Archivo de la categoría: Ciberseguridad en la empresa. Master U en Ciberseguridad

Panorama comparado de los sellos de «confianza regulada» – a modo de esquemas de certificación de ciberseguridad.

Posted on por

Hay tres referencias útiles para comparar con los esquemas europeos de certificación de ciberseguridad: Estados Unidos, China e India. No son idénticas al modelo del Reglamento de Ciberseguridad pero cumplen funciones parecidas de “sello de confianza regulado”.

Estados Unidos: FedRAMP para servicios en la nube

Rododendro

En Estados Unidos, el referente más claro es el Programa Federal de Gestión de Riesgos y Autorizaciones (Federal Risk and Authorization Management Program, FedRAMP). FedRAMP es un programa federal que proporciona un enfoque estandarizado para la evaluación y autorización de seguridad de servicios y productos de computación en la nube utilizados por agencias federales.

  • FedRAMP define un marco único para que los proveedores de servicios en la nube (cloud service providers, CSP) puedan ser evaluados frente a un conjunto de controles de seguridad basados en las publicaciones del Instituto Nacional de Estándares y Tecnología (National Institute of Standards and Technology, NIST), en particular NIST SP 800‑53

  • El objetivo es evitar que cada agencia federal repita evaluaciones desde cero: se crea un modelo de riesgo y una autorización “común” reutilizable por múltiples agencias.

  • Existen distintos niveles (por ejemplo, impacto bajo, moderado o alto), que determinan la intensidad de los controles y el tipo de datos que pueden alojarse en ese servicio.

  • FedRAMP exige supervisión continua y revisiones periódicas, y mantiene un listado de servicios autorizados que las agencias

En la práctica, para muchos proveedores cloud, disponer de autorización FedRAMP se ha convertido en un requisito de acceso al mercado federal. Es un esquema sectorial (Administración federal, servicios en la nube) y no un marco horizontal tan amplio como el de la Unión Europea, pero ilustra bien cómo una combinación de estándares NIST y un programa federal de certificación crea un “sello” obligatorio de facto.

 

China: Esquema de Protección Multi‑nivel (MLPS 2.0) y certificaciones asociadas

En la República Popular China, el núcleo no es un único esquema de certificación, sino el Esquema de Protección Multi‑nivel (Multi‑Level Protection Scheme, MLPS 2.0), desarrollado bajo la Ley de Ciberseguridad china (Cybersecurity Law).

  • Todos los “operadores de redes” deben clasificar sus sistemas de información en niveles del 1 al 5 según su importancia para la seguridad nacional, el orden social y los derechos de los ciudadanos.

  • A partir de cierto nivel (por ejemplo, nivel 2 o superior) se exige registro ante las autoridades; a partir de nivel 3 se requiere evaluación y certificación por instituciones de ciberseguridad cualificadas, con auditorías periódicas.​

  • El esquema fija requisitos crecientes de seguridad técnica, gestión interna, monitorización y respuesta a incidentes, alineados con el nivel asignado.​

Además, China exige y promueve distintos certificados específicos para productos y servicios:

Camelia blanca

  • Certificación de equipos y productos de red considerados “críticos” o de uso masivo.

  • Requisitos particulares para proveedores de servicios en la nube, como uso de centros de datos ubicados en China, medidas reforzadas de control de perímetro, autenticación, copias de seguridad, etc.

  • Interacción con otras normas, como la Ley de Seguridad de Datos (Data Security Law) y la Ley de Protección de Información Personal (Personal Information Protection Law), que añaden capas de obligaciones.

A diferencia del modelo europeo, el Esquema de Protección Multi‑nivel (MLPS 2.0) está íntimamente ligado al control estatal de infraestructuras y datos: la clasificación y certificación tienen una fuerte dimensión de seguridad nacional y control regulatorio, no solo de “sello de confianza” para el mercado.

India: empanelamiento MeitY para servicios en la nube

En la India, un referente importante es el sistema de empanelamiento del Ministerio de Electrónica y Tecnologías de la Información (Ministry of Electronics and Information Technology, MeitY) para proveedores de servicios en la nube utilizados por organismos públicos.

  • El Ministerio de Electrónica y Tecnologías de la Información (MeitY) define criterios de seguridad, interoperabilidad, portabilidad de datos, acuerdos de nivel de servicio y condiciones contractuales que deben cumplir los proveedores de servicios en la nube que quieran prestar servicios a la Administración y al sector público.

  • Los proveedores son auditados por la Dirección de Certificación de Pruebas y Calidad (Standardisation Testing and Quality Certification, STQC) y, si superan la evaluación, se “empanelan”, es decir, se incluyen en una lista de servicios autorizados para uso gubernamental.​

  • Entre los requisitos figuran el alojamiento de datos dentro del territorio de la India, el cumplimiento de estándares internacionales (como ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, ISO/IEC 20000) y el ajuste a guías de seguridad específicas del Gobierno indio.l

Llegan las camelias

 

De nuevo, se trata de un esquema focalizado en servicios en la nube para el sector público, que funciona como filtro: sin empanelamiento del Ministerio de Electrónica y Tecnologías de la Información (MeitY), un proveedor no puede competir en ciertos contratos o proyectos gubernamentales. No es tan amplio ni formalizado como el marco europeo de Certificación, pero refleja una lógica similar

Esquemas Europeos de Certificación de Ciberseguridad- ENISA_

Posted on por

Los esquemas europeos de certificación de ciberseguridad que impulsa la Agencia de la Unión Europea para la Ciberseguridad (ENISA) son una pieza central del nuevo Derecho de la economía digital en la Unión Europea (UE). No son solo “sellos técnicos”: son instrumentos híbridos, a medio camino entre la normalización técnica y la regulación, que condicionan de forma creciente la contratación, la supervisión sectorial y la responsabilidad de empresas y administraciones públicas.

1. Del mosaico nacional al marco europeo: el Reglamento de Ciberseguridad (Cybersecurity Act)

Mongolfiera

El punto de partida es el Reglamento (UE) 2019/881, conocido como Reglamento de Ciberseguridad (Cybersecurity Act), que hizo de la Agencia de la Unión Europea para la Ciberseguridad (ENISA) una auténtica agencia permanente de ciberseguridad y estableció un marco europeo de certificación de ciberseguridad. Hasta su aprobación, el paisaje europeo era un mosaico de esquemas nacionales, acuerdos como el Acuerdo de Reconocimiento Mutuo Senior Officials Group Information Systems Security (SOG‑IS MRA) y sellos privados difícilmente comparables entre sí. Cada Estado miembro podía exigir o promover sus propios certificados,

El Reglamento de Ciberseguridad (Cybersecurity Act) pretende resolver este problema mediante nuevos procedimientos que permiten que la Comisión Europea, con apoyo técnico de la  ENISA adopte esquemas europeos de certificación de ciberseguridad aplicables a productos, servicios o procesos de tecnologías de la información y la comunicación (TIC). Una vez adoptado un esquema, los certificados emitidos conforme al mismo deben ser reconocidos en todos los Estados miembros, lo que crea un mercado único de certificación y evita duplicidades de pruebas y acreditaciones.

Cada esquema define su ámbito (por ejemplo, productos de tecnologías de la información y la comunicación, servicios de computación en la nube, redes de comunicaciones móviles de quinta generación) y los niveles de aseguramiento (básico, sustancial, alto) con un conjunto de requisitos de seguridad asociados a cada nivel. También determina qué organismos pueden evaluar y certificar (organismos de certificación acreditados, laboratorios) y qué normas de acreditación se aplican (por ejemplo, la norma ISO/IEC  que se designe. El resultado es una arquitectura en la que el legislador europeo fija el marco y los objetivos, y el detalle técnico se construye sobre la base de estándares internacionales y prácticas de evaluación consolidadas.

En principio, la certificación bajo estos esquemas es voluntaria. Sin embargo, el Reglamento prevé que un producto o servicio certificado goce de una presunción de conformidad con los requisitos del esquema, lo que tiene consecuencias muy concretas: puede servir de referencia en licitaciones, ser exigido por reguladores sectoriales o convertirse en estándar de diligencia debida en determinados mercados. De facto, lo que empieza como “voluntario” tiende a convertirse en requisito de mercado o en criterio de supervisión

2. Esquema Europeo de Certificación de Ciberseguridad basado en Common Criteria (EUCC)

Catedral León. Roset
on

El primer esquema adoptado formalmente bajo el Reglamento de Ciberseguridad es el Esquema Europeo de Certificación de Ciberseguridad basado en Common Criteria (EUCC). Su objetivo es unificar a escala europea la certificación de productos de tecnologías de la información y la comunicación que se evaluaban tradicionalmente conforme al estándar internacional Common Criteria (CC), como tarjetas inteligentes, módulos criptográficos, sistemas operativos embebidos o ciertos elementos de infraestructuras de confianza (identidad electrónica, servicios de confianza de firma electrónica).

Antes de este EUCC, estos productos se certificaban en el marco de esquemas nacionales coordinados parcialmente por el Acuerdo de Reconocimiento Mutuo Senior Officials Group Information Systems Security (SOG‑IS MRA), que ahora se ve progresivamente sustituido por un esquema europeo único. El Esquema Europeo de Certificación de Ciberseguridad basado en Common Criteria (EUCC) recoge ese legado, actualiza los requisitos y establece un marco común de evaluación que ​

  • Define qué categorías de productos pueden certificarse y bajo qué perfiles de protección u objetivos de seguridad.

  • Establece niveles de aseguramiento y requisitos de evaluación asociados a Common Criteria (CC), adaptados al entorno europeo

  • Requiere que los organismos de certificación y los laboratorios estén acreditados conforme a normas armonizadas, garantizando un nivel comparable de calidad en las evaluaciones.​

Para juristas y reguladores, EUCC es relevante porque permite a la norma sectorial (por ejemplo, en identidad electrónica, servicios de confianza, sistemas de pago o infraestructuras críticas) remitir a un referente técnico común, en lugar de citar múltiples esquemas nacionales. Además, puede servir de criterio de diligencia: un operador que elige componentes certificados al amparo del EUCC con un nivel de aseguramiento alto podría alegar haber tomado medidas razonables de seguridad; a la inversa, la ausencia de certificación podría ser un indicio de falta de diligencia en determinados contextos. Finalmente, la existencia de un registro europeo de certificados facilita la transparencia y el control para supervisores y contrapartes contractuales.

