Archivo de la categoría: Ciberseguridad en la empresa. Master U en Ciberseguridad

El nuevo Código de Buenas Prácticas sobre Transparencia de los Contenidos Generados por Inteligencia Artificial: hacia un Derecho europeo de la autenticidad digital

Posted on por

La Comisión Europea ha publicado el Code of Practice on Transparency of AI-Generated Content, un instrumento de adhesión voluntaria destinado a facilitar la aplicación del artículo 50 del Reglamento (UE) 2024/1689, de Inteligencia Artificial (AI Act). Su aprobación constituye un nuevo paso en la estrategia regulatoria europea para reforzar la confianza en el entorno digital y preparar la entrada en aplicación de las obligaciones de transparencia previstas en el AI Act.

A diferencia de otros instrumentos elaborados en el marco del Reglamento de Inteligencia Artificial, este Código no se ocupa de la seguridad de los modelos ni de los riesgos sistémicos de la IA de propósito general. Su objeto es mucho más concreto: la identificación de contenidos generados o alterados con IA .

El Código tiene naturaleza de instrumento voluntario. Aun así, sus contenidos no se pueden ignorar; pues las obligaciones de transparencia que recoge: derivan directamente del artículo 50 del AI Act y son  exigibles, ex lege. El Código pretende ofrecer criterios técnicos y organizativos que faciliten el cumplimiento del derecho positivo y favorezcan una aplicación homogénea en toda la Unión Europea.

  • El ámbito subjetivo de aplicación de este Código comprende tanto a los proveedores de sistemas de IA como a los usuarios profesionales (deployers). El reconocimiento de esta distribución de roles resulta, en si mismo, significativo porque confirma una de las principales tendencias del Derecho europeo de la digitalización: las obligaciones regulatorias ya no recaen exclusivamente sobre quienes desarrollan la tecnología, sino también sobre quienes la incorporan a su actividad empresarial o profesional.
  • El Código apuesta por un concepto de transparencia mucho más sofisticado que la simple inclusión de un aviso visible. La Comisión Europea promueve el empleo de marcas de agua digitales, metadatos, identificadores persistentes y otros mecanismos legibles por máquinas que permitan conservar información sobre el origen artificial del contenido incluso cuando éste sea compartido o reutilizado en diferentes plataformas. El objetivo consiste en construir una auténtica infraestructura europea de trazabilidad de los contenidos digitales. Así, la transparencia deja de concebirse como una mera obligación informativa para convertirse en un requisito estructural del ecosistema digital. En otras palabras, el Derecho europeo comienza a exigir que la propia arquitectura tecnológica facilite la identificación del origen de la información.
  • Especial atención merecen los denominados deepfakes.El AI Act exige que las imágenes, vídeos o audios generados o manipulados mediante inteligencia artificial sean claramente identificables cuando puedan inducir a error respecto de su autenticidad. El Código desarrolla esta obligación proponiendo procedimientos técnicos uniformes y recomendaciones dirigidas tanto a proveedores como a usuarios profesionales.
  • Asimismo, aborda los supuestos en los que los sistemas de IA generan textos destinados a informar sobre asuntos de interés público. En estos casos, los usuarios profesionales deberán informar de la utilización de inteligencia artificial, salvo que exista una revisión humana sustancial y una auténtica responsabilidad editorial sobre el contenido final. Con ello, el legislador europeo intenta equilibrar dos objetivos: fomentar la innovación tecnológica sin debilitar la confianza en la información difundida al público.

Las implicaciones son especialmente relevantes.

  • En primer lugar, las empresas deberán revisar sus políticas internas de utilización de herramientas de IA generativa. Ya no bastará con decidir qué aplicaciones pueden emplearse dentro de la organización; será necesario establecer procedimientos para identificar los contenidos sintéticos, conservar su trazabilidad y documentar las intervenciones humanas realizadas sobre ellos.
  • En segundo término, el Código incide directamente sobre los sistemas de compliance. Las obligaciones de transparencia pasan a integrarse en los programas internos de cumplimiento junto a materias ya consolidadas como la protección de datos personales, la ciberseguridad, la prevención del fraude o la gestión documental. Ello exigirá nuevos protocolos internos, formación del personal y mecanismos de supervisión continua.
  • La supervisión del uso responsable de la inteligencia artificial pasa a formar parte de las funciones estratégicas del órgano de administración. El deber de diligencia de los administradores se proyecta ahora sobre la gestión de riesgos derivados del empleo de sistemas de IA generativa, particularmente cuando puedan afectar a la reputación empresarial, a la responsabilidad frente a terceros o al cumplimiento normativo.
  • No menos importantes son sus efectos sobre la contratación y la actividad empresarial cotidiana. Las empresas utilizan ya inteligencia artificial para elaborar contratos, informes financieros, publicidad, documentación precontractual, comunicaciones con clientes y documentación interna. La posibilidad de acreditar qué partes de esos documentos fueron generadas por IA, cuáles fueron revisadas por personas y qué modificaciones se introdujeron puede adquirir una enorme relevancia en eventuales procedimientos judiciales o arbitrales.
  • También merece atención la relación entre el Código y la propiedad intelectual. Aunque el documento no regula directamente la titularidad de las obras generadas mediante IA, la incorporación de mecanismos de identificación facilitará la prueba sobre el origen de los contenidos y podrá contribuir a resolver futuros conflictos relativos a derechos de autor, utilización ilícita de obras protegidas o atribución de responsabilidades.
  • Otra consecuencia particularmente interesante afecta al Derecho de la competencia y a la protección de los consumidores. La utilización de contenidos sintéticos sin la debida identificación puede constituir una práctica engañosa, alterar la competencia en determinados mercados o afectar a la confianza de los consumidores. El Código contribuye así a reforzar los principios de transparencia e información veraz que inspiran el mercado interior europeo.
  • Igualmente relevantes son las implicaciones procesales. Los metadatos, las marcas de agua y los sistemas de trazabilidad pueden convertirse en elementos probatorios de gran valor para acreditar la autenticidad de documentos electrónicos, determinar si un contenido ha sido manipulado o reconstruir la cadena de generación de una determinada información digital. En consecuencia, el Código puede terminar teniendo una influencia notable sobre la práctica probatoria en litigios civiles, mercantiles e incluso penales.
  • Desde una perspectiva regulatoria más amplia, este instrumento refleja una característica constante del modelo europeo de gobernanza digital: la combinación de normas obligatorias con mecanismos de autorregulación supervisada. El Código no sustituye al Reglamento de Inteligencia Artificial, sino que facilita su aplicación mediante estándares comunes elaborados con la participación de expertos, empresas y autoridades públicas..
  • Quizá la aportación más interesante del Código sea, sin embargo, otra. En realidad, la Comisión Europea no está regulando únicamente la inteligencia artificial. Está construyendo un auténtico Derecho europeo de la autenticidad digital. El verdadero bien jurídico protegido deja de ser exclusivamente la seguridad tecnológica para convertirse en la confianza en la información que circula en el espacio digital.- En este nuevo paradigma, la autenticidad, la trazabilidad, la procedencia y la verificabilidad de los contenidos adquieren un valor jurídico propio. Se trata de principios que probablemente terminarán proyectándose sobre otros ámbitos normativos, desde la contratación electrónica hasta los mercados financieros, la administración pública digital, la publicidad, la prueba electrónica o la protección de la democracia frente a campañas de desinformación.

(Texto generado y editado manualmente, con  apoyo (circa 10%) de la IA ).

Plan de Acción sobre Ciberseguridad e Inteligencia Artificial: un nuevo paso hacia la gobernanza integrada del riesgo digital

Posted on por
Merindades burgalesas

Merindades burgalesas

La Comisión Europea ha publicado el EU Action Plan on Cybersecurity and Artificial Intelligence, un documento estratégico destinado a responder al impacto que los modelos avanzados de inteligencia artificial están produciendo sobre la ciberseguridad europea. El Plan parte de una premisa clara: la inteligencia artificial constituye simultáneamente un extraordinario instrumento para reforzar la seguridad digital y un factor de incremento de los riesgos cibernéticos, al facilitar la automatización de ataques, la identificación de vulnerabilidades y el desarrollo de nuevas capacidades ofensivas.

Desde la perspectiva del Derecho mercantil, el documento merece especial atención porque consolida una tendencia que ya venía apreciándose en la regulación europea: la progresiva integración entre la gobernanza de la inteligencia artificial, la gestión de la ciberseguridad y el gobierno corporativo.

El Plan no introduce nuevas obligaciones jurídicas. Su función consiste en articular una estrategia común que permita aplicar, coordinadamente, el amplio conjunto de normas europeas ya vigentes. Entre ellas destacan el Reglamento de Inteligencia Artificial (AI Act), la Directiva NIS2, el Reglamento de Ciberresiliencia (Cyber Resilience Act), el Reglamento DORA para el sector financiero y el Cyber Solidarity Act. La Comisión pretende evitar una aplicación fragmentada de estos instrumentos y promover una respuesta coherente frente a riesgos que ya no pueden analizarse de manera aislada.

La irrupción de modelos avanzados de inteligencia artificial, especialmente los sistemas generativos y los modelos de propósito general (General Purpose AI Models), está transformando el panorama tradicional de las amenazas digitales. Frente a los mecanismos convencionales de ataque, caracterizados por una mayor dependencia del conocimiento técnico especializado y de la intervención humana, la IA permite una mayor automatización, escalabilidad y sofisticación de las operaciones maliciosas. En particular, facilita la generación automatizada de campañas de ingeniería social, la creación de contenidos fraudulentos altamente personalizados, la identificación masiva de vulnerabilidades y la adaptación dinámica de estrategias ofensivas. Frente a estos riesgos, la Comisión Europea identifica la inteligencia artificial como un instrumento susceptible de modificar el equilibrio entre las capacidades de los actores defensivos y ofensivos en el ciberespacio, y de favorecer que actores con menores recursos tecnológicos desarrollen operaciones con un nivel de complejidad anteriormente reservado a grandes organizaciones altamente especializadas.

Subraya, igualmente, la Comisión Europea el potencial transformador de la inteligencia artificial como tecnología habilitadora de una nueva generación de mecanismos de protección digital. La IA puede contribuir a reforzar la capacidad de prevención, detección, respuesta y recuperación frente a incidentes cibernéticos, elementos esenciales del concepto europeo de ciberresiliencia.

El planteamiento de la Comisión refleja, en consecuencia, un cambio de paradigma en la concepción de la seguridad digital. La cuestión ya no se limita a la protección de sistemas tecnológico frente a ataques externos, sino que exige establecer mecanismos integrales de gobernanza capaces de gestionar entornos caracterizados por una interacción constante entre tecnología, datos, infraestructuras críticas y procesos automatizados de decisión.  Por eso, la ciberseguridad pasa a convertirse en un elemento estratégico vinculado a la continuidad empresarial, la protección de activos esenciales y la confianza en el mercado. Esta aproximación se inserta en la arquitectura normativa europea más amplia de regulación tecnológica. En particular, presenta una estrecha conexión con el Reglamento (UE) 2024/1689 de Inteligencia Artificial (AI Act), que incorpora la ciberseguridad como uno de los elementos esenciales del marco de gestión de riesgos aplicable a determinados sistemas de IA. Asimismo, complementa las obligaciones derivadas de la Directiva (UE) 2022/2555 (NIS2), que refuerza los deberes de seguridad de las entidades esenciales e importantes, y del Reglamento (UE) 2022/2554 sobre resiliencia operativa digital del sector financiero (DORA), que establece obligaciones específicas para la gestión del riesgo tecnológico y la dependencia de proveedores TIC.

Con el objetivo de fomentar un desarrollo y una utilización seguros de la inteligencia artificial avanzada, la Comisión Europea prevé reforzar la capacidad de la Unión para evaluar los modelos de IA antes de su comercialización o puesta en servicio en el mercado europeo, en aplicación del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (AI Act).

Paralelamente, la Comisión colaborará con la Agencia de la Unión Europea para la Ciberseguridad (ENISA) en la elaboración de un Plan Europeo de Acceso Seguro a Sistemas Avanzados de Inteligencia Artificial orientado a reforzar la ciberseguridad. Asimismo, impulsará la creación de una plataforma europea de pruebas seguras (secure testing platform), destinada a facilitar que organizaciones pertenecientes a sectores críticos —como la energía, el transporte, la sanidad, los servicios financieros o las administraciones públicas— puedan evaluar, validar y desplegar soluciones de inteligencia artificial en condiciones que garanticen la seguridad, la resiliencia y la confianza.

