DORA ante el Ómnibus Digital: hacia un punto único para la notificación de incidentes

Posted on 31 julio, 2026 por Elena F Pérez Carrillo

La Comisión Europea presentó el 19 de noviembre de 2025 una propuesta de Reglamento Ómnibus Digital dirigida a simplificar y coordinar distintos componentes del marco regulatorio europeo de la seguridad digital y , en concreto, a un problema conocido por las entidades sometidas simultáneamente a varias normas digitales: un mismo incidente puede activar obligaciones de comunicación distintas, dirigidas a autoridades distintas y tramitadas mediante plataformas, formularios y procedimientos que no siempre están coordinados. La acumulación de estas obligaciones dificulta la gestión del incidente, en momentos en los que sus recursos técnicos y jurídicos deben concentrarse en la contención, recuperación y evaluación de lo ocurrido.

No Eume- Ponte do Eume

Frente a esta fragmentación, la propuesta COM(2025) 837 final introduce un punto único de entrada para determinadas notificaciones de incidentes. La finalidad es que una entidad pueda presentar la información a través de una infraestructura común y que esta sea transmitida posteriormente a las autoridades competentes conforme a cada uno de los regímenes aplicables. El sistema responde al principio de «notificar una vez, compartir varias veces»: se centraliza el canal de comunicación, aunque no se unifican las obligaciones materiales previstas en cada norma.

Un punto único gestionado por ENISA

La infraestructura se articularía mediante la incorporación de un nuevo artículo 23 bis a la Directiva (UE) 2022/2555, conocida como Directiva SRI 2 o NIS2. ENISA sería responsable de desarrollar y mantener el punto único de entrada y de adoptar las medidas técnicas, organizativas y operativas necesarias para preservar su seguridad, integridad y disponibilidad.

El sistema no sustituiría a las autoridades sectoriales. Su función sería servir como canal técnico para recibir las notificaciones y ponerlas a disposición de los destinatarios definidos en cada instrumento jurídico. Como regla general, ENISA no accedería al contenido de las comunicaciones. La información se transmitiría a las autoridades competentes de acuerdo con las reglas de acceso, confidencialidad y utilización establecidas en cada régimen.

La propuesta exige, además, que la infraestructura permita recuperar, completar y reutilizar la información ya presentada; y que sea interoperable con los sistemas de las entidades y de las autoridades; y de las varias normas de derecho positivo escrito a las que un único incidente pueda quedar sometido.

El punto único comprendería las notificaciones previstas en la Directiva NIS2, el Reglamento general de protección de datos, DORA, el Reglamento eIDAS y la Directiva sobre resiliencia de las entidades críticas. También se prevé incorporar ,mediante la modificación de los correspondientes actos delegados y de ejecución,otras obligaciones sectoriales, entre ellas las relacionadas con la ciberseguridad de los flujos transfronterizos de electricidad y con la aviación. En su desarrollo, ENISA deberá tener en cuenta la plataforma establecida por el Reglamento (UE) 2024/2847, sobre ciberresiliencia, para la notificación de vulnerabilidades activamente explotadas y de incidentes graves que afecten a productos con elementos digitales. Con ello, se busca evitar que surjan nuevas infraestructuras aisladas dentro del propio sistema europeo de notificación.

La modificación de DORA

En lo que respecta al sector financiero, el artículo 8 de la propuesta modifica los primeros párrafos de los apartados 1 y 2 del artículo 19 de DORA. De aprobarse en su actual versión de propuesta, las entidades financieras continuarán obligadas a notificar los incidentes graves relacionados con las tecnologías de la información y la comunicación a la autoridad competente designada de acuerdo con el artículo 46 de DORA. Sin embargo, la comunicación ya no se efectuaría mediante el canal habilitado directamente por dicha autoridad, sino a través del nuevo punto único de entrada previsto en la Directiva NIS2.

También se mantiene la posibilidad de comunicar voluntariamente las ciberamenazas significativas cuando la entidad considere que pueden resultar relevantes para el sistema financiero, los usuarios o los clientes. Estas comunicaciones voluntarias se presentarían igualmente a través del punto común. La autoridad destinataria seguiría siendo la competente conforme a DORA y conservaría la facultad de compartir la información con las demás autoridades previstas en el artículo 19.6 del Reglamento.

El cambio proyectado es, por tanto, esencialmente procedimental. No se modifican la definición de incidente grave relacionado con las TIC, los criterios para su clasificación, los umbrales de relevancia, la secuencia de comunicación ni los plazos aplicables. Tampoco se alteran el contenido de las notificaciones iniciales y de los informes intermedios y finales, las competencias de supervisión o las normas técnicas adoptadas en desarrollo de DORA. El Ómnibus Digital se limita a modificar el lugar y la forma en que la información exigida por el Reglamento y marco DORA se presenta. La centralización del canal no equivale, por tanto, a la unificación de los distintos regímenes jurídicos.

El punto único está destinado a reducir la multiplicación de portales. Pero no elimina por sí mismo las diferencias entre los conceptos, umbrales, plazos y formularios previstos en DORA, el RGPD, NIS2 ni del resto de marcos afectados.

DORA como referencia para otros regímenes

La propuesta reconoce que el sector financiero se encuentra en una posición avanzada en materia de armonización de las comunicaciones de incidentes. DORA ya ha establecido categorías comunes, procedimientos uniformes y modelos normalizados para la notificación inicial y para los informes intermedio y final.

Por esta razón, la Comisión considera en su propuesta que se deberá tener en cuenta la experiencia adquirida con DORA al elaborar modelos comunes para NIS2, el RGPD y la Directiva sobre resiliencia de las entidades críticas. También, que deberá considerar las normas técnicas de regulación adoptadas en desarrollo del Reglamento para reducir el número de campos que deben cumplimentarse y favorecer una mayor coherencia entre los distintos procedimientos.

El objetivo debería ser que la simplificación no se limite a la existencia de una ventanilla común, sino que alcance progresivamente al contenido de los formularios, a las taxonomías utilizadas y a la posibilidad de reutilizar la información ya comunicada.

Implantación y garantías

La puesta en funcionamiento del sistema no sería inmediata. ENISA deberá desarrollar una fase piloto que tenga en cuenta las particularidades de los distintos regímenes. Posteriormente, la Comisión deberá evaluar su funcionamiento, fiabilidad, integridad y confidencialidad, previa consulta a la red de equipos de respuesta a incidentes de seguridad informática y a las autoridades competentes.

Solo después de una evaluación positiva y de la publicación de la correspondiente decisión en el Diario Oficial de la Unión Europea comenzaría a utilizarse el punto único. La propuesta prevé que el mecanismo pueda estar operativo en un plazo de dieciocho meses desde la entrada en vigor del futuro Reglamento. Este periodo podría ampliarse hasta veinticuatro meses cuando no se hubieran alcanzado las garantías exigidas.

Hasta ese momento, las entidades financieras deberán continuar empleando los canales actualmente establecidos conforme a DORA. También deberán preverse vías alternativas para los casos en los que el punto único no esté disponible por razones técnicas.

La infraestructura puede reducir duplicidades y facilitar la coordinación entre autoridades, pero también concentrará información especialmente sensible. Su disponibilidad será esencial para que las entidades puedan cumplir obligaciones sujetas a plazos muy breves. Por ello, la seguridad, resiliencia y continuidad operativa del propio punto único no constituyen aspectos accesorios, sino condiciones indispensables para su implantación.

Las observaciones del Banco Central Europeo

El Banco Central Europeo ha acogido favorablemente el objetivo general de simplificar y armonizar las comunicaciones de incidentes, pero ha formulado importantes reservas sobre la integración inmediata de DORA en el punto único.

En su dictamen de 10 de marzo de 2026, el BCE señala que DORA ya ha simplificado considerablemente el sistema aplicable al sector financiero mediante categorías, modelos, procedimientos comunes y un canal específico de notificación. A su juicio, la creación de un portal único no reducirá de manera suficiente las cargas mientras las entidades sigan obligadas a preparar informes distintos con arreglo a cada legislación. La verdadera simplificación exigiría una mayor convergencia de las taxonomías, plantillas y procedimientos. El BCE advierte asimismo de que las notificaciones de DORA pueden activar procedimientos urgentes de supervisión o de gestión de crisis. La incorporación de un nuevo sistema intermediario podría introducir riesgos de indisponibilidad o retrasar la llegada de la información a la autoridad competente. También recuerda que DORA se aplica desde el 17 de enero de 2025 y que las entidades y supervisores financieros han dedicado importantes recursos a implantar su régimen de notificación.

Por estas razones, el BCE propone excluir inicialmente a DORA del punto único, adquirir experiencia con los demás regímenes y valorar su integración en una fase posterior. Esta posición no cuestiona la conveniencia de coordinar las obligaciones europeas, pero sí pone de manifiesto que la simplificación debe medirse por sus efectos reales y no únicamente por la reducción del número de portales.

Más allá de DORA: el Ómnibus sobre IA y la derogación del Reglamento P2B

La reforma de las notificaciones se integra en una estrategia más amplia de simplificación del marco digital europeo. En este contexto debe mencionarse la propuesta paralela COM(2025) 836 final, conocida como Ómnibus Digital sobre IA.

Se trata, sin embargo, de dos propuestas legislativas diferentes. La propuesta COM(2025) 837 final afecta a distintos componentes del acervo digital y contiene la modificación de DORA relativa al punto único de entrada. La propuesta COM(2025) 836 final, por su parte, modifica el Reglamento (UE) 2024/1689 de Inteligencia Artificial y el Reglamento (UE) 2018/1139, relativo a la aviación civil, con el propósito de simplificar la aplicación de las normas armonizadas sobre inteligencia artificial.

Entre las medidas del Ómnibus sobre IA se encuentran la adaptación de determinadas obligaciones relativas a los sistemas de alto riesgo a la disponibilidad de normas armonizadas y otros instrumentos de apoyo, la extensión de algunas simplificaciones previstas para las pymes a las pequeñas empresas de mediana capitalización y la reducción de ciertas cargas documentales y registrales.

No existe, por tanto, una reforma directa de DORA a través del Ómnibus sobre IA. La relación entre ambas propuestas deriva de su orientación común: facilitar la aplicación del creciente marco digital europeo, limitar los solapamientos y reducir cargas que no resulten necesarias para alcanzar los objetivos regulatorios.

La propuesta COM(2025) 837 final aprovecha también la reforma para derogar el Reglamento (UE) 2019/1150, conocido como Reglamento P2B, relativo a la equidad y transparencia en las relaciones entre las plataformas digitales y sus usuarios empresariales. La Comisión considera que una parte importante de sus previsiones ha quedado desplazada por el Reglamento de Mercados Digitales y el Reglamento de Servicios Digitales.

No obstante, se conservarían algunas de sus disposiciones cuando resulte necesario para mantener la seguridad jurídica de otros actos que contienen remisiones al Reglamento P2B. Es el caso, entre otros, de determinadas referencias incorporadas a la regulación europea del trabajo en plataformas.

Una simplificación todavía en construcción

El Ómnibus Digital representa un intento relevante de ordenar un marco normativo que se ha ido formando mediante instrumentos aprobados en momentos distintos y con finalidades específicas. En el ámbito de los incidentes, su aportación más visible es la sustitución de varios canales de comunicación por una infraestructura común.

Sin embargo, un único punto de entrada no elimina automáticamente la complejidad sustantiva. Mientras cada régimen conserve definiciones, umbrales, plazos y modelos diferentes, las entidades seguirán soportando una parte importante del esfuerzo de clasificación y preparación de la información.

En el caso de DORA, la reforma debe valorarse además a la luz del grado de armonización ya alcanzado en el sector financiero y de la necesidad de garantizar que las comunicaciones urgentes lleguen a los supervisores sin retrasos. La utilidad del nuevo sistema dependerá, en definitiva, de que permita reutilizar realmente la información, reduzca el número de datos que deben aportarse y mantenga un nivel de seguridad y disponibilidad compatible con la criticidad de los incidentes comunicados.

Debe recordarse, finalmente, que ambas iniciativas continúan sometidas al procedimiento legislativo ordinario. Su contenido puede experimentar cambios antes de su eventual aprobación.

Ao solpor

Referencias:

COMISIÓN EUROPEA,

Propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se modifican los Reglamentos (UE) 2016/679, (UE) 2018/1724, (UE) 2018/1725 y (UE) 2023/2854 y las Directivas 2002/58/CE, (UE) 2022/2555 y (UE) 2022/2557 en lo que respecta a la simplificación del marco legislativo digital y se derogan los Reglamentos (UE) 2018/1807, (UE) 2019/1150 y (UE) 2022/868 y la Directiva (UE) 2019/1024 (Ómnibus Digital), Bruselas, 19 de noviembre de 2025, COM(2025) 837 final, 2025/0360(COD), especialmente considerandos 49 a 57 y arts. 6 y 8, pp. 40-42 y 88-91.
Propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se modifican los Reglamentos (UE) 2024/1689 y (UE) 2018/1139 en lo que respecta a la simplificación de la aplicación de normas armonizadas en materia de inteligencia artificial (Reglamento ómnibus digital sobre IA)

La autora agradece al Dipartimento di Scienze Giuridiche de la Università degli Studi di Firenze y, en particular, al equipo de la profesora Sara Landini el apoyo recibido en el acceso a las fuentes y en el marco del seminario internacional celebrado el 20 de julio de 2026, cuyas aportaciones han contribuido a la preparación de esta entrada.— Texto redactado y revisado por la autora, con apoyo instrumental de herramientas de inteligencia artificial.

El nuevo Código de Buenas Prácticas sobre Transparencia de los Contenidos Generados por Inteligencia Artificial: hacia un Derecho europeo de la autenticidad digital

Posted on 20 julio, 2026 por Elena F Pérez Carrillo

La Comisión Europea ha publicado el Code of Practice on Transparency of AI-Generated Content, un instrumento de adhesión voluntaria destinado a facilitar la aplicación del artículo 50 del Reglamento (UE) 2024/1689, de Inteligencia Artificial (AI Act). Su aprobación constituye un nuevo paso en la estrategia regulatoria europea para reforzar la confianza en el entorno digital y preparar la entrada en aplicación de las obligaciones de transparencia previstas en el AI Act.

A diferencia de otros instrumentos elaborados en el marco del Reglamento de Inteligencia Artificial, este Código no se ocupa de la seguridad de los modelos ni de los riesgos sistémicos de la IA de propósito general. Su objeto es mucho más concreto: la identificación de contenidos generados o alterados con IA .

