El marco jurídico europeo para el mundo digital

Esta Parte expone la gramática que comparten los distintos instrumentos. Cada acto del corpus digital de la UE está construido con el mismo puñado de movimientos, y quien sabe reconocerlos puede anticipar buena parte del detalle. Lo mismo vale para las críticas: casi toda objeción seria al corpus apunta a uno de esos movimientos, no a una decisión de redacción interna de un reglamento concreto.

La base jurídica del mercado interior y lo que impone

La UE no tiene una competencia general para legislar sobre expresión, seguridad o moralidad. Lo que tiene es el artículo 114 TFUE, la facultad de armonizar las normas nacionales que fragmentan el mercado interior. Sobre esa base se construye casi todo el corpus digital. La principal excepción es el propio GDPR, basado en el artículo 16 TFUE, la competencia de la Unión en materia de protección de datos. La base jurídica determina la sustancia. Explica por qué el DSA se plantea como reglamento sobre el mercado único de servicios digitales y no como ley de contenidos, por qué el AI Act se estructura como normativa de seguridad de los productos, con evaluación de la conformidad y marcado CE, y no como carta de derechos fundamentales, y por qué casi todo llega en forma de reglamento (directamente aplicable, sin transposición) y no de directiva. El argumento de venta del DSA es precisamente sustituir veintisiete regímenes nacionales por un marco único, lo que es una reivindicación de mercado único antes que de seguridad.

La consecuencia es un desfase persistente entre la finalidad jurídica declarada (eliminar obstáculos al comercio) y la ambición regulatoria efectiva (gobernar cómo se asigna la atención, cómo se entrenan los modelos, cómo se estructuran los mercados). Ese desfase es la materia prima de buena parte del riesgo contencioso del sistema, y volveremos sobre él varias veces.

El modelo GDPR, replicado

La doctrina ha descrito lo que siguió al GDPR como act-ification y GDPR mimesis: una rápida serie de instrumentos que reproducen cada uno la misma forma institucional. Papakonstantinou y De Hert detectaron pronto el patrón. Un léxico especializado, un conjunto de principios, derechos calibrados al supuesto y un aparato de supervisión se repiten en el DGA, el DSA, el DMA y el reglamento de IA. En la práctica, cada instrumento de este informe rellena las mismas cinco casillas:

Cuatro decisiones de diseño que generan casi toda crítica

Graduación según el riesgo. En lugar de normas uniformes, las obligaciones crecen con el tamaño o la peligrosidad: la pirámide graduada del DSA desde el intermediario hasta el VLOP, la escala del AI Act entre riesgo inaceptable, alto, de transparencia y mínimo, el interruptor binario del DMA entre designado y no designado. La graduación es proporcionada en principio y produce efectos umbral en la práctica. El umbral de 45 millones de usuarios para el VLOP, la presunción del DMA de 10.000 usuarios profesionales y la presunción de riesgo sistémico en 10^25 FLOP son todos números administrables que ocupan el lugar de conceptos inadministrables, y cada uno ha producido ya litigios o elusiones.

Sanciones ligadas al volumen de negocios. Los techos expresados en porcentaje del volumen de negocios mundial se concibieron para que las sanciones alcanzaran incluso a empresas cuyo volumen en la UE es una fracción del global. Son también el rasgo más contestado del corpus en el plano internacional. Y, como muestra la experiencia del GDPR, la cifra anunciada y la cifra efectivamente cobrada son dos cosas muy distintas.

Alcance extraterritorial mediante el criterio del mercado de destino. Cada instrumento se aplica a las conductas dirigidas a la Unión con independencia del lugar de establecimiento del proveedor. El Data Act alcanza a los proveedores de SaaS de fuera del EEE con clientes en la UE; el AI Act alcanza a los proveedores cuyos resultados de salida se utilizan en la Unión; el GDPR alcanza a los responsables del tratamiento establecidos en cualquier lugar que ofrezcan bienes o servicios a personas en la Unión o controlen su comportamiento. Es el mecanismo del llamado efecto Bruselas, y también de la acusación de que Europa regula empresas que no acoge.

Corregulación mediante códigos, directrices y actos delegados. Los textos principales suelen estar deliberadamente incompletos, y el detalle operativo llega después a través de directrices de la Comisión, actos delegados, códigos de buenas prácticas y normas armonizadas. El GPAI Code of Practice, el acto delegado del artículo 40 del DSA sobre acceso de investigadores y las normas armonizadas (aún incompletas) para la IA de alto riesgo son todos elementos portantes. Esto aporta flexibilidad a costa de la seguridad jurídica. Como muestra la Parte VIII, significa también que el contenido efectivo de la ley puede cambiar sin que el legislador vuelva a reunirse.

El Reglamento (UE) 2016/679 es el instrumento más antiguo aquí tratado, y aquel sobre el que todos los demás se apoyan, del que recortan una excepción o con el que deben conciliarse. Para juzgar si cualquier otra parte del corpus funcionará hay que entender cómo se ha aplicado el GDPR y dónde esa aplicación se ha quedado corta.

Qué exige realmente

El núcleo operativo es compacto. El artículo 5 fija seis principios del tratamiento más la responsabilidad proactiva: licitud, lealtad y transparencia; limitación de la finalidad; minimización de datos; exactitud; limitación del plazo de conservación; integridad y confidencialidad. El artículo 6 ofrece la lista exhaustiva de bases jurídicas (consentimiento, contrato, obligación legal, intereses vitales, misión de interés público, interés legítimo), y el artículo 9 prohíbe el tratamiento de categorías especiales salvo excepciones estrechas. Los artículos 12–22 crean los derechos del interesado: información, acceso, rectificación, supresión, limitación, portabilidad, oposición, y la protección del artículo 22 frente a decisiones basadas únicamente en tratamiento automatizado con efectos jurídicos o similarmente significativos. El capítulo IV fija las obligaciones de cumplimiento: artículo 25 protección de datos desde el diseño y por defecto, artículo 30 registro de actividades de tratamiento, artículos 33–34 notificación de brechas, artículo 35 evaluaciones de impacto, artículos 37–39 el DPD. El capítulo V rige las transferencias internacionales. El artículo 83 fija los techos sancionadores en dos niveles.