Desde la perspectiva del Derecho mercantil y del gobierno corporativo, el Plan confirma una evolución: la ciberseguridad y la gobernanza de la inteligencia artificial no son ámbitos exclusivamente reservados a los departamentos técnicos para integrarse progresivamente en el ámbito de responsabilidad estratégica de los órganos de administración. La utilización de sistemas de IA, la selección de proveedores tecnológicos, la evaluación de riesgos digitales y la implantación de mecanismos adecuados de supervisión pasan a formar parte de las decisiones empresariales que pueden incidir en el cumplimiento del deber de diligencia de los administradores.

El EU Action Plan on Cybersecurity and Artificial Intelligence expresa la voluntad de la Unión Europea de construir un marco de gobernanza que permita aprovechar las capacidades defensivas de la inteligencia artificial sin ignorar su potencial disruptivo desde el punto de vista de la seguridad. La cuestión central no reside únicamente en desarrollar tecnologías más avanzadas, sino en garantizar que su incorporación al tejido económico europeo se produzca bajo principios de responsabilidad, resiliencia y control adecuado del riesgo tecnológico.

Desde el derecho comparado, esta aproximación sitúa a la Unión Europea en una posición diferenciada. Mientras que en Estados Unidos la respuesta regulatoria a la inteligencia artificial y a la ciberseguridad sigue apoyándose en gran medida en directrices sectoriales, estándares técnicos y marcos de soft law impulsados por agencias como el NIST, la Unión opta por una arquitectura normativa más integrada y vinculante. En el Reino Unido, por su parte, predomina un modelo flexible y basado en principios, con una fuerte dependencia de la autorregulación y de la supervisión sectorial. Frente a ello, el enfoque europeo combina regulación horizontal, obligaciones específicas para sectores críticos y exigencias de gobernanza corporativa, lo que refuerza la seguridad jurídica pero también eleva el nivel de exigencia para las empresas. Esta diferencia resulta especialmente relevante para los grupos de empresas multinacionales, que deberán armonizar sus políticas internas con marcos regulatorios cada vez más divergentes.

Si se amplía la comparación a otros ordenamientos, se aprecia igualmente que la Unión Europea avanza hacia un modelo más estructurado de atribución de responsabilidades. En Alemania y Francia, por ejemplo, la ciberseguridad se ha ido incorporando progresivamente al perímetro de los deberes de organización y supervisión de las sociedades, aunque todavía sin alcanzar el grado de sistematización propio de la tradición continental en otros aspectos. En Japón y Corea del Sur, la regulación combina también instrumentos públicos y estándares técnicos, pero con un mayor peso de la cooperación administrativa y de la autorregulación empresarial. En China, donde la intervención normativa es intensa, la lógica predominante responde más al control estatal de la infraestructura digital que a una integración expresa entre inteligencia artificial, resiliencia operativa y gobierno corporativo. Este contraste confirma que el modelo europeo no solo es más ambicioso desde el punto de vista regulatorio, sino también más exigente en términos de compliance societario y de gestión interna del riesgo.

El Plan se estructura sobre tres grandes ejes.

  • En primer lugar, impulsa el uso seguro y responsable de la inteligencia artificial avanzada. La Comisión propone reforzar la evaluación de los modelos más potentes antes de su despliegue, fomentar mecanismos de prueba y desarrollar metodologías comunes para identificar riesgos de ciberseguridad.
  • En segundo lugar, pretende fortalecer la resiliencia digital europea. Para ello, apuesta por mejorar la preparación de administraciones públicas, operadores esenciales, empresas y pequeñas y medianas empresas frente a ciberataques potenciados mediante inteligencia artificial, favoreciendo además la cooperación entre autoridades nacionales y europeas.
  • El tercer eje busca desarrollar capacidades europeas propias de inteligencia artificial aplicada a la ciberseguridad. La autonomía tecnológica aparece así como un elemento esencial de la soberanía digital europea, reduciendo la dependencia de modelos desarrollados fuera de la Unión y favoreciendo un ecosistema europeo de investigación, innovación e industria.

Para el Derecho de sociedades, la principal consecuencia del Plan consiste en reforzar la consideración de la ciberseguridad y de l IA como cuestiones propias del órgano de administración. No son materias exclusivamente tecnológicas, sino elementos integrantes del deber de diligencia de los administradores, de la supervisión del sistema de control interno y de la estrategia empresarial. Esta evolución resulta coherente con la tendencia que ya se observa en  NIS2 y en DORA: atribuir expresamente obligaciones y  responsabilidades directas a los órganos de dirección en materia de gestión de riesgos digitales. El nuevo Plan amplía esa lógica al reconocer expresamente que la inteligencia artificial modifica la naturaleza del riesgo cibernético y exige nuevas capacidades de gobernanza. En consecuencia, la gobernanza corporativa del futuro deberá integrar, de manera coordinada, el cumplimiento normativo en materia de inteligencia artificial, la gestión de riesgos de ciberseguridad, la resiliencia operativa y la responsabilidad de los administradores.

El Plan de Acción constituye un paso más hacia ese nuevo paradigma regulatorio, caracterizado por la convergencia entre innovación tecnológica, seguridad digital y buen gobierno corporativo.

(Texto generado y editado manualmente, con  apoyo (circa 10%) de la IA ).

 

Inteligencia artificial, AI washing, sanciones en EEUU

Posted on por

Las sociedades mercantiles y sus administradores  operan en un entorno de responsabilidad cada vez más exigente. .A los riesgos financieros tradicionales se han sumado los derivados de la sostenibilidad, las cuestiones ESG, la ciberseguridad, la protección de datos, los riesgos reputacionales, por mencionar algunos. Y, la inteligencia artificial incorpora un nuevo factor de complejidad y riesgo.

Guess who

La adopción acelerada de sistemas de inteligencia artificial está transformando los modelos de negocio de empresas de todos los sectores. Junto a las oportunidades que ofrecen las tecnologías inteligentes, aparecen también nuevos riesgos jurídicos y de gobierno corporativo. Hoy nos centramos en uno de ellos: el  denominado AI washing.  La expresión es utilizada para describir aquellas situaciones en las que una empresa exagera, atribuye o publicita capacidades de inteligencia artificial que, en realidad, no posee o no puede acreditar suficientemente.

Esta práctica puede afectar tanto a productos y servicios como a procesos internos o estrategias empresariales. En un mercado especialmente sensible a la innovación tecnológica, las afirmaciones sobre el desarrollo o utilización de inteligencia artificial influyen en las decisiones de inversión, en la confianza de clientes y socios comerciales, en los consumidores  y, en definitiva, en la valoración de las compañías. Cuando esas declaraciones resultan engañosas o insuficientemente fundamentadas, se derivan consecuencias. Por ejemplo, los inversores pueden interponer reclamaciones por información inexacta, los supervisores podrían iniciar investigaciones y las empresas enfrentarse a procedimientos sancionadores o judiciales.

La tendencia ya es evidente en Estados Unidos. Desde 2023 se ha producido un notable incremento de las demandas relacionadas con el AI washing, acompañado de una creciente actividad supervisora. Un hito especialmente significativo fue la actuación de la U.S. Securities and Exchange Commission (SEC), autoridad federal encargada de la supervisión de los mercados de valores estadounidenses, que el 18 de marzo de 2024 sancionó a las sociedades de asesoramiento financiero Delphia (USA) Inc. y Global Predictions Inc. por realizar declaraciones falsas o engañosas acerca del supuesto uso de inteligencia artificial en sus procesos de inversión y en su actividad empresarial. La SEC consideró que ambas entidades habían utilizado el atractivo comercial de la IA para inducir a error a inversores y clientes potenciales, popularizando, además, el término AI washing.

.Los comportamientos sancionados, por falsos y por incitar a error , consistían en que, por una parte,  Delphia afirmaba utilizar modelos de IA y machine learning basados en datos de sus clientes (pero tales capacidades no existían en los términos anunciados). Por otra parte,  Global Predictions se presentaba como el «primer asesor financiero regulado por IA» y publicitaba previsiones «impulsadas por IA» sin un fundamento de realidad suficiente.

Ambas entidades aceptaron pagar las sanciones  (225.000 y 175.000 dólares, respectivamente), además de  obedecer a las órdenes de cese de las prácticas cuestionadas. La SEC subrayó que las empresas no pueden aprovechar el atractivo comercial de la inteligencia artificial para realizar afirmaciones inexactas o engañosas, acuñando expresamente el término AI washing para referirse a este tipo de conductas.

Estos asuntos constituyen una advertencia temprana de gran relevancia: las afirmaciones públicas sobre el empleo de inteligencia artificial pueden generar responsabilidad regulatoria cuando no sean objetivamente verificables, lo que incrementa la exposición de administradores y directivos y, potencialmente, de las pólizas D&O.

La supervisión regulatoria frente a las declaraciones falsas sobre  inteligencia artificial no se limita a la transparencia frente al mercado. También alcanza a los sistemas internos de cumplimiento normativo. Un buen ejemplo lo ofrece la Office of Foreign Assets Control (OFAC), oficina del Departamento del Tesoro de los Estados Unidos responsable de administrar y hacer cumplir los programas de sanciones económicas y comerciales internacionales. OFAC mantiene, entre otras funciones, la conocida Specially Designated Nationals and Blocked Persons List (SDN List) y supervisa el cumplimiento de los regímenes de sanciones estadounidenses. En el ámbito financiero, se admite el empleo de inteligencia artificial y de técnicas de machine learning en funciones críticas como los sistemas de sanctions screening, pero se insiste en que estas tecnologías no sustituyen la responsabilidad de las organizaciones ni eliminan la necesidad de mantener controles internos eficaces, supervisión humana, validación continua de los modelos y adecuados mecanismos de auditoría. La utilización de inteligencia artificial no exime del cumplimiento de las obligaciones legales: únicamente constituye una herramienta cuyo funcionamiento debe poder explicarse, verificarse y supervisarse.

La OFAC no exige aplicar una tecnología específica. Si demanda, en cambio , la puesta en marcha de programas de cumplimiento eficaces, basados en una evaluación adecuada del riesgo, controles internos, auditorías y el compromiso de la dirección. También insiste en que la inteligencia artificial puede mejorar la eficacia del screening, pero nunca sustituye la responsabilidad de la empresa ni la obligación de demostrar la efectividad de su sistema de cumplimiento.

La actuación de los reguladores estadounidenses frente al AI washing se ha intensificado también en el ámbito de la protección de los consumidores. El 25 de agosto de 2025, la Federal Trade Commission (FTC) presentó una demanda contra Air AI, empresa dedicada a la comercialización de herramientas de inteligencia artificial y servicios de formación empresarial.

Según la FTC, la compañía habría realizado afirmaciones engañosas al asegurar que su sistema de IA, denominado Odin, podía mantener conversaciones telefónicas autónomas con una calidad equiparable a la de un ser humano, sustituir a los comerciales y ejecutar de forma independiente tareas empresariales complejas. Sin embargo, la autoridad consideró que el sistema  Odin no funcionaba conforme a lo anunciado, presentando graves limitaciones incluso para realizar funciones básicas como concertar citas, registrar direcciones de correo electrónico o responder correctamente a preguntas de los usuarios.

La FTC alegó que estas declaraciones permitieron a la empresa obtener millones de dólares de emprendedores y pequeñas empresas, algunas de las cuales habrían sufrido pérdidas económicas relevantes. En su demanda, la FTC solicitó medidas cautelares inmediatas. Este asunto, a modo de ejemplo, constituye el cuarto procedimiento por AI washing iniciado por la FTC en 2025 y el duodécimo desde 2024, lo que pone de manifiesto una tendencia en auge, frente a las prácticas comerciales engañosas relacionadas con la inteligencia artificial.

El asunto resulta especialmente relevante porque constituye uno de los primeros casos en los que un regulador cuestiona expresamente las afirmaciones relativas a la denominada IA agéntica (agentic AI), así como las promesas de sustitución de trabajadores humanos por sistemas de inteligencia artificial. Y, el mensaje es que , para poder afirmar, es necesario acreditar técnicamente las capacidades reales de los productos y servicios, y evitar afirmaciones publicitarias que puedan inducir a error a consumidores, clientes o inversores.

Los enfoques de los supervisores estadounidenses responden a ámbitos regulatorios distintos entre sí, pero transmiten un mismo mensaje. La inteligencia artificial deja de ser únicamente una cuestión tecnológica para convertirse en un verdadero problema de gobierno corporativo y de competencia desleal. Ya no basta con incorporar soluciones de IA; es necesario, además , demostrar que su utilización está sometida a mecanismos eficaces de supervisión, control y rendición de cuentas.