El Código tiene naturaleza de instrumento voluntario. Aun así, sus contenidos no se pueden ignorar; pues las obligaciones de transparencia que recoge: derivan directamente del artículo 50 del AI Act y son exigibles, ex lege. El Código pretende ofrecer criterios técnicos y organizativos que faciliten el cumplimiento del derecho positivo y favorezcan una aplicación homogénea en toda la Unión Europea.

El ámbito subjetivo de aplicación de este Código comprende tanto a los proveedores de sistemas de IA como a los usuarios profesionales (deployers). El reconocimiento de esta distribución de roles resulta, en si mismo, significativo porque confirma una de las principales tendencias del Derecho europeo de la digitalización: las obligaciones regulatorias ya no recaen exclusivamente sobre quienes desarrollan la tecnología, sino también sobre quienes la incorporan a su actividad empresarial o profesional.
El Código apuesta por un concepto de transparencia mucho más sofisticado que la simple inclusión de un aviso visible. La Comisión Europea promueve el empleo de marcas de agua digitales, metadatos, identificadores persistentes y otros mecanismos legibles por máquinas que permitan conservar información sobre el origen artificial del contenido incluso cuando éste sea compartido o reutilizado en diferentes plataformas. El objetivo consiste en construir una auténtica infraestructura europea de trazabilidad de los contenidos digitales. Así, la transparencia deja de concebirse como una mera obligación informativa para convertirse en un requisito estructural del ecosistema digital. En otras palabras, el Derecho europeo comienza a exigir que la propia arquitectura tecnológica facilite la identificación del origen de la información.
Especial atención merecen los denominados deepfakes.El AI Act exige que las imágenes, vídeos o audios generados o manipulados mediante inteligencia artificial sean claramente identificables cuando puedan inducir a error respecto de su autenticidad. El Código desarrolla esta obligación proponiendo procedimientos técnicos uniformes y recomendaciones dirigidas tanto a proveedores como a usuarios profesionales.
Asimismo, aborda los supuestos en los que los sistemas de IA generan textos destinados a informar sobre asuntos de interés público. En estos casos, los usuarios profesionales deberán informar de la utilización de inteligencia artificial, salvo que exista una revisión humana sustancial y una auténtica responsabilidad editorial sobre el contenido final. Con ello, el legislador europeo intenta equilibrar dos objetivos: fomentar la innovación tecnológica sin debilitar la confianza en la información difundida al público.

Las implicaciones son especialmente relevantes.

En primer lugar, las empresas deberán revisar sus políticas internas de utilización de herramientas de IA generativa. Ya no bastará con decidir qué aplicaciones pueden emplearse dentro de la organización; será necesario establecer procedimientos para identificar los contenidos sintéticos, conservar su trazabilidad y documentar las intervenciones humanas realizadas sobre ellos.
En segundo término, el Código incide directamente sobre los sistemas de compliance. Las obligaciones de transparencia pasan a integrarse en los programas internos de cumplimiento junto a materias ya consolidadas como la protección de datos personales, la ciberseguridad, la prevención del fraude o la gestión documental. Ello exigirá nuevos protocolos internos, formación del personal y mecanismos de supervisión continua.
La supervisión del uso responsable de la inteligencia artificial pasa a formar parte de las funciones estratégicas del órgano de administración. El deber de diligencia de los administradores se proyecta ahora sobre la gestión de riesgos derivados del empleo de sistemas de IA generativa, particularmente cuando puedan afectar a la reputación empresarial, a la responsabilidad frente a terceros o al cumplimiento normativo.
No menos importantes son sus efectos sobre la contratación y la actividad empresarial cotidiana. Las empresas utilizan ya inteligencia artificial para elaborar contratos, informes financieros, publicidad, documentación precontractual, comunicaciones con clientes y documentación interna. La posibilidad de acreditar qué partes de esos documentos fueron generadas por IA, cuáles fueron revisadas por personas y qué modificaciones se introdujeron puede adquirir una enorme relevancia en eventuales procedimientos judiciales o arbitrales.
También merece atención la relación entre el Código y la propiedad intelectual. Aunque el documento no regula directamente la titularidad de las obras generadas mediante IA, la incorporación de mecanismos de identificación facilitará la prueba sobre el origen de los contenidos y podrá contribuir a resolver futuros conflictos relativos a derechos de autor, utilización ilícita de obras protegidas o atribución de responsabilidades.
Otra consecuencia particularmente interesante afecta al Derecho de la competencia y a la protección de los consumidores. La utilización de contenidos sintéticos sin la debida identificación puede constituir una práctica engañosa, alterar la competencia en determinados mercados o afectar a la confianza de los consumidores. El Código contribuye así a reforzar los principios de transparencia e información veraz que inspiran el mercado interior europeo.
Igualmente relevantes son las implicaciones procesales. Los metadatos, las marcas de agua y los sistemas de trazabilidad pueden convertirse en elementos probatorios de gran valor para acreditar la autenticidad de documentos electrónicos, determinar si un contenido ha sido manipulado o reconstruir la cadena de generación de una determinada información digital. En consecuencia, el Código puede terminar teniendo una influencia notable sobre la práctica probatoria en litigios civiles, mercantiles e incluso penales.
Desde una perspectiva regulatoria más amplia, este instrumento refleja una característica constante del modelo europeo de gobernanza digital: la combinación de normas obligatorias con mecanismos de autorregulación supervisada. El Código no sustituye al Reglamento de Inteligencia Artificial, sino que facilita su aplicación mediante estándares comunes elaborados con la participación de expertos, empresas y autoridades públicas..
Quizá la aportación más interesante del Código sea, sin embargo, otra. En realidad, la Comisión Europea no está regulando únicamente la inteligencia artificial. Está construyendo un auténtico Derecho europeo de la autenticidad digital. El verdadero bien jurídico protegido deja de ser exclusivamente la seguridad tecnológica para convertirse en la confianza en la información que circula en el espacio digital.- En este nuevo paradigma, la autenticidad, la trazabilidad, la procedencia y la verificabilidad de los contenidos adquieren un valor jurídico propio. Se trata de principios que probablemente terminarán proyectándose sobre otros ámbitos normativos, desde la contratación electrónica hasta los mercados financieros, la administración pública digital, la publicidad, la prueba electrónica o la protección de la democracia frente a campañas de desinformación.

(Texto generado y editado manualmente, con apoyo (circa 10%) de la IA ).

El EDPB publica las Guidelines 03/2026 sobre web scraping e IA generativa: hacia una gobernanza jurídica integral del entrenamiento de modelos

Posted on 17 julio, 2026 por Elena F Pérez Carrillo

El 7 de julio de 2026, el Comité Europeo de Protección de Datos (European Data Protection Board, EDPB) adoptó, para consulta pública, la versión 1.0 de las Guidelines 03/2026 on web scraping in the context of generative AI. Se trata de uno de los primeros documentos europeos que aborda sistemáticamente el uso de técnicas de web scraping para el entrenamiento de modelos de inteligencia artificial generativa desde la perspectiva del Reglamento General de Protección de Datos (RGPD).

Azaleas

La consulta pública permanecerá abierta hasta el 30 de octubre de 2026. En esta entrada se presenta el contenido principal y se sugieren algunas posibles aportaciones a la consulta, especialmente en relación con la viabilidad técnica y económica de los controles propuestos, su proporcionalidad, su eficacia real y su incidencia sobre las empresas de menor dimensión y las entidades dedicadas a la investigación.

Aunque formalmente constituyen un instrumento interpretativo del RGPD y su ámbito se limita al web scraping realizado por entidades privadas, las Directrices poseen una relevancia que excede la protección de datos en sentido estricto. Contribuyen a perfilar un marco jurídico en el que la recopilación masiva de información para entrenar modelos debe integrarse en estructuras de gobernanza, responsabilidad proactiva, gestión de riesgos y documentación. Esta lectura permite, además, relacionar sus orientaciones con otras normas europeas aplicables a la inteligencia artificial, aunque el EDPB no tenga por objeto interpretar otros regímenes.

Como primera posible aportación a la consulta pública, convendría solicitar una mayor concreción sobre la distancia existente entre la corrección jurídica del modelo de control propuesto y su viabilidad técnica y económica cuando la recopilación comprende miles de millones de datos procedentes de fuentes cambiantes y heterogéneas. Identificar anticipadamente todos los datos personales, comprobar su exactitud, distinguir las categorías especiales, reconstruir su procedencia y posibilitar el ejercicio efectivo de derechos individuales puede resultar extraordinariamente complejo —y, en determinados supuestos, materialmente inalcanzable— en los grandes conjuntos utilizados para entrenar modelos generativos. Las Directrices no desconocen esta dificultad, pero trasladan a los responsables exigencias formuladas conforme a un modelo de tratamiento identificable y trazable que encaja imperfectamente con la escala, la opacidad y el dinamismo del entrenamiento contemporáneo. No se trata de discutir la vigencia de los principios del RGPD, sino de precisar qué controles permiten aplicarlos de manera efectiva sin convertir la responsabilidad proactiva en una obligación predominantemente documental, difícil de verificar y asumible únicamente por los operadores con mayores recursos.

Contenidos destacados del documento a consulta:

Internet no es un espacio de libre apropiación de datos

La idea central del documento puede resumirse en una afirmación sencilla, pero de enorme trascendencia práctica: que una información sea públicamente accesible en Internet no significa que pueda ser recopilada y reutilizada libremente para entrenar modelos de inteligencia artificial. El EDPB recuerda que la publicidad de una información no elimina su posible condición de dato personal. En consecuencia, cuando el web scraping implica operaciones de tratamiento relativas a personas físicas identificadas o identificables —como la recopilación, extracción, limpieza, estructuración, almacenamiento o recuperación de datos— continúan siendo aplicables los principios del RGPD: licitud, lealtad, transparencia, limitación de la finalidad, minimización, exactitud, limitación del plazo de conservación, integridad y confidencialidad.

Las Directrices prestan especial atención a la identificación de la base jurídica del tratamiento. Aunque admiten que, en determinados supuestos, pueda acudirse al interés legítimo previsto en el artículo 6.1.f) del RGPD, recuerdan que su aplicación exige el cumplimiento acumulativo de tres condiciones: la existencia de un interés legítimo; la necesidad del tratamiento para satisfacerlo; y una ponderación que determine que no prevalecen los intereses o los derechos y libertades fundamentales de las personas afectadas. El interés legítimo no puede invocarse automáticamente por el mero hecho de que los datos procedan de fuentes abiertas.

Especial cautela merece el tratamiento de las categorías especiales de datos. Incluso cuando esa información se encuentre públicamente accesible, el tratamiento requiere una base jurídica conforme al artículo 6 del RGPD y, adicionalmente, la concurrencia de alguna de las excepciones establecidas en su artículo 9.2. El EDPB niega que exista una exención general aplicable a la recopilación incidental o residual de esta clase de información y exige un análisis individualizado.

El documento admite que la doctrina establecida por el Tribunal de Justicia de la Unión Europea en el asunto GC y otros, C-136/17, puede ser relevante cuando la recopilación de categorías especiales sea incidental y residual. Esta posibilidad queda condicionada, no obstante, a que el responsable actúe dentro del marco de sus responsabilidades, competencias y posibilidades, y adopte medidas técnicas y organizativas adecuadas para impedir la recopilación y difusión de esos datos.

2. Del RGPD al Reglamento de Inteligencia Artificial: normas que deben aplicarse conjuntamente

Las Directrices permiten advertir cómo el RGPD y el Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial, forman parte de un sistema regulatorio progresivamente interrelacionado.

Esta conexión no significa que el EDPB interprete en las Directrices el Reglamento de Inteligencia Artificial. Su análisis se circunscribe expresamente al RGPD. Sin embargo, desde la perspectiva de las empresas afectadas, las obligaciones derivadas de ambos reglamentos deben cumplirse conjuntamente cuando concurran sus respectivos ámbitos de aplicación.

El RGPD determina las condiciones conforme a las cuales pueden tratarse datos personales para entrenar un modelo. Por su parte, el Reglamento de Inteligencia Artificial impone obligaciones específicas a los proveedores de modelos de inteligencia artificial de propósito general (General-Purpose AI Models, GPAI), particularmente en materia de documentación técnica, transparencia, evaluación y reducción de riesgos y cumplimiento de la normativa de la Unión sobre derechos de autor.

El entrenamiento de un modelo no constituye, por tanto, únicamente una operación de tratamiento de datos personales. Es también un proceso que puede quedar sujeto a obligaciones de gobernanza tecnológica y rendición de cuentas durante las distintas fases del ciclo de vida del modelo.

El cumplimiento del RGPD se convierte así en uno de los componentes del cumplimiento normativo en materia de inteligencia artificial, pero no en el único. La licitud del tratamiento de los datos no garantiza, por sí sola, el cumplimiento de las demás obligaciones impuestas a los proveedores y responsables de sistemas o modelos de IA.

3. La gobernanza de los datos utilizados para el entrenamiento

El documento concede especial importancia a la gobernanza de los datos utilizados durante el entrenamiento. El EDPB recomienda que las organizaciones seleccionen fuentes fiables, registren el momento en el que fueron obtenidos los datos y los validen antes de utilizarlos para entrenar el modelo. Asimismo, insiste en la adopción de medidas destinadas a evitar la recopilación innecesaria de datos personales.

Entre esas medidas se incluyen la delimitación precisa de los criterios de recopilación; la elaboración de mapas e inventarios de datos; la utilización de filtros que excluyan determinadas categorías; la exclusión de sitios que contengan estructuralmente información especialmente sensible; y la exclusión de páginas que manifiesten claramente su oposición al scraping. Después de la recopilación pueden aplicarse filtros adicionales, así como técnicas de anonimización, seudonimización o sustitución de datos reales por datos sintéticos cuando resulte viable.

La obligación de transparencia también plantea dificultades particulares. Informar individualmente a las personas afectadas puede ser imposible o exigir un esfuerzo desproporcionado cuando se recopilan datos correspondientes a miles o millones de individuos. Las Directrices admiten que, en función del diseño concreto del tratamiento, pueda aplicarse la excepción prevista en el artículo 14.5.b) del RGPD. Sin embargo, esa excepción no debe invocarse de manera rutinaria.

Cuando no sea posible informar individualmente, el responsable debe adoptar medidas adecuadas para proteger los derechos, libertades e intereses legítimos de las personas afectadas. Entre ellas se encuentra la publicación de la información exigida por el RGPD. El EDPB considera una buena práctica incluir, cuando sea posible, los dominios y direcciones de las páginas recopiladas, facilitar esa información en un formato susceptible de búsqueda e indicar la fecha o el periodo durante el cual se produjo la recopilación.