Dos de ellos pesan de forma desproporcionada en el resto de este documento. El artículo 22 es el Derecho europeo preexistente sobre decisiones automatizadas. No esperó al AI Act, y ambos clasifican de forma independiente. Un sistema que el AI Act sitúa en la franja de riesgo mínimo, sin ninguna obligación en virtud de esa norma, sigue sujeto al artículo 22 si adopta decisiones basadas únicamente en un tratamiento automatizado que producen efectos jurídicos o le afectan significativamente de modo similar. Ningún régimen desactiva al otro. Las EIPD del artículo 35 son el antecedente conceptual de la evaluación de riesgos sistémicos del artículo 34 del DSA y de la evaluación de impacto sobre los derechos fundamentales del artículo 27 del AI Act. Una organización que realiza las tres por separado duplica un trabajo que las propias autoridades reconocen ya como duplicado.

La realidad del cumplimiento

Para la mayoría de las organizaciones el cumplimiento del GDPR se resuelve en cuatro artefactos duraderos: un inventario de tratamientos realmente mantenido, un análisis defendible de la base jurídica por cada finalidad, un flujo de gestión de derechos que cumpla el plazo de un mes, y un proceso de respuesta a brechas capaz de decidir la notificación en 72 horas. Los datos de aplicación muestran dónde fallan las organizaciones. El análisis del corpus CMS Enforcement Tracker halla que tres categorías de infracción suponen alrededor del 94% del valor total de las sanciones. Los incumplimientos de transparencia de los artículos 12–14 son lo bastante destacados como para que el EDPB los convirtiera en objeto de una acción coordinada en 2026 en veinticinco autoridades. Los reguladores tramitan hoy una media de 443 notificaciones de brecha al día, un 22% más interanual. El volumen de casos crece más deprisa que la capacidad de atenderlos.

La aplicación: la ventanilla única y la brecha entre lo anunciado y lo cobrado

El artículo 56 atribuye a la autoridad de control del establecimiento principal del responsable el papel de autoridad principal en los casos transfronterizos, con la cooperación del artículo 60 y la resolución de conflictos del EDPB del artículo 65 detrás. Como Meta, Google, Apple, Microsoft, TikTok y LinkedIn situaron todas su sede europea en Dublín, esto convirtió a un solo regulador nacional en autoridad principal para buena parte de la economía mundial de plataformas. Las cifras son claras. La encuesta de DLA Piper de enero de 2026 contabiliza 7.100 millones de euros en multas GDPR notificadas entre el 25 de mayo de 2018 y el 10 de enero de 2026. Son multas anunciadas, no confirmadas judicialmente ni cobradas, y los registros que cuentan de otra manera dan otros totales. Solo la DPC irlandesa representa unos 4.040 millones del total de DLA Piper, en torno al 57% del valor total, y ocho de las diez mayores sanciones aún vigentes; las otras dos son de la autoridad neerlandesa, ambas contra Uber. España, en cambio, encabeza por número de resoluciones, con más de un millar.

La crítica a este sistema es antigua; la respuesta legislativa acaba de llegar. El Reglamento (UE) 2025/2518 armoniza la admisibilidad de las reclamaciones, los derechos procesales de las partes y los plazos de los proyectos de decisión en los asuntos transfronterizos. Entró en vigor el 1 de enero de 2026 y se aplica a partir del 2 de abril de 2027, con sus normas de investigación aplicables a las reclamaciones presentadas después de esa fecha. En 2021 el Irish Council for Civil Liberties calificó a Irlanda como el peor cuello de botella del GDPR, documentando que no se transmitían los proyectos de decisión a las demás autoridades en la gran mayoría de los principales asuntos transfronterizos y señalando que España dictaba aproximadamente diez veces más resoluciones con un presupuesto menor. Max Schrems y otros activistas plantean el mismo argumento estructural: los asuntos duran años, las sanciones llegan tarde y los reclamantes tienen una posición procesal limitada. La DPC ha crecido hasta casi 300 empleados en 2026 y ha pasado a una estructura de tres comisionados en parte para aliviar los cuellos de botella de un único centro de decisión, pero el diseño de la ventanilla única se mantiene.

El Reglamento (UE) 2022/2065 sustituyó el núcleo de responsabilidad de la Directiva de comercio electrónico de 2000 por un régimen graduado de diligencia debida. Es el instrumento que muestra con mayor claridad qué intenta hacer el corpus europeo: gobernar el diseño de los sistemas en lugar de enjuiciar contenidos concretos. Es también el sometido al fuego político más intenso.

La pirámide: quién debe qué

El DSA apila las obligaciones de forma acumulativa en cuatro niveles. Cada nivel hereda el inferior.

Las microempresas y pequeñas empresas están exentas de la mayoría de las obligaciones de las plataformas en línea (art. 19), salvo que hayan sido designadas como plataformas en línea de muy gran tamaño.

Las tres disposiciones que sostienen el régimen

Artículo 16: notificación y acción, y la fabricación del conocimiento

El artículo 16 obliga a los prestadores de servicios de alojamiento de datos a establecer mecanismos electrónicos de notificación que faciliten notificaciones suficientemente precisas y adecuadamente fundamentadas. Su apartado decisivo es el 16, apartado 3: una notificación conforme da lugar a conocimiento o consciencia efectivos a efectos de la exención de responsabilidad del artículo 6 cuando permite a un prestador diligente identificar la ilicitud sin un examen jurídico detallado. Es la bisagra sobre la que gira hoy la responsabilidad de las plataformas. También crea el incentivo estructural en el que más insisten los críticos del DSA. Como el conocimiento expone a responsabilidad y la retirada excesiva no conlleva una sanción equivalente, la respuesta racional ante una notificación dudosa es retirar. Los contrapesos del DSA (exposición de motivos, reclamaciones internas, resolución extrajudicial de litigios) son procedimentales, no sustantivos. El artículo 14, apartado 4, sí exige a los prestadores actuar de manera diligente, objetiva y proporcionada, teniendo debidamente en cuenta los derechos fundamentales de los usuarios, lo que en principio da un coste jurídico a la retirada excesiva.

