Soberanía digital europea: GDPR, AI Act y lo que viene después

La Unión Europea ha convertido la regulación digital en una pieza central de su soberanía tecnológica. El RGPD marcó el punto de partida en 2018; después llegaron la Ley de Servicios Digitales, la Ley de Mercados Digitales, la Ley de Datos, NIS2, MiCA, el Reglamento de Inteligencia Artificial y el Reglamento de Ciberresiliencia. Para empresas, startups y profesionales digitales, entender este marco ya no es opcional: condiciona cómo se diseñan, venden y operan productos tecnológicos en el mercado europeo.

La idea común es clara: Europa quiere que la innovación digital funcione bajo reglas propias de privacidad, competencia, seguridad, transparencia y control ciudadano. Eso afecta a plataformas, modelos de IA, productos conectados, proveedores cloud, servicios cripto, equipos de ciberseguridad y programas de formación tecnológica.

• El RGPD sigue siendo la base de la protección de datos personales en la UE.
• La DSA regula obligaciones de plataformas e intermediarios digitales.
• La DMA impone límites a las grandes plataformas designadas como gatekeepers.
• El AI Act introduce obligaciones para sistemas de inteligencia artificial según su nivel de riesgo.
• NIS2, la Data Act y el Cyber Resilience Act amplían el foco hacia ciberseguridad, datos industriales y seguridad de producto.

RGPD: la base del modelo europeo

El Reglamento General de Protección de Datos se aplica desde el 25 de mayo de 2018 y sigue siendo el pilar del marco digital europeo. No convierte los datos personales en una “propiedad” simple del individuo, pero sí reconoce derechos fuertes sobre su tratamiento: información, acceso, rectificación, supresión, oposición, portabilidad y limitación.

Para tratar datos personales, una empresa necesita una base jurídica válida: consentimiento, ejecución de contrato, obligación legal, interés vital, misión de interés público o interés legítimo. Además, debe aplicar principios como minimización, limitación de finalidad, seguridad, responsabilidad proactiva y privacidad desde el diseño.

El RGPD también introdujo obligaciones que hoy son rutina: análisis de riesgos, contratos con encargados de tratamiento, notificación de brechas de seguridad, registro de actividades, evaluaciones de impacto y figura del delegado de protección de datos en determinados casos. Las sanciones pueden alcanzar hasta 20 millones de euros o el 4% de la facturación mundial anual, según la infracción.

DSA: responsabilidad y transparencia de las plataformas

La Ley de Servicios Digitales, conocida como DSA, entró en vigor en 2022 y se aplica de forma plena desde el 17 de febrero de 2024, aunque las grandes plataformas y buscadores designados ya tenían obligaciones desde 2023. La Comisión Europea mantiene un listado actualizado de plataformas y buscadores de muy gran tamaño bajo supervisión directa.

La DSA regula intermediarios digitales, plataformas, marketplaces, redes sociales y buscadores. Su objetivo es reducir riesgos sistémicos, mejorar la retirada de contenidos ilegales, aumentar la transparencia publicitaria y dar más control a los usuarios sobre cómo se modera y recomienda contenido.

Las obligaciones varían según el tamaño y tipo de servicio. Una pequeña plataforma no tiene las mismas cargas que una red social con decenas de millones de usuarios en Europa. Pero la lógica común es la misma: trazabilidad, procedimientos de reclamación, transparencia y evaluación de riesgos cuando el impacto social es elevado.

DMA: límites para los grandes guardianes digitales

La Ley de Mercados Digitales, o DMA, se dirige a grandes plataformas que actúan como gatekeepers entre empresas y usuarios. La Comisión Europea explica que su finalidad es hacer los mercados digitales más justos y disputables. Entre los gatekeepers designados figuran grupos como Alphabet, Amazon, Apple, ByteDance, Meta, Microsoft y Booking.

La DMA prohíbe prácticas como favorecer servicios propios frente a competidores, dificultar la desinstalación de aplicaciones, combinar datos entre servicios sin base adecuada o impedir que empresas usuarias accedan a información relevante sobre su actividad. También introduce obligaciones de interoperabilidad y mayor libertad para elegir servicios.

Su impacto ya se ha visto en cambios de tiendas de aplicaciones, navegadores, sistemas de pago, buscadores y reglas de acceso a ecosistemas cerrados. Las multas pueden alcanzar hasta el 10% del volumen de negocios mundial anual, y hasta el 20% en caso de reincidencia, según la información de la propia Comisión Europea sobre la DMA.

AI Act: regulación de la inteligencia artificial por niveles de riesgo

El Reglamento Europeo de Inteligencia Artificial, o AI Act, entró en vigor en agosto de 2024 y se aplica de forma gradual. Según el calendario oficial del AI Act Service Desk de la Comisión Europea, las prohibiciones y reglas generales de alfabetización en IA empezaron a aplicarse el 2 de febrero de 2025; las obligaciones para modelos de propósito general comenzaron el 2 de agosto de 2025; y el despliegue completo está previsto hasta el 2 de agosto de 2027.

La norma clasifica los sistemas de IA por riesgo. Algunos usos quedan prohibidos, como determinadas prácticas de manipulación, puntuación social o explotación de vulnerabilidades. Los sistemas de alto riesgo, por ejemplo en empleo, educación, servicios esenciales, infraestructuras críticas o justicia, deben cumplir obligaciones reforzadas.

Entre esas obligaciones están la gestión de riesgos, calidad de datos, documentación técnica, registro de actividad, transparencia, supervisión humana, precisión, robustez y ciberseguridad. Para modelos de propósito general, la norma introduce deberes de documentación, información a proveedores posteriores y cumplimiento de derechos de autor. Los modelos con riesgo sistémico tienen cargas adicionales.