No basta, por tanto, con identificar una base jurídica. Es necesario poder demostrar cómo se obtuvieron los datos, por qué eran necesarios, qué controles se aplicaron y qué medidas se adoptaron para reducir los riesgos asociados al tratamiento. No todas estas indicaciones tienen, sin embargo, la misma naturaleza jurídica: algunas derivan directamente de obligaciones establecidas por el RGPD, mientras que otras son recomendaciones o buenas prácticas propuestas por el EDPB. Sería conveniente que la versión definitiva delimitase con mayor precisión ambos planos, evitando que las recomendaciones técnicas sean interpretadas automáticamente como obligaciones jurídicas generales.

Este enfoque aproxima la gobernanza del dato a la gobernanza corporativa tradicional. Del mismo modo que las sociedades deben documentar determinadas decisiones estratégicas y acreditar que los administradores dispusieron de información suficiente, los desarrolladores de IA deberán poder justificar el origen, la calidad y la legitimidad de los datos utilizados para entrenar sus modelos.

Más allá del texto del documento

1. Protección de datos y derechos de autor

Aunque las Directrices tienen por objeto la interpretación del RGPD, resulta imposible ignorar la creciente convergencia entre protección de datos y propiedad intelectual.

Una parte significativa del entrenamiento de modelos se basa en la recopilación automatizada de contenidos que, además de incorporar datos personales, pueden estar protegidos por derechos de autor. Ello obliga a los desarrolladores a comprobar simultáneamente el cumplimiento de varios regímenes jurídicos:

El RGPD, respecto del tratamiento de datos personales.
La Directiva (UE) 2019/790 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, sobre los derechos de autor y derechos afines en el mercado único digital, incluidas las excepciones relativas a la minería de textos y datos previstas en sus artículos 3 y 4.
Las obligaciones específicas que el Reglamento de Inteligencia Artificial impone a los proveedores de modelos de inteligencia artificial de propósito general en relación con el respeto de los derechos de propiedad intelectual.

Las Directrices no interpretan la normativa sobre propiedad intelectual. Su razonamiento refuerza, no obstante, la idea de que el entrenamiento de modelos constituye una actividad sometida simultáneamente a distintos regímenes regulatorios. Cumplir uno de ellos no excluye ni garantiza el cumplimiento de los restantes.

También en este punto cabría sugerir, en el marco de la consulta, que el EDPB distinguiese con mayor claridad entre las obligaciones derivadas del RGPD y las que proceden de otros sectores del ordenamiento. Una interpretación integrada resulta necesaria, pero no debería desdibujar las competencias respectivas de las autoridades ni trasladar al responsable la carga de resolver por sí solo posibles contradicciones o solapamientos entre regímenes regulatorios.

2. Consecuencias para la empresa

Desde la perspectiva empresarial, las consecuencias son profundas. Hasta hace pocos años, el análisis podía concentrarse principalmente en determinar si un tratamiento de datos cumplía el RGPD. En la actualidad, las empresas que desarrollan modelos de IA o utilizan modelos desarrollados por terceros deben integrar en sus sistemas internos de cumplimiento obligaciones correspondientes a la protección de datos, la inteligencia artificial, la propiedad intelectual, la gestión documental, la auditoría y supervisión interna y la gestión de riesgos tecnológicos.

La gobernanza de la inteligencia artificial deja así de ser una cuestión exclusivamente tecnológica para convertirse en una función transversal de cumplimiento. Esta transversalidad obliga a definir responsabilidades internas, establecer mecanismos de coordinación entre departamentos y determinar qué decisiones deben elevarse a los órganos de dirección o administración.

La multiplicidad de normas aplicables puede producir, no obstante, solapamientos, costes acumulativos y dudas sobre el reparto de competencias entre autoridades. La coordinación entre los distintos regímenes regulatorios resulta imprescindible para evitar que la acumulación de obligaciones se traduzca en procedimientos paralelos que incrementen la documentación sin mejorar de manera equivalente la protección efectiva de las personas afectadas.

Desde esta perspectiva, una aportación útil a la consulta consistiría en solicitar un verdadero enfoque basado en el riesgo y en la proporcionalidad. Las exigencias aplicables no deberían depender únicamente del volumen de los datos recopilados, sino también de su naturaleza, del carácter dirigido o indiscriminado de la recopilación, de las posibilidades de identificación, de la finalidad del modelo, del riesgo de memorización o reproducción y de los efectos previsibles sobre las personas. Asimismo, sería conveniente prever orientaciones adaptadas a pequeñas y medianas empresas, entidades investigadoras y desarrolladores de modelos de menor escala.

3. El web scraping como decisión de gobierno corporativo

Las Directrices permiten identificar un cambio de paradigma significativo. El web scraping ya no puede contemplarse como una mera técnica informática destinada a recopilar información. La decisión de entrenar un modelo con determinados conjuntos de datos pasa a ser una decisión organizativa que compromete a la empresa en múltiples planos: cumplimiento normativo, gestión de riesgos, reputación, responsabilidad, supervisión interna y estrategia empresarial.

En este contexto, la gobernanza de los datos se aproxima progresivamente a la gobernanza corporativa. Las decisiones relativas a las fuentes de entrenamiento, los mecanismos de validación, la documentación del proceso, los instrumentos de filtrado o la gestión de reclamaciones dejan de pertenecer exclusivamente al ámbito técnico para integrarse en los sistemas internos de control y supervisión.

Ello resulta particularmente relevante para los órganos de administración. El deber general de diligencia previsto en el Derecho societario exige que los administradores dispongan de información adecuada y adopten decisiones razonables sobre los riesgos relevantes derivados de las actividades empresariales, incluidos los relacionados con el desarrollo o utilización de inteligencia artificial.

Esto no significa que los administradores deban supervisar personalmente cada operación de recopilación ni poseer conocimientos técnicos equivalentes a los de los desarrolladores. Sí exige, en cambio, que se establezca una organización adecuada, se distribuyan responsabilidades, se reciba información suficiente y se vigile la eficacia de los sistemas de control cuando los riesgos sean relevantes para la sociedad.

La gobernanza del dato puede configurarse, en este sentido, como una manifestación específica de la diligencia exigible en la empresa algorítmica. Las Guidelines 03/2026 constituyen un paso hacia un modelo en el que la inteligencia artificial deja de ser únicamente un instrumento tecnológico para convertirse también en objeto de organización, control y gobierno corporativo.

Algunas posibles aportaciones a la consulta pública

De lo expuesto pueden extraerse varias cuestiones que sería útil someter a la consideración del EDPB antes de aprobar la versión definitiva de las Directrices:

Diferenciar con mayor precisión las obligaciones directamente derivadas del RGPD de las recomendaciones técnicas y buenas prácticas formuladas por el EDPB.
Concretar cómo deben cumplirse las exigencias de trazabilidad, transparencia, exactitud y ejercicio de derechos cuando el entrenamiento utiliza conjuntos de datos masivos, heterogéneos y sometidos a cambios constantes.
Aplicar de manera efectiva los principios de proporcionalidad y enfoque basado en el riesgo, diferenciando entre recopilación dirigida e indiscriminada, entre modelos de distinta dimensión y entre usos con niveles de riesgo diferentes.
Ofrecer orientaciones específicas para pequeñas y medianas empresas, entidades investigadoras y desarrolladores de modelos de menor escala, evitando que el coste del cumplimiento consolide la posición de los grandes proveedores.
Identificar controles técnicamente verificables que permitan evaluar la eficacia real de los filtros, la anonimización, la supresión de datos y las medidas contra la memorización y reproducción de información personal.
Precisar las consecuencias de la adquisición de conjuntos de datos previamente recopilados por terceros y el alcance de las comprobaciones que razonablemente pueden exigirse al desarrollador que no realizó el scraping original.
Reforzar la coordinación con las autoridades competentes en materia de inteligencia artificial, propiedad intelectual, competencia y protección de los consumidores, sin confundir las obligaciones derivadas de los distintos regímenes.

Queda, en definitiva, una cuestión abierta: si el ambicioso entramado de selección de fuentes, filtrado, registro, validación, actualización y atención de derechos puede desplegarse y supervisarse realmente a la escala propia de la IA generativa. Existe el riesgo de que la acumulación de controles produzca una apariencia de trazabilidad sin permitir reconstruir de manera fiable qué datos personales fueron incorporados, cómo influyeron en el modelo o si fueron verdaderamente eliminados. También puede generar una asimetría competitiva: los grandes proveedores estarán en mejores condiciones de sostener la infraestructura documental y técnica exigida, mientras que las pequeñas empresas, entidades investigadoras y desarrolladores europeos pueden encontrar barreras difícilmente asumibles.

La eficacia de las Directrices dependerá, por ello, menos de multiplicar declaraciones de cumplimiento que de concretar controles técnicamente verificables, proporcionados al riesgo y compatibles con las características reales de los modelos. Sin esa concreción, la gobernanza del dato corre el peligro de convertirse en una gobernanza principalmente documental: rigurosa sobre el papel, pero limitada en su capacidad para controlar efectivamente la recopilación masiva, la memorización y la eventual reproducción de datos personales.

La consulta pública ofrece una oportunidad para incorporar estas consideraciones y procurar que la futura versión definitiva combine la protección efectiva de los derechos fundamentales con obligaciones comprensibles, proporcionadas y técnicamente realizables.

Más información:

European Data Protection Board, Guidelines 03/2026 on web scraping in the context of generative AI, versión 1.0, adoptadas para consulta pública el 7 de julio de 2026, disponible en: https://www.edpb.europa.eu/system/files/2026-07/edpb_guidelines_2020603_webscraping_v1_en_0.pdf.
European Data Protection Board, «EDPB sheds light on anonymisation and web scraping for generative AI and adopts final version of guidelines on blockchain», 8 de julio de 2026, disponible en: https://www.edpb.europa.eu/news/edpb-sheds-light-on-anonymisation-and-web-scraping-for-generative-ai-and-adopts-final-version_en.
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial.
European Data Protection Board, Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models, 17 de diciembre de 2024, disponible en: https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-board-art-64/opinion-282024-certain-data-protection-aspects_en.
Directiva (UE) 2019/790 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, sobre los derechos de autor y derechos afines en el mercado único digital, especialmente sus artículos 3 y 4 relativos a la minería de textos y datos.
Comisión Europea, Guidelines for providers of general-purpose AI models, relativas a las obligaciones previstas en el Reglamento (UE) 2024/1689.

Elaboración por la autora, con apoyo instrumental de IA

Plan de Acción sobre Ciberseguridad e Inteligencia Artificial: un nuevo paso hacia la gobernanza integrada del riesgo digital

Posted on 15 julio, 2026 por Elena F Pérez Carrillo

Merindades burgalesas

La Comisión Europea ha publicado el EU Action Plan on Cybersecurity and Artificial Intelligence, un documento estratégico destinado a responder al impacto que los modelos avanzados de inteligencia artificial están produciendo sobre la ciberseguridad europea. El Plan parte de una premisa clara: la inteligencia artificial constituye simultáneamente un extraordinario instrumento para reforzar la seguridad digital y un factor de incremento de los riesgos cibernéticos, al facilitar la automatización de ataques, la identificación de vulnerabilidades y el desarrollo de nuevas capacidades ofensivas.

Desde la perspectiva del Derecho mercantil, el documento merece especial atención porque consolida una tendencia que ya venía apreciándose en la regulación europea: la progresiva integración entre la gobernanza de la inteligencia artificial, la gestión de la ciberseguridad y el gobierno corporativo.

El Plan no introduce nuevas obligaciones jurídicas. Su función consiste en articular una estrategia común que permita aplicar, coordinadamente, el amplio conjunto de normas europeas ya vigentes. Entre ellas destacan el Reglamento de Inteligencia Artificial (AI Act), la Directiva NIS2, el Reglamento de Ciberresiliencia (Cyber Resilience Act), el Reglamento DORA para el sector financiero y el Cyber Solidarity Act. La Comisión pretende evitar una aplicación fragmentada de estos instrumentos y promover una respuesta coherente frente a riesgos que ya no pueden analizarse de manera aislada.

La irrupción de modelos avanzados de inteligencia artificial, especialmente los sistemas generativos y los modelos de propósito general (General Purpose AI Models), está transformando el panorama tradicional de las amenazas digitales. Frente a los mecanismos convencionales de ataque, caracterizados por una mayor dependencia del conocimiento técnico especializado y de la intervención humana, la IA permite una mayor automatización, escalabilidad y sofisticación de las operaciones maliciosas. En particular, facilita la generación automatizada de campañas de ingeniería social, la creación de contenidos fraudulentos altamente personalizados, la identificación masiva de vulnerabilidades y la adaptación dinámica de estrategias ofensivas. Frente a estos riesgos, la Comisión Europea identifica la inteligencia artificial como un instrumento susceptible de modificar el equilibrio entre las capacidades de los actores defensivos y ofensivos en el ciberespacio, y de favorecer que actores con menores recursos tecnológicos desarrollen operaciones con un nivel de complejidad anteriormente reservado a grandes organizaciones altamente especializadas.

Subraya, igualmente, la Comisión Europea el potencial transformador de la inteligencia artificial como tecnología habilitadora de una nueva generación de mecanismos de protección digital. La IA puede contribuir a reforzar la capacidad de prevención, detección, respuesta y recuperación frente a incidentes cibernéticos, elementos esenciales del concepto europeo de ciberresiliencia.

El planteamiento de la Comisión refleja, en consecuencia, un cambio de paradigma en la concepción de la seguridad digital. La cuestión ya no se limita a la protección de sistemas tecnológico frente a ataques externos, sino que exige establecer mecanismos integrales de gobernanza capaces de gestionar entornos caracterizados por una interacción constante entre tecnología, datos, infraestructuras críticas y procesos automatizados de decisión. Por eso, la ciberseguridad pasa a convertirse en un elemento estratégico vinculado a la continuidad empresarial, la protección de activos esenciales y la confianza en el mercado. Esta aproximación se inserta en la arquitectura normativa europea más amplia de regulación tecnológica. En particular, presenta una estrecha conexión con el Reglamento (UE) 2024/1689 de Inteligencia Artificial (AI Act), que incorpora la ciberseguridad como uno de los elementos esenciales del marco de gestión de riesgos aplicable a determinados sistemas de IA. Asimismo, complementa las obligaciones derivadas de la Directiva (UE) 2022/2555 (NIS2), que refuerza los deberes de seguridad de las entidades esenciales e importantes, y del Reglamento (UE) 2022/2554 sobre resiliencia operativa digital del sector financiero (DORA), que establece obligaciones específicas para la gestión del riesgo tecnológico y la dependencia de proveedores TIC.