Artículos 34-35: el riesgo sistémico, un concepto deliberadamente abierto

El artículo 34 obliga a los VLOP y VLOSE a detectar, analizar y evaluar con diligencia los riesgos sistémicos derivados del diseño o del funcionamiento de su servicio, incluidos los sistemas algorítmicos, al menos una vez al año y antes de desplegar funcionalidades que puedan tener un impacto crítico. Las categorías enumeradas son: difusión de contenidos ilícitos; efectos negativos para los derechos fundamentales; efectos negativos sobre el discurso cívico, los procesos electorales y la seguridad pública; y efectos relativos a la violencia de género, la salud pública, los menores y el bienestar físico y mental. El artículo 34(2) exige evaluar cómo influyen en esos riesgos el diseño de los sistemas de recomendación y otros sistemas algorítmicos, incluso mediante manipulación intencionada y uso no auténtico. El artículo 35 impone después una mitigación proporcionada y eficaz, y deja la elección de las medidas al prestador.

Es la disposición de mayor alcance y más criticada del DSA. Su apertura es deliberada: una lista cerrada quedaría obsoleta en un ciclo de producto. Pero la investigación de AlgorithmWatch sobre la disposición halló que las partes interesadas tenían dificultades para determinar si un daño dado era lo bastante sistémico, que los considerandos 79-89 se percibían a menudo como fuente de confusión más que de aclaración, y que unos criterios demasiado específicos arriesgarían que las plataformas optimizaran para métricas en lugar de para daños reales, mientras que unos demasiado vagos dejan el concepto inadministrable. Ambos modos de fallo están activos.

Artículo 40: el acceso a los datos, y la brecha entre promesa y entrega

El artículo 40 fue descrito en la comunidad investigadora como el santo grial de una renovada disponibilidad de datos. Abre dos vías. El artículo 40(12) da acceso a datos públicamente accesibles más allá de las herramientas voluntarias de las plataformas. El artículo 40(4) da a los investigadores autorizados acceso a datos no públicos (registros de exposición, archivos de moderación, métricas de recomendación), solicitado a través del coordinador de servicios digitales nacional del lugar de establecimiento y no directamente a la plataforma. Ambas están limitadas a la finalidad de investigación que contribuya a la detección, identificación y comprensión de los riesgos sistémicos con arreglo al artículo 34(1), y para el 40(4) también a evaluar las medidas de mitigación del artículo 35. Un acto delegado entró en vigor el 29 de octubre de 2025, estableciendo un portal centralizado de acceso a datos del DSA, garantías procedimentales y catálogos de datos de las plataformas.

El balance aplicativo, en orden

Existe también una contracorriente. En septiembre de 2025 el Tribunal General anuló las decisiones de 2023 sobre la tasa de supervisión de Facebook, Instagram y TikTok, porque la metodología para contar a los usuarios debía haberse adoptado mediante acto delegado y no mediante decisión de ejecución. No apreció error alguno en la obligación de pago de las plataformas, mantuvo provisionalmente los efectos de las decisiones, y la Comisión ha recurrido ambas sentencias. El DSA no gana en todos los frentes.

El Reglamento (UE) 2022/1925 es la ruptura conceptual más nítida de todo el corpus. El derecho de la competencia tradicional del artículo 102 TFUE es ex post: probar el dominio, probar el abuso, probar los efectos, litigar durante una década. El DMA descarta todo eso. Se designa a la empresa, y una lista de prohibiciones y obligaciones se aplica de inmediato, sin necesidad de demostrar efecto anticompetitivo en el caso concreto.

La designación y el conjunto de obligaciones

El artículo 3 designa guardianes de acceso por presunción cuantitativa: una empresa que preste un servicio básico de plataforma con volumen de negocios o capitalización bursátil relevantes en la UE, al menos 45 millones de usuarios finales activos mensuales y 10.000 usuarios profesionales activos anuales en la Unión, sostenido durante tres ejercicios. Las categorías de servicios básicos de plataforma del artículo 2 (intermediación, búsqueda, redes sociales, intercambio de vídeos, comunicaciones, sistemas operativos, navegadores, asistentes virtuales, nube, publicidad) definen el ámbito. A 14 de octubre de 2026 hay siete empresas designadas, para 23 servicios básicos de plataforma: Alphabet, Amazon, Apple, Booking, ByteDance, Meta y Microsoft.

Lo sustancial está en tres artículos. El artículo 5 contiene las prohibiciones de aplicación directa: no combinar datos personales entre servicios básicos de plataforma sin consentimiento, con una alternativa verdaderamente equivalente y menos personalizada para quienes se nieguen (5, apdo. 2); nada de antidireccionamiento, de modo que los usuarios profesionales deben poder, gratuitamente, comunicar y promocionar ofertas a los usuarios finales y celebrar contratos con ellos fuera de la plataforma (5, apdo. 4); no exigir el uso del servicio de identificación, de pago o del motor de navegación del guardián de acceso como condición de acceso (5, apdo. 7); no impedir que los usuarios profesionales denuncien incumplimientos ante las autoridades nacionales (5, apdo. 6). El artículo 6 contiene las obligaciones susceptibles de especificación adicional: nada de autopreferencia en la clasificación (6, apdo. 5); permitir tiendas de aplicaciones de terceros y la instalación por medios alternativos (6, apdo. 4); interoperabilidad gratuita y efectiva con las mismas funciones de hardware y software de que disponen los servicios del propio guardián de acceso (6, apdo. 7); portabilidad de los datos (6, apdo. 9); acceso de los usuarios profesionales a sus propios datos de rendimiento (6, apdo. 10). El artículo 7 impone la interoperabilidad a los servicios de comunicaciones interpersonales independientes de la numeración. El artículo 11 exige un informe de cumplimiento en los seis meses siguientes a la designación, actualizado al menos una vez al año; el artículo 13 añade la obligación antielusión, el artículo 14 el deber de informar a la Comisión de las concentraciones previstas y el artículo 15 la descripción, auditada de forma independiente, de las técnicas de elaboración de perfiles de los consumidores.