3. Esquema Europeo de Certificación de Ciberseguridad para Servicios en la Nube (EUCS)

El Esquema Europeo de Certificación de Ciberseguridad para Servicios en la Nube (EUCS) es el gran proyecto en materia de certificación de servicios de computación en la nube, todavía en fase de candidatura y consulta pública, pero ya bien definido en sus líneas maestras. Su razón de ser es evidente: hoy los servicios de computación en la nube son infraestructura básica para entidades financieras, aseguradoras, plataformas de negociación, administraciones públicas, sistemas sanitarios, etc., pero los requisitos de seguridad que se les exigen están fragmentados entre normas nacionales, guías de supervisores y esquemas privados.

Museo San Matteo. Pisa

El EUCS aspira a convertirse en el lenguaje común europeo para estos servicios. Define categorías de servicios (infraestructura como servicio, plataforma como servicio, software como servicio) y niveles de aseguramiento (básico, sustancial, alto), con un conjunto de requisitos asociados a cada nivel. Entre esos requisitos se incluyen controles sobre: Gestión de identidades y accesos, autenticación robusta y segregación de funciones; cifrado en tránsito y en reposo, gestión de claves, registros de actividad y monitorización;continuidad de negocio, recuperación ante desastres y gestión de incidentes; seguridad de la cadena de suministro y de la subcontratación (subencargados de tratamiento y otros proveedores).

Desde la óptica jurídica, resulta especialmente relevante cómo el EUCS integra cuestiones que trascienden la técnica pura. Uno de los debates centrales gira en torno a la localización de datos y las transferencias internacionales: lugar de almacenamiento y procesamiento, jurisdicciones aplicables y condiciones de acceso por autoridades de terceros países. Todo ello conecta directamente con el Reglamento general de protección de datos (RGPD), con la Directiva (UE) 2022/2555 sobre medidas para un nivel elevado común de ciberseguridad en la Unión (NIS2) y con normativas sectoriales que condicionan el uso de la nube en sectores críticos.

Si el EUCS se adopta en los términos previstos, es previsible que se convierta en referencia para los requisitos de contratación pública de servicios en la nube (por ejemplo, exigir un nivel “alto” para determinados datos o procesos críticos); expectativas de supervisores financieros, sanitarios o de otros sectores críticos respecto del uso de la nube por sus entidades supervisadas; cláusulas contractuales entre proveedores de servicios en la nube y clientes corporativos en toda la Unión Europea.

4. Esquema Europeo de Certificación de Ciberseguridad para redes 5G

El tercer gran eje es el futuro Esquema Europeo de Certificación de Ciberseguridad para reds 5G, que la Comisión Europea ha encargado a la  ENISA en el marco de la estrategia de seguridad de redes 5G y de la denominada “caja de herramientas 5G” (5G Toolbox). Las redes de comunicaciones móviles de quinta generación (5G) constituyen la base tecnológica de servicios industriales, vehículos conectados, ciudades inteligentes y numerosas aplicaciones de misión crítica.

Este Esquema Europeo de Certificación de Ciberseguridad para redes 5G tiene como finalidad evaluar de forma sistemática la seguridad de equipos, software y arquitecturas de red 5G, incluidas funciones virtualizadas y segmentación de red (network slicing); abordar riesgos derivados de la cadena de suministro, donde intervienen múltiples fabricantes y desarrolladores, algunos potencialmente calificados como proveedores de “alto riesgo”; proporcionar a los Estados miembros y a los operadores de redes públicas un instrumento común para comparar la robustez de diferentes soluciones y proveedores

Este esquema se sitúa en el corazón del debate sobre infraestructuras críticas, soberanía tecnológica y dependencia de terceros países. La certificación al amparo del Esquema Europeo de Certificación de Ciberseguridad para redes 5G no sustituye a decisiones políticas (por ejemplo, restricciones a ciertos proveedores), pero aporta una base técnica más uniforme para justificarlas y para diseñar obligaciones de seguridad reforzadas.

5. Implicaciones jurídicas

Estos esquemas son normas regulatorias “de segundo nivel”. El Reglamento de Ciberseguridad crea un marco general y habilita la adopción de esquemas técnicos que, sin ser leyes formales, tienen efectos normativos muy intensos: introducen presunciones de conformidad, son citados por otras normas y condicionan la práctica contractual.

La existencia o ausencia de certificación bajo esquemas como los mencionados puede influir en la apreciación de la diligencia exigible a fabricantes, proveedores de servicios y usuarios industriales. Un nivel “alto” de aseguramiento no es solo un argumento comercial, sino un elemento que puede entrar en la valoración jurídica ex ante (deber de cuidado) y ex post (juicios de culpa).

Estos esquemas de certificación se entrecruzan con la protección de datos (Reglamento general de protección de datos), con la seguridad de redes y sistemas (Directiva NIS2), con la regulación financiera, sanitaria o de infraestructuras críticas y, cada vez más, con la contratación pública, donde los pliegos comienzan a remitir a niveles concretos de certificación.

Finalmente, estos esquemas ilustran cómo, en el entorno digital, la confianza no se construye solo con normas generales, sino con arquitecturas jurídico‑técnicas complejas, en las que el Derecho, los estándares y la evaluación independiente caminan juntos.

Propuestas para la reforma de la Directiva de redes y sistemas de información (DNIS2) y otras directivas relativas a la ciberseguridad

Posted on por

La Comisión Europea ha propuesto una modificación de la NIS 2 como parte de un paquete más amplio de reformas del marco de ciberseguridad de la Unión Europea

La propuesta de Directiva que modifica la Directiva (UE) 2022/2555 (NIS 2) —formalmente Proposal for a Directive of the European Parliament and of the Council amending Directive (EU) 2022/2555 as regards simplification measures and alignment with the Cybersecurity Act 2 (COM(2026) 13 final)— tiene por objeto introducir medidas de simplificación y una mayor alineación con el marco de ciberseguridad europeo, con el fin de facilitar el cumplimiento para las entidades reguladas, reforzar la seguridad jurídica y mantener un elevado nivel de protección de las redes y sistemas de información en la UE (así se desprende de los considerandos de la Propuesta Directiva)

La reforma se basa en el artículo 114 del TFUE (armonización de las normas dentro del mercado interior) y se alinea con los objetivos esenciales de la NIS 2 de establecer un elevado nivel común de ciberseguridad. Se prevé que los Estados miembros deberán transponer las modificaciones , pero además, que la Directiva NIS 2 en su conjunto seguirá su mecanismo de revisión periódica cada 36 meses.

Arija

Con esta Propuesta de reforma se revisa también el *Reglamento (UE) 2019/881 sobre la Agencia de la Unión Europea de Ciberseguridad y la certificación de ciberseguridad (Cybersecurity Act),

 

 

La Comisión Europea ha planteado esta modificación de la NIS 2 como parte de un paquete más amplio de reformas del marco de ciberseguridad de la Unión Europea Cybersecurity Act 2 (Propuesta de Reglamento). También afecta a otras políticas y marcos de la UE relevantes para la resiliencia digital, como la Cyber Resilience Act (CRA), la Cyber Solidarity Act (CSoA) y la estrategia de respuesta a crisis cibernéticas (EU-Cyber Blueprint).  El objetivo es avanzar en la regulación para la ciberseguridad y la convergencia en el mercado interior digital.

Más concretamente, persigue:

  1. Clarificar y armonizar el ámbito de aplicación y las definiciones de la NIS 2.
  2. Reducir la complejidad de cumplimiento para empresas sujetas a múltiples requisitos de ciberseguridad en distintos cuerpos normativos.
  3. Incrementar la coherencia entre NIS 2 y el nuevo marco de certificación europeo de ciberseguridad (Cybersecurity Act 2).
  4. Reforzar la supervisión transfronteriza y la coordinación con la Agencia de la Unión Europea de Ciberseguridad (ENISA).
  5. Mejorar la transparencia y la calidad de la información sobre incidentes, en particular los de tipo ransomware.
  6. Facilitar la transición hacia nuevas tecnologías resilientes, como la criptografía poscuántica.

Cambios principales que introduce

  1. Alcance, definiciones y categorías de entidades.  La propuesta introduce ajustes al régimen de alcance de la NIS 2 para proporcionar mayor  proporcionalidad:
    • Pequeñas “mid-caps”: crea una nueva categoría de empresas de tamaño intermedio (“small mid-caps”), que en principio, se considerarán entidades importantes en lugar de esenciales, reduciendo así la carga de supervisión y ciertas obligaciones directas. Esta nueva definición se articula en línea con la Commission Recommendation (EU) 2025/1099 on the definition of small mid-cap enterprises.
    • Proveedor de servicios DNS micro y pequeños: excluye expresamente a este colectivo del ámbito de la NIS 2 para evitar cargas desproporcionadas.
    • Clarificaciones sectoriales: se precisan las reglas de inclusión y exclusión para proveedores sanitarios, productores de electricidad, empresas de hidrógeno y del sector químico, con referencia a las normas sectoriales pertinentes (p. ej., Directive (EU) 2019/944 para energía).
    • Entidades de infraestructura digital crítica: amplía el listado de entidades sujetas a la Directiva incluyendo, independientemente de su tamaño, a proveedores de European Digital Identity Wallets y otros servicios de infraestructura digital de importancia sistémica.

2. Ajuste en las reglas jurisdiccionales y de supervisión transfronteriza, incluida la obligación de designar un representante en la UE para entidades no establecidas que prestan servicios dentro del mercado único.

3. Simplificación y armonización de obligaciones.

  • Un elemento central de la reforma es la armonización de medidas técnicas y metodológicas de gestión de riesgos, en donde se pretende la armonización máxima. Así, se establece que cuando la Comisión adopte actos de ejecución específicos en virtud del artículo 21(5) de la NIS 2 para fijar medidas de gestión de riesgos, los Estados miembros no podrán imponer requisitos adicionales de carácter técnico, metodológico o sectorial a las entidades afectadas por esos actos.
  • Se potencia el uso de esquemas de certificación europeos como instrumento de cumplimiento: los Estados podrán exigir la obtención de certificados de ciberseguridad (“cyber posture”) basados en el marco europeo de certificación (Cybersecurity Act 2), y dichos certificados se reconocerán como prueba de cumplimiento respecto de determinados requisitos supervisores.
  • La Propuesta también prevé que la Comisión emita directrices sobre la seguridad de la cadena de suministro, con el fin de homogenizar las exigencias de información que las entidades trasladan a sus proveedores y reducir cargas administrativas

4. Ransomware: datos, reporte y responsabilidad

Para mejorar la comprensión y respuesta ante ataques de ransomware, la Propuesta introduce requisitos más claros de notificación de ciertos aspectos del ataque (por ejemplo, vector de entrada, medidas de mitigación adoptadas y, a solicitud de la autoridad, detalles sobre demandas de rescate y pago). Se subraya que estas obligaciones de reporte no deben generar automáticamente nuevas responsabilidades jurídicas para las entidades, y que los Estados miembros deben gestionar los riesgos de responsabilidad derivados del reporting dentro de su ordenamiento.