Con el objetivo de fomentar un desarrollo y una utilización seguros de la inteligencia artificial avanzada, la Comisión Europea prevé reforzar la capacidad de la Unión para evaluar los modelos de IA antes de su comercialización o puesta en servicio en el mercado europeo, en aplicación del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (AI Act).

Paralelamente, la Comisión colaborará con la Agencia de la Unión Europea para la Ciberseguridad (ENISA) en la elaboración de un Plan Europeo de Acceso Seguro a Sistemas Avanzados de Inteligencia Artificial orientado a reforzar la ciberseguridad. Asimismo, impulsará la creación de una plataforma europea de pruebas seguras (secure testing platform), destinada a facilitar que organizaciones pertenecientes a sectores críticos —como la energía, el transporte, la sanidad, los servicios financieros o las administraciones públicas— puedan evaluar, validar y desplegar soluciones de inteligencia artificial en condiciones que garanticen la seguridad, la resiliencia y la confianza.

Desde la perspectiva del Derecho mercantil y del gobierno corporativo, el Plan confirma una evolución: la ciberseguridad y la gobernanza de la inteligencia artificial no son ámbitos exclusivamente reservados a los departamentos técnicos para integrarse progresivamente en el ámbito de responsabilidad estratégica de los órganos de administración. La utilización de sistemas de IA, la selección de proveedores tecnológicos, la evaluación de riesgos digitales y la implantación de mecanismos adecuados de supervisión pasan a formar parte de las decisiones empresariales que pueden incidir en el cumplimiento del deber de diligencia de los administradores.

El EU Action Plan on Cybersecurity and Artificial Intelligence expresa la voluntad de la Unión Europea de construir un marco de gobernanza que permita aprovechar las capacidades defensivas de la inteligencia artificial sin ignorar su potencial disruptivo desde el punto de vista de la seguridad. La cuestión central no reside únicamente en desarrollar tecnologías más avanzadas, sino en garantizar que su incorporación al tejido económico europeo se produzca bajo principios de responsabilidad, resiliencia y control adecuado del riesgo tecnológico.

Desde el derecho comparado, esta aproximación sitúa a la Unión Europea en una posición diferenciada. Mientras que en Estados Unidos la respuesta regulatoria a la inteligencia artificial y a la ciberseguridad sigue apoyándose en gran medida en directrices sectoriales, estándares técnicos y marcos de soft law impulsados por agencias como el NIST, la Unión opta por una arquitectura normativa más integrada y vinculante. En el Reino Unido, por su parte, predomina un modelo flexible y basado en principios, con una fuerte dependencia de la autorregulación y de la supervisión sectorial. Frente a ello, el enfoque europeo combina regulación horizontal, obligaciones específicas para sectores críticos y exigencias de gobernanza corporativa, lo que refuerza la seguridad jurídica pero también eleva el nivel de exigencia para las empresas. Esta diferencia resulta especialmente relevante para los grupos de empresas multinacionales, que deberán armonizar sus políticas internas con marcos regulatorios cada vez más divergentes.

Si se amplía la comparación a otros ordenamientos, se aprecia igualmente que la Unión Europea avanza hacia un modelo más estructurado de atribución de responsabilidades. En Alemania y Francia, por ejemplo, la ciberseguridad se ha ido incorporando progresivamente al perímetro de los deberes de organización y supervisión de las sociedades, aunque todavía sin alcanzar el grado de sistematización propio de la tradición continental en otros aspectos. En Japón y Corea del Sur, la regulación combina también instrumentos públicos y estándares técnicos, pero con un mayor peso de la cooperación administrativa y de la autorregulación empresarial. En China, donde la intervención normativa es intensa, la lógica predominante responde más al control estatal de la infraestructura digital que a una integración expresa entre inteligencia artificial, resiliencia operativa y gobierno corporativo. Este contraste confirma que el modelo europeo no solo es más ambicioso desde el punto de vista regulatorio, sino también más exigente en términos de compliance societario y de gestión interna del riesgo.

El Plan se estructura sobre tres grandes ejes.

En primer lugar, impulsa el uso seguro y responsable de la inteligencia artificial avanzada. La Comisión propone reforzar la evaluación de los modelos más potentes antes de su despliegue, fomentar mecanismos de prueba y desarrollar metodologías comunes para identificar riesgos de ciberseguridad.
En segundo lugar, pretende fortalecer la resiliencia digital europea. Para ello, apuesta por mejorar la preparación de administraciones públicas, operadores esenciales, empresas y pequeñas y medianas empresas frente a ciberataques potenciados mediante inteligencia artificial, favoreciendo además la cooperación entre autoridades nacionales y europeas.
El tercer eje busca desarrollar capacidades europeas propias de inteligencia artificial aplicada a la ciberseguridad. La autonomía tecnológica aparece así como un elemento esencial de la soberanía digital europea, reduciendo la dependencia de modelos desarrollados fuera de la Unión y favoreciendo un ecosistema europeo de investigación, innovación e industria.

Para el Derecho de sociedades, la principal consecuencia del Plan consiste en reforzar la consideración de la ciberseguridad y de l IA como cuestiones propias del órgano de administración. No son materias exclusivamente tecnológicas, sino elementos integrantes del deber de diligencia de los administradores, de la supervisión del sistema de control interno y de la estrategia empresarial. Esta evolución resulta coherente con la tendencia que ya se observa en NIS2 y en DORA: atribuir expresamente obligaciones y responsabilidades directas a los órganos de dirección en materia de gestión de riesgos digitales. El nuevo Plan amplía esa lógica al reconocer expresamente que la inteligencia artificial modifica la naturaleza del riesgo cibernético y exige nuevas capacidades de gobernanza. En consecuencia, la gobernanza corporativa del futuro deberá integrar, de manera coordinada, el cumplimiento normativo en materia de inteligencia artificial, la gestión de riesgos de ciberseguridad, la resiliencia operativa y la responsabilidad de los administradores.

El Plan de Acción constituye un paso más hacia ese nuevo paradigma regulatorio, caracterizado por la convergencia entre innovación tecnológica, seguridad digital y buen gobierno corporativo.

(Texto generado y editado manualmente, con apoyo (circa 10%) de la IA ).

Inteligencia artificial, AI washing, sanciones en EEUU

Posted on 11 julio, 2026 por Elena F Pérez Carrillo

Las sociedades mercantiles y sus administradores operan en un entorno de responsabilidad cada vez más exigente. .A los riesgos financieros tradicionales se han sumado los derivados de la sostenibilidad, las cuestiones ESG, la ciberseguridad, la protección de datos, los riesgos reputacionales, por mencionar algunos. Y, la inteligencia artificial incorpora un nuevo factor de complejidad y riesgo.

Guess who

La adopción acelerada de sistemas de inteligencia artificial está transformando los modelos de negocio de empresas de todos los sectores. Junto a las oportunidades que ofrecen las tecnologías inteligentes, aparecen también nuevos riesgos jurídicos y de gobierno corporativo. Hoy nos centramos en uno de ellos: el denominado AI washing. La expresión es utilizada para describir aquellas situaciones en las que una empresa exagera, atribuye o publicita capacidades de inteligencia artificial que, en realidad, no posee o no puede acreditar suficientemente.

Esta práctica puede afectar tanto a productos y servicios como a procesos internos o estrategias empresariales. En un mercado especialmente sensible a la innovación tecnológica, las afirmaciones sobre el desarrollo o utilización de inteligencia artificial influyen en las decisiones de inversión, en la confianza de clientes y socios comerciales, en los consumidores y, en definitiva, en la valoración de las compañías. Cuando esas declaraciones resultan engañosas o insuficientemente fundamentadas, se derivan consecuencias. Por ejemplo, los inversores pueden interponer reclamaciones por información inexacta, los supervisores podrían iniciar investigaciones y las empresas enfrentarse a procedimientos sancionadores o judiciales.

La tendencia ya es evidente en Estados Unidos. Desde 2023 se ha producido un notable incremento de las demandas relacionadas con el AI washing, acompañado de una creciente actividad supervisora. Un hito especialmente significativo fue la actuación de la U.S. Securities and Exchange Commission (SEC), autoridad federal encargada de la supervisión de los mercados de valores estadounidenses, que el 18 de marzo de 2024 sancionó a las sociedades de asesoramiento financiero Delphia (USA) Inc. y Global Predictions Inc. por realizar declaraciones falsas o engañosas acerca del supuesto uso de inteligencia artificial en sus procesos de inversión y en su actividad empresarial. La SEC consideró que ambas entidades habían utilizado el atractivo comercial de la IA para inducir a error a inversores y clientes potenciales, popularizando, además, el término AI washing.

.Los comportamientos sancionados, por falsos y por incitar a error , consistían en que, por una parte, Delphia afirmaba utilizar modelos de IA y machine learning basados en datos de sus clientes (pero tales capacidades no existían en los términos anunciados). Por otra parte, Global Predictions se presentaba como el «primer asesor financiero regulado por IA» y publicitaba previsiones «impulsadas por IA» sin un fundamento de realidad suficiente.

Ambas entidades aceptaron pagar las sanciones (225.000 y 175.000 dólares, respectivamente), además de obedecer a las órdenes de cese de las prácticas cuestionadas. La SEC subrayó que las empresas no pueden aprovechar el atractivo comercial de la inteligencia artificial para realizar afirmaciones inexactas o engañosas, acuñando expresamente el término AI washing para referirse a este tipo de conductas.

Estos asuntos constituyen una advertencia temprana de gran relevancia: las afirmaciones públicas sobre el empleo de inteligencia artificial pueden generar responsabilidad regulatoria cuando no sean objetivamente verificables, lo que incrementa la exposición de administradores y directivos y, potencialmente, de las pólizas D&O.

La supervisión regulatoria frente a las declaraciones falsas sobre inteligencia artificial no se limita a la transparencia frente al mercado. También alcanza a los sistemas internos de cumplimiento normativo. Un buen ejemplo lo ofrece la Office of Foreign Assets Control (OFAC), oficina del Departamento del Tesoro de los Estados Unidos responsable de administrar y hacer cumplir los programas de sanciones económicas y comerciales internacionales. OFAC mantiene, entre otras funciones, la conocida Specially Designated Nationals and Blocked Persons List (SDN List) y supervisa el cumplimiento de los regímenes de sanciones estadounidenses. En el ámbito financiero, se admite el empleo de inteligencia artificial y de técnicas de machine learning en funciones críticas como los sistemas de sanctions screening, pero se insiste en que estas tecnologías no sustituyen la responsabilidad de las organizaciones ni eliminan la necesidad de mantener controles internos eficaces, supervisión humana, validación continua de los modelos y adecuados mecanismos de auditoría. La utilización de inteligencia artificial no exime del cumplimiento de las obligaciones legales: únicamente constituye una herramienta cuyo funcionamiento debe poder explicarse, verificarse y supervisarse.

La OFAC no exige aplicar una tecnología específica. Si demanda, en cambio , la puesta en marcha de programas de cumplimiento eficaces, basados en una evaluación adecuada del riesgo, controles internos, auditorías y el compromiso de la dirección. También insiste en que la inteligencia artificial puede mejorar la eficacia del screening, pero nunca sustituye la responsabilidad de la empresa ni la obligación de demostrar la efectividad de su sistema de cumplimiento.

La actuación de los reguladores estadounidenses frente al AI washing se ha intensificado también en el ámbito de la protección de los consumidores. El 25 de agosto de 2025, la Federal Trade Commission (FTC) presentó una demanda contra Air AI, empresa dedicada a la comercialización de herramientas de inteligencia artificial y servicios de formación empresarial.

Según la FTC, la compañía habría realizado afirmaciones engañosas al asegurar que su sistema de IA, denominado Odin, podía mantener conversaciones telefónicas autónomas con una calidad equiparable a la de un ser humano, sustituir a los comerciales y ejecutar de forma independiente tareas empresariales complejas. Sin embargo, la autoridad consideró que el sistema Odin no funcionaba conforme a lo anunciado, presentando graves limitaciones incluso para realizar funciones básicas como concertar citas, registrar direcciones de correo electrónico o responder correctamente a preguntas de los usuarios.

La FTC alegó que estas declaraciones permitieron a la empresa obtener millones de dólares de emprendedores y pequeñas empresas, algunas de las cuales habrían sufrido pérdidas económicas relevantes. En su demanda, la FTC solicitó medidas cautelares inmediatas. Este asunto, a modo de ejemplo, constituye el cuarto procedimiento por AI washing iniciado por la FTC en 2025 y el duodécimo desde 2024, lo que pone de manifiesto una tendencia en auge, frente a las prácticas comerciales engañosas relacionadas con la inteligencia artificial.

El asunto resulta especialmente relevante porque constituye uno de los primeros casos en los que un regulador cuestiona expresamente las afirmaciones relativas a la denominada IA agéntica (agentic AI), así como las promesas de sustitución de trabajadores humanos por sistemas de inteligencia artificial. Y, el mensaje es que , para poder afirmar, es necesario acreditar técnicamente las capacidades reales de los productos y servicios, y evitar afirmaciones publicitarias que puedan inducir a error a consumidores, clientes o inversores.

Los enfoques de los supervisores estadounidenses responden a ámbitos regulatorios distintos entre sí, pero transmiten un mismo mensaje. La inteligencia artificial deja de ser únicamente una cuestión tecnológica para convertirse en un verdadero problema de gobierno corporativo y de competencia desleal. Ya no basta con incorporar soluciones de IA; es necesario, además , demostrar que su utilización está sometida a mecanismos eficaces de supervisión, control y rendición de cuentas.

Expo na Cidade da Cultura (Santiago, 2021)

En Europa, el panorama presenta características propias.

El Reglamento (UE) 2024/1689, conocido como AI Act, no establece una responsabilidad personal específica para los administradores por el mero uso de sistemas de inteligencia artificial. Sin embargo, sí refuerza indirectamente sus deberes de diligencia, supervisión y organización mediante la exigencia de estructuras capaces de garantizar un uso responsable de estas tecnologías y de gestionar adecuadamente los riesgos asociados.

En consecuencia, la gobernanza de la inteligencia artificial deja de ser una cuestión exclusivamente tecnológica para convertirse en un asunto propio del gobierno corporativo. Los riesgos asociados a la IA deben identificarse, evaluarse y comunicarse periódicamente al consejo de administración, integrándose en los sistemas de control interno junto a los riesgos financieros, de cumplimiento normativo, ciberseguridad o sostenibilidad.