Qué ha establecido realmente la aplicación

El 23 de abril de 2025 la Comisión adoptó sus primeras decisiones de incumplimiento: 500 millones de euros contra Apple con arreglo al artículo 5(4) y 200 millones contra Meta con arreglo al artículo 5(2). Ambas están recurridas. El 23 de julio de 2026 añadió dos contra Google: 460 millones de euros por autopreferencia en Google Search con arreglo al artículo 6(5) y 430 millones por las restricciones antidireccionamiento en Google Play con arreglo al artículo 5(4), con 60 días para cumplir. Juntas, 890 millones de euros, constituyen el importe más alto impuesto hasta la fecha en virtud de la DMA, aunque cada multa por separado es inferior a la de Apple; no consta que Google haya recurrido. Aun así, el contenido interpretativo de la decisión Apple, publicada en versión no confidencial el 26 de mayo de 2025, es el producto doctrinal más importante del DMA hasta ahora. De ella emergen tres principios:

• El estándar es la habilitación activa, no la mera no obstrucción. El artículo 5(4) obliga a los guardianes a habilitar el steering contractual y tecnológicamente. No basta con ofrecer la posibilidad efectiva de steering limitándose a no obstaculizarla, lo que quizá habría bastado con arreglo al artículo 102 TFUE.
• El cumplimiento formal no basta. La Comisión consideró que las opciones ofrecidas por Apple a los usuarios no eran realmente significativas, porque los desarrolladores se enfrentaban a comisiones y barreras técnicas. Los enlaces externos estaban permitidos pero conllevaban comisiones de hasta el 17% sobre las ventas realizadas en siete días.
• El cumplimiento no puede promediarse. La existencia de un conjunto de condiciones que permitía el steering no compensaba otros que no lo permitían: cada conjunto de condiciones contractuales debe cumplir de forma autónoma.

La decisión sobre Meta aplicó la misma lógica al consentimiento. Se consideró que el modelo binario de «pagar o consentir» (aproximadamente 9,99-12,99 euros al mes por un servicio sin publicidad, o el consentimiento a la combinación completa de datos) no ofrecía la alternativa verdaderamente equivalente y menos intensiva en datos que exige el artículo 5, apartado 2. En diciembre de 2025 la Comisión tomó nota del compromiso de Meta de ofrecer a los usuarios de la UE, a partir de enero de 2026, la elección entre publicidad plenamente personalizada y una opción menos personalizada que comparte menos de sus datos.

Otros dos hechos definen la situación actual. Primero, los procedimientos de especificación del artículo 6, apartado 7: en septiembre de 2024 la Comisión abrió dos procedimientos sobre la obligación de interoperabilidad de Apple para iOS y iPadOS; el 19 de marzo de 2025 adoptó dos decisiones de especificación, una que establece cómo debe Apple abrir nueve funciones de conectividad de iOS a dispositivos conectados de terceros y otra cómo debe tramitar las solicitudes de interoperabilidad de los desarrolladores. La misma herramienta se ha aplicado después a Google: el 16 de julio de 2026 la Comisión adoptó dos decisiones de especificación, una en virtud del artículo 6, apartado 7, que obliga a Android a dar a los asistentes de IA competidores el acceso del que disponen los servicios de IA de Google, incluida la activación por comando de voz y la ejecución de acciones en las aplicaciones, con cambios que deben llegar a los usuarios a partir de julio de 2027; la otra en virtud del artículo 6, apartado 11, que establece cómo debe Google compartir datos de búsqueda anonimizados con los motores de búsqueda competidores, incluidos los chatbots de IA con funciones de búsqueda, a partir de enero de 2027. Las decisiones de especificación no conllevan multas; las multas a Google del 23 de julio de 2026, citadas más arriba, proceden de decisiones de incumplimiento distintas. Segundo, el 8 de julio de 2026 el Tribunal General desestimó íntegramente los recursos de Apple contra su designación como guardián de acceso, confirmando las obligaciones relativas a la App Store y a iOS y cerrando la vía por la que los guardianes de acceso designados podían impugnar las obligaciones de interoperabilidad en la fase de designación. La respuesta de Apple ha sido una escalada política: sostiene públicamente que el DMA no funciona y debería derogarse, y ha dado a entender que retrasará el lanzamiento europeo de nuevas funciones de IA.

La revisión de 2026: lo que la Comisión optó por no hacer

El artículo 53 exigía una revisión a más tardar el 3 de mayo de 2026. El informe de la Comisión, basado en más de 450 contribuciones a la consulta, concluyó que el DMA aporta valor frente a la alternativa de normas nacionales fragmentadas, no impone obligaciones directas a las pymes y encaja de forma coherente con el resto del corpus digital. Pese a una demanda considerable de las partes interesadas, la revisión concluyó que el trabajo futuro debe centrarse en aplicar lo existente y no en ampliar el ámbito. El BEUC, entre otros, había pedido extender la interoperabilidad a las redes sociales, la nube y las infraestructuras de IA. La Comisión pretende concluir las investigaciones sobre AWS y Azure en los doce meses siguientes a su apertura, el 18 de noviembre de 2025, es decir, hacia noviembre de 2026, y presentar el informe de la investigación sectorial en dieciocho meses, hacia mayo de 2027. Son objetivos, no plazos legales.

El Reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024 como la primera ley horizontal e integral sobre IA del mundo. Estructuralmente es normativa de seguridad de los productos: evaluación de la conformidad, documentación técnica, organismos notificados, marcado CE, vigilancia poscomercialización. Esa elección determina a la vez sus fortalezas y el modo específico en que hoy no consigue llegar a tiempo.

Los cuatro niveles

Riesgo inaceptable (artículo 5), aplicable desde el 2 de febrero de 2025, abarca técnicas manipuladoras o engañosas que distorsionen materialmente el comportamiento; explotación de vulnerabilidades por edad, discapacidad o situación socioeconómica; puntuación social que conduzca a un trato perjudicial en contextos no relacionados; predicción del riesgo delictivo individual basada únicamente en la elaboración de perfiles; extracción no selectiva de imágenes faciales para bases de datos de reconocimiento facial; inferencia de emociones en el trabajo y en centros educativos; categorización biométrica que deduzca atributos sensibles; e identificación biométrica remota en tiempo real en espacios de acceso público con fines de aplicación de la ley, con excepciones estrechas.

Alto riesgo (artículo 6 y anexos) tiene dos vías de entrada. Artículo 6(1): el sistema es un componente de seguridad de un producto cubierto por la legislación de armonización de la Unión del anexo I. Artículo 6(2): el sistema encaja en el anexo III (biometría; infraestructuras críticas; educación; empleo y gestión de trabajadores; acceso a servicios esenciales, incluidas la solvencia y la tarificación de seguros; aplicación de la ley; migración y control de fronteras; administración de justicia y procesos democráticos). El artículo 6(3) aporta el filtro: un sistema del anexo III no es de alto riesgo cuando no plantea un riesgo significativo de daño, pero el proveedor debe documentar esa evaluación y registrar el sistema. El capítulo III impone después las obligaciones sustantivas: gestión de riesgos (art. 9), gobernanza de datos (art. 10), documentación técnica (art. 11), registro de eventos (art. 12), transparencia hacia los responsables del despliegue (art. 13), supervisión humana (art. 14), exactitud y ciberseguridad (art. 15), evaluación de la conformidad (art. 43), registro (art. 49). El artículo 25 es la trampa que más se pasa por alto. Un distribuidor, importador o responsable del despliegue pasa a ser proveedor, y asume todo el conjunto de obligaciones, si estampa su nombre o marca en un sistema de alto riesgo, lo modifica sustancialmente o altera su finalidad prevista.

Riesgo de transparencia (artículo 50) conlleva deberes de información: los usuarios deben ser informados de que interactúan con un sistema de IA; los contenidos sintéticos deben marcarse en formato legible por máquina; las ultrafalsificaciones y los textos generados por IA sobre asuntos de interés público deben declararse.

Riesgo mínimo no conlleva obligaciones propias de este nivel, aunque el deber de alfabetización en materia de IA del artículo 4 se aplica a los proveedores y responsables del despliegue de todos los sistemas de IA. La propia Comisión sostiene que la gran mayoría de los sistemas de IA que se utilizan hoy en la Unión, como los filtros de spam y los videojuegos con IA, están aquí. Conviene decirlo claramente, porque a menudo se afirma que el AI Act regula toda la IA. No lo hace, y nunca pretendió hacerlo.

Capítulo V: la IA de propósito general, y la controversia sobre el cómputo

El capítulo V (artículos 51 a 56) es un régimen distinto superpuesto al resto, y es ahí donde se plantean las cuestiones sobre los modelos de frontera. El artículo 3, punto 63, define un modelo GPAI como un modelo entrenado con un gran volumen de datos, que presenta un grado considerable de generalidad, es capaz de realizar de manera competente una gran variedad de tareas distintas y puede integrarse en sistemas posteriores. Las directrices de la Comisión de julio de 2025 añaden un criterio indicativo de más de 10^23 FLOP de entrenamiento. Todo proveedor de GPAI está sujeto al artículo 53: documentación técnica del anexo XI; un paquete de información del anexo XII para los proveedores posteriores; una política de cumplimiento del Derecho de la Unión en materia de derechos de autor; y un resumen público suficientemente detallado del contenido de entrenamiento. El artículo 53, apartado 2, exime en parte a los modelos publicados con una licencia verdaderamente libre y de código abierto, pero esa exención no se aplica en absoluto a los modelos con riesgo sistémico.

El artículo 51 clasifica después un subconjunto como GPAI con riesgo sistémico: los modelos con capacidades de gran impacto (51, apdo. 1, letra a) o designados por decisión de la Comisión (51, apdo. 1, letra b). El artículo 51, apartado 2, aporta la presunción operativa: una capacidad de cómputo acumulada de entrenamiento superior a 10^25 FLOP. El artículo 55 añade después las obligaciones de frontera: evaluación del modelo con arreglo a protocolos normalizados, incluidas pruebas adversarias documentadas; evaluación y mitigación de los riesgos sistémicos a escala de la Unión; seguimiento y notificación rápida de los incidentes graves; una protección adecuada de la ciberseguridad. Como los artículos 53 y 55 están redactados con un alto grado de abstracción, el detalle operativo está en el código de buenas prácticas para modelos GPAI, finalizado el 10 de julio de 2025 tras tres borradores y un texto final. Los analistas del CSET de Georgetown consideraron que el capítulo de seguridad fija un estándar mínimo de gestión del riesgo de frontera que va bastante más allá de la práctica del sector de entonces, siempre que se adopte de forma generalizada. Esa condición importa, porque el código es voluntario. Voluntario no significa jurídicamente irrelevante. La adhesión es la vía que la Comisión y el Comité de IA han confirmado como medio adecuado para demostrar el cumplimiento de las obligaciones del capítulo V. Un proveedor que la rechaza no se libra de las obligaciones, solo de esta forma de cumplirlas.