5 Preparación frente a amenazas futuras: Criptografía poscuántica

La Propuesta incorpora la obligación para los Estados miembros de adoptar políticas específicas para la transición a la criptografía poscuántica (PQC) como parte de sus estrategias nacionales de ciberseguridad, alineadas con las hojas de ruta europeas para el periodo 2025-2035.

6 Gobernanza y papel reforzado de ENISA

Se refuerza la dimensión transfronteriza de la supervisión mediante la ampliación de las competencias atribuidas a ENISA. Entre otras medidas, ENISA gestionará un registro ampliado de entidades esenciales e importantes y podrá apoyar a las autoridades nacionales en la supervisión y en la evaluación de medidas de gestión de riesgos, así como en la coordinación de acciones conjuntas.

 

 

IA y sector financiero: análisis desde el Parlamento Europeo

Posted on por

La aplicación de la inteligencia artificial (IA) en los mercados de valores y de derivados —estrechamente entrelazada con la negociación algorítmica de alta frecuencia (HFT)— ha dejado de ser una innovación periférica para convertirse en un elemento estructural de la microestructura financiera contemporánea, con implicaciones profundas para la estabilidad del sistema, la equidad de los mercados y la función supervisora. En este contexto, el 11 de noviembre de 2025 la Comisión de Asuntos Económicos y Monetarios del Parlamento Europeo publicó un informe que incorpora una propuesta de Resolución sobre el impacto de la inteligencia artificial en el sector financiero (Informe del Parlamento Europeo sobre el impacto de la IA en el sector financiero, Report A10-0225/2025). Ese informe es el punto de referencia político más reciente sobre el tema y fue posteriormente seguido por la adopción formal de la Resolución por el Pleno el 25 de noviembre de 2025

Ao solpor

Estos trabajos se insertan en el debate institucional europeo sobre la transformación tecnológica de los servicios financieros y sobre la necesidad de adaptar el marco regulatorio al uso creciente de sistemas de IA en actividades esenciales del sector. Ofrece un análisis sistemático del empleo de estas tecnologías y de sus efectos sobre el funcionamiento de los mercados, al tiempo que examinan el marco normativo aplicable. Desde una perspectiva de política legislativa, el ponente del informe subraya la importancia de facilitar la adopción de la IA en el sector financiero europeo sin menoscabar la protección del consumidor, la estabilidad financiera ni la integridad del mercado. En este sentido, identifica solapamientos normativos y zonas de incertidumbre jurídica, y propone medidas destinadas a clarificar la aplicación de la legislación financiera vigente cuando intervienen sistemas basados en IA.

El informe destaca la rápida implantación de la IA en el ámbito financiero y las oportunidades que ofrece para mejorar la eficiencia, la innovación y la calidad de los servicios. No obstante, insiste en que este potencial solo puede materializarse si se mantiene un equilibrio adecuado entre innovación tecnológica y regulación. Resultan centrales, a este respecto, el cumplimiento normativo, el uso de datos de alta calidad y una gestión rigurosa de los riesgos, con especial atención a la ciberseguridad. Asimismo, se subraya la necesidad de que las Autoridades Europeas de Supervisión refuercen sus capacidades técnicas y sus herramientas de control para acompañar el despliegue creciente de la IA, protegiendo al consumidor y preservando la estabilidad del sistema financiero.

Desde una perspectiva estratégica, el Parlamento apuesta por impulsar la innovación y la inversión en inteligencia artificial dentro del ecosistema europeo, en particular en el marco de la futura Unión de Ahorro e Inversión. El desarrollo de capacidades propias en IA se considera esencial para la competitividad del sector financiero europeo y para reducir la dependencia de proveedores tecnológicos externos. Paralelamente, se insta a la Comisión Europea a elaborar orientaciones claras y operativas sobre la aplicación de la normativa financiera vigente al uso de sistemas de IA, en colaboración con las Autoridades Europeas de Supervisión, las autoridades nacionales competentes y los actores del mercado.

Un eje central del informe es la simplificación y coherencia del marco regulatorio. El texto advierte del riesgo de duplicidades —especialmente en materia de evaluación y notificación de riesgos— y de enfoques uniformes que no reflejan la diversidad de usos y perfiles de riesgo de la IA en el sector financiero. Frente a ello, se propone una supervisión continua del despliegue de estas tecnologías, capaz de identificar lagunas, solapamientos o cargas excesivas, y una coordinación estrecha entre la Comisión y los Estados miembros para ajustar el marco normativo de forma proporcionada y dinámica.

Mongolfiera

El informe pone de relieve que la IA atraviesa múltiples horizontes normativos. Un mismo caso de uso puede activar simultáneamente normas financieras, de protección de datos, de ciberseguridad o de competencia. El riesgo es doble: un exceso de cargas regulatorias puede frenar la innovación, mientras que un vacío normativo puede dejar desprotegido al consumidor y al mercado. De ahí la insistencia del Parlamento en la necesidad de clarificaciones, guías comunes, criterios operativos y convergencia supervisora, articuladas sobre un principio de proporcionalidad que gradúe las exigencias en función de los usos y de sus impactos.

El documento también anima a explorar activamente el potencial de las herramientas basadas en IA en distintos segmentos del sector financiero, como la intermediación, la gestión de carteras o la automatización de funciones de cumplimiento normativo. Esta exploración se vincula a los objetivos estratégicos de la Unión de Ahorro e Inversión y exige un marco regulatorio tecnológicamente neutro, capaz de integrar la innovación sin generar distorsiones en la competencia.

En esta línea, el informe recomienda reducir las barreras de entrada para las iniciativas de innovación financiera basadas en IA dentro de la Unión. Propone, entre otras medidas, la simplificación de los procedimientos de autorización, el apoyo al escalado transfronterizo y la integración de estas iniciativas en espacios de innovación supervisada. Asimismo, sugiere evaluar el valor añadido de entornos de pruebas regulatorios específicos para IA, así como de centros de innovación y mecanismos de experimentación transfronteriza, con el objetivo de facilitar el ensayo de nuevos productos y servicios sin comprometer la protección del consumidor ni la integridad del mercado.

Una atención particular se dedica a los fundamentos técnicos. El dato se identifica como insumo crítico, exigiéndose calidad, trazabilidad, representatividad, control de sesgos y pleno cumplimiento de la normativa de protección de datos. La gestión de modelos ocupa igualmente un lugar central: validación independiente, documentación clara, explicabilidad suficiente, pruebas periódicas, control de cambios y gestión de incidentes se configuran como elementos esenciales para reducir el riesgo de modelo y facilitar la auditoría.

La ciberseguridad constituye otro pilar del enfoque propuesto. Los sistemas de IA introducen nuevas superficies de ataque y riesgos específicos —como el envenenamiento de datos, la extracción de modelos o el fraude aumentado por IA— que obligan a reforzar controles, clasificar activos, realizar pruebas realistas y coordinarse estrechamente con terceros. La resiliencia operativa y la continuidad de negocio se presentan como requisitos indisociables del despliegue responsable de la IA en el sector financiero.

El informe subraya, finalmente, el papel clave de las autoridades europeas y nacionales de supervisión. Estas deben emitir orientaciones armonizadas, compartir buenas prácticas, coordinar pruebas y reforzar sus competencias internas, invirtiendo en herramientas y capacidades técnicas. Esta cooperación contribuye a reducir asimetrías, aumentar la seguridad jurídica y fortalecer la confianza en el sistema.

En conclusión, la propuesta de Resolución del Parlamento Europeo traza una hoja de ruta clara para una innovación financiera basada en inteligencia artificial que sea competitiva, segura y responsable. Sin imponer soluciones cerradas, orienta la acción regulatoria futura hacia un equilibrio exigente entre impulso tecnológico y protección de los valores fundamentales del mercado financiero europeo, situando la proporcionalidad, la coherencia normativa y la resiliencia como ejes vertebradores de ese proceso.

 

 

 

 

Ciber contaminación. Navegación y espacios de datos. Actualización, unos años después

Posted on por

Sobre este tema escribimos hace 8 años.Aquella entrada (aquí) sigue encajando en la realidad actual. Pero, corresponde actualizarla:

Centros de datos, inteligencia artificial y sostenibilidad: una actualización necesaria

La infraestructura física que sostiene la economía digital —centros de datos, redes de transmisión y sistemas de almacenamiento— se ha convertido en un elemento estructural del desarrollo económico contemporáneo. Sin embargo, buena parte de los análisis divulgativos que circularon entre 2015 y 2018 han quedado obsoletos, tanto en cifras como en el enfoque, a raíz de dos factores convergentes: la expansión acelerada de la computación en la nube y, especialmente, el despliegue masivo de inteligencia artificial intensiva en cálculo.

Nuevas cifras y nuevo contexto energético

Los estudios recientes permiten ofrecer hoy una imagen más precisa.