La supervisión humana efectiva, la existencia de políticas internas, la formación de los empleados, la trazabilidad de las decisiones automatizadas, la documentación de los modelos utilizados y la verificación de las afirmaciones públicas realizadas sobre el empleo de inteligencia artificial constituyen ya elementos esenciales de una adecuada gestión empresarial. La ausencia de información suficiente al consejo o la falta de mecanismos de supervisión podrían llegar a interpretarse como deficiencias en el cumplimiento del deber de diligencia y vigilancia de los administradores.

Mongolfiera

Todo ello tiene una consecuencia especialmente relevante desde la perspectiva aseguradora. El AI washing comienza a perfilarse como una nueva fuente de exposición para las pólizas D&O, al incrementar el riesgo de reclamaciones por parte de accionistas, inversores, autoridades supervisoras, consumidores o terceros afectados. La gestión adecuada de la inteligencia artificial deja así de ser únicamente una cuestión de innovación para convertirse también en un elemento esencial de prevención del riesgo jurídico y de protección de los órganos de administración.

En los próximos años, probablemente la gobernanza de la inteligencia artificial ocupará una posición semejante a la que hoy tienen la ciberseguridad o el cumplimiento normativo. Los consejos de administración no solo deberán decidir sobre la adopción de sistemas de IA, sino también acreditar que su utilización responde a criterios de diligencia, transparencia, control interno y supervisión efectiva. La inteligencia artificial ya no constituye únicamente una oportunidad tecnológica: es, cada vez con mayor intensidad, un asunto de gobierno corporativo, responsabilidad de administradores y gestión integral del riesgo empresarial.

Más en las fuentes:

Regulación, acceso y poder económico en la nueva gobernanza de la IA

Posted on 8 julio, 2026 por Elena F Pérez Carrillo

Cuando hablamos de inteligencia artificial, la mayor parte del debate jurídico gira en torno a cuestiones funcionales como la protección de los derechos fundamentales, la responsabilidad por los daños causados por sistemas automatizados, la transparencia algorítmica, la privacidad o la ciberseguridad. Son aspectos esenciales de la nueva realidad y, con razón, ocupan un lugar central en la reflexión. Sin embargo, mientras el debate continúa centrado en cómo debe regularse la inteligencia artificial, comienza a emerger otra cuestión que podría resultar aún más decisiva durante la próxima década: ¿quién podrá acceder a las capacidades más avanzadas de inteligencia artificial y bajo qué condiciones?

Garexo no verán

La pregunta plantea un problema clásico del Derecho económico, pues no es lo mismo regular una actividad que controlar el acceso a ella.

Regular significa establecer reglas generales de funcionamiento para todos los operadores que participan en un determinado mercado. Es la lógica tradicional del Derecho económico: las empresas pueden desarrollar libremente una actividad siempre que respeten determinadas obligaciones legales, de competencia, de protección de consumidores, de seguridad o de protección ambiental.
Otro concepto muy distinto consiste en controlar quién puede acceder a una determinada actividad o a determinados recursos indispensables para desarrollarla. En ese caso, el Derecho deja de limitarse a disciplinar el funcionamiento del mercado para intervenir sobre su propia estructura, condicionando quién puede participar y quién queda excluido.

Como es sabido, existen actividades sometidas a autorización administrativa, concesiones, licencias o reservas legales precisamente porque el legislador considera que están vinculadas a intereses públicos especialmente intensos. Hasta hace muy poco, la inteligencia artificial no parecía que fuera a pertenecer a esa categoría. Pero la situación está cambiando con enorme rapidez. Hoy la inteligencia artificial ya no constituye únicamente una herramienta para mejorar la productividad empresarial. Se ha convertido en un elemento decisivo para la defensa nacional, la ciberseguridad, la investigación científica, la medicina, la industria, las infraestructuras críticas y la competitividad económica. La IA ha dejado de ser únicamente una tecnología innovadora para convertirse también en un activo estratégico. Y cuando una tecnología adquiere esa condición, inevitablemente cambia la naturaleza de la regulación jurídica que la rodea. Por esa razón, tanto Estados Unidos como la Unión Europea han comenzado a incorporar la inteligencia artificial dentro de sus políticas de seguridad económica y de autonomía estratégica.

Quizá el verdadero objeto de regulación ya no tenga que ser la inteligencia artificial considerada de forma abstracta, sino el acceso a las capacidades necesarias para desarrollar los sistemas más avanzados: la potencia de cálculo, los grandes centros de datos, los procesadores especializados, las infraestructuras cloud, los modelos fundacionales de última generación o determinados conjuntos masivos de datos de alta calidad. Sin acceso a esos recursos resulta prácticamente imposible desarrollar inteligencia artificial de frontera.

Así, el debate principal deja de centrarse en cómo debe utilizarse la inteligencia artificial y comienza a consistir en quien puede acceder a los factores esenciales que permiten producirla.

¿Daría esto lugar a una nueva forma de intervención pública?. Conviene ser prudentes. Hoy no existe, ni en la Unión Europea ni en Estados Unidos, una autorización administrativa general para desarrollar inteligencia artificial. El Reglamento europeo de Inteligencia Artificial (AI Act), con su reforma Omnibus incluida, no establece un sistema de licencias para crear modelos de IA. Su lógica continúa siendo la de clasificar los sistemas según su nivel de riesgo, prohibir determinados usos especialmente graves, imponer obligaciones reforzadas a los sistemas de alto riesgo y regular los modelos de propósito general, pero mantiene como principio general la libre circulación de los sistemas conformes dentro del mercado interior.

Sin embargo, junto a este modelo comienza a dibujarse otra realidad:

El acceso a determinadas capacidades tecnológicas depende cada vez más de decisiones públicas relacionadas con la seguridad nacional, los controles de exportación, la disponibilidad de semiconductores avanzados, la utilización de supercomputadores, la protección de infraestructuras críticas o la financiación pública de grandes proyectos tecnológicos.

No nos encontramos todavía ante un régimen de autorización administrativa en sentido estricto. Sin embargo, la evolución del marco regulatorio comienza a producir efectos económicos y competitivos que presentan una creciente analogía funcional con los sistemas de acceso condicionado al mercado.

En una economía de mercado, la obtención de ventajas competitivas debería descansar fundamentalmente sobre la capacidad de innovación, la eficiencia productiva, la inversión y la calidad de la organización empresarial. No obstante, este equilibrio puede verse alterado cuando el acceso a determinados recursos tecnológicos o infraestructuras estratégicas deja de depender exclusivamente de la capacidad empresarial y pasa a condicionarse al cumplimiento de requisitos regulatorios de elevada complejidad o, incluso, a decisiones institucionales relativas al acceso a capacidades consideradas críticas.

En estas circunstancias, la propia estructura competitiva del mercado puede experimentar transformaciones relevantes. Las empresas de menor dimensión, aun cuando dispongan de una elevada capacidad innovadora, encuentran mayores dificultades para acceder a los recursos esenciales para competir en igualdad de condiciones. Paralelamente, el incremento de los costes de cumplimiento normativo puede operar como una barrera de entrada, favoreciendo procesos de concentración económica y reforzando las ventajas estructurales de los operadores ya establecidos.

Los grandes operadores no solo disponen, por regla general, de mayores capacidades financieras y tecnológicas, sino también de recursos organizativos y jurídicos suficientes para gestionar con mayor eficacia la creciente complejidad regulatoria e integrarse en los ecosistemas tecnológicos y de gobernanza que se configuran en torno a las infraestructuras estratégicas de inteligencia artificial. Esta ventaja institucional se añade a las economías de escala y de red ya existentes, pudiendo consolidar posiciones de mercado particularmente difíciles de disputar.

Desde esta perspectiva, la cuestión trasciende el ámbito propio de la regulación tecnológica para proyectarse sobre el Derecho de la competencia y el Derecho del mercado interior. Ambos sectores del ordenamiento deberán afrontar el desafío de evitar que mecanismos regulatorios concebidos para proteger intereses públicos legítimos —como la seguridad, la resiliencia o la protección de los derechos fundamentales— produzcan, de forma indirecta, efectos restrictivos sobre la competencia o generen barreras de acceso incompatibles con los principios de apertura de los mercados y de libertad de empresa. El reto jurídico consistirá, por tanto, en preservar un equilibrio adecuado entre los objetivos regulatorios y el mantenimiento de unas condiciones de competencia efectivas, evitando que la gobernanza de la inteligencia artificial evolucione hacia modelos de acceso selectivo que, sin constituir formalmente regímenes autorizatorios, desplieguen consecuencias económicas sustancialmente equivalentes.

Europa y Estados Unidos siguen caminos parcialmente distintos

La respuesta de la Unión Europea presenta rasgos propios. El Reglamento (UE) 2024/1689 sobre inteligencia artificial (AI Act) no persigue determinar qué empresas pueden desarrollar sistemas de inteligencia artificial ni establecer un régimen de autorización para el acceso a esta tecnología. Su finalidad consiste en configurar un marco jurídico uniforme que garantice un elevado nivel de protección de los derechos fundamentales, la seguridad y otros intereses públicos, evitando al mismo tiempo la fragmentación regulatoria del mercado interior. El principio que inspira el modelo europeo continúa siendo, por tanto, el de la libre circulación de los sistemas de inteligencia artificial que cumplen los requisitos armonizados establecidos por el Reglamento.

Rio Arno, Luminaria, di San Rainieri, 2024

La aproximación estadounidense responde a una lógica diferente. Sin abandonar los mecanismos propios de una economía de mercado, la inteligencia artificial ha pasado a integrarse progresivamente en la estrategia nacional de liderazgo tecnológico, seguridad económica y competencia geopolítica. En este contexto, el acceso a determinados recursos estratégicos —como los semiconductores avanzados, la capacidad de computación o los modelos fundacionales de mayor potencia— se contempla cada vez más como un elemento de política industrial y de seguridad nacional, cuya disponibilidad puede quedar condicionada por decisiones públicas relativas a exportaciones, inversiones, suministro tecnológico o cooperación internacional.

La diferencia entre ambos modelos no reside tanto en el mayor o menor grado de intervención pública cuanto en la distinta finalidad que orienta dicha intervención. Mientras la Unión Europea continúa construyendo un régimen jurídico destinado principalmente a ordenar el funcionamiento del mercado interior y a garantizar un desarrollo confiable de la inteligencia artificial, Estados Unidos incorpora esta tecnología de manera creciente al ámbito de la competencia estratégica internacional, donde confluyen objetivos económicos, industriales, tecnológicos y de seguridad.

Esta divergencia anticipa una de las cuestiones que probablemente dominarán el debate jurídico durante los próximos años. Durante la última década, el interrogante central ha consistido en determinar cómo debía regularse la inteligencia artificial. Sin embargo, la evolución reciente permite plantear que la cuestión decisiva pueda dejar de ser la regulación de la actividad para trasladarse al régimen jurídico del acceso a las capacidades tecnológicas que hacen posible dicha actividad.

En este escenario, el problema ya no consiste únicamente en establecer obligaciones de transparencia, seguridad o diligencia para quienes desarrollan o utilizan sistemas de inteligencia artificial. También será necesario determinar en qué condiciones jurídicas podrán acceder los operadores económicos a infraestructuras esenciales, capacidad de computación, modelos fundacionales, grandes conjuntos de datos o componentes tecnológicos cuya relevancia estratégica resulta cada vez más evidente. La cuestión adquiere especial trascendencia desde la perspectiva de la libertad de empresa, la competencia efectiva y el correcto funcionamiento del mercado interior.

Naturalmente, los poderes públicos disponen de razones legítimas para proteger tecnologías críticas, infraestructuras esenciales y capacidades estratégicas cuya utilización puede afectar a la seguridad nacional, la resiliencia económica o la autonomía tecnológica. Sin embargo, esa protección deberá conciliarse con los principios que tradicionalmente han sustentado las economías abiertas: la libertad de acceso al mercado, la igualdad de oportunidades entre operadores, la innovación y la preservación de una competencia efectiva capaz de favorecer la aparición de nuevos actores.

La experiencia histórica demuestra que los grandes ciclos de innovación tecnológica han prosperado cuando el ordenamiento jurídico ha logrado mantener un equilibrio razonable entre regulación e iniciativa empresarial. Una intervención insuficiente puede comprometer intereses públicos esenciales; una intervención excesivamente restrictiva puede reducir la innovación, elevar las barreras de entrada y favorecer procesos de concentración económica. La inteligencia artificial no parece escapar a esta tensión estructural. Desde esta perspectiva, cabe sostener que el principal desafío jurídico de la próxima década no consistirá únicamente en determinar qué modelo de inteligencia artificial alcanza mayores niveles de rendimiento o qué empresas liderarán el desarrollo tecnológico. La cuestión verdaderamente decisiva será definir quién podrá acceder a las capacidades estratégicas que hacen posible esa inteligencia artificial y cuáles serán los límites jurídicos que condicionen dicho acceso.

En otras palabras, el centro de gravedad del Derecho económico de la inteligencia artificial puede desplazarse desde la regulación de la actividad hacia la gobernanza del acceso a los recursos tecnológicos estratégicos. Si esta evolución termina consolidándose, estaremos ante una transformación de gran alcance: el tránsito desde un mercado caracterizado, en esencia, por la libre disponibilidad de los recursos tecnológicos hacia otro en el que determinadas capacidades —especialmente la computación avanzada, los modelos fundacionales, los semiconductores de última generación o las infraestructuras críticas de datos— adquieran progresivamente la condición de activos estratégicos, cuyo acceso dejará de depender exclusivamente de las dinámicas del mercado para quedar crecientemente condicionado por decisiones regulatorias, institucionales y geopolíticas. Ello obligará al Derecho económico, al Derecho de la competencia y al Derecho público económico a redefinir categorías tradicionales concebidas para mercados abiertos, incorporando una nueva dimensión en la que la regulación del acceso a capacidades tecnológicas estratégicas puede convertirse en uno de los elementos centrales de la gobernanza de la economía digital.