Calendario, aplicación y el aplazamiento que realmente ocurrió

La aplicación escalonada: prohibiciones y obligaciones de alfabetización en materia de IA desde el 2 de febrero de 2025; obligaciones de los modelos GPAI y estructuras de gobernanza desde el 2 de agosto de 2025; la fecha general de aplicación, el 2 de agosto de 2026; los sistemas integrados del anexo I, originalmente desde el 2 de agosto de 2027. Después el calendario se desplazó. El AI Omnibus, propuesto el 19 de noviembre de 2025, se separó del Digital Omnibus más amplio precisamente porque se acercaban los plazos de agosto de 2026. El Parlamento adoptó su mandato el 26 de marzo de 2026 por 569 votos contra 45; el Consejo, su orientación general el 13 de marzo. El segundo trílogo político, el 28 de abril de 2026, terminó sin acuerdo tras unas doce horas. El punto de fricción era cómo encaja el AI Act con la legislación sectorial vigente sobre seguridad de los productos; en el aplazamiento en sí, las tres instituciones ya habían convergido. El acuerdo llegó el 7 de mayo, el Parlamento lo aprobó el 16 de junio, el Consejo dio su aprobación final el 29 de junio y el reglamento entró en vigor el 27 de julio de 2026, seis días antes del plazo que modificaba. El aplazamiento es real, parcial y desigual dentro del nivel. Prohibiciones, obligaciones de los modelos GPAI y transparencia siguen todas en el calendario original o cerca de él. Dentro del nivel de alto riesgo, las dos vías se movieron en distinta medida: los sistemas autónomos del anexo III pasaron del 2 de agosto de 2026 al 2 de diciembre de 2027, dieciséis meses; los sistemas integrados en productos del anexo I, del 2 de agosto de 2027 al 2 de agosto de 2028, doce. El Omnibus añadió además dos nuevas prohibiciones al artículo 5, aplicables desde el 2 de diciembre de 2026, y reescribió el deber de alfabetización en materia de IA del artículo 4, que pasa de una obligación de garantizar un nivel suficiente a una obligación de adoptar medidas que lo favorezcan. El mismo instrumento aplazó, amplió y suavizó así el acto a la vez.

El Reglamento (UE) 2023/2854 es el instrumento menos debatido y, para quien explote servicios en la nube o productos conectados, uno de los más disruptivos en la práctica de todo el corpus. Donde el GDPR regula los datos personales, el Data Act regula los datos de productos y servicios como tales, personales o no. Son datos predominantemente no personales, industriales y generados por máquinas, y el GDPR prevalece siempre que haya datos personales en juego. El Data Act redistribuye el control de esos datos por defecto.

El cambio de proveedor de nube: el filo más afilado

El capítulo VI tiene nueve artículos (arts. 23 a 31) de cincuenta y, para la industria del software, concentra la mayor parte del peso práctico del reglamento. Obliga a los proveedores de servicios de tratamiento de datos a eliminar todos los obstáculos precomerciales, comerciales, técnicos, contractuales y organizativos que impiden a un cliente cambiar a otro proveedor o a una infraestructura local. El artículo 25 prescribe el contenido contractual obligatorio, y las cifras son tajantes: plazo máximo de preaviso para iniciar el cambio, dos meses; periodo transitorio durante el cual se produce el cambio, 30 días naturales (o, cuando sea técnicamente inviable, una alternativa justificada que no supere siete meses); periodo de recuperación de los datos tras el periodo transitorio, al menos 30 días; supresión completa de todos los datos exportables al término de la recuperación. En el caso de IaaS, los proveedores deben posibilitar la equivalencia funcional en el nuevo entorno. A partir del 12 de enero de 2027 quedan prohibidas sin más todas las tarifas por cambio de proveedor.

El escalonamiento, y por qué aquí las fechas importan más de lo habitual

La ciberseguridad es la parte del corpus en la que la UE eligió directivas en lugar de reglamentos, y está pagando por esa elección. Las obligaciones sustantivas son razonables y en gran medida poco controvertidas; la ejecución ha sido la peor de todo el acquis digital.

El artículo 21 de la NIS2 establece diez medidas básicas de gestión de riesgos, entre ellas el análisis de riesgos, la gestión de incidentes, la continuidad de las actividades, la seguridad de la cadena de suministro, la ciberhigiene, las políticas de criptografía y la autenticación multifactor. El artículo 23 fija la cascada de notificaciones: alerta temprana en 24 horas, notificación del incidente en 72 horas, informe final en un mes. El artículo 20 es la disposición que cambia los comportamientos: los órganos de dirección deben aprobar y supervisar las medidas de gestión de riesgos y pueden ser considerados responsables de las infracciones de la entidad (art. 20, apdo. 1); para las entidades esenciales, el artículo 32, apartado 6, exige además que las personas físicas responsables puedan responder del incumplimiento de sus obligaciones. Para las entidades esenciales, los Estados miembros deben fijar multas máximas de al menos 10 millones de euros o el 2% del volumen de negocios mundial.

El 19 de noviembre de 2025 la Comisión publicó el Digital Omnibus. Es el desarrollo más significativo en este campo desde el GDPR. Su importancia reside menos en su contenido que en lo que concede: que el corpus que la Unión tardó seis años en construir es lo bastante gravoso e internamente incoherente como para requerir reparación estructural antes incluso de haber terminado de llegar.

Las dos vías, y sus destinos muy distintos

El paquete se escindió de inmediato. El AI Omnibus (COM(2025) 836) se separó porque los plazos del AI Act de agosto de 2026 eran inminentes; entró en vigor el 27 de julio de 2026. El Data Omnibus (COM(2025) 837), que lleva las modificaciones del GDPR, ePrivacy, Data Act, DGA y NIS2, no. Sigue ante el Consejo. Las cuatro reformas principales del GDPR propuestas por la Comisión eran: un criterio relativo a la entidad para el dato personal en el artículo 4, apartado 1; un nuevo artículo 41 bis que faculta a la Comisión para fijar, mediante actos de ejecución, los medios y criterios para determinar cuándo los datos seudonimizados dejan de ser personales; el traslado del consentimiento de cookies a un nuevo artículo 88 bis del GDPR; y un nuevo artículo 88 quater que prevé una base expresa de interés legítimo para el entrenamiento de modelos de IA.