  • En 2024, el consumo eléctrico global de los centros de datos se situó en torno a 415 TWh, aproximadamente un 1,5 % del consumo mundial de electricidad, con previsiones de crecimiento que apuntan a una cifra cercana a 945 TWh en 2030 si se mantiene el actual ritmo de despliegue, impulsado principalmente por centros optimizados para entrenamiento y operación de modelos de IA (International Energy Agency (IEA), Data Centre Energy Use: Critical Review of Models and Results, 2025). Este aumento no implica necesariamente un crecimiento lineal de las emisiones, pero sí introduce un riesgo sistémico.
  • En ausencia de mejoras sustanciales de eficiencia energética y de una descarbonización efectiva del mix eléctrico, los centros de datos y las redes asociadas podrían representar entre el 1 % y el 3 % de las emisiones energéticas globales a mediados de la próxima década, en escenarios que los acercan, por volumen agregado, a sectores tradicionalmente intensivos como la aviación (Carbon Brief, AI: five charts that put data centre energy use and emissions into context, 2024).
Localización, redes eléctricas y consumo de agua
  • El debate actual ya no se limita a cuánto consumen los centros de datos, sino dónde se localizan y cómo se integran en los sistemas energéticos. Muchos centros de nueva generación superan los 100 MW de potencia instalada, y algunos proyectos de “campus de IA” se diseñan a escalas que obligan a reforzar infraestructuras de transporte y distribución eléctrica, generando tensiones en redes locales y regionales (Data Center Dynamics, IEA: data center energy consumption set to double by 2030, 2024).
  • A ello se añade el consumo de agua asociado a los sistemas de refrigeración de alta densidad de cálculo. La disponibilidad hídrica, junto con el acceso a energía renovable y la menor congestión de red, se ha convertido en un criterio central de localización, con efectos relevantes en la planificación territorial y en las políticas industriales, particularmente en la Unión Europea (European Commission, In focus: Data centres – an energy-hungry challenge, 2025).
De la “huella digital” individual al consumo agregado
  • La literatura divulgativa de hace unos años (como la referenciada en la mencionada  antigua entrada DerMerUle)  tendía a sobredimensionar el impacto climático de gestos individuales —como enviar correos electrónicos o realizar búsquedas— mediante comparaciones llamativas pero técnicamente imprecisas. Los análisis más recientes recomiendan desplazar el foco hacia el consumo agregado de servicios digitales, en particular el streaming de vídeo, el almacenamiento masivo en la nube y, cada vez más, el uso intensivo de IA (European Climate Pact, Going digital: good or bad for the climate?, 2025,).
  • Ello no vacía de contenido la dimensión pedagógica del debate. El almacenamiento ilimitado de datos y la ausencia de políticas de depuración contribuyen a mantener infraestructuras permanentemente activas. Su impacto es marginal a nivel individual, pero no neutro en términos agregados, lo que enlaza las decisiones de uso digital con las estrategias de reducción de la huella de carbono tanto personales como corporativas.
Gobernanza, sostenibilidad y reporting
  • La huella ambiental de los centros de datos se ha incorporado de forma estable a la agenda de la doble transición verde y digital. La Comisión Europea los identifica como infraestructuras intensivas en energía que deben alinearse con los objetivos del Pacto Verde, mediante eficiencia energética, uso creciente de renovables y obligaciones reforzadas de información sobre consumo de energía, agua y emisiones (European Commission, In focus: Data centres – an energy-hungry challenge, 2025).
  • Para las empresas usuarias de servicios en la nube, estas exigencias tienen consecuencias directas: la selección de proveedores, la localización de los centros de datos y la contratación de servicios de computación “verde” forman ya parte de la gestión ESG y de la responsabilidad ambiental corporativa (World Economic Forum, Data centres and energy demand, 2025)
Implicaciones de Derecho Societario  y de Derecho de la competencia
  • Desde una perspectiva de Derecho mercantil, el impacto ambiental de los centros de datos y de la IA deja de ser una cuestión reputacional para integrarse en el núcleo de los deberes de diligencia de los administradores. La planificación tecnológica, la externalización de servicios en la nube y la elección de infraestructuras digitales forman parte hoy de las decisiones estratégicas de la empresa y deben evaluarse a la luz de los riesgos regulatorios, energéticos y de sostenibilidad, especialmente en contextos de reporting no financiero y de diligencia debida en materia ESG.
  • Al mismo tiempo, el fenómeno plantea retos relevantes desde el Derecho de la competencia. La concentración territorial de grandes centros de datos, el acceso preferente a energía barata o renovable y las economías de escala asociadas a la IA pueden reforzar posiciones dominantes, elevar barreras de entrada y condicionar la competencia efectiva en mercados digitales y de servicios en la nube. La sostenibilidad, en este contexto, no es solo un objetivo ambiental, sino también un factor estructural de competencia que exige atención por parte de autoridades regulatorias y de la defensa de la competencia.

 

 

Industria de Defensa. Reglamento Europeo del rearme y de la financiación de tecnologías de doble uso

Posted on por

El Reglamento (UE) 2025/2653 del Parlamento Europeo y del Consejo, de 17 de octubre de 2025 introduce modificaciones en  en varios reglamentos sectoriales de la UE para integrar la política industrial de defensa en el núcleo de los programas de financiación existentes. Se trata de un importante paso para implementar el Plan “ReArmar Europa”.

  • Entre las normas afectadas por esta reforma se encuentran el Reglamento (UE) 2021/694, que establece el programa Europa Digital; el Reglamento (UE) 2021/695, que crea Horizonte Europa; el Reglamento (UE) 2021/697, relativo al Fondo Europeo de Defensa; el Reglamento (UE) 2021/1153, que establece el Mecanismo «Conectar Europa»; y el Reglamento (UE) 2024/795, que pone en marcha la Plataforma de Tecnologías Estratégicas para Europa (STEP).

En el actual contexto caracterizado por el deterioro geopolítico, el incremento del gasto en defensa y las dificultades de acceso a financiación para la industria del sector, la finalidad transversal de estas modificaciones es movilizar tanto inversión pública como privada hacia capacidades militares y tecnologías de doble uso.  Es decir, que la política de defensa europea no dependa exclusivamente de esfuerzos nacionales aislados, sino que se articule de manera coordinada y estratégica en el conjunto de los grandes programas comunitarios.

El núcleo del Reglamento reside en la ampliación de la Plataforma de Tecnologías Estratégicas para Europa, que hasta ahora cubría tres ámbitos estratégicos —transición digital y deep tech, tecnologías limpias y biotecnologías—.  Ahora se se incorpora un cuarto sector específico de “tecnologías de defensa”.

  • Este sector se define por referencia a los productos relacionados con la defensa y a las tecnologías necesarias para su desarrollo, según los criterios establecidos por la Directiva 2009/43/CE sobre transferencias intracomunitarias de productos de defensa.
  • Asi, se permite ahora que los proyectos de defensa puedan beneficiarse del “sello STEP”, de la priorización en la evaluación y de ventajas de cofinanciación, abarcando iniciativas que impliquen capacidades intensivas en datos, infraestructuras avanzadas de computación o “gigafactorías de inteligencia artificial” susceptibles de aplicación militar. Esta ampliación refleja un cambio sustancial en la orientación de la política industrial europea, al vincular la innovación tecnológica avanzada con necesidades estratégicas de defensa en el marco de los programas comunitarios existentes.

Zamora, vista allén del río

De manera complementaria, el Reglamento introduce una excepción significativa en el programa Horizonte Europa. Mientras que el artículo 7, apartado 1, del , todavía vigente, Reglamento (UE) 2021/695 consagra el carácter civil de las actividades financiadas, el nuevo texto permite, con carácter excepcional y estrictamente acotado, que el Acelerador del Consejo Europeo de Innovación apoye innovaciones con posibles aplicaciones de doble uso. Esta medida habilita la financiación mediante instrumentos de capital a pymes, start‑ups y small mid‑caps del sector de la defensa que desarrollen tecnologías consideradas fundamentales para este ámbito, asegurando al mismo tiempo la complementariedad con el Fondo Europeo de Defensa y otros instrumentos financieros de la Unión, como InvestEU.

El Reglamento refuerza asimismo las salvaguardas de seguridad y el control de acceso para los proyectos de doble uso. En determinadas convocatorias, las normas de admisibilidad y selección pueden limitar la participación a entidades establecidas en Estados miembros y, de forma limitada, en algunos países asociados, excluyendo empresas controladas por terceros países no asociados cuando ello sea necesario para proteger los intereses estratégicos y de seguridad de la Unión. La Comisión queda obligada a supervisar el uso de esta “excepción de defensa” dentro de Horizonte Europa, recopilando y comunicando información sobre los proyectos afectados sin generar nuevas cargas administrativas para los beneficiarios, lo que garantiza una gestión controlada y transparente de los recursos públicos destinados a la innovación estratégica.

Además, las modificaciones introducidas en Europa Digital, el Fondo Europeo de Defensa y el Mecanismo «Conectar Europa» completan esta lógica de integración, facilitando que programas originalmente concebidos para la digitalización, la investigación y desarrollo civil o las infraestructuras de transporte y energía puedan apoyar de manera efectiva capacidades críticas con relevancia militar o de doble uso. Entre estas capacidades destacan infraestructuras esenciales para la movilidad de fuerzas, la resiliencia energética y la seguridad de las comunicaciones, que se vuelven estratégicas en el marco del Plan ReArmar Europa.

Este Reglamento (UE) 2025/2653 constituye una pieza central de coordinación y planificación presupuestaria, trasladando la política de defensa desde un enfoque estrictamente nacional hacia una estrategia industrial europea integrada, que articula los grandes instrumentos de financiación de la Unión para responder a desafíos geopolíticos y tecnológicos contemporáneos.

DSA: El TGUE desestima el recurso de Amazon contra la decisión de la Comisión por la que se designó a la plataforma Amazon Store como «plataforma en línea de muy gran tamaño»

Posted on por

El Tribunal General ha dictado sentencia en el asunto T-367/23, Amazon EU contra la Comisión Europea, relativo al Reglamento de Servicios Digitales (DSA). El texto completo de la sentencia de 19.11.2025 se puede consultar aquí.

Como es sabido, el DSA  establece obligaciones específicas para los prestadores de servicios designados como plataformas en línea de muy gran tamaño o motores de búsqueda en línea de muy gran tamaño, cuando superan el umbral de 45 millones de usuarios en la Unión Europea, equivalente aproximadamente al 10 % de la población.

Mediante su recurso basado en el artículo 263 del Tratado de Funcionamiento de la Unión Europea (TFUE), la demandante, Amazon EU Sàrl, sucesora de Amazon Services Europe Sàrl, solicitó la anulación de la Decisión C(2023) 2746 final de la Comisión Europea, de 25 de abril de 2023, por la que se designa a la plataforma Amazon Store como plataforma en línea de muy gran tamaño de conformidad con el artículo 33, apartado 4, del Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo («Decisión impugnada»). Véase el recurso aqui

Como es sabido, el recurso de anulación permite impugnar actos de las instituciones de la Unión que sean contrarios al Derecho de la Unión. Si se declara fundado, el acto se anula y la institución debe corregir el vacío jurídico resultante.

La decisión impugnada había sido adoptada por la Comisión en el marco del DSA.

I. Antecedentes.

Amazon Store es una tienda en línea de productos de consumo, operada directamente por la demandante o por terceros vendedores, accesible a través de diversos dominios en la Unión Europea, incluidos www.amazon.fr; www.amazon.de; www.amazon.es; www.amazon.it; www.amazon.nl; www.amazon.pl; www.amazon.se; www.amazon.se.

El 17 de febrero de 2023, conforme al DSA, Amazon EU Sàrl comunicó en sus sitios web que el promedio mensual de destinatarios activos en la Unión Europea superaba los 45 millones de usuarios, equivalente aproximadamente al 10 % de la población europea, cumpliendo así los criterios cuantitativos para ser considerada una plataforma de muy gran tamaño.