Expo na Cidade da Cultura (Santiago, 2021)

En Europa, el panorama presenta características propias.

 

El Reglamento (UE) 2024/1689, conocido como AI Act, no establece una responsabilidad personal específica para los administradores por el mero uso de sistemas de inteligencia artificial. Sin embargo, sí refuerza indirectamente sus deberes de diligencia, supervisión y organización mediante la exigencia de estructuras capaces de garantizar un uso responsable de estas tecnologías y de gestionar adecuadamente los riesgos asociados.

En consecuencia, la gobernanza de la inteligencia artificial deja de ser una cuestión exclusivamente tecnológica para convertirse en un asunto propio del gobierno corporativo. Los riesgos asociados a la IA deben identificarse, evaluarse y comunicarse periódicamente al consejo de administración, integrándose en los sistemas de control interno junto a los riesgos financieros, de cumplimiento normativo, ciberseguridad o sostenibilidad.

La supervisión humana efectiva, la existencia de políticas internas, la formación de los empleados, la trazabilidad de las decisiones automatizadas, la documentación de los modelos utilizados y la verificación de las afirmaciones públicas realizadas sobre el empleo de inteligencia artificial constituyen ya elementos esenciales de una adecuada gestión empresarial. La ausencia de información suficiente al consejo o la falta de mecanismos de supervisión podrían llegar a interpretarse como deficiencias en el cumplimiento del deber de diligencia y vigilancia de los administradores.

Mongolfiera

Todo ello tiene una consecuencia especialmente relevante desde la perspectiva aseguradora. El AI washing comienza a perfilarse como una nueva fuente de exposición para las pólizas D&O, al incrementar el riesgo de reclamaciones por parte de accionistas, inversores, autoridades supervisoras, consumidores o terceros afectados. La gestión adecuada de la inteligencia artificial deja así de ser únicamente una cuestión de innovación para convertirse también en un elemento esencial de prevención del riesgo jurídico y de protección de los órganos de administración.

En los próximos años, probablemente la gobernanza de la inteligencia artificial ocupará una posición semejante a la que hoy tienen la ciberseguridad o el cumplimiento normativo. Los consejos de administración no solo deberán decidir sobre la adopción de sistemas de IA, sino también acreditar que su utilización responde a criterios de diligencia, transparencia, control interno y supervisión efectiva. La inteligencia artificial ya no constituye únicamente una oportunidad tecnológica: es, cada vez con mayor intensidad, un asunto de gobierno corporativo, responsabilidad de administradores y gestión integral del riesgo empresarial.

Más en las fuentes:

Regulación, acceso y poder económico en la nueva gobernanza de la IA

Posted on por

Cuando hablamos de inteligencia artificial, la mayor parte del debate jurídico gira en torno a cuestiones funcionales como la protección de los derechos fundamentales, la responsabilidad por los daños causados por sistemas automatizados, la transparencia algorítmica, la privacidad o la ciberseguridad. Son aspectos  esenciales de la nueva realidad y, con razón, ocupan un lugar central en la reflexión. Sin embargo, mientras el debate continúa centrado en cómo debe regularse la inteligencia artificial, comienza a emerger otra cuestión que podría resultar aún más decisiva durante la próxima década: ¿quién podrá acceder a las capacidades más avanzadas de inteligencia artificial y bajo qué condiciones?

Garexo no verán

Garexo no verán

La pregunta plantea un problema clásico del Derecho económico, pues no es lo mismo regular una actividad que controlar el acceso a ella.

  • Regular significa establecer reglas generales de funcionamiento para todos los operadores que participan en un determinado mercado. Es la lógica tradicional del Derecho económico: las empresas pueden desarrollar libremente una actividad siempre que respeten determinadas obligaciones legales, de competencia, de protección de consumidores, de seguridad o de protección ambiental.
  • Otro concepto muy distinto consiste en controlar quién puede acceder a una determinada actividad o a determinados recursos indispensables para desarrollarla. En ese caso, el Derecho deja de limitarse a disciplinar el funcionamiento del mercado para intervenir sobre su propia estructura, condicionando quién puede participar y quién queda excluido.

Como es sabido, existen actividades sometidas a autorización administrativa, concesiones, licencias o reservas legales precisamente porque el legislador considera que están vinculadas a intereses públicos especialmente intensos. Hasta hace muy poco, la inteligencia artificial no parecía que fuera a pertenecer a esa categoría. Pero la situación está cambiando con enorme rapidez. Hoy la inteligencia artificial ya no constituye únicamente una herramienta para mejorar la productividad empresarial. Se ha convertido en un elemento decisivo para la defensa nacional, la ciberseguridad, la investigación científica, la medicina, la industria, las infraestructuras críticas y la competitividad económica. La IA ha dejado de ser únicamente una tecnología innovadora para convertirse también en un activo estratégico. Y cuando una tecnología adquiere esa condición, inevitablemente cambia la naturaleza de la regulación jurídica que la rodea. Por esa razón, tanto Estados Unidos como la Unión Europea han comenzado a incorporar la inteligencia artificial dentro de sus políticas de seguridad económica y de autonomía estratégica.

Quizá el verdadero objeto de regulación ya no tenga que ser la inteligencia artificial considerada de forma abstracta, sino el acceso a las capacidades necesarias para desarrollar los sistemas más avanzados:  la potencia de cálculo, los grandes centros de datos, los procesadores especializados, las infraestructuras cloud, los modelos fundacionales de última generación o determinados conjuntos masivos de datos de alta calidad. Sin acceso a esos recursos resulta prácticamente imposible desarrollar inteligencia artificial de frontera.

Así, el debate principal deja de centrarse en cómo debe utilizarse la inteligencia artificial y comienza a consistir en quien puede acceder a los factores esenciales que permiten producirla.

¿Daría esto lugar a una nueva forma de intervención pública?.  Conviene ser prudentes.  Hoy no existe, ni en la Unión Europea ni en Estados Unidos, una autorización administrativa general para desarrollar inteligencia artificial. El Reglamento europeo de Inteligencia Artificial (AI Act), con su reforma Omnibus incluida, no establece un sistema de licencias para crear modelos de IA. Su lógica continúa siendo la de clasificar los sistemas según su nivel de riesgo, prohibir determinados usos especialmente graves, imponer obligaciones reforzadas a los sistemas de alto riesgo y regular los modelos de propósito general, pero mantiene como principio general la libre circulación de los sistemas conformes dentro del mercado interior.

Sin embargo, junto a este modelo comienza a dibujarse otra realidad:

El acceso a determinadas capacidades tecnológicas depende cada vez más de decisiones públicas relacionadas con la seguridad nacional, los controles de exportación, la disponibilidad de semiconductores avanzados, la utilización de supercomputadores, la protección de infraestructuras críticas o la financiación pública de grandes proyectos tecnológicos.

No nos encontramos todavía ante un régimen de autorización administrativa en sentido estricto. Sin embargo, la evolución del marco regulatorio comienza a producir efectos económicos y competitivos que presentan una creciente analogía funcional con los sistemas de acceso condicionado al mercado.

En una economía de mercado, la obtención de ventajas competitivas debería descansar fundamentalmente sobre la capacidad de innovación, la eficiencia productiva, la inversión y la calidad de la organización empresarial. No obstante, este equilibrio puede verse alterado cuando el acceso a determinados recursos tecnológicos o infraestructuras estratégicas deja de depender exclusivamente de la capacidad empresarial y pasa a condicionarse al cumplimiento de requisitos regulatorios de elevada complejidad o, incluso, a decisiones institucionales relativas al acceso a capacidades consideradas críticas.

En estas circunstancias, la propia estructura competitiva del mercado puede experimentar transformaciones relevantes. Las empresas de menor dimensión, aun cuando dispongan de una elevada capacidad innovadora, encuentran mayores dificultades para acceder a los recursos esenciales para competir en igualdad de condiciones. Paralelamente, el incremento de los costes de cumplimiento normativo puede operar como una barrera de entrada, favoreciendo procesos de concentración económica y reforzando las ventajas estructurales de los operadores ya establecidos.

Los grandes operadores no solo disponen, por regla general, de mayores capacidades financieras y tecnológicas, sino también de recursos organizativos y jurídicos suficientes para gestionar con mayor eficacia la creciente complejidad regulatoria e integrarse en los ecosistemas tecnológicos y de gobernanza que se configuran en torno a las infraestructuras estratégicas de inteligencia artificial. Esta ventaja institucional se añade a las economías de escala y de red ya existentes, pudiendo consolidar posiciones de mercado particularmente difíciles de disputar.

Desde esta perspectiva, la cuestión trasciende el ámbito propio de la regulación tecnológica para proyectarse sobre el Derecho de la competencia y el Derecho del mercado interior. Ambos sectores del ordenamiento deberán afrontar el desafío de evitar que mecanismos regulatorios concebidos para proteger intereses públicos legítimos —como la seguridad, la resiliencia o la protección de los derechos fundamentales— produzcan, de forma indirecta, efectos restrictivos sobre la competencia o generen barreras de acceso incompatibles con los principios de apertura de los mercados y de libertad de empresa. El reto jurídico consistirá, por tanto, en preservar un equilibrio adecuado entre los objetivos regulatorios y el mantenimiento de unas condiciones de competencia efectivas, evitando que la gobernanza de la inteligencia artificial evolucione hacia modelos de acceso selectivo que, sin constituir formalmente regímenes autorizatorios, desplieguen consecuencias económicas sustancialmente equivalentes.

Europa y Estados Unidos siguen caminos parcialmente distintos

La respuesta de la Unión Europea presenta rasgos propios. El Reglamento (UE) 2024/1689 sobre inteligencia artificial (AI Act) no persigue determinar qué empresas pueden desarrollar sistemas de inteligencia artificial ni establecer un régimen de autorización para el acceso a esta tecnología. Su finalidad consiste en configurar un marco jurídico uniforme que garantice un elevado nivel de protección de los derechos fundamentales, la seguridad y otros intereses públicos, evitando al mismo tiempo la fragmentación regulatoria del mercado interior. El principio que inspira el modelo europeo continúa siendo, por tanto, el de la libre circulación de los sistemas de inteligencia artificial que cumplen los requisitos armonizados establecidos por el Reglamento.

Rio Arno, Luminaria, di San Rainieri, 2024

La aproximación estadounidense responde a una lógica diferente. Sin abandonar los mecanismos propios de una economía de mercado, la inteligencia artificial ha pasado a integrarse progresivamente en la estrategia nacional de liderazgo tecnológico, seguridad económica y competencia geopolítica. En este contexto, el acceso a determinados recursos estratégicos —como los semiconductores avanzados, la capacidad de computación o los modelos fundacionales de mayor potencia— se contempla cada vez más como un elemento de política industrial y de seguridad nacional, cuya disponibilidad puede quedar condicionada por decisiones públicas relativas a exportaciones, inversiones, suministro tecnológico o cooperación internacional.

La diferencia entre ambos modelos no reside tanto en el mayor o menor grado de intervención pública cuanto en la distinta finalidad que orienta dicha intervención. Mientras la Unión Europea continúa construyendo un régimen jurídico destinado principalmente a ordenar el funcionamiento del mercado interior y a garantizar un desarrollo confiable de la inteligencia artificial, Estados Unidos incorpora esta tecnología de manera creciente al ámbito de la competencia estratégica internacional, donde confluyen objetivos económicos, industriales, tecnológicos y de seguridad.

Esta divergencia anticipa una de las cuestiones que probablemente dominarán el debate jurídico durante los próximos años. Durante la última década, el interrogante central ha consistido en determinar cómo debía regularse la inteligencia artificial. Sin embargo, la evolución reciente permite plantear que la cuestión decisiva pueda dejar de ser la regulación de la actividad para trasladarse al régimen jurídico del acceso a las capacidades tecnológicas que hacen posible dicha actividad.

En este escenario, el problema ya no consiste únicamente en establecer obligaciones de transparencia, seguridad o diligencia para quienes desarrollan o utilizan sistemas de inteligencia artificial. También será necesario determinar en qué condiciones jurídicas podrán acceder los operadores económicos a infraestructuras esenciales, capacidad de computación, modelos fundacionales, grandes conjuntos de datos o componentes tecnológicos cuya relevancia estratégica resulta cada vez más evidente. La cuestión adquiere especial trascendencia desde la perspectiva de la libertad de empresa, la competencia efectiva y el correcto funcionamiento del mercado interior.