FUENTES DE INTERÉS:

Estados Unidos

America’s AI Action Plan (White House, 2025)
https://www.whitehouse.gov/wp-content/uploads/2025/07/Americas-AI-Action-Plan.pdf
White House – Winning the AI Race: America’s AI Action Plan
https://www.whitehouse.gov/releases/2025/07/white-house-unveils-americas-ai-action-plan/
AI.gov – America’s AI Action Plan
https://www.ai.gov/action-plan
OpenAI – Preparedness Framework
https://openai.com/index/updating-our-preparedness-framework/

Unión Europea

Reglamento (UE) 2024/1689 de Inteligencia Artificial (AI Act) –
https://eur-lex.europa.eu/eli/reg/2024/1689/oj [aesia.digital.gob.es]
Comisión Europea – AI Act
https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
European Commission – AI Continent Action Plan (2025)
https://digital-strategy.ec.europa.eu/en/library/ai-continent-action-plan
European Commission – AI Continent Initiative
https://commission.europa.eu/topics/competitiveness/ai-continent_en
European AI Office – General-Purpose AI Code of Practice
https://digital-strategy.ec.europa.eu/en/policies/contents-code-gpai
European AI Office – Development of the GPAI Code of Practice
https://digital-strategy.ec.europa.eu/en/policies/ai-code-practice

La Unión Europea crea el CSC-EDIC: un nuevo consorcio para formar el talento europeo en ciberseguridad

Posted on 1 julio, 2026 por Elena F Pérez Carrillo

La Comisión Europea ha aprobado la Decisión de Ejecución (UE) 2026/1416, de 30 de junio de 2026, mediante la que se constituye el European Digital Infrastructure Consortium for the Cybersecurity Skills Coalition (CSC-EDIC): un paso relevante en la consolidación de la política europea de ciberseguridad.

strolling along the shore

Los European Digital Infrastructure Consortia (EDIC) son una figura jurídica creada por la Decisión (UE) 2022/2481 sobre la Década Digital. Su finalidad, en general, consiste en permitir que varios Estados miembros desarrollen conjuntamente proyectos estratégicos de infraestructura digital, dotándolos de personalidad jurídica propia y de un marco estable de financiación y gobernanza.

En el caso del CSC-EDIC, el nuevo consorcio estará dedicado exclusivamente al desarrollo de capacidades en materia de ciberseguridad. La Comisión reconoce así, como base material de su decisión, que la falta de talento constituye una vulnerabilidad estructural para la competitividad y la resiliencia europea. Por ello, junto a la regulación material, comienza a construirse una verdadera infraestructura institucional destinada a generar capacidades. Este CSC-EDIC en concreto ha sido impulsado inicialmente por Grecia, Austria, Croacia, Chipre y Eslovenia, siendo Grecia el Estado anfitrión. Su sede se ubicará en Atenas y el consorcio tendrá una duración inicial de diez años, prorrogable.Como ocurre con otros EDIC, podrán incorporarse posteriormente nuevos Estados miembros

La misión de este consorcio es reducir el déficit europeo de talento en ciberseguridad. La Comisión identifica como principal objetivo del CSC-EDIC afrontar la creciente escasez de profesionales especializados en ciberseguridad. Para ello, desarrollará actuaciones dirigidas a: impulsar la formación especializada; facilitar el reciclaje profesional (reskilling y upskilling); mejorar las competencias del sector público y privado; apoyar a las pequeñas y medianas empresas; – contribuir a la aplicación práctica de la normativa europea en materia de ciberseguridad. No se trata únicamente de formar expertos técnicos. La Comisión conecta expresamente este proyecto con la necesidad de garantizar el cumplimiento efectivo del creciente conjunto de normas europeas en materia digital.

La decisión prevé que el CSC-EDIC trabaje de forma coordinada con – la Agencia de la Unión Europea para la Ciberseguridad (ENISA); y con el Centro Europeo de Competencia en Ciberseguridad (ECCC). Asimismo, utilizará herramientas ya desarrolladas por ENISA, en particular el European Cybersecurity Skills Framework, evitando duplicidades y reforzando la coherencia del ecosistema europeo.

El CSC‑EDIC apoyará la consecución de los objetivos establecidos en la Comunicación de la Comisión de 18 de abril de 2023, titulada «Colmar la brecha de talento en materia de ciberseguridad para impulsar la competitividad, el crecimiento y la resiliencia de la UE» [COM(2023) 207 final], orientados a mejorar las capacidades de educación, formación y desarrollo de la mano de obra de la Unión en materia de ciberseguridad. Para el desempeño de esta tarea principal, el CSC‑EDIC abordará el creciente déficit de competencias en ciberseguridad y promoverá el desarrollo de capacidades entre las autoridades públicas, la industria y las pequeñas y medianas empresas de los Estados miembros, reforzando así la competitividad, el crecimiento y la resiliencia de la Unión.

Con el fin de alcanzar estos objetivos, el CSC-EDIC desarrollará una actuación dinámica orientada a reforzar la cualificación y el reciclaje profesional de los especialistas en ciberseguridad, adaptando la oferta de capacidades a las necesidades del mercado de trabajo, a los déficits de competencias identificados y a las exigencias de cumplimiento normativo de las industrias de la Unión y de las administraciones nacionales. Asimismo, apoyará la aplicación efectiva de los instrumentos jurídicos europeos en materia de ciberseguridad y favorecerá su implantación práctica, en coherencia con la iniciativa de la «Unión de las Competencias» (Union of Skills), presentada por la Comisión Europea en su Comunicación de 5 de marzo de 2025. Esta estrategia persigue dotar a los ciudadanos de la Unión de las capacidades necesarias para afrontar con éxito tanto su formación como su trayectoria profesional, promover el reconocimiento y aprovechamiento de dichas competencias en el conjunto de los Estados miembros, corregir los desequilibrios de género y facilitar a las empresas el acceso al capital humano especializado que requieren, reforzando así la competitividad y la inclusión en el mercado europeo.

Esta orientación refleja una evolución significativa de la política europea de ciberseguridad. Durante la última década, la actuación de la Unión se ha centrado principalmente en la adopción de un marco regulatorio cada vez más exigente, integrado, entre otros instrumentos, por la Directiva NIS2, el Reglamento de Ciberresiliencia (Cyber Resilience Act), el Reglamento DORA y el Reglamento de Inteligencia Artificial. Sin embargo, la efectividad de este conjunto normativo depende, en gran medida, de la existencia de profesionales suficientemente cualificados para aplicarlo e integrarlo en la gestión de las organizaciones. En consecuencia, la política europea evoluciona desde un modelo basado esencialmente en la imposición de obligaciones jurídicas hacia otro más amplio, en el que la regulación se complementa con mecanismos de coordinación institucional, financiación, desarrollo de capacidades e infraestructuras comunes destinadas a garantizar una aplicación efectiva y homogénea del marco normativo europeo.

Reformas en las infraestructuras europeas de pagos, TARGET

Posted on 29 junio, 2026 por Elena F Pérez Carrillo

La Orientación (UE) 2026/1473 del Banco Central Europeo, que modifica la Orientación (UE) 2022/912 sobre el sistema TARGET, representa un nuevo paso en la transformación de las infraestructuras financieras europeas hacia un modelo caracterizado por la automatización, la interoperabilidad y la resiliencia operacional.

TARGET constituye la principal infraestructura del Eurosistema para la liquidación bruta en tiempo real y el funcionamiento de los pagos instantáneos mediante TIPS (TARGET Instant Payment Settlement), esencial para la estabilidad financiera europea. El objetivo principal de esta reforma es adaptar los servicios de liquidación, incluyendo la incorporación del esquema de transferencias inmediatas One-Leg Out del Consejo Europeo de Pagos y la habilitación de envío de flujos de liquidez para los bancos centrales.

La nueva Orientación persigue tres grandes objetivos que reflejan que estamos ante una evolución en el diseño institucional de una infraestructura crítica:

incorporar nuevas funcionalidades para los pagos instantáneos;
optimizar la gestión automática de la liquidez de las entidades participantes;
reforzar determinados mecanismos de gobernanza y gestión del riesgo dentro del sistema.

La automatización de la liquidez

Una de las novedades más relevantes consiste en la introducción de traspasos automáticos de liquidez basados en reglas («rule-based liquidity transfers«).

Las entidades podrán fijar umbrales mínimos y máximos en sus cuentas TIPS. Cuando el saldo supere o descienda de esos límites, el propio sistema ejecutará automáticamente movimientos de liquidez entre cuentas, evitando intervenciones manuales y mejorando la eficiencia operativa. Esta funcionalidad estará operativa en verano de 2026. Con este nuevo instrumento, determinadas decisiones tradicionalmente adoptadas por operadores humanos pasan a integrarse directamente en la arquitectura normativa del sistema.

Pagos instantáneos internacionales

Otra modificación importante prepara TARGET para operar con el Esquema SEPA One-Leg Out (OCT Inst), que permitirá procesar determinados pagos instantáneos cuando una de las entidades participantes se encuentre fuera del espacio SEPA tradicional.

La Orientación adapta las condiciones de participación, los requisitos de adhesión y los procedimientos técnicos para hacer posible esta interoperabilidad a partir del 14 de noviembre de 2026. Se trata de un paso relevante hacia la internacionalización de los pagos instantáneos europeos.

Nuevos criterios de gestión del riesgo

La reforma también introduce modificaciones menos visibles pero especialmente significativas desde el punto de vista jurídico. Entre ellas destacan algunas, por su impacto en reducir la discrecionalidad, reforzar la seguridad jurídica y aumentar la resiliencia del sistema:

Pisa di notte

– la clarificación de las condiciones de acceso de entidades sujetas a medidas restrictivas o sanciones internacionales;
– una mayor precisión sobre los efectos de la suspensión o finalización de la participación en TARGET;
– la actualización de los activos de garantía aplicables a las operaciones de crédito intradía conforme al nuevo marco del Eurosistema;
– la revisión de determinadas estructuras tarifarias aplicables a las cuentas RTGS.

Infraestructuras críticas y gobernanza

Quizá el aspecto más interesante de esta reforma sea el cambio de paradigma que refleja. Las infraestructuras financieras dejan de ser simples plataformas de liquidación para convertirse en auténticos sistemas de gobernanza automatizada. Las reglas jurídicas ya no solo determinan quién puede participar o qué obligaciones existen, sino que se incorporan directamente al funcionamiento del software que ejecuta las operaciones. La liquidez, los límites operativos, las autorizaciones y las condiciones de acceso pasan a gestionarse mediante reglas predefinidas que el propio sistema aplica automáticamente.

Este fenómeno confirma una tendencia cada vez más visible en el Derecho financiero europeo: la regulación se proyecta sobre la arquitectura tecnológica de las infraestructuras críticas, convirtiendo el diseño del sistema en un auténtico instrumento de política regulatoria.

La modificación de TARGET ilustra perfectamente cómo las infraestructuras digitales críticas se están convirtiendo en espacios donde convergen el Derecho, la tecnología y la estabilidad financiera.

Este tipo de normas muestran que la resiliencia ya no depende únicamente de obligaciones jurídicas impuestas a los operadores, sino también del diseño de las propias arquitecturas técnicas que ejecutan automáticamente dichas obligaciones. Por tanto, la transformación digital del sistema financiero europeo no consiste únicamente en acelerar los pagos, sino en rediseñar las reglas de funcionamiento de una de las infraestructuras esenciales sobre las que descansa el mercado interior.

“Direito Comercial na Era Digital”, Universidade Lusófona, Porto 22 abril 2026

Posted on 22 abril, 2026 por Elena F Pérez Carrillo

El 22 de abril, se celebra el coloquio “Direito Comercial na Era Digital”, una jornada académica dedicada al análisis de los principales desafíos que plantea la transformación digital en el ámbito del derecho comercial. El encuentro tiene lugar en la Universidade Lusófona – Centro Universitário do Porto

Participan como ponentes y moderadores los profesores Marcos Cruz González (Universidad de Salamanca), Pedro Dias Venâncio (Universidade do Minho), César Pires (Instituto Politécnico de Bragança), Fernanda Rebelo (Universidade Portucalense), Carlos Filipe Costa (Dower Law Firm), Elena Pérez Carrillo (Universidad de León), Pedro Pablo Pérez Carbó (Universidad de los Andes), Ana Gonçalves, Mário Lourenço, Ana Isabel Guerra y João Tavares (Universidade Lusófona). La actividad cuenta, además, con la colaboración institucional de la Universidade Lusófona – Centro Universitário Porto, la Faculdade de Direito e de Ciência Política (FDCP), el CEAD – Centro de Estudos Avançados em Direito “Francisco Suárez”, la Fundação para a Ciência e a Tecnologia (FCT) y la firma Dower Law Firm.

El programa aborda cuestiones como la competencia en mercados digitales, los contratos celebrados a distancia, la desmaterialización de títulos de transporte, la responsabilidad de los administradores en entornos digitales y la evolución del derecho industrial en la era tecnológica

Expo. Cidade da Cultura. Santiago de Compostela. 2021–

En mi ponencia, “O Direito Industrial na era Digital”, examino cómo la ciberseguridad y los sistemas de trazabilidad digital se han convertido en herramientas clave para proteger la propiedad industrial frente a la falsificación y la exfiltración de información estratégica.. Las infraestructuras seguras, los registros electrónicos robustos y los estándares de seguridad son hoy fundamentales en la tutela efectiva de marcas, diseños, patentes y secretos empresariales en las cadenas de suministro físicas y digitales.

En la economía digital, la lucha contra la falsificación ya no se limita al control físico de mercancías en fronteras o almacenes: es un problema de ciberseguridad y de gestión de datos. Las cadenas de suministro son cada vez más digitales, conectadas y distribuidas, y los falsificadores aprovechan esa complejidad para insertar productos ilícitos, manipular información de origen o explotar vulnerabilidades en los sistemas de trazabilidad. Las consecuencias son diversas: se ponen en riesgo la salud y seguridad de los consumidores, pero también el valor económico de las marcas, diseños y demás activos de propiedad industrial.
- En este contexto, las soluciones tecnológicas de seguridad pasan a funcionar como instrumentos jurídicos indirectos de protección de la propiedad industrial: contribuyen a demostrar autenticidad, a documentar el recorrido de los bienes y a acreditar que la empresa ha actuado con la diligencia exigible frente a la falsificación
- La trazabilidad digital basada en infraestructuras seguras permite rastrear el bien desde su origen hasta el consumidor final, detectar puntos de desviación en la cadena de suministro, o acreditar la autenticidad frente a falsificaciones que vulneran marcas, diseños o indicaciones geográficas. Esta trazabilidad deja de ser una mera herramienta logística para convertirse en un mecanismo de control jurídico del ciclo de vida del producto.

2. Las obligaciones regulatorias recientes en materia de ciberseguridad y servicios digitales refuerzan esta convergencia entre seguridad informática y protección de la propiedad industrial, incrementan el coste y la dificultad de introducir productos falsificados en los canales legítimos de distribución y reducen las asimetrías de información entre empresas, titulares de derechos y consumidores.