  • El 22 de febrero de 2023, la Comisión Europea notificó a Amazon.com, Inc. y a la demandante sus conclusiones preliminares, indicando que la plataforma cumplía los requisitos para su designación como plataforma en línea de muy gran tamaño a efectos del artículo 33, apartado 1, del DSA.
  • Simultáneamente, la Comisión informó al Gran Ducado de Luxemburgo, en aplicación del artículo 33, apartado 4, de su intención de designar a Amazon Store como plataforma de muy gran tamaño, y el 27 de febrero de 2023, Luxemburgo manifestó que no tenía observaciones que formular.
  • Posteriormente, el 15 de marzo de 2023, Amazon presentó observaciones sobre las conclusiones preliminares de la Comisión. Y, por fin, mediante la Decisión impugnada, la Comisión designó formalmente a Amazon Store como plataforma en línea de muy gran tamaño.

II. Pretensiones de las partes

La demandante, junto con la Bundesverband E-Commerce und Versandhandel Deutschland eV (bevh), solicitó al Tribunal General, como medida principal, la anulación total de la Decisión impugnada.

Subsidiariamente, planteó la anulación parcial en la medida en que la decisión impone obligaciones específicas, en particular la obligación de ofrecer al menos una opción de cada sistema de recomendación que no se base en la elaboración de perfiles, conforme al artículo 38 del Reglamento 2022/2065, así como la obligación de recopilar y publicar un repositorio de anuncios de acuerdo con el artículo 39 del mismo Reglamento. Ambas partes solicitaron, además, la condena en costas a la Comisión.

Por su parte, la Comisión Europea, el Parlamento Europeo y el Bureau européen des unions de consommateurs (BEUC) pidieron la desestimación del recurso y la condena de la demandante en costas, incluidas las del procedimiento sobre medidas provisionales. El Consejo de la Unión Europea respaldó la desestimación del recurso.

III. Análisis de la sentencia del Tribunal General

La Comisión Europea había designado a Amazon Store como una de estas plataformas de muy gran tamaño, y Amazon solicitó la anulación de dicha decisión alegando que la disposición del DSA que determina estas plataformas vulnera derechos fundamentales reconocidos en la Carta de Derechos Fundamentales de la Unión Europea, tales como la libertad de empresa, el derecho de propiedad, el principio de igualdad ante la ley, la libertad de expresión e información, y el derecho a la vida privada y a la protección de datos confidenciales.

El Tribunal General desestimó el recurso.

  • En relación con la libertad de empresa, reconoció que las obligaciones derivadas del DSA constituyen una injerencia, al implicar costes significativos, afectar la organización de las actividades y requerir soluciones técnicas complejas. No obstante, esta injerencia está prevista por la ley, no afecta al núcleo esencial de la libertad de empresa y se considera justificada conforme a la Carta, dado que el legislador de la Unión razonablemente concluyó que las plataformas de muy gran tamaño presentan riesgos sistémicos para la sociedad, incluyendo la difusión de contenidos ilícitos y la vulneración de derechos fundamentales, como la protección de los consumidores.
  • En cuanto al derecho de propiedad, el Tribunal señaló que las obligaciones del DSA son principalmente cargas administrativas que no privan a los prestadores de la titularidad de sus plataformas. Incluso si se considerara una injerencia, estaría justificada por los objetivos de prevención de riesgos sistémicos perseguidos por el legislador.
  • Respecto al principio de igualdad, el Tribunal indicó que el legislador disponía de un amplio margen para tratar de manera homogénea a las plataformas de muy gran tamaño, incluidas las de comercio, dado que también pueden generar riesgos sistémicos.
  • Por lo que respecta a la distinción basada en el número de usuarios no resulta arbitraria ni desproporcionada, considerando, según señala el TGUE, las plataformas con más de 45 millones de usuarios pueden exponer a un gran número de personas a contenidos ilícitos.
  • En lo que respecta a la libertad de expresión e información, el TGUE observó que la obligación de ofrecer una opción de recomendación sin elaboración de perfiles puede limitar la forma de presentación de productos; no obstante, esta restricción es justificada, no afecta al contenido esencial de la libertad y persigue un objetivo legítimo de protección de los consumidores.
  • Finalmente, en relación con el derecho a la vida privada y la protección de la información confidencial, el Tribunal reconoció que las obligaciones de transparencia publicitaria y el acceso de investigadores constituyen una injerencia, pero que esta es proporcional, establecida en la ley y justificada por el interés general de prevenir riesgos sistémicos y garantizar un alto nivel de protección de los consumidores. Además, la publicidad del repositorio está delimitada y el acceso de los investigadores se sujeta a estrictas garantías de seguridad y confidencialidad.

Ciberseguridad europea y seguros D&O para riesgos cibernéticos

Posted on por

Los riesgos cibernéticos se han convertido en una prioridad para los consejos de administración y la alta dirección debido al incremento de brechas de datos, ataques de denegación de servicio (DDoS), ransomware y extorsión cibernética. Con la entrada en vigor del Reglamento (UE) 2016/679 (“GDPR”) en mayo de 2018 se intensificó la atención de los gestores de riesgos hacia la gestión de datos y notificaciones de incidentes. Y, a pesar de que la empresa sea consciente de los riesgos, la gestión no puede reducirse a “cumplimiento formal” o “tick‑box”: debe integrarse en la cultura de la organización a todos los niveles

  • Foca en granito.

    En este entorno, la póliza D&O tradicional puede no cubrir ciertos gastos derivados de un incidente de seguridad digital (por ejemplo, la restauración de sistemas, interrupción del negocio, costes reputacionales), de modo que es importante evaluar conjuntamente la póliza D&O y la póliza de responsabilidad cibernética (“cyber liability”).

  • Los responsables de riesgo y los asegurados  deben reflexionar  y analizar sobre cómo abordar la adquisición de seguros: identificar exposiciones, definir límites, comprender exclusiones, evaluar capacidad de respuesta del asegurador y diseñar programas aseguradores adaptados al riesgo cibernético

  • Los directores y altos cargos tienen una responsabilidad activa en la supervisión del riesgo digital. La omisión o la supervisión insuficiente no solo incrementa la exposición de la empresa, sino que también puede derivar en responsabilidad personal de los administradores. Esto refuerza la idea de que la gobernanza corporativa moderna debe integrar explícitamente la gestión de riesgos cibernéticos como elemento de control interno y estrategia empresarial. La exposición personal  de administradores, consejeros y altos cargos puede verse incrementada por la omisión de una adecuada supervisión del riesgo digital

La creciente complejidad del ecosistema digital europeo, reforzada por ENISA, la red CSIRTs, ECSO y ECCG, ha transformado la ciberseguridad en un componente esencial de la responsabilidad de los administradores. En este contexto, los seguros D&O de ciber riesgos son un instrumento complementario para gestionar la exposición legal y financiera derivada de incidentes de seguridad informática, fallos en la gobernanza o incumplimiento de obligaciones normativas europeas.

1. Riesgos cubiertos y vínculo con la gobernanza. Los seguros D&O de ciber riesgos protegen a los administradores frente a reclamaciones por

  • Falta de supervisión adecuada de la seguridad informática, incluyendo la omisión de implementar buenas prácticas recomendadas por ENISA.

  • Respuesta insuficiente ante incidentes coordinados por la red CSIRTs o por alertas de vulnerabilidad críticas en infraestructuras digitales.

  • Incumplimiento de obligaciones de gestión, reporte y certificación, especialmente en los sectores y entidades sometidos a DORA, DNIS2 y otros marcos regulados.

  • Decisiones empresariales que no integren recomendaciones de ECSO sobre innovación segura o gestión de riesgos tecnológicos, con consecuencias financieras o regulatorias.

2. D&O y cumplimiento normativo europeo

Los seguros D&O no reemplazan la diligencia del administrador, sino que la complementan, ofreciendo cobertura frente a riesgos residuales que puedan derivar en responsabilidades civiles o administrativas. La contratación de un seguro D&O para ciber riesgos debe entenderse dentro de un marco de compliance proactivo:

  • Una empresa que implementa medidas recomendadas por ENISA, sigue las alertas de CSIRTs, participa en iniciativas ECSO y certifica sus sistemas según ECCG reduce su exposición a incidentes.

  • En caso de un ciberataque que derive en pérdidas financieras o daño reputacional, el seguro D&O puede cubrir reclamaciones de accionistas, sanciones civiles o defensas legales, siempre que se demuestre que los administradores actuaron con diligencia y siguiendo los estándares europeos.

  • Desde la perspectiva del mercado asegurador, la existencia de certificaciones europeas y la adopción de buenas prácticas se traduce en menores primas, reflejando la menor probabilidad de reclamaciones por negligencia en ciberseguridad.

  • La gestión del riesgo cibernético no puede limitarse a un enfoque “tick‑box” o cumplimiento mínimo. Debe integrarse en la cultura organizativa, involucrando a todos los niveles: desde la alta dirección hasta los empleados que manejan datos sensibles. Esta integración cultural facilita la detección temprana de incidentes y la respuesta coordinada, elementos críticos para limitar daños y preservar la reputación corporativa (Marsh, más abajo).

3. Integración en la estrategia de gobernanza

Para los administradores, la relación entre las estructuras europeas de ciberseguridad y los seguros D&O implica:

  • Evaluar riesgos: identificar qué activos, procesos y sistemas críticos podrían generar responsabilidades en caso de fallo de seguridad.

  • Adoptar medidas preventivas: implementación de estándares y certificaciones europeas, participación en alertas y ejercicios de CSIRTs, seguimiento de recomendaciones de ENISA y ECSO.

  • Documentar decisiones: mantener evidencia de políticas, procedimientos y medidas adoptadas para demostrar diligencia ante reclamaciones potenciales.

  • Contratar cobertura D&O adecuada: asegurar que la póliza cubre riesgos cibernéticos emergentes, incluyendo brechas de datos, ataques de ransomware o fallos en la gestión de proveedores críticos.

4. Medias previas  a contratar el seguro.

Evaluación integral de riesgos.

Antes de contratar un seguro D&O o cibernético, la empresa debe identificar los riesgos críticos a los que están expuestos los administradores, incluyendo fallos en seguridad de la información, brechas de datos, ataques de ransomware y fallos de proveedores.   La evaluación debe integrar la normativa europea de ciberseguridad  y los estándares de certificación aplicables. También se deben analizar otras coberturas contratadas por la empresa, en particular si se cuenta con pólizas de ciber riesgos , por evitar duplicidades o solapamientos de cobertura, pero también para evitar incurrir en situaciones de infra seguro o de falta de cobertura

Selección de coberturas adecuadas

Las pólizas deben cubrir responsabilidades derivadas de decisiones negligentes o incumplimientos regulatorios relacionados con la ciberseguridad. Abundando en lo que se acaba de indicar, es fundamental revisar la interacción entre D&O y seguros cibernéticos y evitar superposiciones o lagunas de cobertura.