Los reguladores reaccionaron con dureza

El EDPB y el EDPS adoptaron el dictamen conjunto 1/2026 sobre el AI Omnibus y el dictamen conjunto 2/2026 sobre el Data Omnibus. Respaldaron en general los objetivos de simplificación, pero sobre el núcleo del Data Omnibus (dictamen conjunto 2/2026) fueron inequívocos: el cambio de la definición de datos personales va mucho más allá de una modificación específica y restringiría significativamente el concepto; la facultad de adoptar actos de ejecución del artículo 41 bis no debería confiarse a la Comisión; el artículo 88 quater es innecesario, porque un dictamen existente del EDPB ya confirmó que el interés legítimo puede servir de base para el desarrollo de la IA. La respuesta del Consejo se ha movido en ambas direcciones. En mayo de 2026, los sucesivos textos de compromiso de la Presidencia chipriota habían suprimido tres de las cuatro principales reformas del GDPR propuestas por la Comisión, y a finales de junio la Presidencia retiró su texto del COREPER al no contar con mayoría cualificada. El compromiso revisado de la Presidencia irlandesa del 3 de septiembre de 2026 (ST 12535/26, un documento de difusión restringida publicado por noyb y después difundido en el registro del Consejo) restableció después una cláusula de interés legítimo para la IA como nuevo artículo 88 bis, sin las salvaguardias de la Comisión, incluido el derecho incondicional de oposición. Trasladó además el tratamiento de los datos seudonimizados a un nuevo artículo 25 bis inspirado en EDPS c. SRB y devolvió el consentimiento para las cookies a la Directiva ePrivacy. Un nuevo texto revisado sirvió de base a la reunión del Grupo Antici del 25 de septiembre (ST 13112/26), y el 2 de octubre la Secretaría General del Consejo presentó al Coreper un proyecto de mandato de negociación de 163 páginas (ST 13886/26, un documento de difusión restringida obtenido por Agence Europe). El texto debía someterse a votación en el Coreper II el 11 de octubre de 2026; según Agence Europe, no se debatió ni se votó, tras un primer aplazamiento el 7 de octubre por presión de Alemania y Francia. Agence Europe informó el 20 de octubre de que una versión revisada, con mayor protección de los secretos comerciales y un informe de la Comisión sobre la proporcionalidad de las obligaciones de las pymes, debía examinarse en el Coreper el 21 de octubre; cuando se comprobó, el 21 de octubre de 2026, no se había publicado ningún resultado de esa reunión. En el Parlamento, el expediente sigue ante la comisión conjunta ITRE–LIBE, que recibió su proyecto de informe en junio de 2026 y enmiendas en julio, pero no ha votado. A 21 de octubre de 2026 no consta ningún mandato del Consejo, y no hay posición del Parlamento ni trílogo; ninguna de las modificaciones propuestas del GDPR, de la Directiva ePrivacy o del Data Act es derecho vigente.

Leído como un todo y no como siete proyectos de cumplimiento separados, el marco digital europeo presenta seis tensiones que explican buena parte de lo que viene después.

1. La brecha entre ambición y capacidad es la variable dominante

Todos los instrumentos aquí tratados prometen más supervisión de la que su supervisor puede prestar. Cabe esperar, por tanto, que la aplicación siga siendo selectiva, lenta y concentrada en un número reducido de empresas muy grandes.

2. Aplicación anunciada y aplicación realizada son magnitudes distintas

Anunciado no es cobrado: la DPC irlandesa ha cobrado del orden de 20 millones de euros frente a más de 4.000 millones impuestos. A cualquier cifra de titular se le aplican tres preguntas: ¿es firme?, ¿se ha cobrado?, ¿cambió la conducta? A la tercera suele responderse que sí cuando a las dos primeras se responde que no. El resultado que importa es el cambio de comportamiento. La recaudación, no.

3. La vaguedad es delegación, y la delegación desplaza poder al ejecutivo

Los estándares operativos de este corpus (riesgo sistémico, capacidades de gran impacto, interoperabilidad efectiva, alternativa genuinamente equivalente) son casi todos abiertos. El contenido efectivo de la ley lo fijan las directrices de la Comisión, los actos delegados, los códigos de buenas prácticas y las normas armonizadas, y no el legislador.

4. El solapamiento es deliberado, y su coste recae sobre quien cumple

Un solo sistema de recomendación puede activar a la vez los artículos 6, 22 y 35 del GDPR, los artículos 27, 34, 35 y 38 del DSA, los deberes de transparencia del AI Act y el artículo 5(2) del DMA si el operador es guardián de acceso. La estrategia racional de cumplimiento es construir un único conjunto de controles mapeado sobre varios regímenes.

5. El corpus es ya un objeto de política exterior

Todas las empresas designadas como guardianes de acceso y casi todas las VLOP son no europeas. Esto condiciona el calendario de las decisiones, la elección entre multas y compromisos y la viabilidad política de ampliar el ámbito de aplicación.

6. El péndulo ha oscilado, y volverá a oscilar

2016-2024 fue la fase de acumulación. 2025-2027 es la fase de consolidación. Pero la consolidación se disputa desde dentro: el Consejo aún no ha acordado un mandato sobre las reformas del GDPR propuestas por la propia Comisión, mientras que los colegisladores usaron el AI Omnibus para añadir nuevas prohibiciones al mismo tiempo que aplazaban el nivel de alto riesgo. Simplificación y expansión ocurren en el mismo instrumento.