Naturalmente, los poderes públicos disponen de razones legítimas para proteger tecnologías críticas, infraestructuras esenciales y capacidades estratégicas cuya utilización puede afectar a la seguridad nacional, la resiliencia económica o la autonomía tecnológica. Sin embargo, esa protección deberá conciliarse con los principios que tradicionalmente han sustentado las economías abiertas: la libertad de acceso al mercado, la igualdad de oportunidades entre operadores, la innovación y la preservación de una competencia efectiva capaz de favorecer la aparición de nuevos actores.

La experiencia histórica demuestra que los grandes ciclos de innovación tecnológica han prosperado cuando el ordenamiento jurídico ha logrado mantener un equilibrio razonable entre regulación e iniciativa empresarial. Una intervención insuficiente puede comprometer intereses públicos esenciales; una intervención excesivamente restrictiva puede reducir la innovación, elevar las barreras de entrada y favorecer procesos de concentración económica. La inteligencia artificial no parece escapar a esta tensión estructural. Desde esta perspectiva, cabe sostener que el principal desafío jurídico de la próxima década no consistirá únicamente en determinar qué modelo de inteligencia artificial alcanza mayores niveles de rendimiento o qué empresas liderarán el desarrollo tecnológico. La cuestión verdaderamente decisiva será definir quién podrá acceder a las capacidades estratégicas que hacen posible esa inteligencia artificial y cuáles serán los límites jurídicos que condicionen dicho acceso.

En otras palabras, el centro de gravedad del Derecho económico de la inteligencia artificial puede desplazarse desde la regulación de la actividad hacia la gobernanza del acceso a los recursos tecnológicos estratégicos. Si esta evolución termina consolidándose, estaremos ante una transformación de gran alcance: el tránsito desde un mercado caracterizado, en esencia, por la libre disponibilidad de los recursos tecnológicos hacia otro en el que determinadas capacidades —especialmente la computación avanzada, los modelos fundacionales, los semiconductores de última generación o las infraestructuras críticas de datos— adquieran progresivamente la condición de activos estratégicos, cuyo acceso dejará de depender exclusivamente de las dinámicas del mercado para quedar crecientemente condicionado por decisiones regulatorias, institucionales y geopolíticas. Ello obligará al Derecho económico, al Derecho de la competencia y al Derecho público económico a redefinir categorías tradicionales concebidas para mercados abiertos, incorporando una nueva dimensión en la que la regulación del acceso a capacidades tecnológicas estratégicas puede convertirse en uno de los elementos centrales de la gobernanza de la economía digital.

FUENTES DE INTERÉS:

Estados Unidos

Unión Europea

 

La Unión Europea crea el CSC-EDIC: un nuevo consorcio para formar el talento europeo en ciberseguridad

Posted on por

La Comisión Europea ha aprobado la Decisión de Ejecución (UE) 2026/1416, de 30 de junio de 2026, mediante la que se constituye el European Digital Infrastructure Consortium for the Cybersecurity Skills Coalition (CSC-EDIC): un paso relevante en la consolidación de la política europea de ciberseguridad.

strolling along the shore

Los European Digital Infrastructure Consortia (EDIC) son una figura jurídica creada por la Decisión (UE) 2022/2481 sobre la Década Digital. Su finalidad, en general, consiste en permitir que varios Estados miembros desarrollen conjuntamente proyectos estratégicos de infraestructura digital, dotándolos de personalidad jurídica propia y de un marco estable de financiación y gobernanza.

En el caso del CSC-EDIC, el nuevo consorcio estará dedicado exclusivamente al desarrollo de capacidades en materia de ciberseguridad. La Comisión reconoce así, como base material de su decisión, que la falta de talento constituye una vulnerabilidad estructural para la competitividad y la resiliencia europea. Por ello, junto a la regulación material, comienza a construirse una verdadera infraestructura institucional destinada a generar capacidades.  Este CSC-EDIC en concreto ha sido impulsado inicialmente por Grecia, Austria, Croacia, Chipre y Eslovenia, siendo Grecia el Estado anfitrión. Su sede se ubicará en Atenas y el consorcio tendrá una duración inicial de diez años, prorrogable.Como ocurre con otros EDIC, podrán incorporarse posteriormente nuevos Estados miembros

La misión de este consorcio es reducir el déficit europeo de talento en ciberseguridad. La Comisión identifica como principal objetivo del CSC-EDIC afrontar la creciente escasez de profesionales especializados en ciberseguridad. Para ello, desarrollará actuaciones dirigidas a: impulsar la formación especializada; facilitar el reciclaje profesional (reskilling y upskilling); mejorar las competencias del sector público y privado; apoyar a las pequeñas y medianas empresas; – contribuir a la aplicación práctica de la normativa europea en materia de ciberseguridad. No se trata únicamente de formar expertos técnicos. La Comisión conecta expresamente este proyecto con la necesidad de garantizar el cumplimiento efectivo del creciente conjunto de normas europeas en materia digital.

La decisión prevé que el CSC-EDIC trabaje de forma coordinada con – la Agencia de la Unión Europea para la Ciberseguridad (ENISA); y con el Centro Europeo de Competencia en Ciberseguridad (ECCC). Asimismo, utilizará herramientas ya desarrolladas por ENISA, en particular el European Cybersecurity Skills Framework, evitando duplicidades y reforzando la coherencia del ecosistema europeo.

El CSC‑EDIC apoyará la consecución de los objetivos establecidos en la Comunicación de la Comisión de 18 de abril de 2023, titulada «Colmar la brecha de talento en materia de ciberseguridad para impulsar la competitividad, el crecimiento y la resiliencia de la UE» [COM(2023) 207 final], orientados a mejorar las capacidades de educación, formación y desarrollo de la mano de obra de la Unión en materia de ciberseguridad. Para el desempeño de esta tarea principal, el CSC‑EDIC abordará el creciente déficit de competencias en ciberseguridad y promoverá el desarrollo de capacidades entre las autoridades públicas, la industria y las pequeñas y medianas empresas de los Estados miembros, reforzando así la competitividad, el crecimiento y la resiliencia de la Unión.

Con el fin de alcanzar estos objetivos, el CSC-EDIC desarrollará una actuación dinámica orientada a reforzar la cualificación y el reciclaje profesional de los especialistas en ciberseguridad, adaptando la oferta de capacidades a las necesidades del mercado de trabajo, a los déficits de competencias identificados y a las exigencias de cumplimiento normativo de las industrias de la Unión y de las administraciones nacionales. Asimismo, apoyará la aplicación efectiva de los instrumentos jurídicos europeos en materia de ciberseguridad y favorecerá su implantación práctica, en coherencia con la iniciativa de la «Unión de las Competencias» (Union of Skills), presentada por la Comisión Europea en su Comunicación de 5 de marzo de 2025. Esta estrategia persigue dotar a los ciudadanos de la Unión de las capacidades necesarias para afrontar con éxito tanto su formación como su trayectoria profesional, promover el reconocimiento y aprovechamiento de dichas competencias en el conjunto de los Estados miembros, corregir los desequilibrios de género y facilitar a las empresas el acceso al capital humano especializado que requieren, reforzando así la competitividad y la inclusión en el mercado europeo.

Esta orientación refleja una evolución significativa de la política europea de ciberseguridad. Durante la última década, la actuación de la Unión se ha centrado principalmente en la adopción de un marco regulatorio cada vez más exigente, integrado, entre otros instrumentos, por la Directiva NIS2, el Reglamento de Ciberresiliencia (Cyber Resilience Act), el Reglamento DORA y el Reglamento de Inteligencia Artificial. Sin embargo, la efectividad de este conjunto normativo depende, en gran medida, de la existencia de profesionales suficientemente cualificados para aplicarlo e integrarlo en la gestión de las organizaciones. En consecuencia, la política europea evoluciona desde un modelo basado esencialmente en la imposición de obligaciones jurídicas hacia otro más amplio, en el que la regulación se complementa con mecanismos de coordinación institucional, financiación, desarrollo de capacidades e infraestructuras comunes destinadas a garantizar una aplicación efectiva y homogénea del marco normativo europeo.

 

 

Reformas en las infraestructuras europeas de pagos, TARGET

Posted on por

La Orientación (UE) 2026/1473 del Banco Central Europeo, que modifica la Orientación (UE) 2022/912 sobre el sistema TARGET, representa un nuevo paso en la transformación de las infraestructuras financieras europeas hacia un modelo caracterizado por la automatización, la interoperabilidad y la resiliencia operacional.

TARGET constituye la principal infraestructura del Eurosistema para la liquidación bruta en tiempo real y el funcionamiento de los pagos instantáneos mediante TIPS (TARGET Instant Payment Settlement), esencial para la estabilidad financiera europea. El objetivo principal de esta reforma es adaptar los servicios de liquidación, incluyendo la incorporación del esquema de transferencias inmediatas One-Leg Out del Consejo Europeo de Pagos y la habilitación de envío de flujos de liquidez para los bancos centrales.

La nueva Orientación persigue tres grandes objetivos que reflejan que estamos ante una evolución en el diseño institucional de una infraestructura crítica:

  • incorporar nuevas funcionalidades para los pagos instantáneos;
  • optimizar la gestión automática de la liquidez de las entidades participantes;
  • reforzar determinados mecanismos de gobernanza y gestión del riesgo dentro del sistema.

La automatización de la liquidez

Una de las novedades más relevantes consiste en la introducción de traspasos automáticos de liquidez basados en reglas («rule-based liquidity transfers«).

Las entidades podrán fijar umbrales mínimos y máximos en sus cuentas TIPS. Cuando el saldo supere o descienda de esos límites, el propio sistema ejecutará automáticamente movimientos de liquidez entre cuentas, evitando intervenciones manuales y mejorando la eficiencia operativa. Esta funcionalidad estará operativa en verano de 2026. Con este nuevo instrumento, determinadas decisiones tradicionalmente adoptadas por operadores humanos pasan a integrarse directamente en la arquitectura normativa del sistema.

Pagos instantáneos internacionales

Otra modificación importante prepara TARGET para operar con el Esquema SEPA One-Leg Out (OCT Inst), que permitirá procesar determinados pagos instantáneos cuando una de las entidades participantes se encuentre fuera del espacio SEPA tradicional.

La Orientación adapta las condiciones de participación, los requisitos de adhesión y los procedimientos técnicos para hacer posible esta interoperabilidad a partir del 14 de noviembre de 2026. Se trata de un paso relevante hacia la internacionalización de los pagos instantáneos europeos.

Nuevos criterios de gestión del riesgo

La reforma también introduce modificaciones menos visibles pero especialmente significativas desde el punto de vista jurídico. Entre ellas destacan  algunas, por su impacto en reducir la discrecionalidad, reforzar la seguridad jurídica y aumentar la resiliencia del sistema:

Pisa di notte

  • – la clarificación de las condiciones de acceso de entidades sujetas a medidas restrictivas o sanciones internacionales;
  • – una mayor precisión sobre los efectos de la suspensión o finalización de la participación en TARGET;
  • – la actualización de los activos de garantía aplicables a las operaciones de crédito intradía conforme al nuevo marco del Eurosistema;
  • – la revisión de determinadas estructuras tarifarias aplicables a las cuentas RTGS.

Infraestructuras críticas y gobernanza

Quizá el aspecto más interesante de esta reforma sea el cambio de paradigma que refleja. Las infraestructuras financieras dejan de ser simples plataformas de liquidación para convertirse en auténticos sistemas de gobernanza automatizada. Las reglas jurídicas ya no solo determinan quién puede participar o qué obligaciones existen, sino que se incorporan directamente al funcionamiento del software que ejecuta las operaciones. La liquidez, los límites operativos, las autorizaciones y las condiciones de acceso pasan a gestionarse mediante reglas predefinidas que el propio sistema aplica automáticamente.

Este fenómeno confirma una tendencia cada vez más visible en el Derecho financiero europeo: la regulación se proyecta sobre la arquitectura tecnológica de las infraestructuras críticas, convirtiendo el diseño del sistema en un auténtico instrumento de política regulatoria.

La modificación de TARGET ilustra perfectamente cómo las infraestructuras digitales críticas se están convirtiendo en espacios donde convergen el Derecho, la tecnología y la estabilidad financiera.

Este tipo de normas muestran que la resiliencia ya no depende únicamente de obligaciones jurídicas impuestas a los operadores, sino también del diseño de las propias arquitecturas técnicas que ejecutan automáticamente dichas obligaciones. Por tanto, la transformación digital del sistema financiero europeo no consiste únicamente en acelerar los pagos, sino en rediseñar las reglas de funcionamiento de una de las infraestructuras esenciales sobre las que descansa el mercado interior.