Integración con la gobernanza corporativa

Los administradores deben documentar políticas y procedimientos de ciberseguridad, evidenciando cumplimiento con estándares europeos y buenas prácticas. La existencia de certificaciones, adopción de estándares o buenas prácticas reconocidas y la participación en alertas CSIRTs reduce el riesgo de reclamaciones y, por tanto, el coste del seguro.

Gestión del siniestro

A nivel de empresa, conviene establecer protocolos claros de notificación de incidentes, asegurando coordinación entre la empresa, los administradores y la aseguradora. También, definir responsabilidades internas y externas, evitando conflictos entre la gestión del siniestro y la defensa de los administradores.

Formación y actualización continua

Los administradores deben recibir formación sobre ciberriesgos, obligaciones regulatorias y evolución tecnológica. Entre las buenas prácticas destacables está la de realizar simulacros de incidentes y revisiones periódicas de las coberturas de seguro D&O, alineadas con la estrategia de ciberseguridad de la empresa.

Diferencias entre las coberturas de las pólizas de responsabilidad de administradores y directivos (D&O) y las pólizas de responsabilidad cibernética (“cyber liability”) frente a incidentes de ciberseguridad, enfatizando la importancia de un programa de seguros combinado para cubrir riesgos de manera integral (Recomendaciones de  la aseguradora Aon, en el enlace que se facilita más abajo).

Las pólizas D&O protegen principalmente a directivos frente a reclamaciones por actos de gestión, incumplimientos  de los fiduciarios o mala gestión, pero no están diseñadas, en principio, para ciber riesgos. Por ello, por ejemplo, pueden contar con exclusiones de gastos generados por un ciberataque, como notificaciones a afectados o recuperación de sistemas (Aon).

Piedritas de la playa sobre fondo azul

Las pólizas cibernéticas cubren tanto daños “first‑party” (la propia organización: investigación forense, restauración, interrupción del negocio, reputación) como “third‑party” (terceros afectados: demandas, defensa, indemnizaciones) ante incidentes cibernéticos

La activación de cobertura D&O al uso tras un ciberincidente depende de la redacción de la póliza. Es habitual hoy encontrar exclusiones específicas para daños cibernéticos , por lo que tal eventualidad debe ser considerada y negociada antes de contratar .

Se recomienda un programa combinado de D&O y póliza cibernética, con redacción adecuada, para gestionar de manera completa los riesgos cibernéticos (Aon), teniendo en cuenta que:

  • En compañías cotizadas, la cobertura habitual D&O por eventos cibernéticos suele limitarse a reclamaciones de accionistas y no a demandas de clientes o terceros afectados (indicado por Aon).

  • En compañías no cotizadas, la cobertura D&O tiende a ser más amplia, pero los aseguradores están incorporando exclusiones explícitas para riesgos cibernéticos (indicado por Aon).

  • Dado el aumento de incidentes cibernéticos y su complejidad, los consejos de administración y equipos de dirección deben considerar la gestión del riesgo cibernético como una cuestión de gobernanza corporativa, revisando coberturas, documentación y procedimientos de respuesta

Ver También

Aon. “Responding to Cyber Attacks: How Directors and Officers and Cyber Policies Differ.” Aon Insights, 24 Jul. 2024. Disponible en: https://www.aon.com/en/insights/articles/responding-to-cyber-attacks-how-directors-and-officers-and-cyber-policies-differ

Duque, Ruth. “Las pólizas cibernéticas y su implicación para el órgano de Administración” (1 octubre 2024) (https://www.cuatrecasas.com/es/spain/servicios-financieros-seguros/art/seguros-proteccion-administradore)

Marsh. “Understanding cyber Directors & Officers liability risks and buying insurance.” White paper (UK), Marsh, 2018. Disponible en: https://www.marsh.com/content/dam/marsh/Documents/PDF/UK-en/Understanding%20Cyber%20Directors%20&%20Officers%20Liability%20Risks%20and%20Buying%20Insurance.pdf

 

 

A consulta pública: «Directrices conjuntas sobre la interacción entre el Reglamento de Mercados Digitales y el Reglamento General de Protección de Datos»,

Posted on por

La DMA introduce obligaciones ex ante para las grandes plataformas digitales (“gatekeepers”) que prestan servicios esenciales como motores de búsqueda, tiendas de apps, sistemas operativos, mensajería, etc., con el fin de hacer los mercados digitales más contestables y equitativos. Ver anteriores entradas, aquí, también aquí, aquí, para más detalles.

Por su parte, el GDPR está orientado a proteger los derechos fundamentales de las personas físicas en lo relativo al tratamiento de sus datos personales.

Rio Arno, Luminaria, di San Rainieri, 2024

Muchas obligaciones de la DMA (por ejemplo, la combinación de datos de usuarios, la portabilidad, el acceso a datos a terceros, interoperabilidad) implican necesariamente un tratamiento de datos personales al que se aplica el GDPR. También algunas derivan o remiten a definiciones ya existentes en el GDPR.

Ante esta superposición, se detectaron posibles riesgos de solapamiento, inseguridad jurídica o conflicto: por ejemplo, ¿cómo puede un “gatekeeper” cumplir al mismo tiempo con la obligación de datos de la DMA y garantizar los principios del GDPR (licitud, minimización, finalidad, consentimiento, etc.)? Por ello, la Comisión y la EDPB están elaborando directrices que clarifiquen la interacción entre ambas normativas.

El borrador de directrices fue publicado en borrador/con consulta el 9 de octubre de 2025. La consulta pública estará abierta hasta el 4 de diciembre de 2025 para que empresas, asociaciones, usuarios y ciudadanos presenten sus comentarios. A partir de las respuestas, la versión final se prevé adopción en 2026.

Objetivos de las directrices conjuntas

  1. Proveer claridad y seguridad jurídica para los gatekeepers, usuarios empresariales, usuarios finales y autoridades sanitarias/protección de datos.

  2. Facilitar que la aplicación de la DMA sea coherente con el GDPR, de modo que las obligaciones de la DMA no deriven en vulneraciones del GDPR, y que el GDPR no sirva de excusa para eludir obligaciones de la DMA.

  3. Orientar al cumplimiento operativo con  pautas prácticas para, por ejemplo, la validez de consentimiento bajo el GDPR cuando la DMA exige combinación o reutilización de datos de usuarios, cuestiones de portabilidad de datos, acceso de terceros, interoperabilidad de servicios de mensajería, etc.

  4. Promover la cooperación regulatoria entre autoridades de competencia (que supervisan la DMA) y autoridades de protección de datos (que supervisan el GDPR) para evitar interpretaciones divergentes y asegurar un enfoque coherente.

Contenidos principales

Mongolfiera

Las directrices hacen especial hincapié en varias disposiciones de la DMA que implican tratamiento de datos personales, y analizan su compatibilidad o condiciones desde la perspectiva del GDPR. Entre los puntos destacados:

  • La obligación del artículo 5(2) de la DMA (por ejemplo, combinación de datos para publicidad dirigida) o del artículo 6(4) DMA (por ejemplo, medidas para tiendas de apps alternativas). En estos casos, los agentes designados como gatekeepers tendrán que comprobar que los tratamientos de datos cumplen con los requisitos de consentimiento, licitud, transparencia, propósito, etc., conforme al GDPR.

  • Portabilidad de datos (artículo 6(9) DMA) y acceso por usuarios empresariales (artículo 6(10) DMA): las directrices explican cómo esos derechos o obligaciones de datos bajo la DMA deben implementarse respetando las garantías del GDPR, incluyendo la protección de datos de múltiples individuos, la autenticación de usuarios, la internacionalización de transferencias, etc.

  • Provisión de datos de búsqueda u otro tipo de datos anonimizados al amparo del artículo 6(11) de la DMA: las directrices indican que el anonimizado debe cumplir criterios efectivos de anonimización para que no se vulneren derechos, garantizando al mismo tiempo la competencia. El borrador dedica un bloque a cuándo los datos pueden considerarse auténticamente anónimos y, por tanto, fuera del ámbito del GDPR. Señala criterios técnicos y jurídicos de efectividad de la anonimización (evaluación de riesgo de reidentificación, utilización de técnicas robustas, documentación). Marca un umbral alto para considerar datos como anónimos; la mera pseudonimización no bastaría, con el consiguiente impacto directo en proyectos de investigación y en las unidades de datos de las plataforma

  • Interoperabilidad de servicios de mensajería (artículo 7 DMA): se analiza desde el prisma de la minimización, integridad y seguridad de los datos bajo el GDPR. Las directrices analizan la obligación de interoperabilidad técnica y funcional entre servicios de mensajería desde la perspectiva del GDPR: diseño por defecto y privacidad por diseño, limitación de datos transmitidos, consentimiento de usuarios cuando se exija, y medidas para evitar filtración de metadatos sensibles. En consecuencia, los requisitos técnicos de interoperabilidad deben integrarse  con controles de acceso, cifrado y políticas de retención compatibles con el GDPR

  • También se incluye un apartado sobre la “base legal” aplicable cuando la DMA exige compartir datos o permitir acceso, y cómo esto se encaja con el artículo 6 GDPR (licitud del tratamiento) o con otras bases legales (por ejemplo, obligación legal) cuando proceda. Las directrices, en borrador, recuerdan que hay que respetar el régimen de transferencias del GDPR (decisiones de adecuación, cláusulas contractuales, salvaguardas suplementarias) y que el DMA no exonera a los gatekeepers de estas obligaciones. Esto implica que los equipos jurídicos de las plataformas deben mapear flujos de datos y asegurar cláusulas y medidas técnicas para las transferencias competentes.

  • Se propone un marco de cooperación entre autoridades de competencia (aplicación del DMA) y autoridades de protección de datos (aplicación del GDPR) para resolver fricciones, intercambiar información y coordinar enfoques sancionadores o de supervisión. El documento sugiere canales y mecanismos de coordinación.

 

Aprobada una nueva IA Factory en Galicia

Posted on por

La Comisión Europea ha seleccionado a España para albergar una segunda AI Factory en España. Esta vez, en el Centro de Supercomputación de Galicia (CESGA). La nueva instalación, denominada 1HealthAI, estará especializada en el desarrollo de inteligencia artificial aplicada a las ciencias de la vida. Contará con un superordenador específico y una plataforma avanzada de supercomputación, concebida para proyectos experimentales y colaborativos en biotecnología, investigación sanitaria y otras áreas vinculadas a la salud. Se ubicará en las inmediaciones del aeropuerto internacional de Rosalía de Castro.