Todo lo que contienen las Partes I a IX describe una Unión que legisla bien y produce poco. Ese es ya el diagnóstico oficial, no una crítica externa.

El diagnóstico: qué dijo realmente Draghi

The Future of European Competitiveness, de Mario Draghi (septiembre de 2024), es el documento bisagra de este periodo. Draghi afirma explícitamente que la divergencia de productividad entre la UE y Estados Unidos se explica en gran medida por el sector tecnológico. Alrededor del 70% de los modelos fundacionales de IA se han desarrollado en Estados Unidos desde 2017, y tres hiperescaladores estadounidenses concentran más del 65% del mercado mundial y europeo de la nube. El mayor operador europeo tiene apenas el 2% del mercado de la UE, y la cuota conjunta de los proveedores europeos había caído por debajo del 16% en 2021. La valoración sin rodeos de Draghi es que el bloque ha perdido el mercado de la nube. Pero identificó segmentos en los que las empresas europeas conservan una posición creíble (la robótica autónoma, con alrededor del 22% de la actividad mundial, y los servicios de IA, con alrededor del 17%) y sostuvo que la jugada decisiva es la integración vertical de la IA en los puntos fuertes industriales europeos: farmacia, energía, automoción. Draghi señaló además al propio corpus normativo como parte del problema: una red compleja de normas solapadas que genera una brecha de innovación.

La respuesta: el Tech Sovereignty Package

El 3 de junio de 2026 la Comisión publicó el European Technological Sovereignty Package, que sitúa a la segunda Comisión von der Leyen en tránsito de superpotencia regulatoria a potencia productiva. Su pieza central, la Cloud and AI Development Act, se asienta en una doble base jurídica: el artículo 114 TFUE (mercado interior) y el artículo 173, apartado 3, TFUE (competitividad industrial). La Chips Act (Reglamento (UE) 2023/1781) ya se apoya en el mismo par de bases jurídicas.

Qué sugieren los datos que Europa debería hacer realmente

1. Arreglar primero la capa física. Permisos, conexión a la red y plazos de energización son la desventaja europea medible, y están enteramente bajo control de las políticas europeas.
2. Priorizar la adopción sobre la creación. Es improbable que Europa gane la carrera de los modelos fundacionales; sí puede plausiblemente ganar en productividad integrando verticalmente los modelos existentes en sectores donde ya lidera.
3. Resolver el capital de crecimiento, no el capital semilla. El modo de fallo recurrente es el de empresas europeas que nacen con éxito y luego no logran escalar.
4. Hacer que la soberanía se evalúe por riesgo en lugar de declararse: identificar qué amenazas concretas a la soberanía priorizar, y cuantificar probabilidad y consecuencia.
5. Reducir la carga acumulada mediante arquitectura, no mediante exenciones. El fracaso del Omnibus hasta ahora sugiere que las excepciones sustantivas sin reforma institucional logran poco.

Dos preguntas, mantenidas deliberadamente separadas porque tienen respuestas distintas. Primera: medido frente a los objetivos que se ha fijado, ¿funciona el corpus? Segunda: ¿este cuerpo normativo limita el poder del Estado sobre los ciudadanos, o construye la infraestructura para él?

Primera parte: un balance frente a las afirmaciones de la propia UE

El patrón es constante. La UE es muy buena definiendo obligaciones y estableciendo normas que viajan internacionalmente, moderadamente buena forzando cambios de comportamiento en grandes empresas, y mala en una aplicación oportuna, firme y cobrable. Promete sistemáticamente de más en plazos y dota de menos recursos la supervisión. Es una crítica real, pero se refiere a la ejecución más que a la sinceridad: no hay prueba seria de que los objetivos declarados sean pretextuales.

Segunda parte: la pregunta vertical, empresas frente a Estados

Aquí el panorama cambia de forma brusca. Casi todos los instrumentos de este documento regulan el poder privado. Los límites al poder público son más débiles, y lo son sobre todo allí donde más está en juego. El artículo 4, apartado 2, del TUE reserva la seguridad nacional a los Estados miembros, y el AI Act no se aplica a los sistemas de IA introducidos en el mercado, puestos en servicio o utilizados exclusivamente con fines militares, de defensa o de seguridad nacional (art. 2, apdo. 3). El Tribunal de Justicia se ha negado, sin embargo, a que una finalidad de seguridad nacional excluya del Derecho de la Unión una normativa nacional que obliga a los proveedores a transmitir datos de comunicaciones a los servicios de inteligencia (Privacy International, C-623/17), lo que limita hasta dónde puede estirarse la exclusión. El análisis del CDT identifica el peligro concreto. El AI Act define la aplicación de la ley de forma lo bastante amplia como para solaparse con la seguridad nacional, de modo que una autoridad podría eludir las restricciones a la identificación biométrica en tiempo real invocando solo la seguridad nacional.

Los contrapesos son reales, y no deben minusvalorarse

La Carta de los Derechos Fundamentales vincula a los Estados miembros cuando aplican el Derecho de la Unión, y el TJUE la ha utilizado repetidamente contra medidas de vigilancia, con mayor constancia en la línea jurisprudencial sobre conservación de datos que va de Digital Rights Ireland a Tele2 y a La Quadrature du Net. Las prohibiciones del artículo 5 también vinculan a las autoridades públicas: la puntuación social por parte de los gobiernos, la actuación policial predictiva basada únicamente en la elaboración de perfiles y el reconocimiento de emociones en el lugar de trabajo y en los centros educativos están prohibidos sin más, para los Estados igual que para las empresas. Pocas jurisdicciones comparables han aprobado una lista vinculante de esta amplitud. La supervisión independiente está estructuralmente arraigada: el EDPS supervisa a las propias instituciones de la UE y se ha opuesto públicamente a propuestas legislativas de la Comisión. Y, en la lectura de este documento, el Parlamento Europeo ha sido, a lo largo de todo este periodo, uno de los defensores institucionales más constantes de la privacidad.