Así, la Directiva (UE) 2022/2555 (NIS2) exige a operadores esenciales y entidades importantes una gestión del riesgo que cubra toda la cadena de suministro digital, incluidos proveedores críticos, integridad y disponibilidad de datos, y seguridad de sistemas industriales y logísticos. Ver esta entrada
O, el Reglamento (UE) 2022/2065 (Digital Services Act, DSA) impone a plataformas y otros intermediarios obligaciones de trazabilidad de comerciantes, verificación de identidad, retirada de contenidos ilícitos y cooperación con titulares de derechos, lo que se traduce en mejores herramientas para localizar vendedores de falsificados y retirar ofertas que infringen marcas y otros derechos de PI. Ver el tag DSA
- El DSA introduce la figura de los denominados alertadores fiables (trusted flaggers), con una incidencia relevante en la tutela de los derechos de propiedad industrial en el entorno digital. Estos sujetos, designados por los Coordinadores de Servicios Digitales de los Estados miembros, deben reunir requisitos de especialización, independencia y fiabilidad, actuando en la identificación y notificación de contenidos ilícitos.Entre los actos ilícitos que identifican se incluyen, de manera destacada, aquellos que supongan infracciones de derechos de propiedad industrial, tales como el uso no autorizado de signos distintivos, la comercialización de productos falsificados o la vulneración de derechos de diseño o patente en plataformas en línea.
- Las plataformas digitales están obligadas a otorgar prioridad al tratamiento de las notificaciones emitidas por estos alertadores cualificados, lo que refuerza la eficacia de los mecanismos de retirada o bloqueo de contenidos ilícitos, en línea con los sistemas de notice and action.
- Desde la perspectiva de la protección de la propiedad industrial, esta figura contribuye a una detección más ágil y cualificada de infracciones, especialmente en contextos de comercialización digital a gran escala, donde la difusión de productos que vulneran marcas, diseños o patentes puede producirse de forma rápida y masiva. En consecuencia, los trusted flaggers se integran en un modelo de diligencia debida reforzada y corregulación, que fortalece la tutela de los derechos de propiedad industrial y mejora la eficacia de los mecanismos de reacción frente a infracciones en el entorno digital.

3. Los estándares de ciberseguridad pasan a formar parte de los instrumentos de tutela de activos industriales

Rododendros y azaleas

Los estándares como la familia ISO/IEC 27000 y el NIST Cybersecurity Framework— se consolidan como el baseline técnico‑organizativa para proteger documentación de propiedad industrial y secretos empresariales. Concretamente, su la versión de 2022 del NISY Cybersecurity incorpora el control 5.32 “Intellectual property rights”, que obliga a identificar y cumplir los requisitos legales, reglamentarios, contractuales y estatutarios aplicables a los derechos de propiedad intelectual e industrial.
- La implantación de un SGSI alineado con ISO/IEC 27001, auditado y documentado, se convierteen prueba de diligencia organizativa en litigios por apropiación indebida de secretos empresariales. No solo muestra que existen controles formales, sino que la protección de activos de PI se integra en la gobernanza corporativa y en la gestión del riesgo.
- ISO/IEC 27002 complementa este enfoque con un catálogo detallado de controles para clasificación de la información, gestión de identidades, cifrado, seguridad en el ciclo de vida de activos y protección frente a fugas de información; todo ello especialmente relevante para documentación de invenciones, diseños y procesos industriales
- NIST Cybersecurity Framework 2.0 incorpora, en la función PROTECT, la subcategoría PR.DS‑10, relativa a la protección de la confidencialidad, integridad y disponibilidad de los datos en uso. cuya aplicación práctica se vincula directamente a la protección de activos de PI, porque código fuente, diseños en desarrollo, expedientes de patente o documentación de I+D son precisamente datos que están en uso y, por tanto, en el momento de máxima exposición. Esta subcategoría se utiliza como ancla para justificar controles reforzados sobre repositorios de PI (código, diseños, know‑how), especialmente durante las fases de edición, revisión y transferencia interna o externa.
- Lo anterior se completa con referencias a las aportaciones desde ENISA a la seguridad digital de activos de PI como elemento del Derecho Comercial en la Era Digital en la Unión Europea

4. El ordenamiento industrial merece una reinterpretación a la luz de los riesgos digitales

La articulación conjunta de la Directiva 2016/943 sobre secretos comerciales y de la Directiva 2004/48/CE sobre enforcement de los derechos de propiedad intelectual conduce, en la práctica, a una juridificación de la ciberseguridad en las empresas titulares.
- La primera condiciona el acceso al estatuto de secreto empresarial a la existencia de “medidas razonables” para mantener la información en secreto, lo que obliga a desplegar políticas internas de clasificación y confidencialidad, controles de acceso, medidas técnicas de protección y mecanismos de trazabilidad verificables. Ver esta entrada
- La segunda exige que el titular esté en condiciones de preservar y presentar pruebas fiables en litigios de infracción , sin poner en riesgo la confidencialidad del resto de su know‑how, lo que presupone sistemas robustos de registro, archivo seguro y gestión controlada de la información protegida.
La lógica es muy similar cuando se amplía la mirada a la Directiva y el Reglamento de marcas de la UE, así como a las leyes de patentes nacionales y el CPE.
- Estos instrumentos reconocen derechos exclusivos sobre signos distintivos e invenciones, pero su eficacia real depende de que el titular sea capaz de identificar, gestionar y probar el uso legítimo de sus marcas y la explotación de sus patentes, así como de localizar y documentar las infracciones. Todo ello presupone sistemas de información seguros, trazables y organizados. Ver el tag marcas
- Téngase en cuenta los regímenes de licencia obligatoria y de Licencias Justas y no discriminatoria en caso de patentes esenciales o para estándares (PEN)
En la práctica, la propiedad industrial digital se ve completada con deberes de los titulares. Es posible que ello lleve una relativización. Es decir, a limitar la preocupación a supuestos concretos y . A la luz de los costes que la propia protección lleva

“Transformación Digital del Mercado Asegurador: Gobernanza y Protección del Cliente”. Congreso celebrado los días 9 y 10 de abril de 2026 en la Facultad de Derecho de la Universidade da Coruña

Posted on 13 abril, 2026 por Elena F Pérez Carrillo

El Congreso Internacional de Jóvenes Investigadores “Transformación Digital del Mercado Asegurador: Gobernanza y Protección del Cliente”, celebrado los días 9 y 10 de abril de 2026 en la Facultad de Derecho de la Universidade da Coruña, constituye un espacio académico de especial relevancia para el análisis de las transformaciones que la inteligencia artificial está introduciendo en los mercados financieros y aseguradores.

Ao solpor

La dirección del Congreso ha correspondido a las profesoras e investigadoras Marta Cernadas Lázare y a Irene Filgueira Loureiro, bajo un esquema organizativo que combina rigor científico y apertura a la investigación emergente.

Ejes temáticos del Congreso

El programa se articula en torno a tres grandes ejes materiales que reflejan los principales desafíos jurídicos de la digitalización del sector financiero y asegurador.

En primer lugar, la gobernanza de las decisiones algorítmicas en el mercado financiero, con especial atención a la inversión automatizada, los sistemas de inteligencia artificial aplicados a pagos y la interacción entre cumplimiento normativo y automatización de procesos decisorios. En este contexto, se puso de relieve la progresiva sustitución de modelos tradicionales de análisis de riesgo por sistemas algorítmicos cada vez más complejos, lo que plantea interrogantes relevantes en materia de responsabilidad, supervisión y transparencia.
En segundo lugar, el Congreso abordó la transformación del contrato de seguro en la era de la inteligencia artificial, con especial énfasis en la configuración del riesgo, la determinación de la prima y la aparición de nuevos productos aseguradores, incluidos los seguros telemáticos y los denominados seguros ciber. La cuestión de la imputación del riesgo tecnológico y la incidencia de los sistemas automatizados en la producción del siniestro ocupó un lugar central en el debate doctrinal.
En tercer lugar, se analizó la protección del cliente y la supervisión de la comercialización algorítmica, donde se examinaron fenómenos como el consumidor algorítmico, la opacidad de los sistemas de recomendación, la presencia de sesgos en la toma de decisiones automatizadas y el papel de los sistemas de inteligencia artificial en la intermediación aseguradora. Este eje permitió conectar el Derecho del seguro con problemáticas propias de la ética algorítmica y la gobernanza digital.

Decisiones algorítmicas y mercado financiero

La primera sesión del Congreso se dedicó a las decisiones algorítmicas en el mercado financiero. Moderada por la profesora María del Carmen Boldó Roda, la sesión puso de relieve la creciente sofisticación de los modelos de inversión automatizada. El profesor Pedro Mario González Jiménez analizó la transición desde los modelos algorítmicos tradicionales hacia sistemas de inteligencia artificial capaces de adaptar estrategias de inversión en tiempo real. La profesora Andrea Castillo Olano abordó la transformación de los sistemas de pago en el contexto de la digitalización financiera, subrayando la necesidad de adaptar los marcos regulatorios a nuevos entornos tecnológicos. Por su parte, el profesor Pablo Sanz Bayón centró su intervención en el cumplimiento normativo en entornos automatizados, destacando la tensión entre eficiencia algorítmica y control regulatorio efectivo.

Protección del cliente en el mercado asegurador

La segunda sesión matinal se centró en la protección del cliente de seguros y la supervisión de la comercialización algorítmica, moderada por la profesora Josefina Boquera Matarredona. El profesor Marcos Cruz González introdujo la noción de “consumidor algorítmico”, caracterizado por una creciente dependencia de sistemas automatizados de recomendación. La profesora Anna María García Companys analizó la responsabilidad en el gobierno corporativo prudencial de sistemas de inteligencia artificial aplicados al seguro. Finalmente, la profesora Laura Morán Fernández abordó los sesgos y discriminaciones algorítmicas desde una perspectiva técnico-jurídica.

Inteligencia artificial y contrato de seguro

En la sesión de la tarde se abordó la incidencia de la inteligencia artificial en la configuración del contrato de seguro. Moderada por el profesor Manuel Areán Lalín, la sesión profundizó en la transformación de los elementos estructurales del contrato.

El profesor Antonio Casado Navarro analizó los seguros telemáticos y su vinculación con dispositivos conectados. El profesor Javier Vercher Moll estudió la nueva configuración de la prima en función de datos dinámicos y algoritmos predictivos. Finalmente, el profesor Martín José González Orús Charro examinó las pólizas ciber y los riesgos derivados de la intervención de sistemas de inteligencia artificial en la producción del siniestro.

Mesas de comunicaciones

El Congreso dedicó un espacio relevante a las mesas de comunicaciones, que permitieron la exposición de trabajos de investigadores en formación. Estas sesiones abordaron cuestiones como la intermediación deshumanizada, el uso de chatbots en la contratación de seguros, la detección automatizada de fraude, la protección de datos en la evaluación algorítmica de riesgos o la responsabilidad de administradores en contextos de automatización decisional.

En este bloque, desde la Universidad de León, Elena F. Pérez Carrillo presentó la comunicación titulada “Gobernanza de la resiliencia digital en el sector asegurador y protección del cliente”.

La comunicación presentada se centra en la relación entre resiliencia digital, gobernanza corporativa y protección del cliente en el sector asegurador, en un contexto de profunda transformación tecnológica.

El punto de partida es la constatación de que la digitalización del seguro ha modificado estructuralmente todo su ciclo operativo —desde la suscripción hasta la gestión de siniestros— mediante el uso intensivo de TIC, nube e inteligencia artificial. Este proceso ha generado riesgos estratégicos (ciberataques, dependencia de proveedores, concentración de datos) que inciden directamente en la continuidad del negocio y en la confianza del cliente.

Sobre esta base, la intervención analiza la consolidación de un marco normativo europeo de resiliencia digital (Solvencia II, DORA, IDD, IRRD y Directrices de EIOPA), que converge en un objetivo común: garantizar la continuidad operativa de las entidades y la protección efectiva del asegurado.

Desde la perspectiva de la gobernanza, se destaca el papel central del órgano de administración en la gestión del riesgo TIC. Tanto Solvencia II como DORA refuerzan su responsabilidad última, incorporando exigencias como la definición del apetito de riesgo digital, la supervisión de la externalización tecnológica, la gestión de incidentes y las pruebas de resiliencia. DORA supone un cambio relevante al convertir estas exigencias en obligaciones jurídicas directamente aplicables.

En este contexto, la diligencia del órgano de administración se redefine, integrando el riesgo cibernético en la estrategia empresarial y en el sistema de control interno. La resiliencia digital exige supervisión efectiva de terceros tecnológicos, recursos adecuados y formación, incorporándose incluso instrumentos como el ciberseguro dentro de las prácticas de buena gobernanza.

La intervención subraya asimismo el papel de la Directiva (UE) 2022/2556, que vincula la gestión de proveedores tecnológicos con la protección del cliente, al garantizar la continuidad de servicios esenciales externalizados. La futura IRRD refuerza esta lógica desde la gestión de crisis, al situar la continuidad tecnológica como presupuesto de la estabilidad de la entidad y de la protección del asegurado.

En conjunto, la comunicación propone una visión integrada del Derecho del seguro europeo, en la que resiliencia digital, gobernanza corporativa y protección del cliente convergen en un modelo holístico. La capacidad de las entidades para gestionar riesgos tecnológicos y garantizar la continuidad del servicio se configura así como un elemento central de confianza y estabilidad del sistema asegurador.

Consideración final

Camelia blanca

El Congreso pone de manifiesto una tendencia ya consolidada en la doctrina contemporánea: la progresiva integración entre inteligencia artificial, mercados financieros y Derecho del seguro. Esta convergencia no se limita a una transformación técnica de los procesos de contratación o supervisión, sino que incide directamente en los fundamentos tradicionales del Derecho mercantil, particularmente en la distribución del riesgo, la transparencia contractual y la protección del cliente.

La cuestión central que atraviesa todas las intervenciones puede sintetizarse en un interrogante de fondo: cómo preservar los principios estructurales del Derecho del seguro en un entorno en el que las decisiones relevantes dejan de ser exclusivamente humanas para pasar a ser, en gran medida, algorítmicas.

El Congreso SEGUIA se configura así como un espacio de observación privilegiado de esta transformación, en el que convergen investigación jurídica, innovación tecnológica y reflexión crítica sobre los límites del Derecho en la era de la inteligencia artificial.

Este encuentro se inserta en el marco del Proyecto de Investigación “Inteligencia artificial en la comercialización de seguros: desafíos en materia de transparencia, gobernanza y supervisión (SEGUIA)” (PID2023-152839OB-I00), financiado por la Agencia Estatal de Investigación, y se articula asimismo con el Grupo de investigación Empresa, Consumo e Dereito (G000708), así como con el Proyecto Prometeo “El moderno Derecho del seguro” (CIPROM/2024/75). Esta pluralidad de apoyos institucionales refleja la consolidación de una línea de investigación europea orientada a la regulación de la inteligencia artificial en sectores altamente sensibles desde la perspectiva de la protección del cliente y la estabilidad del mercado.