SpaceX ya cotiza en Nasdaq: una OPV histórica con problemas serios de gobernanza, datos y soberanía tecnológica

Posted on por

La salida a bolsa de SpaceX en Nasdaq en junio de 2026 se ha convertido en la mayor OPV de la historia de los mercados estadounidenses, con un precio fijado en 135 dólares por acción y una valoración en torno a 1,75 billones de dólares, según el folleto S‑1 presentado ante la SEC (ver )  (ver ) (ver) . La empresa debuta así en bolsa, en un contexto de enormes expectativas financieras, pero también de crecientes interrogantes jurídicos en materia de gobierno corporativo, protección de datos, regulación de infraestructuras críticas y autonomía estratégica de los Estados (ver ) ; (ver)

  1. Arquitectura societaria y gobierno corporativo: máximo control con mínimo escrutinio

El formulario S‑1 presentado ante la SEC confirma que SpaceX cotiza mediante acciones de clase A en Nasdaq, mientras mantiene una estructura de doble clase que otorga a Elon Musk y a un reducido núcleo de insiders un poder de voto muy superior a su participación económica . Con esta estructura, Musk podrá conservar un control efectivo de la compañía incluso con un porcentaje de capital muy inferior al 50%. En paralelo, el diseño de la operación —OPV de hasta 75.000 millones de dólares y flotación relativamente limitada— refuerza la posición de control interno y reduce el peso del free float como mecanismo disciplinante

Diversos análisis subrayan que se trata de una operación pensada para atraer masivamente al inversor minorista, con una asignación a este tipo de inversor muy superior a la habitual en grandes OPV, al tiempo que se preserva el núcleo duro de control. Ello plantea cuestiones muy conocidas en el Derecho de sociedades y del mercado de valores: riesgo de captura del consejo, debilitamiento de los mecanismos de accountability internos y externos, y tensión entre la lógica de empresa de fundador y las exigencias de tutela del accionista minoritario, especialmente cuando la empresa pasa a operar como infraestructura crítica de facto (aquí)

  1. Infraestructura crítica, contratos públicos y seguridad nacional

El modelo de negocio que se lleva al mercado no es solo lanzamiento de cohetes: el S‑1 y los análisis derivados describen una estructura basada en actividades espaciales (launch), conectividad vía Starlink y un bloque de inteligencia artificial asociado a la integración con xAI (ver) . Starlink presta servicios a millones de usuarios en más de cien países y genera una parte sustancial de los ingresos, mientras  mantiene contratos de alto valor estratégico con la NASA y el Departamento de Defensa de Estados Unidos.

Esta dualidad civil-militar convierte a SpaceX en una pieza central de la infraestructura crítica global, en particular en lo que respecta a comunicaciones por satélite, resiliencia militar y soporte de operaciones. Y ello abre debates sobre mecanismos de control de inversiones extranjeras en infraestructuras sensibles, exigencias adicionales de transparencia en contratos públicos y articulación entre Derecho de defensa, regulación de mercados financieros y protección de intereses esenciales del Estado. 

  1. Protección de datos, perfilado y soberanía digital

Starlink es también una gigantesca máquina de generación y tratamiento de datos de comunicaciones electrónicas y datos de uso, con una base de millones de abonados y presencia en más de 160 países (ver)  Su prestación de servicios de conectividad vía satélite con fuerte componente de telemetría, geolocalización, consumo de ancho de banda y patrones de uso sitúa a la compañía en el centro del debate sobre privacidad, perfilado y tratamiento de datos conductuales. Esto  plantea cuestiones críticas, que en la UE se aglutinan en torno a las bases jurídicas del tratamiento, transferencias internacionales de datos a Estados Unidos, garantías de privacidad por diseño, límites al perfilado y tratamiento automatizado de decisiones, especialmente cuando se trate de menores o de servicios vinculados a entornos sensibles.

Al mismo tiempo, la expansión global de Starlink reaviva el debate sobre soberanía digital y autonomía estratégica: que una única empresa, controlada de forma muy concentrada, pueda condicionar la continuidad de la conectividad en amplias regiones del planeta introduce un componente de riesgo sistémico difícilmente compatible con una visión clásica de soberanía tecnológica.

  1. Rentabilidad, valoración y riesgos para el inversor

Estamos ante una compañía con ingresos crecientes pero con pérdidas relevantes, tanto a nivel neto como operativo, y con una valoración que, de acuerdo con varios análisis, implica múltiplos muy alejados de comparables sectoriales. Desde la perspectiva del Derecho del mercado de valores, esto obliga a mirar con lupa la suficiencia y claridad del disclosure de riesgos en el folleto, la adecuación de la información dirigida a inversores minoristas —a quienes se reserva una fracción inusualmente alta de la oferta— y el tratamiento de los conflictos de interés derivados de la concentración de poder y de la atención dividida del fundador entre múltiples empresas.No se trata solo de valoración, sino de si el marco de información y gobernanza es suficiente para cumplir con los estándares de protección del inversor en mercados altamente regulados. 

  1. Más allá de Wall Street

 La salida a bolsa de SpaceX en Nasdaq no es solo un caso extremo de tecnológica de alto crecimiento que sale a bolsa . Es un movimiento que tensiona, simultáneamente, varios ejes del Derecho público y privado: gobierno corporativo en estructuras de control reforzado, protección de datos en servicios de conectividad global, regulación de infraestructuras críticas bajo control extracomunitario y equilibrio entre innovación, seguridad nacional y tutela del inversor.

Para la UE y sus Estados miembros, este caso obliga a pensar en claves de autonomía estratégica, coordinación regulatoria y exigencias reforzadas de cumplimiento cuando operadores de esta escala quieran prestar servicios masivos en territorio europeo. SpaceX se convierte en un laboratorio vivo donde se cruzan Derecho societario, regulación financiera, protección de datos, seguridad y geoeconomía.

Más que una simple OPV récord, la cotización de SpaceX abre una fase en la que el Derecho deberá decidir si acepta este tipo de configuraciones como un dato de la realidad financiera global o si responde con ajustes normativos específicos para operadores que, por escala y naturaleza, funcionan como infraestructuras sistémicas de alcance transnacional

 

“El contrato de provisión de servicios TIC al sector financiero en el nuevo marco europeo de resiliencia digital operativa”. Congreso Internacional de Contratación Mercantil y Competencia Empresarial: reformas recientes y pendientes, celebrado en la Facultad de Derecho y Ciencias Económicas y Empresariales de la Universidad de Córdoba los días 11 y 12 de junio de 2026,

Posted on por

En el marco del Congreso Internacional de Contratación Mercantil y Competencia Empresarial: reformas recientes y pendientes, celebrado en la Facultad de Derecho y Ciencias Económicas y Empresariales de la Universidad de Córdoba los días 11 y 12 de junio de 2026, presentamos  la comunicación titulada “El contrato de provisión de servicios TIC al sector financiero en el nuevo marco europeo de resiliencia digital operativa” .

La comunicación

Esta comunicación se inserta en el análisis de la profunda transformación del Derecho contractual mercantil en el contexto de la digitalización del sistema financiero europeo. En particular, aborda la reconfiguración del contrato de provisión de servicios tecnológicos —cloud computing, software as a service, ciberseguridad, tratamiento de datos y plataformas digitales— como pieza estructural de la resiliencia operativa del sistema financiero en el marco del Reglamento (UE) 2022/2554 (DORA) y su desarrollo reglamentario posterior. El eje central de la intervención consistió en la idea de que el contrato de servicios TIC ha dejado de ser un instrumento puramente privado de intercambio económico para convertirse en un dispositivo jurídico de gobernanza del riesgo tecnológico, directamente vinculado a la estabilidad del sistema financiero europeo. En este sentido, el contrato se ve condicionado por un conjunto de normas imperativas que inciden en todas sus fases: formación, contenido, ejecución, supervisión y extinción.

Primavera en color anaranjado

A partir de los artículos 28 a 30 de DORA, así como de los Reglamentos Delegados (UE) 2024/1773 y 2025/532, se puso de relieve la consolidación de un auténtico estatuto jurídico del contrato TIC en el sector financiero. Este estatuto se caracteriza por tres elementos esenciales: la responsabilidad no delegable de la entidad financiera, la integración del riesgo de terceros en el sistema global de gestión del riesgo y la configuración de exigentes deberes de control sobre proveedores y subcontratistas. Asimismo, se destacó que la externalización de servicios TIC ha dejado de ser una decisión organizativa autónoma para convertirse en una actividad regulada, sometida a evaluaciones previas de criticidad, análisis de riesgos y deberes reforzados de diligencia debida. El contrato, en este contexto, funciona como instrumento de aseguramiento de la continuidad operativa y de la resiliencia digital del sistema financiero, incorporando cláusulas obligatorias sobre niveles de servicio, seguridad, auditoría, localización de datos, gestión de incidentes y estrategias de salida. La comunicación subrayó la aparición de un nuevo paradigma en el Derecho contractual financiero europeo, en el que el contrato de servicios TIC se configura como una pieza estructural del sistema de supervisión y gestión del riesgo sistémico.

Congreso Internacional de Contratación Mercantil y Competencia Empresarial

El Congreso Internacional de Contratación Mercantil y Competencia Empresarial, celebrado en Córdoba los días 11 y 12 de junio de 2026, en la Facultad de Derecho y Ciencias Económicas y Empresariales de la Universidad de Córdoba es un encuentro académico de referencia en el ámbito del Derecho mercantil contemporáneo, que reúne a un amplio número de catedráticos y profesores de diversas universidades españolas y europeas, con el objetivo de analizar las transformaciones recientes del Derecho de la contratación, la competencia empresarial y los contratos mercantiles en sectores estratégicos de la economía.

La dirección académica del Congreso correspondió a los Catedráticos de Derecho Mercantil Luis María Miranda Serrano, Javier Pagador López y José Manuel Serrano Cañas, todos ellos de la Universidad de Córdoba. La secretaría técnica estuvo integrada por Antonio Casado Navarro, Pedro Mario González Jiménez, Ana Miranda Anguita, Laura Diéguez Aguilera y M.ª Dolores Ramírez Benavente, quienes garantizaron la organización científica y logística del evento. Contó, este evento jurídico de primer nivel, con un amplio comité científico, presidido por la Catedrática Emérita María Teresa de Gispert Pastor y el Catedrático Emérito Jesús Quijano González, junto con destacados especialistas del Derecho mercantil nacional e internacional, lo que refuerza su posición como foro de referencia en el estudio de la contratación empresarial y sus transformaciones contemporáneas.

La sesión inaugural del Congreso contó con la intervención del Decano de la Facultad de Derecho y CC. EE. y Empresariales de la Universidad de Córdoba, D. José Albert Márquez, del Catedrático de Derecho Mercantil de la Universidad de Valladolid D. Luis Velasco San Pedro, en representación del Comité científico, y del Catedrático de Derecho Mercantil de la Universidad de Córdoba D. Luis María Miranda Serrano, en representación de la dirección académica del Congreso. A lo largo de las dos jornadas, el Congreso se estructuró en diversas mesas temáticas dedicadas al análisis de los principales ámbitos del Derecho mercantil contemporáneo, abordando de forma sistemática la competencia desleal, la contratación mercantil en sus diversas manifestaciones, la defensa de la competencia, el transporte, los contratos bancarios y financieros y el contrato de seguro, así como los desafíos derivados de la digitalización de la economía.

 

“Direito Comercial na Era Digital”, Universidade Lusófona, Porto 22 abril 2026

Posted on por

El 22 de abril, se celebra el coloquio “Direito Comercial na Era Digital”, una jornada académica dedicada al análisis de los principales desafíos que plantea la transformación digital en el ámbito del derecho comercial. El encuentro tiene lugar en la  Universidade Lusófona – Centro Universitário do Porto

Participan como ponentes y moderadores los profesores Marcos Cruz González (Universidad de Salamanca), Pedro Dias Venâncio (Universidade do Minho), César Pires (Instituto Politécnico de Bragança), Fernanda Rebelo (Universidade Portucalense), Carlos Filipe Costa (Dower Law Firm), Elena Pérez Carrillo (Universidad de León), Pedro Pablo Pérez Carbó (Universidad de los Andes), Ana Gonçalves, Mário Lourenço, Ana Isabel Guerra y João Tavares (Universidade Lusófona). La actividad cuenta, además, con la colaboración institucional de la Universidade Lusófona – Centro Universitário Porto, la Faculdade de Direito e de Ciência Política (FDCP), el CEAD – Centro de Estudos Avançados em Direito “Francisco Suárez”, la Fundação para a Ciência e a Tecnologia (FCT) y la firma Dower Law Firm.

