50 del Reglamento (UE) 2024/1689 puede sancionarse con multa de hasta 15 000 000 € o el 3% de la facturación anual mundial (art. 99.4 del Reglamento), tomando la cifra superior. Sanciones acumulables con las del RGPD (hasta 20 000 000 € o el 4% adicional).

10. Vigencia y actualización

Esta política entra en vigor el día de su publicación y será revisada con periodicidad semestral o cuando entre en vigor el Code of Practice del Art. 50 del AI Act publicado por la Comisión Europea.

11. Contacto

• Titular: Vexakon · datos identificativos completos en /legal/aviso-legal conforme a LSSI-CE art. 10.
• Canal jurídico: legal@vexakon.com · Canal general: contacto@vexakon.com

Reclamación ante autoridad de control:

• AEPD — datos personales: aepd.es.
• AESIA — sistemas de IA: aesia.gob.es.