TJUE, sentencia de 19 de marzo de 2026, C‑526/24, Brillen Rottler: abuso del derecho de acceso a los propios datos personales (art. 15 RGPD)

Posted on 6 abril, 2026 por Elena F Pérez Carrillo

Comentario a la Sentencia del Tribunal de Justicia en el asunto C-526/24 Brillen Rottler: Una solicitud de acceso a los propios datos personales puede considerarse abusiva y denegarse si se presenta con el único fin de solicitar posteriormente una indemnización por una supuesta infracción del RGPD

El conflicto se origina cuando TC, residente en Austria, se suscribe en marzo de 2023 al boletín informativo de Brillen Rottler GmbH & Co. KG, óptica familiar establecida en Alemania, facilitando sus datos personales a través del formulario web. Poco después, ejerce ante la empresa su derecho de acceso previsto en el artículo 15 RGPD.

Brillen Rottler deniega la solicitud dentro del plazo de un mes, calificándola de “excesiva” en el sentido del artículo 12.5 RGPD, y el interesado mantiene su petición y añade una reclamación indemnizatoria de 1.000 euros al amparo del artículo 82 RGPD por daño inmaterial. El Amtsgericht Arnsberg plantea varias cuestiones prejudiciales sobre:

si incluso una primera solicitud de acceso puede ser “excesiva/abusiva” y, por tanto, denegarse;
si cabe indemnización por vulneración del derecho de acceso aunque no exista un tratamiento ilícito de datos como tal;
y cómo se configura el daño inmaterial indemnizable.

Cuestiones jurídicas planteadas

Las cuestiones centrales se refieren a la interpretación de los artículos 12.5, 15.1 y 82.1 RGPD:

Alcance de la cláusula que permite al responsable negase a actuar cuando las solicitudes sean “manifiestamente infundadas o excesivas” (art. 12.5).
Posibilidad de considerar “excesiva” una primera solicitud, pese a que el precepto menciona la repetición como ejemplo típico.
Configuración del derecho a indemnización por vulneración del derecho de acceso, incluso si la infracción se concreta en una negativa a tramitar la solicitud.
Determinación de si la pérdida de control sobre los datos o la incertidumbre sobre su tratamiento puede constituir daño inmaterial indemnizable.

Estas cuestiones sitúan el caso en la intersección entre la amplitud del derecho de acceso y el principio de prohibición del abuso del derecho en el marco del Derecho de la Unión.

Razonamiento del TJUE sobre el carácter “excesivo/abusivo”

El Tribunal declara que el artículo 12.5 RGPD permite considerar “excesiva” incluso una primera solicitud de acceso, siempre que concurran criterios estrictos, habida cuenta de que se trata de una excepción al derecho de acceso que debe interpretarse de forma restrictiva.

El TJUE fija los siguientes elementos:

El carácter repetitivo de las solicitudes es un indicio, pero no un requisito necesario; la “primera” solicitud puede ser excesiva si se acredita abuso.
La carga de la prueba recae sobre el responsable del tratamiento, que debe demostrar, a la vista de todas las circunstancias, que la solicitud no se presentó para conocer el tratamiento ni verificar su licitud, sino con intención abusiva, en particular para crear artificialmente las condiciones necesarias para reclamar una indemnización.
El Tribunal admite que el patrón de conducta del interesado (suscripciones sucesivas, solicitudes de acceso y reclamaciones indemnizatorias frente a distintos responsables) puede constituir un indicador relevante de ese uso instrumental del derecho.

Con ello, el TJUE no convierte el carácter económico de la pretensión en ilegítimo per se, pero sí exige que el ejercicio del derecho de acceso mantenga un vínculo real con su finalidad propia: permitir al interesado conocer y controlar el tratamiento de sus datos personales.

Derecho a indemnización y daño inmaterial

En relación con el artículo 82.1 RGPD, el Tribunal declara que confiere al interesado un derecho a indemnización por los daños y perjuicios resultantes de una vulneración del derecho de acceso del artículo 15.1, aunque esa vulneración consista en la negativa a dar curso a una solicitud, y no en un tratamiento ilícito de datos en sentido estricto.

El TJUE subraya que:

El tenor del artículo 82.1 no limita el derecho a indemnización a daños derivados de un “tratamiento” como tal, de modo que excluir las infracciones de los derechos del capítulo III vaciaría de efecto útil la norma.
El daño inmaterial puede incluir la pérdida de control sobre los datos personales o la incertidumbre acerca de si estos han sido objeto de tratamiento.
No toda infracción del RGPD genera automáticamente derecho a indemnización: el interesado debe probar tres requisitos acumulativos: infracción del RGPD, existencia de un daño efectivo (material o inmaterial) y nexo de causalidad entre ambos.
No procede indemnización cuando la pérdida de control o la incertidumbre se deben precisamente a la conducta del propio interesado, que decide someter sus datos al responsable con el fin de crear artificialmente las condiciones para obtener una compensación.

Corresponde al órgano jurisdiccional nacional apreciar, sobre la base de estos criterios, si en el caso concreto concurren abuso y daño indemnizable.

Relevancia práctica

La sentencia ofrece claridad operativa a responsables del tratamiento y autoridades de control:

Legitima la posibilidad de denegar solicitudes de acceso abusivas, incluso si son las primeras, siempre que se motive la decisión y se pueda acreditar el uso instrumental del derecho.
Refuerza la idea de que el artículo 12.5 RGPD actúa como “válvula de seguridad” frente a estrategias de litigación sistemática basadas en el mero cumplimiento formal de los requisitos del derecho de acceso.
Al mismo tiempo, subraya que el derecho a indemnización del artículo 82 no se vacía: se extiende a la vulneración del derecho de acceso, pero exige una prueba rigurosa del daño y de su causalidad, evitando una automatización de la compensación.

Para la práctica de cumplimiento, la sentencia impone a los responsables la necesidad de documentar los indicios de abuso, revisar patrones de conducta del interesado y articular políticas internas sobre tratamiento de solicitudes sospechosas, sin trivializar el estándar probatorio exigido por el TJUE.

Encaje en la doctrina general del abuso del derecho en la UE

Brillen Rottler se inserta en la jurisprudencia que reconoce el abuso del derecho como principio general del Derecho de la Unión, aplicable transversalmente cuando un derecho conferido por una norma de la UE se ejerce de forma contraria a su objeto y finalidad.

De esa doctrina general, el TJUE retoma la construcción clásica en torno a dos elementos:

Elemento objetivo: pese al respeto formal de los requisitos legales, el ejercicio del derecho persigue obtener una ventaja contraria al propósito de la norma, aquí, convertir el derecho de acceso en un mero instrumento para generar litigios indemnizatorios.
Elemento subjetivo: existencia de una intención de obtener de modo artificioso esa ventaja, que en este caso puede inferirse de un patrón de suscripciones, solicitudes y reclamaciones repetidas frente a distintos responsables.

La aportación específica de Brillen Rottler consiste en trasladar esta lógica al régimen de los derechos del interesado del RGPD, reafirmando que dichos derechos no son absolutos ni están al margen del principio de buena fe en su ejercicio. La sentencia no recorta el contenido esencial del derecho de acceso, pero sí excluye de su ámbito de protección las conductas estratégicas destinadas a construir artificialmente un escenario indemnizatorio.

En conclusión, el TJUE: admite que una primera solicitud de acceso pueda ser considerada “excesiva” y, por tanto, denegada, cuando se pruebe su carácter abusivo (art. 12.5 y 15 RGPD); reconoce que la vulneración del derecho de acceso puede generar derecho a indemnización (art. 82), incluso sin tratamiento ilícito, pero supedita ese derecho a la acreditación de un daño real y de la ausencia de una auto-creación artificiosa de ese daño; y consolida la integración del principio de abuso del derecho en el ámbito de la protección de datos, configurando el RGPD como un sistema de garantías robustas, pero no disponible para usos meramente instrumentales.

Panorama comparado de los sellos de «confianza regulada» – a modo de esquemas de certificación de ciberseguridad.

Posted on 25 febrero, 2026 por Elena F Pérez Carrillo

Hay tres referencias útiles para comparar con los esquemas europeos de certificación de ciberseguridad: Estados Unidos, China e India. No son idénticas al modelo del Reglamento de Ciberseguridad pero cumplen funciones parecidas de “sello de confianza regulado”.

Estados Unidos: FedRAMP para servicios en la nube

Rododendro

En Estados Unidos, el referente más claro es el Programa Federal de Gestión de Riesgos y Autorizaciones (Federal Risk and Authorization Management Program, FedRAMP). FedRAMP es un programa federal que proporciona un enfoque estandarizado para la evaluación y autorización de seguridad de servicios y productos de computación en la nube utilizados por agencias federales.

FedRAMP define un marco único para que los proveedores de servicios en la nube (cloud service providers, CSP) puedan ser evaluados frente a un conjunto de controles de seguridad basados en las publicaciones del Instituto Nacional de Estándares y Tecnología (National Institute of Standards and Technology, NIST), en particular NIST SP 800‑53
El objetivo es evitar que cada agencia federal repita evaluaciones desde cero: se crea un modelo de riesgo y una autorización “común” reutilizable por múltiples agencias.
Existen distintos niveles (por ejemplo, impacto bajo, moderado o alto), que determinan la intensidad de los controles y el tipo de datos que pueden alojarse en ese servicio.
FedRAMP exige supervisión continua y revisiones periódicas, y mantiene un listado de servicios autorizados que las agencias

En la práctica, para muchos proveedores cloud, disponer de autorización FedRAMP se ha convertido en un requisito de acceso al mercado federal. Es un esquema sectorial (Administración federal, servicios en la nube) y no un marco horizontal tan amplio como el de la Unión Europea, pero ilustra bien cómo una combinación de estándares NIST y un programa federal de certificación crea un “sello” obligatorio de facto.

China: Esquema de Protección Multi‑nivel (MLPS 2.0) y certificaciones asociadas

En la República Popular China, el núcleo no es un único esquema de certificación, sino el Esquema de Protección Multi‑nivel (Multi‑Level Protection Scheme, MLPS 2.0), desarrollado bajo la Ley de Ciberseguridad china (Cybersecurity Law).

Todos los “operadores de redes” deben clasificar sus sistemas de información en niveles del 1 al 5 según su importancia para la seguridad nacional, el orden social y los derechos de los ciudadanos.
A partir de cierto nivel (por ejemplo, nivel 2 o superior) se exige registro ante las autoridades; a partir de nivel 3 se requiere evaluación y certificación por instituciones de ciberseguridad cualificadas, con auditorías periódicas.
El esquema fija requisitos crecientes de seguridad técnica, gestión interna, monitorización y respuesta a incidentes, alineados con el nivel asignado.

Además, China exige y promueve distintos certificados específicos para productos y servicios:

Camelia blanca

Certificación de equipos y productos de red considerados “críticos” o de uso masivo.
Requisitos particulares para proveedores de servicios en la nube, como uso de centros de datos ubicados en China, medidas reforzadas de control de perímetro, autenticación, copias de seguridad, etc.
Interacción con otras normas, como la Ley de Seguridad de Datos (Data Security Law) y la Ley de Protección de Información Personal (Personal Information Protection Law), que añaden capas de obligaciones.

A diferencia del modelo europeo, el Esquema de Protección Multi‑nivel (MLPS 2.0) está íntimamente ligado al control estatal de infraestructuras y datos: la clasificación y certificación tienen una fuerte dimensión de seguridad nacional y control regulatorio, no solo de “sello de confianza” para el mercado.

India: empanelamiento MeitY para servicios en la nube

En la India, un referente importante es el sistema de empanelamiento del Ministerio de Electrónica y Tecnologías de la Información (Ministry of Electronics and Information Technology, MeitY) para proveedores de servicios en la nube utilizados por organismos públicos.

El Ministerio de Electrónica y Tecnologías de la Información (MeitY) define criterios de seguridad, interoperabilidad, portabilidad de datos, acuerdos de nivel de servicio y condiciones contractuales que deben cumplir los proveedores de servicios en la nube que quieran prestar servicios a la Administración y al sector público.
Los proveedores son auditados por la Dirección de Certificación de Pruebas y Calidad (Standardisation Testing and Quality Certification, STQC) y, si superan la evaluación, se “empanelan”, es decir, se incluyen en una lista de servicios autorizados para uso gubernamental.
Entre los requisitos figuran el alojamiento de datos dentro del territorio de la India, el cumplimiento de estándares internacionales (como ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, ISO/IEC 20000) y el ajuste a guías de seguridad específicas del Gobierno indio.l

Llegan las camelias

De nuevo, se trata de un esquema focalizado en servicios en la nube para el sector público, que funciona como filtro: sin empanelamiento del Ministerio de Electrónica y Tecnologías de la Información (MeitY), un proveedor no puede competir en ciertos contratos o proyectos gubernamentales. No es tan amplio ni formalizado como el marco europeo de Certificación, pero refleja una lógica similar

Un punto único gestionado por ENISA

La modificación de DORA

DORA como referencia para otros regímenes

Implantación y garantías

Las observaciones del Banco Central Europeo

Más allá de DORA: el Ómnibus sobre IA y la derogación del Reglamento P2B

Una simplificación todavía en construcción

Internet no es un espacio de libre apropiación de datos

2. Del RGPD al Reglamento de Inteligencia Artificial: normas que deben aplicarse conjuntamente

3. La gobernanza de los datos utilizados para el entrenamiento

Más allá del texto del documento

1. Protección de datos y derechos de autor

2. Consecuencias para la empresa

3. El web scraping como decisión de gobierno corporativo

Algunas posibles aportaciones a la consulta pública

Más información:

Europa y Estados Unidos siguen caminos parcialmente distintos

La automatización de la liquidez

Pagos instantáneos internacionales

Nuevos criterios de gestión del riesgo

Infraestructuras críticas y gobernanza

Cuestiones jurídicas planteadas

Razonamiento del TJUE sobre el carácter “excesivo/abusivo”

Derecho a indemnización y daño inmaterial

Relevancia práctica

Encaje en la doctrina general del abuso del derecho en la UE

Estados Unidos: FedRAMP para servicios en la nube

China: Esquema de Protección Multi‑nivel (MLPS 2.0) y certificaciones asociadas

India: empanelamiento MeitY para servicios en la nube