El programa aborda cuestiones como la competencia en mercados digitales, los contratos celebrados a distancia, la desmaterialización de títulos de transporte, la responsabilidad de los administradores en entornos digitales y la evolución del derecho industrial en la era tecnológica

Expo. Cidade da Cultura. Santiago de Compostela. 2021–

En mi ponencia,  “O Direito Industrial na era Digital”, examino cómo la ciberseguridad y los sistemas de trazabilidad digital se han convertido en herramientas clave para proteger la propiedad industrial frente a la falsificación y la exfiltración de información estratégica.. Las infraestructuras seguras, los registros electrónicos robustos y los estándares de seguridad  son hoy fundamentales en la tutela efectiva de marcas, diseños, patentes y secretos empresariales en las cadenas de suministro físicas y digitales.

 

  1. En la economía digital, la lucha contra la falsificación ya no se limita al control físico de mercancías en fronteras o almacenes: es un problema de ciberseguridad y de gestión de datos. Las cadenas de suministro son cada vez más digitales, conectadas y distribuidas, y los falsificadores aprovechan esa complejidad para insertar productos ilícitos, manipular información de origen o explotar vulnerabilidades en los sistemas de trazabilidad. Las consecuencias son diversas: se ponen en riesgo la salud y seguridad de los consumidores, pero también el valor económico de las marcas, diseños y demás activos de propiedad industrial.
    • En este contexto, las soluciones tecnológicas de seguridad pasan a funcionar como instrumentos jurídicos indirectos de protección de la propiedad industrial: contribuyen a demostrar autenticidad, a documentar el recorrido de los bienes y a acreditar que la empresa ha actuado con la diligencia exigible frente a la falsificación
    • La trazabilidad digital basada en infraestructuras seguras permite rastrear el bien desde su origen hasta el consumidor final, detectar puntos de desviación en la cadena de suministro, o acreditar la autenticidad frente a falsificaciones que vulneran marcas, diseños o indicaciones geográficas. Esta trazabilidad deja de ser una mera herramienta logística para convertirse en un mecanismo de control jurídico del ciclo de vida del producto.

 

2. Las obligaciones regulatorias recientes en materia de ciberseguridad y servicios digitales refuerzan esta convergencia entre seguridad informática y protección de la propiedad industrial, incrementan el coste y la dificultad de introducir productos falsificados en los canales legítimos de distribución y reducen las asimetrías de información entre empresas, titulares de derechos y consumidores.

  • Así, la  Directiva (UE) 2022/2555 (NIS2) exige a operadores esenciales y entidades importantes una gestión del riesgo que cubra toda la cadena de suministro digital, incluidos proveedores críticos, integridad y disponibilidad de datos, y seguridad de sistemas industriales y logísticos. Ver esta entrada
  • O, el Reglamento (UE) 2022/2065 (Digital Services Act, DSA) impone a plataformas y otros intermediarios obligaciones de trazabilidad de comerciantes, verificación de identidad, retirada de contenidos ilícitos y cooperación con titulares de derechos, lo que se traduce en mejores herramientas para localizar vendedores de falsificados y retirar ofertas que infringen marcas y otros derechos de PI. Ver el tag DSA
    • El DSA introduce la figura de los denominados alertadores fiables (trusted flaggers), con una incidencia relevante en la tutela de los derechos de propiedad industrial en el entorno digital. Estos sujetos, designados por los Coordinadores de Servicios Digitales de los Estados miembros, deben reunir requisitos de especialización, independencia y fiabilidad, actuando en la identificación y notificación de contenidos ilícitos.Entre los actos ilícitos que identifican se incluyen, de manera destacada, aquellos que supongan infracciones de derechos de propiedad industrial, tales como el uso no autorizado de signos distintivos, la comercialización de productos falsificados o la vulneración de derechos de diseño o patente en plataformas en línea.
    • Las plataformas digitales están obligadas a otorgar prioridad al tratamiento de las notificaciones emitidas por estos alertadores cualificados, lo que refuerza la eficacia de los mecanismos de retirada o bloqueo de contenidos ilícitos, en línea con los sistemas de notice and action. 
    • Desde la perspectiva de la protección de la propiedad industrial, esta figura contribuye a una detección más ágil y cualificada de infracciones, especialmente en contextos de comercialización digital a gran escala, donde la difusión de productos que vulneran marcas, diseños o patentes puede producirse de forma rápida y masiva. En consecuencia, los trusted flaggers se integran en un modelo de diligencia debida reforzada y corregulación, que fortalece la tutela de los derechos de propiedad industrial y mejora la eficacia de los mecanismos de reacción frente a infracciones en el entorno digital.

3. Los estándares de ciberseguridad pasan a formar parte de los instrumentos de tutela de activos industriales

Rododendros y azaleas

  • Los estándares como la familia ISO/IEC 27000 y el NIST Cybersecurity Framework— se consolidan como el baseline técnico‑organizativa para proteger documentación de propiedad industrial y secretos empresariales. Concretamente, su la versión de 2022 del NISY Cybersecurity  incorpora el control 5.32 “Intellectual property rights”, que obliga a identificar y cumplir los requisitos legales, reglamentarios, contractuales y estatutarios aplicables a los derechos de propiedad intelectual e industrial.
    • La implantación de un SGSI alineado con ISO/IEC 27001, auditado y documentado, se convierteen prueba de diligencia organizativa en litigios por apropiación indebida de secretos empresariales. No solo muestra que existen controles formales, sino que la protección de activos de PI se integra en la gobernanza corporativa y en la gestión del riesgo.
    • ISO/IEC 27002 complementa este enfoque con un catálogo detallado de controles para clasificación de la información, gestión de identidades, cifrado, seguridad en el ciclo de vida de activos y protección frente a fugas de información; todo ello especialmente relevante para documentación de invenciones, diseños y procesos industriales
    • NIST Cybersecurity Framework 2.0 incorpora, en la función PROTECT, la subcategoría PR.DS‑10, relativa a la protección de la confidencialidad, integridad y disponibilidad de los datos en uso.  cuya aplicación práctica se vincula directamente a la protección de activos de PI, porque código fuente, diseños en desarrollo, expedientes de patente o documentación de I+D son precisamente datos que están en uso y, por tanto, en el momento de máxima exposición. Esta subcategoría se utiliza como ancla para justificar controles reforzados sobre repositorios de PI (código, diseños, know‑how), especialmente durante las fases de edición, revisión y transferencia interna o externa.
    • Lo anterior se completa con referencias a las aportaciones desde ENISA a la seguridad digital de activos de PI como elemento del Derecho Comercial en la Era Digital en la Unión Europea

4. El ordenamiento industrial merece una reinterpretación a la luz de los riesgos digitales

  • La articulación conjunta de la Directiva 2016/943 sobre secretos comerciales y de la Directiva 2004/48/CE sobre enforcement de los derechos de propiedad intelectual conduce, en la práctica, a una juridificación de la ciberseguridad en las empresas titulares.
  • La lógica es muy similar cuando se amplía la mirada a la Directiva y el Reglamento de marcas de la UE, así como a las leyes de patentes nacionales y el CPE.
    • Estos instrumentos reconocen derechos exclusivos sobre signos distintivos e invenciones, pero su eficacia real depende de que el titular sea capaz de identificar, gestionar y probar el uso legítimo de sus marcas y la explotación de sus patentes, así como de localizar y documentar las infracciones. Todo ello presupone sistemas de información seguros, trazables y organizados. Ver el tag marcas
    • Téngase en cuenta los regímenes de licencia obligatoria y de Licencias Justas y no discriminatoria en caso de patentes esenciales o para estándares (PEN)
  • En la práctica, la propiedad industrial digital se ve completada con deberes de los titulares. Es posible que ello lleve una relativización. Es decir, a limitar la preocupación  a supuestos concretos y . A la luz de los costes que la propia protección lleva

“Transformación Digital del Mercado Asegurador: Gobernanza y Protección del Cliente”. Congreso celebrado los días 9 y 10 de abril de 2026 en la Facultad de Derecho de la Universidade da Coruña

Posted on por

El Congreso Internacional de Jóvenes Investigadores “Transformación Digital del Mercado Asegurador: Gobernanza y Protección del Cliente”, celebrado los días 9 y 10 de abril de 2026 en la Facultad de Derecho de la Universidade da Coruña, constituye un espacio académico de especial relevancia para el análisis de las transformaciones que la inteligencia artificial está introduciendo en los mercados financieros y aseguradores.

Ao solpor

La dirección del Congreso ha correspondido a las profesoras e investigadoras Marta Cernadas Lázare y a Irene Filgueira Loureiro, bajo un esquema organizativo que combina rigor científico y apertura a la investigación emergente.

  1. Ejes temáticos del Congreso

El programa se articula en torno a tres grandes ejes materiales que reflejan los principales desafíos jurídicos de la digitalización del sector financiero y asegurador.

  • En primer lugar, la gobernanza de las decisiones algorítmicas en el mercado financiero, con especial atención a la inversión automatizada, los sistemas de inteligencia artificial aplicados a pagos y la interacción entre cumplimiento normativo y automatización de procesos decisorios. En este contexto, se puso de relieve la progresiva sustitución de modelos tradicionales de análisis de riesgo por sistemas algorítmicos cada vez más complejos, lo que plantea interrogantes relevantes en materia de responsabilidad, supervisión y transparencia.
  • En segundo lugar, el Congreso abordó la transformación del contrato de seguro en la era de la inteligencia artificial, con especial énfasis en la configuración del riesgo, la determinación de la prima y la aparición de nuevos productos aseguradores, incluidos los seguros telemáticos y los denominados seguros ciber. La cuestión de la imputación del riesgo tecnológico y la incidencia de los sistemas automatizados en la producción del siniestro ocupó un lugar central en el debate doctrinal.
  • En tercer lugar, se analizó la protección del cliente y la supervisión de la comercialización algorítmica, donde se examinaron fenómenos como el consumidor algorítmico, la opacidad de los sistemas de recomendación, la presencia de sesgos en la toma de decisiones automatizadas y el papel de los sistemas de inteligencia artificial en la intermediación aseguradora. Este eje permitió conectar el Derecho del seguro con problemáticas propias de la ética algorítmica y la gobernanza digital.
  1. Decisiones algorítmicas y mercado financiero

La primera sesión del Congreso se dedicó a las decisiones algorítmicas en el mercado financiero. Moderada por la profesora María del Carmen Boldó Roda, la sesión puso de relieve la creciente sofisticación de los modelos de inversión automatizada. El profesor Pedro Mario González Jiménez analizó la transición desde los modelos algorítmicos tradicionales hacia sistemas de inteligencia artificial capaces de adaptar estrategias de inversión en tiempo real. La profesora Andrea Castillo Olano abordó la transformación de los sistemas de pago en el contexto de la digitalización financiera, subrayando la necesidad de adaptar los marcos regulatorios a nuevos entornos tecnológicos. Por su parte, el profesor Pablo Sanz Bayón centró su intervención en el cumplimiento normativo en entornos automatizados, destacando la tensión entre eficiencia algorítmica y control regulatorio efectivo.

  1. Protección del cliente en el mercado asegurador

La segunda sesión matinal se centró en la protección del cliente de seguros y la supervisión de la comercialización algorítmica, moderada por la profesora Josefina Boquera Matarredona. El profesor Marcos Cruz González introdujo la noción de “consumidor algorítmico”, caracterizado por una creciente dependencia de sistemas automatizados de recomendación. La profesora Anna María García Companys analizó la responsabilidad en el gobierno corporativo prudencial de sistemas de inteligencia artificial aplicados al seguro. Finalmente, la profesora Laura Morán Fernández abordó los sesgos y discriminaciones algorítmicas desde una perspectiva técnico-jurídica.

  1. Inteligencia artificial y contrato de seguro

En la sesión de la tarde se abordó la incidencia de la inteligencia artificial en la configuración del contrato de seguro. Moderada por el profesor Manuel Areán Lalín, la sesión profundizó en la transformación de los elementos estructurales del contrato.

El profesor Antonio Casado Navarro analizó los seguros telemáticos y su vinculación con dispositivos conectados. El profesor Javier Vercher Moll estudió la nueva configuración de la prima en función de datos dinámicos y algoritmos predictivos. Finalmente, el profesor Martín José González Orús Charro examinó las pólizas ciber y los riesgos derivados de la intervención de sistemas de inteligencia artificial en la producción del siniestro.

  1. Mesas de comunicaciones

El Congreso dedicó un espacio relevante a las mesas de comunicaciones, que permitieron la exposición de trabajos de investigadores en formación. Estas sesiones abordaron cuestiones como la intermediación deshumanizada, el uso de chatbots en la contratación de seguros, la detección automatizada de fraude, la protección de datos en la evaluación algorítmica de riesgos o la responsabilidad de administradores en contextos de automatización decisional.