Data Act y Data Governance Act: datos más allá de la privacidad

La estrategia europea de datos no se limita a datos personales. La Data Governance Act busca facilitar espacios europeos de datos, reutilización de determinados datos del sector público e intermediarios de datos bajo reglas de confianza.

La Data Act, por su parte, regula el acceso y uso de datos generados por productos conectados y servicios relacionados. Es especialmente relevante para IoT, maquinaria industrial, vehículos conectados, servicios cloud y fabricantes de dispositivos. Su aplicación general comenzó el 12 de septiembre de 2025, con algunas obligaciones específicas en fechas posteriores.

La idea es que usuarios y empresas puedan acceder mejor a los datos que generan sus dispositivos, que los contratos no bloqueen usos legítimos y que el cambio entre proveedores de servicios de tratamiento de datos sea más viable.

NIS2 y Cyber Resilience Act: ciberseguridad como obligación de negocio

NIS2 refuerza la ciberseguridad de entidades esenciales e importantes en sectores como energía, transporte, salud, banca, infraestructuras digitales, administración pública, gestión de residuos, alimentación, servicios postales o proveedores tecnológicos. Los Estados miembros debían transponerla en 2024, aunque su implementación práctica depende de cada país.

La norma exige gestión de riesgos, medidas técnicas y organizativas, notificación de incidentes y responsabilidad de los órganos de dirección. Para muchas empresas, la ciberseguridad deja de ser solo un asunto del departamento técnico y pasa a ser una obligación de gobierno corporativo.

El Cyber Resilience Act va un paso más allá: afecta a productos con elementos digitales, incluidos hardware y software. Según la Comisión Europea, entró en vigor el 10 de diciembre de 2024; las obligaciones de notificación empiezan el 11 de septiembre de 2026 y las obligaciones principales se aplicarán desde el 11 de diciembre de 2027.

eIDAS 2 y la identidad digital europea

El nuevo marco europeo de identidad digital, conocido como eIDAS 2, introduce la cartera europea de identidad digital. La Comisión Europea señala que el Reglamento (UE) 2024/1183 ya está en vigor y que los Estados miembros deberán ofrecer carteras de identidad digital a los ciudadanos antes de final de 2026, conforme al marco técnico y los actos de ejecución.

Estas carteras permitirán identificarse, autenticarse y compartir credenciales verificables en servicios públicos y privados. Pueden afectar a banca, educación, salud, contratación, viajes, administración electrónica y firmas digitales. Para empresas, supondrán nuevas formas de onboarding, verificación de identidad y cumplimiento normativo.

MiCA y los criptoactivos

MiCA, el Reglamento de Mercados de Criptoactivos, es otro elemento del marco digital europeo. Entró en vigor en 2023 y sus reglas se aplicaron por fases: las relativas a determinados tokens desde junio de 2024 y el régimen completo para proveedores de servicios de criptoactivos desde el 30 de diciembre de 2024, según recoge ESMA en su información sobre MiCA.

MiCA introduce reglas para emisores, plataformas, custodia, comunicación comercial, gobernanza y autorización de proveedores. No elimina todos los riesgos del mercado cripto, pero busca dar un marco común europeo y reducir la fragmentación normativa entre países.

Qué significa para empresas y startups

Para una empresa europea, el cumplimiento digital ya no puede tratarse como una revisión final antes del lanzamiento. Debe entrar en el diseño del producto: privacidad, seguridad, trazabilidad, explicabilidad, gestión de datos, documentación y supervisión humana cuando proceda.

En startups, este enfoque también impacta en financiación y ventas. Los inversores revisan cada vez más la exposición a RGPD, AI Act, ciberseguridad y dependencia de plataformas. Los clientes corporativos piden evidencias de cumplimiento antes de contratar, sobre todo en IA, datos, cloud y sectores regulados.

El coste de ignorar la regulación no es solo una multa. Puede ser retrasar un lanzamiento, rehacer una arquitectura, perder una licitación, bloquear una integración con un cliente grande o quedar fuera de mercados donde la confianza es una condición de entrada.

Qué perfiles profesionales ganan peso

El nuevo marco europeo favorece perfiles híbridos. Ya no basta con saber programar, entrenar modelos o administrar sistemas. Las empresas necesitan profesionales capaces de traducir obligaciones legales en decisiones técnicas y decisiones técnicas en riesgos comprensibles para dirección.

• Ingenieros de datos que entiendan minimización, gobernanza y trazabilidad.
• Responsables de IA capaces de clasificar riesgos bajo el AI Act.
• Equipos de ciberseguridad familiarizados con NIS2 y Cyber Resilience Act.
• Product managers que integren privacidad y seguridad desde el diseño.
• Delegados de protección de datos con criterio técnico real.
• Especialistas en compliance digital capaces de trabajar con legal, negocio y tecnología.

Para programas de formación, la consecuencia es directa: la regulación debe enseñarse como parte del diseño de producto, no como un módulo aislado. Un data scientist que desconoce el AI Act o un desarrollador que no entiende privacidad desde el diseño tendrá más difícil operar en proyectos europeos de alto impacto.

Una ventaja si se entiende a tiempo

La regulación digital europea suele presentarse como una carga. En parte lo es: exige documentación, procesos, auditorías y cambios de producto. Pero también puede ser una ventaja competitiva para quienes la integran temprano.

Una empresa que diseña con privacidad, seguridad, transparencia y cumplimiento desde el inicio reduce fricción comercial y gana confianza. En sectores como salud, finanzas, educación, administración pública, movilidad o IA empresarial, esa confianza puede pesar tanto como la tecnología.