Expo na Cidade da Cultura (Santiago, 2021)

Esta AI Factory supone una inversión total de 82 millones de euros, de los cuales 24 millones procederán del Ministerio de Ciencia, Innovación y Universidades.

  • Su diseño responde a un doble objetivo: ofrecer servicios gratuitos de apoyo a empresas, startups y centros de investigación,
  • Facilitar el acceso equitativo a herramientas de IA de última generación, reduciendo así la brecha tecnológica entre los distintos agentes del ecosistema innovador.

 

Seguridad, transparencia y responsabilidad de la IA en el marco europeo

La inversión se enmarca en el nuevo ecosistema normativo de la Unión Europea, que exige que los desarrollos de inteligencia artificial se ajusten a criterios de seguridad, transparencia y fiabilidad. Así se busca reforzar la confianza en el desarrollo y uso de la inteligencia artificial en Europa, integrando la innovación tecnológica con la exigencia de cumplimiento y responsabilidad.

  • Antes de comercializar un sistema de IA de alto riesgo en el mercado de la UE, los proveedores deberán someterlo a una evaluación de conformidad o, en su caso, a una autoevaluación que permita demostrar que el sistema cumple los requisitos de una inteligencia artificial de confianza.
    • Entre las obligaciones impuestas figuran la implantación de un sistema de gestión de calidad, el mantenimiento de la documentación técnica y de los registros de actividad, así como la colaboración activa con las autoridades competentes, notificando incumplimientos o riesgos detectados.
    • Los usuarios —o responsables del despliegue, según la terminología del Reglamento— deberán garantizar la supervisión humana, monitorizar los sistemas y conservar los registros de uso, mientras que los importadores y distribuidores deberán asegurar que los productos hayan superado la evaluación de conformidad, mantener la documentación técnica y colaborar igualmente con las autoridades.

En este contexto, las PYMEs adquieren un papel clave tanto como desarrolladoras como usuarias de sistemas de IA. Deberán evaluar si los sistemas que crean o utilizan pueden considerarse de alto riesgo según el Reglamento, ya que esta clasificación conlleva mayores obligaciones en materia de supervisión y control. Asimismo, deberán implantar mecanismos para garantizar un uso seguro y responsable de la tecnología, capacitar a su personal en el uso adecuado de la IA y sensibilizarlo sobre los riesgos y obligaciones legales. Resulta especialmente recomendable que las pequeñas y medianas empresas establezcan un Sistema de Gestión de Cumplimiento Legal en materia de IA, que permita identificar, evaluar y mitigar riesgos regulatorios en todas las áreas relevantes.

  • Para facilitar esta adaptación, el Reglamento incluye medidas específicas de apoyo a las PYMEs, como formación adaptada, canales de comunicación directa y difusión de buenas prácticas. Además, las microempresas quedan exentas de mantener un sistema de gestión de calidad formal, aunque sí deberán gestionar los riesgos asociados a los sistemas que empleen o desarrollen.
  • Ante las dificultades que enfrentan las pequeñas y medianas empresas para cumplir con los requisitos técnicos y regulatorios derivados del nuevo marco de inteligencia artificial,  el Reglamento de IA se acompaña de una estrategia de apoyo específica para las PYMEs, que combina financiación europea con asistencia práctica.
    • Programas como Digital Europe y Horizonte Europa, junto con los Fondos de Cohesión, facilitan recursos económicos y técnicos para la adopción de soluciones de IA. A nivel operativo, los Digital Innovation Hubs (EDIHs) y las AI Factories europeas ofrecen a las PYMEs espacios para experimentar y probar sistemas de IA en entornos controlados, con asesoramiento especializado en cumplimiento normativo, seguridad y buenas prácticas.
    • Además, las Testing and Experimentation Facilities (TEFs) permiten a las empresas evaluar sus prototipos de manera segura antes de su despliegue comercial. Este ecosistema de apoyo integral pretende que las PYMEs puedan desarrollar e integrar soluciones de IA de manera segura y conforme a la ley, sin perder competitividad frente a grandes plataformas tecnológicas, y que accedan a oportunidades de innovación que antes solo estaban al alcance de grandes corporaciones

La creación de la nueva AI Factory 1HealthAI en Galicia debe interpretarse en este marco más amplio en el que  la UE avanza hacia un modelo que combina la inversión en capacidades críticas —como la supercomputación, los centros de datos o la IA aplicada a la salud y la sostenibilidad— con una regulación exigente que garantice el respeto a los derechos fundamentales y la seguridad de los sistemas.

No se trata de oponer innovación y regulación, sino de hacerlas converger: la competitividad digital europea dependerá, precisamente, de la capacidad para integrar la confianza como activo estratégico. En este sentido, las AI Factories no son solo infraestructuras científicas, sino instrumentos de soberanía tecnológica y de cohesión territorial, llamados a reforzar la posición de Europa —y de España— en la nueva economía de la inteligencia artificial.

 

Antecedentes

Actualmente existen 13 AI Factories con sede en 12 países europeos —Alemania, Austria, Bulgaria, Eslovenia, España (en Barcelona), Finlandia, Francia, Grecia, Italia, Luxemburgo, Polonia y Suecia—, a las que se suman ahora seis nuevas fábricas concedidas en toda Europa, entre ellas la de Galicia. La factoría gallega, liderada por el CESGA y coliderada por el CSIC, cuenta con la participación y firme compromiso de socios clave, incluyendo las tres universidades públicas gallegas, varios de sus centros de investigación integrados en la Red CIGUS, el Hub Europeo de Innovación Dixital DATAlife y el centro tecnológico Gradiant, entre otros agentes del sistema gallego de I+D+i. Cabe recordar que el CESGA es una fundación participada al 70% por la Xunta de Galicia y al 30% por el CSIC, con carácter mixto y papel estratégico en la política científica y tecnológica autonómica.

Implantación de IA en las PYME

Posted on por

La inteligencia artificial (IA) ya forma parte del día a día de muchas pymes españolas. Desde chatbots para atención al cliente hasta algoritmos que optimizan inventarios o apoyan decisiones financieras, la IA se ha consolidado como una herramienta estratégica.

Hamburgo. Ayuntamiento. Epc

Con la aplicación de las normas a los modelos de IA del Reglamento Europeo de IA (Reglamento UE 2024/1689) a partir del 2 de agosto de 2026, se activan de forma definitiva obligaciones que afectan directamente al uso y comercialización de estas tecnologías. Este es, por tanto, un momento clave para repasar las principales exigencias que los directivos de pymes deben conocer, no solo para cumplir con la ley, sino también para identificar cómo la IA puede convertirse en una palanca de innovación y crecimiento.

  • 02/02/2025: prohibición de sistemas de riesgo inaceptable.
  • 02/08/2025: aplicación de normas a modelos de IA de propósito general.
  • 02/08/2026: fin del periodo transitorio y aplicación plena del Reglamento.

 

Modelos de IA de propósito general
Son sistemas que no están diseñados para una tarea concreta, sino que pueden realizar de manera competente una amplia variedad de tareas distintas. Ejemplos son los grandes modelos de lenguaje desarrollados por OpenAI (ChatGPT) o Google (Gemini), que pueden aplicarse a chatbots, generación de contenido o análisis de datos.

  • Desde agosto de 2025, los proveedores de estos modelos deben cumplir con requisitos de transparencia y seguridad en cuatro niveles, cada uno con ejemplos y requisitos distintos:
    •  Riesgo inaceptable: sistemas totalmente prohibidos por considerarse una amenaza para la seguridad o los derechos fundamentales. Ejemplos: puntuación social, manipulación subliminal del comportamiento, reconocimiento de emociones en entornos laborales o educativos, identificación biométrica en tiempo real en espacios públicos.
    • Alto riesgo: permitidos, pero sujetos a requisitos estrictos de evaluación, supervisión y seguridad. Incluye, entre otros, sistemas para filtrado de CVs en procesos de selección o algoritmos de evaluación crediticia o scoring financiero.
    • Riesgo limitado: no requieren requisitos técnicos complejos, pero sí transparencia hacia los usuarios. Dentro de esta categoría podríamos encontrar los chatbots y asistentes conversacionales, que deben identificarse claramente como IA, generadores de contenido sintético (deepfakes) que deben ir etiquetados, o sistemas que detectan emociones de clientes en un contexto comercial (con aviso previo).
    • Riesgo mínimo: uso libre sin obligaciones específicas en el Reglamento, aunque siguen aplicando otras leyes generales. Ejemplos: filtros anti-spam, recomendadores de productos en e-commerce, optimización de rutas logísticas o videojuegos con IA.

Un primer reto importante radica en identificar correctamente el nivel de riesgo de cada herramienta, ya que un sistema clasificado como alto riesgo puede implicar costes y procesos que desincentiven su uso.

Implicaciones del Reglamento de IA para las PYMEs

La mayoría de las pequeñas y medianas empresas operarán principalmente como usuarias de sistemas de inteligencia artificial, y el alcance de sus responsabilidades dependerá del nivel de riesgo de las herramientas que empleen.

Bruselas.

Los sistemas clasificados como de alto riesgo concentran la mayor parte de los requisitos técnicos y documentales, pero incluso los sistemas de riesgo limitado o mínimo implican obligaciones esenciales, especialmente en términos de transparencia y uso responsable. Entre ellas destacan la necesidad de utilizar la IA siguiendo las instrucciones del proveedor, garantizar supervisión humana en decisiones críticas —obligatoria en sistemas de alto riesgo y recomendable en el resto—, mantener registros de actividad, verificar la calidad de los datos introducidos y, cuando proceda, informar a empleados y clientes sobre la utilización de IA.

Un aspecto crítico es que modificar un sistema de IA o cambiar su finalidad puede transformar a la pyme de usuaria a proveedora de alto riesgo, con las consiguientes obligaciones legales y costes adicionales. Por ejemplo, una consultora de recursos humanos que adapte un modelo de propósito general, inicialmente de riesgo limitado, para crear un sistema de preselección de candidatos estaría desarrollando un sistema de alto riesgo. Este cambio implica mayores responsabilidades técnicas y jurídicas, y si la empresa no dispone de los recursos necesarios, podría enfrentar sanciones significativas.

El régimen sancionador del Reglamento de IA es riguroso y busca garantizar el uso responsable de la tecnología.