En este bloque,  desde la Universidad de León, Elena F. Pérez Carrillo presentó la comunicación titulada “Gobernanza de la resiliencia digital en el sector asegurador y protección del cliente”.

La comunicación presentada se centra en la relación entre resiliencia digital, gobernanza corporativa y protección del cliente en el sector asegurador, en un contexto de profunda transformación tecnológica.

El punto de partida es la constatación de que la digitalización del seguro ha modificado estructuralmente todo su ciclo operativo —desde la suscripción hasta la gestión de siniestros— mediante el uso intensivo de TIC, nube e inteligencia artificial. Este proceso ha generado riesgos estratégicos (ciberataques, dependencia de proveedores, concentración de datos) que inciden directamente en la continuidad del negocio y en la confianza del cliente.

Sobre esta base, la intervención analiza la consolidación de un marco normativo europeo de resiliencia digital (Solvencia II, DORA, IDD, IRRD y Directrices de EIOPA), que converge en un objetivo común: garantizar la continuidad operativa de las entidades y la protección efectiva del asegurado.

Desde la perspectiva de la gobernanza, se destaca el papel central del órgano de administración en la gestión del riesgo TIC. Tanto Solvencia II como DORA refuerzan su responsabilidad última, incorporando exigencias como la definición del apetito de riesgo digital, la supervisión de la externalización tecnológica, la gestión de incidentes y las pruebas de resiliencia. DORA supone un cambio relevante al convertir estas exigencias en obligaciones jurídicas directamente aplicables.

En este contexto, la diligencia del órgano de administración se redefine, integrando el riesgo cibernético en la estrategia empresarial y en el sistema de control interno. La resiliencia digital exige supervisión efectiva de terceros tecnológicos, recursos adecuados y formación, incorporándose incluso instrumentos como el ciberseguro dentro de las prácticas de buena gobernanza.

La intervención subraya asimismo el papel de la Directiva (UE) 2022/2556, que vincula la gestión de proveedores tecnológicos con la protección del cliente, al garantizar la continuidad de servicios esenciales externalizados. La futura IRRD refuerza esta lógica desde la gestión de crisis, al situar la continuidad tecnológica como presupuesto de la estabilidad de la entidad y de la protección del asegurado.

En conjunto, la comunicación propone una visión integrada del Derecho del seguro europeo, en la que resiliencia digital, gobernanza corporativa y protección del cliente convergen en un modelo holístico. La capacidad de las entidades para gestionar riesgos tecnológicos y garantizar la continuidad del servicio se configura así como un elemento central de confianza y estabilidad del sistema asegurador.

  1. Consideración final

Camelia blanca

El Congreso pone de manifiesto una tendencia ya consolidada en la doctrina contemporánea: la progresiva integración entre inteligencia artificial, mercados financieros y Derecho del seguro. Esta convergencia no se limita a una transformación técnica de los procesos de contratación o supervisión, sino que incide directamente en los fundamentos tradicionales del Derecho mercantil, particularmente en la distribución del riesgo, la transparencia contractual y la protección del cliente.

La cuestión central que atraviesa todas las intervenciones puede sintetizarse en un interrogante de fondo: cómo preservar los principios estructurales del Derecho del seguro en un entorno en el que las decisiones relevantes dejan de ser exclusivamente humanas para pasar a ser, en gran medida, algorítmicas.

El Congreso SEGUIA se configura así como un espacio de observación privilegiado de esta transformación, en el que convergen investigación jurídica, innovación tecnológica y reflexión crítica sobre los límites del Derecho en la era de la inteligencia artificial.

 

Este encuentro se inserta en el marco del Proyecto de Investigación “Inteligencia artificial en la comercialización de seguros: desafíos en materia de transparencia, gobernanza y supervisión (SEGUIA)” (PID2023-152839OB-I00), financiado por la Agencia Estatal de Investigación, y se articula asimismo con el Grupo de investigación Empresa, Consumo e Dereito (G000708), así como con el Proyecto Prometeo “El moderno Derecho del seguro” (CIPROM/2024/75). Esta pluralidad de apoyos institucionales refleja la consolidación de una línea de investigación europea orientada a la regulación de la inteligencia artificial en sectores altamente sensibles desde la perspectiva de la protección del cliente y la estabilidad del mercado.

 

TJUE, sentencia de 19 de marzo de 2026, C‑526/24, Brillen Rottler: abuso del derecho de acceso a los propios datos personales (art. 15 RGPD)

Posted on por

Comentario a la Sentencia del Tribunal de Justicia en el asunto C-526/24 Brillen Rottler: Una solicitud de acceso a los propios datos personales puede considerarse abusiva y denegarse si se presenta con el único fin de solicitar posteriormente una indemnización por una supuesta infracción del RGPD

El conflicto se origina cuando TC, residente en Austria, se suscribe en marzo de 2023 al boletín informativo de Brillen Rottler GmbH & Co. KG, óptica familiar establecida en Alemania, facilitando sus datos personales a través del formulario web. Poco después, ejerce ante la empresa su derecho de acceso previsto en el artículo 15 RGPD.

Brillen Rottler deniega la solicitud dentro del plazo de un mes, calificándola de “excesiva” en el sentido del artículo 12.5 RGPD, y el interesado mantiene su petición y añade una reclamación indemnizatoria de 1.000 euros al amparo del artículo 82 RGPD por daño inmaterial. El Amtsgericht Arnsberg plantea varias cuestiones prejudiciales sobre:

  • si incluso una primera solicitud de acceso puede ser “excesiva/abusiva” y, por tanto, denegarse;

  • si cabe indemnización por vulneración del derecho de acceso aunque no exista un tratamiento ilícito de datos como tal;

  • y cómo se configura el daño inmaterial indemnizable.

Cuestiones jurídicas planteadas

Las cuestiones centrales se refieren a la interpretación de los artículos 12.5, 15.1 y 82.1 RGPD:

  • Alcance de la cláusula que permite al responsable negase a actuar cuando las solicitudes sean “manifiestamente infundadas o excesivas” (art. 12.5).

  • Posibilidad de considerar “excesiva” una primera solicitud, pese a que el precepto menciona la repetición como ejemplo típico.

  • Configuración del derecho a indemnización por vulneración del derecho de acceso, incluso si la infracción se concreta en una negativa a tramitar la solicitud.

  • Determinación de si la pérdida de control sobre los datos o la incertidumbre sobre su tratamiento puede constituir daño inmaterial indemnizable.

Estas cuestiones sitúan el caso en la intersección entre la amplitud del derecho de acceso y el principio de prohibición del abuso del derecho en el marco del Derecho de la Unión.

Razonamiento del TJUE sobre el carácter “excesivo/abusivo”

El Tribunal declara que el artículo 12.5 RGPD permite considerar “excesiva” incluso una primera solicitud de acceso, siempre que concurran criterios estrictos, habida cuenta de que se trata de una excepción al derecho de acceso que debe interpretarse de forma restrictiva.

El TJUE fija los siguientes elementos:

  • El carácter repetitivo de las solicitudes es un indicio, pero no un requisito necesario; la “primera” solicitud puede ser excesiva si se acredita abuso.

  • La carga de la prueba recae sobre el responsable del tratamiento, que debe demostrar, a la vista de todas las circunstancias, que la solicitud no se presentó para conocer el tratamiento ni verificar su licitud, sino con intención abusiva, en particular para crear artificialmente las condiciones necesarias para reclamar una indemnización.

  • El Tribunal admite que el patrón de conducta del interesado (suscripciones sucesivas, solicitudes de acceso y reclamaciones indemnizatorias frente a distintos responsables) puede constituir un indicador relevante de ese uso instrumental del derecho.

Con ello, el TJUE no convierte el carácter económico de la pretensión en ilegítimo per se, pero sí exige que el ejercicio del derecho de acceso mantenga un vínculo real con su finalidad propia: permitir al interesado conocer y controlar el tratamiento de sus datos personales.

Derecho a indemnización y daño inmaterial

En relación con el artículo 82.1 RGPD, el Tribunal declara que confiere al interesado un derecho a indemnización por los daños y perjuicios resultantes de una vulneración del derecho de acceso del artículo 15.1, aunque esa vulneración consista en la negativa a dar curso a una solicitud, y no en un tratamiento ilícito de datos en sentido estricto.

El TJUE subraya que:

  • El tenor del artículo 82.1 no limita el derecho a indemnización a daños derivados de un “tratamiento” como tal, de modo que excluir las infracciones de los derechos del capítulo III vaciaría de efecto útil la norma.

  • El daño inmaterial puede incluir la pérdida de control sobre los datos personales o la incertidumbre acerca de si estos han sido objeto de tratamiento.

  • No toda infracción del RGPD genera automáticamente derecho a indemnización: el interesado debe probar tres requisitos acumulativos: infracción del RGPD, existencia de un daño efectivo (material o inmaterial) y nexo de causalidad entre ambos.

  • No procede indemnización cuando la pérdida de control o la incertidumbre se deben precisamente a la conducta del propio interesado, que decide someter sus datos al responsable con el fin de crear artificialmente las condiciones para obtener una compensación.

Corresponde al órgano jurisdiccional nacional apreciar, sobre la base de estos criterios, si en el caso concreto concurren abuso y daño indemnizable.

Relevancia práctica

La sentencia ofrece claridad operativa a responsables del tratamiento y autoridades de control:

  • Legitima la posibilidad de denegar solicitudes de acceso abusivas, incluso si son las primeras, siempre que se motive la decisión y se pueda acreditar el uso instrumental del derecho.

  • Refuerza la idea de que el artículo 12.5 RGPD actúa como “válvula de seguridad” frente a estrategias de litigación sistemática basadas en el mero cumplimiento formal de los requisitos del derecho de acceso.

  • Al mismo tiempo, subraya que el derecho a indemnización del artículo 82 no se vacía: se extiende a la vulneración del derecho de acceso, pero exige una prueba rigurosa del daño y de su causalidad, evitando una automatización de la compensación.

Para la práctica de cumplimiento, la sentencia impone a los responsables la necesidad de documentar los indicios de abuso, revisar patrones de conducta del interesado y articular políticas internas sobre tratamiento de solicitudes sospechosas, sin trivializar el estándar probatorio exigido por el TJUE.

Encaje en la doctrina general del abuso del derecho en la UE

Brillen Rottler se inserta en la jurisprudencia que reconoce el abuso del derecho como principio general del Derecho de la Unión, aplicable transversalmente cuando un derecho conferido por una norma de la UE se ejerce de forma contraria a su objeto y finalidad.

De esa doctrina general, el TJUE retoma la construcción clásica en torno a dos elementos:

  • Elemento objetivo: pese al respeto formal de los requisitos legales, el ejercicio del derecho persigue obtener una ventaja contraria al propósito de la norma, aquí, convertir el derecho de acceso en un mero instrumento para generar litigios indemnizatorios.

  • Elemento subjetivo: existencia de una intención de obtener de modo artificioso esa ventaja, que en este caso puede inferirse de un patrón de suscripciones, solicitudes y reclamaciones repetidas frente a distintos responsables.

La aportación específica de Brillen Rottler consiste en trasladar esta lógica al régimen de los derechos del interesado del RGPD, reafirmando que dichos derechos no son absolutos ni están al margen del principio de buena fe en su ejercicio. La sentencia no recorta el contenido esencial del derecho de acceso, pero sí excluye de su ámbito de protección las conductas estratégicas destinadas a construir artificialmente un escenario indemnizatorio.

En conclusión, el TJUE: admite que una primera solicitud de acceso pueda ser considerada “excesiva” y, por tanto, denegada, cuando se pruebe su carácter abusivo (art. 12.5 y 15 RGPD); reconoce que la vulneración del derecho de acceso puede generar derecho a indemnización (art. 82), incluso sin tratamiento ilícito, pero supedita ese derecho a la acreditación de un daño real y de la ausencia de una auto-creación artificiosa de ese daño; y consolida la integración del principio de abuso del derecho en el ámbito de la protección de datos, configurando el RGPD como un sistema de garantías robustas, pero no disponible para usos meramente instrumentales.