  • Las multas por incumplimiento pueden alcanzar hasta 35 millones de euros o el 7 % de la facturación anual global en casos de prácticas de IA inaceptables, y hasta 15 millones o el 3 % en infracciones relacionadas con sistemas de alto riesgo o con la gestión de modelos de propósito general.
  • Para PYMEs y empresas emergentes, se aplicará la cantidad menor entre el porcentaje de facturación y la cuantía fija. Este sistema, combinado con la complejidad del marco regulatorio, podría retrasar el lanzamiento de soluciones o incluso provocar su retirada del mercado europeo, dejando a algunas pymes en desventaja frente a empresas de otras regiones con regulaciones más flexibles.

Para adaptarse de manera práctica y aprovechar las oportunidades que ofrece la IA, las pymes deben seguir un plan estructurado: en primer lugar, elaborar un inventario detallado de todas las herramientas y sistemas de IA que utilizan, incluyendo aquellos integrados en otros softwares; en segundo lugar, clasificar cada herramienta según su nivel de riesgo —inaceptable, alto, limitado o mínimo—; y finalmente, contactar con los proveedores para confirmar planes de cumplimiento, solicitar documentación y verificar, en su caso, el marcado CE de los sistemas de alto riesgo. A estas acciones se suma la implementación de un programa de formación interna o “alfabetización en IA”, que permitirá al personal identificar riesgos, usar la IA de forma segura y generar valor para la organización. Designar un responsable interno que coordine este proceso y lidere la capacitación es clave para integrar la IA de manera estratégica en la pyme y convertir el cumplimiento normativo en un motor de innovación.

Consciente de las dificultades que enfrentan las PYMEs, la Unión Europea ha desarrollado medidas de apoyo específicas.

  • Programas como Digital Europe y Horizonte Europa, junto con los Fondos de Cohesión, facilitan recursos financieros y técnicos para la adopción de IA. A nivel operativo, los Digital Innovation Hubs (EDIHs)
  • Las AI Factories proporcionan espacios para experimentar y probar sistemas de IA bajo condiciones controladas, con asesoramiento especializado sobre cumplimiento normativo, seguridad y buenas prácticas.
  • Las Testing and Experimentation Facilities (TEFs) permiten evaluar prototipos antes de su despliegue comercial, garantizando un entorno seguro. Este ecosistema integral busca que las pymes desarrollen e integren soluciones de IA de manera conforme a la ley, sin perder competitividad frente a grandes plataformas tecnológicas, y que puedan acceder a oportunidades de innovación que antes solo estaban al alcance de corporaciones de mayor tamaño.

 

VIII Congreso Nacional SEAIDA: Digitalización y Reforma del Contrato de Seguro

Posted on por

Mañana, 2 de octubre de 2025, se inaugura en el Campus Universitario “María Zambrano” de Segovia de la Universidad de Valladolid (UVA) el VIII Congreso Nacional de SEAIDA, bajo el título “Digitalización, Competitividad y Simplificación. El Impacto Normativo y de la Jurisprudencia reciente en el Derecho y Mercado de Seguros”. Este evento reunirá durante dos jornadas a destacados especialistas del ámbito académico, institucional y profesional para abordar los retos y oportunidades que enfrenta el mercado asegurador español en un contexto de transformación normativa y tecnológica. El programa se puede descargar aqui: VIII congreso nacional SEAIDA

 

Este encuentro se celebra en un momento de especial relevancia normativa. Coincide con el 45.º aniversario de la Ley 50/1980, de Contrato de Seguro (LCS), cuyo análisis doctrinal y jurisprudencial sigue siendo esencial para entender la regulación de los seguros en España. Además, la reciente Ley 5/2025, de 24 de julio, ha introducido modificaciones significativas, especialmente en el seguro del automóvil, los planes preventivos de recuperación de aseguradoras sistémicas y los seguros de vida para personas con discapacidad. La combinación de estos hitos  con los ponentes y comunicadores de más relieve hace del congreso un foro imprescindible para actualizar conocimientos y reflexionar sobre la evolución del derecho de seguros.

La dirección, coordinación y secretaría del VIII Congreso Nacional de SEAIDA recae en un equipo académico de primer nivel, cuya trayectoria y liderazgo garantizan la excelencia científica del evento. Bajo la dirección de Rafael Illescas Ortíz (catedrático de Derecho Mercantil y Presidente de SEAIDA) y Jesús Quijano González (catedrático emérito de Derecho Mercantil, UVA), el congreso cuenta con un liderazgo experimentado y una visión estratégica que asegura la coherencia académica y la calidad del debate. La intervención de María Jesús Peñas Moyano (catedrática de Derecho Mercantil, UVA) aporta un sólido análisis normativo y tecnológico, reforzando la dimensión práctica y teórica del evento. La coordinación a cargo de Laura González Pachón (UVA) y la secretaría ejercida por Félix Benito Osma (UC3M), Fernando Tapias Domínguez (UC3M) y Gabriel Ballesta Luque (UGR) asegura una organización impecable y una gestión académica rigurosa, convirtiendo al congreso en un foro de referencia para el derecho de seguros, donde se combina la innovación normativa, la experiencia profesional y la investigación de alto nivel.

Tres ejes temáticos: supervisión, digitalización y contratación

El programa del congreso se articula en torno a tres grandes áreas temáticas, que permiten un análisis integral del sector asegurador:

  1. Supervisión, competitividad y simplificación normativa

En esta mesa temática abordarán los desafíos regulatorios que afectan al sector asegurador, poniendo el foco en la relación entre estabilidad financiera, competitividad empresarial y simplificación normativa. Participarán expertos como Lázaro Cuesta Barberá (UNESPA) y Giuseppe Gamucci (Zurich España), quienes expondrán sobre la función de verificación del cumplimiento y el nuevo marco normativo de riesgos para las entidades aseguradoras. La moderación correrá a cargo de Fernando Tapias Domínguez (Universidad Carlos III de Madrid).

Además, María Jesús Peñas Moyano (UVA) aportará su experiencia sobre el aseguramiento de obligaciones derivadas del compliance y la diligencia debida, enfatizando la interacción entre regulación interna y normativa europea, mientras que otros expertos abordarán aspectos prácticos de supervisión y control de riesgos, incluyendo la aplicación de medidas de gobernanza en compañías aseguradoras.

  1. Digitalización y transformación tecnológica

Este eje  se centra en la digitalización y sus impactos en el modelo de negocio asegurador, la gestión de riesgos, la personalización de productos y la ciberseguridad.

Teresa Rodríguez de las Heras Ballell (UC3M) abordará la revisión de la Directiva de productos defectuosos y su adaptación a la economía digital y circular, mientras que Francisco de León Miranda (Simmons & Simmons LLP) presentará los riesgos asociados a Data Centers y conectividad crítica, así como su cobertura mediante pólizas de seguros. Asimismo, expertos como Alejandro Izuzquiza Ibañez de Aldecoa y José María Campos (CEOE) analizarán la legislación sobre acciones colectivas y sus efectos prácticos en la industria aseguradora. La intervención de Elena F. Pérez Carrillo (ULE), titulada “Seguros y resiliencia digital cibernética en entornos digitales e inteligentes”, analizará la integración de sistemas de inteligencia artificial en la gestión de riesgos y la protección frente a amenazas cibernéticas, destacando cómo estas tecnologías influyen en la organización interna de las aseguradoras y en la interacción con clientes y proveedores externos.

  1. Contratación de seguros: jurisprudencia y novedades legislativas

El tercer polo temático se centra en el contrato de seguro, analizando la evolución jurisprudencial y las reformas normativas, especialmente la Ley 5/2025 y su relación con la LCS. Entre los temas que se abordarán figuran la declaración, evaluación y suscripción de riesgos, el dolo en la contratación, las acciones de repetición y subrogación, y los seguros paramétricos frente a riesgos climáticos o catastróficos.

Entre los académicos que participarán se destacan Jorge Feliu Rey (UC3M), quien tratará los desafíos de la personalización y automatización en la suscripción de riesgos; Ricardo Alonso Soto (UAM), especialista en el interés plural y cumulativo en los contratos de seguro; José A. Badillo Arias (UAH), con su análisis sobre dolo y responsabilidad civil en seguros de automóviles. Además,  Virginia Hierro Domínguez (Bird & Bird), centrada en seguros de lucro cesante y riesgos de interrupción de negocio, incluyendo contingencias cibernéticas; Olivia Delagrange (Simmons & Simmons LLP) y Patricia Maortua Sánchez (Segurcaixa Adeslas) abordarán cuestiones prácticas relacionadas con seguros de asistencia sanitaria y responsabilidad.

La clausura del congreso contará con la intervención de Alberto J. Tapia Hermida (UCM), Vicepresidente de SEAIDA, con el “Decálogo de aspectos clave para una reforma de la Ley de Contrato de Seguro a la vista de la Propuesta de Código Mercantil de 2013 y de la Ley 5/2025”, proporcionando un marco integrado de análisis doctrinal y normativo sobre la actualización de la LCS y su adaptación a los retos del mercado asegurador

El VIII Congreso SEAIDA se enmarca dentro del proyecto “Inteligencia Artificial y Personalización en el Seguro: Impacto en el Modelo de Negocio y el Marco Regulatorio”, desarrollado por la Universidad Carlos III de Madrid. Esta perspectiva interdisciplinar evidencia la creciente atención a la digitalización, la ciberseguridad y la integración de tecnologías inteligentes en la industria aseguradora, así como su repercusión sobre la normativa y los modelos de negocio.

El evento combina la experiencia académica de universidades de referencia (UVA, UC3M, ULE, UGR, UPNA, UAH, Pontificia Universidad Católica de Chile, entre otras) con la práctica profesional de entidades aseguradoras y despachos especializados, generando un foro de debate que permite confrontar teoría y práctica y proyectar líneas de investigación futuras en el ámbito del derecho de seguros

El VIII Congreso Nacional de SEAIDA se enmarca dentro del proyecto “Inteligencia Artificial y Personalización en el Seguro: Impacto en el Modelo de Negocio y el Marco Regulatorio”, desarrollado por la Universidad Carlos III de Madrid. Su perspectiva interdisciplinar evidencia la creciente atención a la digitalización, la ciberseguridad y la integración de tecnologías inteligentes en la industria aseguradora, así como su repercusión sobre la normativa y los modelos de negocio. El evento combina la experiencia académica de universidades de referencia como la UVA, UC3M, ULE, UGR, UPNA, UAH y la Pontificia Universidad Católica de Chile, con la práctica profesional de entidades aseguradoras y despachos especializados, generando un foro de debate que permite confrontar teoría y práctica y proyectar líneas de investigación futuras en el ámbito del derecho de seguros.

Este Congreso Nacional de SEAIDA se consolida así en un foro académico y profesional de primer nivel.

Ver también sobre el Congreso, Blog A Tapia Hermida, del Profesor responsable de la clausura