Ideas para la trasposición de la Directiva (UE) 2025/25. Encaje con la LSC y la práctica registral española: notariado, PBC/FT, eIDAS2 y el rol del registrador

Posted on por

La transposición de la Directiva (UE) 2025/25 obliga a reconfigurar el ecosistema societario español en torno a un modelo  digital e interoperable a escala europea. Este proceso no se limita a la digitalización de procedimientos existentes, sino que implica la integración de la práctica societaria nacional en una infraestructura común de datos, basada en la equivalencia funcional de las formalidades jurídicas tradicionales, la interoperabilidad efectiva con los sistemas europeos de información societaria y de titularidad real, la aceptación de instrumentos electrónicos uniformes y la articulación de controles de prevención del blanqueo de capitales y de financiación del terrorismo en entornos de verificación remota conforme al marco eIDAS2.

Camelia

Camelia

España parte de una base institucional y tecnológica sustentada en normas como la Ley de Sociedades de Capital (arts. 20, 22, 23, 28 y 33 del Real Decreto Legislativo 1/2010), el Reglamento del Registro Mercantil (arts. 5, 6, 58 y concordantes del Real Decreto 1784/1996), la Ley del Notariado (arts. 1, 17 bis y 24) y la Ley 10/2010, de prevención del blanqueo de capitales y de la financiación del terrorismo (arts. 2, 3, 4 y 16). No obstante, la Directiva desplaza el foco desde la mera digitalización de trámites hacia la operación nativa en una infraestructura europea de datos, donde la interoperabilidad, la estandarización y la trazabilidad se convierten en elementos estructurales del sistema societario.

PRINCIPIOS ESTRUCTURALES DE LA ADAPTACIÓN DEL DERECHO SOCIETARIO ESPAÑOL

Fruits de mer

Equivalencia funcional del instrumento público, la representación y la inscripción

El núcleo del régimen societario español descansa en tres pilares jurídicos claramente definidos en la legislación vigente: la exigencia de forma pública para determinados actos societarios (arts. 20 y 22 LSC), la validez jurídica de la representación (arts. 233 y 234 LSC) y la eficacia constitutiva de la inscripción en el Registro Mercantil (art. 33 LSC y art. 9 del Reglamento del Registro Mercantil).

La transición al entorno digital exige reconocer la equivalencia funcional de estas instituciones en soporte electrónico. En este sentido, se entiende que resulta necesario introducir en la LSC y en el Reglamento del Registro Mercantil una cláusula general que reconozca como instrumento público electrónico aquel documento autorizado por notario mediante firma electrónica cualificada, conforme al art. 17 bis de la Ley del Notariado y a los Reglamentos (UE) eIDAS. Ese documento estaría dotado de estructura de datos y metadatos normalizados y acompañado de evidencias verificables de identificación remota.

En cuanto a la representación societaria debe armonizarse con el poder digital europeo, de modo que las facultades conferidas y verificadas en origen mediante servicios de confianza desplieguen efectos en España sin necesidad de legalización o apostilla, en coherencia con el principio de reconocimiento mutuo previsto en el Derecho de la Unión y con las reglas de eficacia del poder representativo recogidas en los arts. 1259 y 1713 del Código Civil y en los arts. 233 y 234 LSC.

Asimismo, el identificador único europeo de sociedades (EUID) y el modelo de datos armonizado deberían integrarse como elementos identificativos esenciales en el contenido mínimo de los asientos registrales, en coherencia con lo previsto en los arts. 94 y 95 del Reglamento del Registro Mercantil, relativos al contenido de las inscripciones.

DIGITALIZACIÓN INTEGRAL DEL CICLO SOCIETARIO

Constitución íntegramente en línea y prueba electrónica.  La constitución íntegramente en línea constituye uno de los ejes centrales de la Directiva y encuentra ya un antecedente normativo en el art. 15 bis de la Ley de Sociedades de Capital, introducido para permitir la constitución telemática de sociedades de responsabilidad limitada.  La identificación mediante videoidentificación cualificada, el uso de carteras de identidad digital europea y la utilización de firmas electrónicas cualificadas remotas permiten acreditar la identidad y la voluntad de los otorgantes con un nivel de garantía equiparable al modelo presencial, en coherencia con el principio de equivalencia funcional recogido en el art. 3.10 de la Ley 6/2020, reguladora de determinados aspectos de los servicios electrónicos de confianza.

En este contexto, la LSC debería reconocer expresamente la presunción de autenticidad del conjunto probatorio generado conforme al Reglamento eIDAS, incluyendo firma electrónica cualificada, sello de tiempo y cadena de certificados válidos en las listas de confianza de la Unión Europea, reforzando así la seguridad jurídica del proceso constitutivo.

Aportaciones dinerarias y acreditación electrónica del desembolso. Las aportaciones dinerarias constituyen uno de los puntos críticos en los procesos de constitución societaria. La normativa vigente exige acreditar el desembolso mediante certificación bancaria, conforme al art. 62 LSC. No obstante, la adaptación al entorno digital exige habilitar la acreditación electrónica de dicha aportación mediante mensajes bancarios estructurados firmados electrónicamente por la entidad depositaria, lo que sería coherente con el principio de equivalencia funcional reconocido en el art. 326 de la Ley de Enjuiciamiento Civil y con las reglas sobre documentos electrónicos establecidas en la mencionada Ley 6/2020.  Este modelo permitiría ir eliminando los  certificados en soporte papel y reducir riesgos operativos, facilitando la automatización de los procesos de inscripción y la reducción de plazos, en línea con lo previsto en los arts. 18 y 19 del Código de Comercio y en el art. 6 del Reglamento del Registro Mercantil, relativos a la calificación e inscripción registral.

FUNCIONES INSTITUCIONALES EN EL NUEVO ENTORNO DIGITAL

Notariado: control de legalidad digital y obligaciones de diligencia debida. La transformación digital no reduce el papel del notariado, sino que lo reconfigura en torno a un modelo de control de legalidad basado en la verificación de evidencias electrónicas.

El notario continúa siendo sujeto obligado en materia de prevención del blanqueo de capitales, conforme al art. 2.1.o) de la Ley 10/2010, y debe aplicar medidas de diligencia debida en la identificación del cliente y del titular real, de acuerdo con los arts. 3 y 4 de dicha ley. La digitalización de los procedimientos exige adaptar estas obligaciones al entorno remoto, garantizando que la identificación electrónica cumpla niveles equivalentes a los exigidos en el modelo presencial. La consulta al Registro de Titularidades Reales se integra en este proceso como instrumento ordinario de verificación, en coherencia con el art. 4 bis de la Ley 10/2010 y con las disposiciones reglamentarias sobre acceso a la información de titularidad real. Asimismo, la función notarial incorpora la custodia de evidencias electrónicas, en aplicación de los principios de fe pública y conservación documental recogidos en los arts. 1 y 17 bis de la Ley del Notariado.

 Registro Mercantil: del documento al dato estructurado El Registro Mercantil evoluciona hacia un modelo basado en datos estructurados interoperables, lo que implica una transformación de sus funciones tradicionales de calificación y publicidad registral. La calificación registral, regulada en los arts. 18 del Código de Comercio y 6 del Reglamento del Registro Mercantil, se apoya progresivamente en validaciones automáticas relativas a la integridad de firmas electrónicas, la coherencia de identificadores y la consistencia de la información con los registros europeos. La interoperabilidad con sistemas europeos exige la adopción de estándares de intercambio de datos y la integración de repositorios electrónicos de poderes, en coherencia con las funciones de publicidad formal previstas en los arts. 23 del Código de Comercio y 79 y siguientes del Reglamento del Registro Mercantil.

La normativa societaria y registral deberá reconocer como títulos suficientes el certificado de sociedad de la Unión Europea y el poder digital europeo para operaciones transfronterizas, evitando la exigencia de documentos nacionales equivalentes cuando los instrumentos electrónicos cumplan los estándares establecidos en el marco eIDAS.

INTEROPERABILIDAD EUROPEA Y NUEVOS INSTRUMENTOS JURÍDICOS DIGITALES

eIDAS2 y la identidad digital europea La implantación del Reglamento eIDAS2 introduce un modelo de identidad digital basado en credenciales verificables y servicios de confianza interoperables. La transposición de la Directiva exige garantizar la aceptación automática de medios de identificación electrónica emitidos en otros Estados miembros cuando alcancen niveles elevados de seguridad, en coherencia con el principio de reconocimiento mutuo previsto en el art. 6 del Reglamento eIDAS y con el régimen jurídico de los servicios electrónicos de confianza establecido en la Ley 6/2020.

La adopción de carteras de identidad digital europea permitirá incorporar atributos verificables, como la condición de administrador o la vigencia de un cargo, que pueden ser utilizados por notarios y registradores para verificar automáticamente la capacidad representativa de los intervinientes.

 Poder digital europeo y registro electrónico de poderes El reconocimiento del poder digital europeo en el Derecho español exige admitir la equivalencia material de sus efectos respecto del apoderamiento notarial tradicional, en coherencia con el régimen jurídico del mandato y la representación recogido en los arts. 1709 y siguientes del Código Civil. La eficacia transfronteriza del poder digital requiere establecer mecanismos de revocación interoperables y sincronizados, lo que implica la creación de un registro electrónico de poderes compatible con los sistemas europeos, en línea con las funciones de publicidad registral previstas en los arts. 94 y 95 del Reglamento del Registro Mercantil.

Certificado de sociedad de la Unión Europea El certificado de sociedad de la Unión Europea está destinado a convertirse en el principal instrumento de acreditación de la existencia y situación jurídica de una sociedad en el ámbito europeo. Su reconocimiento en el Derecho español debe integrarse en el régimen de certificaciones registrales previsto en los arts. 77 y siguientes del Reglamento del Registro Mercantil, garantizando su eficacia probatoria y su equivalencia funcional respecto de las certificaciones nacionales.

PREVENCIÓN DEL BLANQUEO DE CAPITALES Y GOBIERNO DEL DATO

Integración con el sistema de titularidad real y obligaciones de diligencia debida La intensificación del uso de los registros europeos de titularidad real exige adaptar la normativa española de prevención del blanqueo de capitales para reconocer estas fuentes de información como instrumentos primarios de verificación.

La Ley 10/2010 establece la obligación de identificar al titular real y de conservar documentación acreditativa de las actuaciones realizadas (arts. 4 y 25), lo que se traduce, en el entorno digital, en la necesidad de conservar evidencias verificables de las consultas efectuadas a los registros de titularidad real y de los resultados obtenidos.

 Gobierno del dato registral y seguridad jurídica. La transición hacia un modelo basado en datos estructurados requiere implantar políticas de calidad, auditoría y seguridad de la información que garanticen la fiabilidad del sistema registral. Estas exigencias encuentran fundamento en los principios de seguridad jurídica y publicidad registral recogidos en los arts. 9.3 de la Constitución Española y 20 del Código de Comercio, así como en la normativa de protección de datos personales, en particular el Reglamento (UE) 2016/679 y la Ley Orgánica 3/2018.

Azalea rosita

Azalea rosita

RÉGIMEN TRANSITORIO Y PROPUESTAS NORMATIVAS

Coexistencia de instrumentos analógicos y digitales. La implantación del nuevo modelo exigirá un período transitorio en el que coexistirán instrumentos tradicionales y electrónicos. Durante este período, la normativa deberá reconocer la validez de los instrumentos analógicos existentes y establecer mecanismos de conversión que permitan su integración en el sistema digital. Este régimen transitorio puede apoyarse en las reglas generales sobre validez de los actos jurídicos y conservación de documentos recogidas en los arts. 1216 y siguientes del Código Civil (documentos públicos) y en las normas sobre eficacia temporal de las leyes previstas en el art. 2 del Código Civil.

Resumen de propuestas normativas. La transposición de la Directiva (UE) 2025/25 requerirá una intervención normativa coordinada que afecte, al menos, a las siguientes disposiciones:

— Ley de Sociedades de Capital, en particular los arts. 20, 22, 23, 33, 62 y 233;
— Reglamento del Registro Mercantil, especialmente los arts. 6, 77, 94 y 95;
— Ley del Notariado, en sus arts. 1 y 17 bis;
— Ley 10/2010, de prevención del blanqueo de capitales y de la financiación del terrorismo, en relación con los arts. 2, 3, 4 y 25;
— Ley 6/2020, reguladora de determinados aspectos de los servicios electrónicos de confianza.

En términos funcionales, las reformas deberían orientarse a: definir legalmente el instrumento público electrónico y su fuerza probatoria;reconocer el poder digital europeo y el certificado de sociedad de la Unión Europea como títulos suficientes en el tráfico jurídico;habilitar la acreditación electrónica de aportaciones dinerarias;integrar los sistemas registrales nacionales en las plataformas europeas de información societaria;y reconocer la identificación remota mediante medios electrónicos cualificados como medio válido de identificación en sede notarial y registral.