Representación conceptual de una inteligencia artificial fragmentada y reconstruida mediante datos y sistemas digitales, simbolizando la evolución regulatoria del AI Act y los nuevos desafíos de gobernanza de la inteligencia artificial en Europa.

Primera reforma del Reglamento IA de la UE: Digital Omnibus on AI

/0 Comentarios/en /por

Primera reforma del Reglamento IA de la UE: Digital Omnibus on AI

I. Introducción

La IA ha dejado de ser una tecnología emergente para convertirse en una infraestructura transversal presente en prácticamente todos los sectores económicos, administrativos y sociales. Su incorporación a procesos de decisión, actividades industriales, servicios públicos, sanidad, educación, transporte o servicios financieros ha transformado el contexto regulatorio europeo y ha obligado al legislador de la Unión a afrontar uno de los mayores desafíos jurídicos de las últimas décadas: fomentar la innovación sin comprometer la protección de los derechos fundamentales, la seguridad de las personas y el correcto funcionamiento del mercado interior.

La respuesta europea se materializó en el AI Act, que adoptó una aproximación horizontal basada en la clasificación de los sistemas según su nivel de riesgo para los derechos fundamentales, la salud, la seguridad y demás intereses públicos. Su arquitectura descansa sobre el principio esencial de que, cuanto mayor sea el riesgo, mayores serán las obligaciones impuestas a quienes lo desarrollan, comercializan o utilizan. Esa lógica permitió conciliar dos objetivos a menudo contrapuestos, de un lado, garantizar un elevado nivel de protección y, de otro, preservar la competitividad, la innovación y el desarrollo tecnológico, evitando cargas desproporcionadas sobre tecnologías de impacto limitado. Su objeto, alcance y complejidad técnica hicieron previsible desde un primer momento que ciertas cuestiones precisarían ajustes incluso antes de la plena aplicación de sus disposiciones, conforme a la experiencia de otros instrumentos de extraordinaria complejidad, como el Reglamento General de Protección de Datos, la normativa financiera o la legislación sobre seguridad de productos.

La finalidad del Digital Omnibus on AI no consiste en sustituir el modelo del AI Act ni en modificar los pilares de la regulación europea de la IA, ni en reducir el nivel de protección de los derechos fundamentales, sino en mejorar la aplicabilidad del Reglamento mediante ajustes técnicos, organizativos y procedimentales. El legislador vincula expresamente el aplazamiento de algunas de sus disposiciones, no solo a la falta de normas armonizadas, sino también al retraso en la implantación de las estructuras nacionales de gobernanza y evaluación de la conformidad, sin perjuicio de que las consultas a los interesados evidenciaron la necesidad de medidas adicionales de clarificación. 

La adopción por el Parlamento de su posición en primera lectura constituye, así, la primera revisión legislativa del AI Act, cuya relevancia no deriva del número de disposiciones modificadas, sino de ofrecer una primera oportunidad para valorar cómo concibe el legislador la evolución futura del Reglamento. No se trata de un mero ajuste técnico carente de relevancia jurídica, pero tampoco una revisión sustancial del modelo. El análisis revela un propósito intermedio, orientado a preservar íntegramente los principios estructurales del AI Act perfeccionando los mecanismos de su aplicación, si bien, algunas modificaciones, especialmente las que afectan al calendario y al artículo 5,  poseen un alcance que trasciende lo puramente procedimental.

Supone, además, una oportunidad para ampliar las prohibiciones de sistemas que debieron calificarse de riesgo inadmisible desde un inicio. A la vista del texto, considero, no obstante, que nos hallamos ante una nueva oportunidad perdida, en la medida que ni siquiera se valoró contemplar realidades desbordantes como la IA agéntica, ni incorporar unos principios generales mínimos exigibles a cualquier sistema inteligente, cualquiera que sea su nivel de riesgo, incluidos los agentes más autónomos, con origen en los marcos éticos de mayor consenso internacional. Tales principios llegaron a incorporarse al proyecto del AI Act en su última fase de tramitación como artículo 4 bis, pero finalmente fueron obviados, quedando de nuevo en el ámbito de lo dispositivo y no vinculante.

Representación conceptual de una inteligencia artificial fragmentada y reconstruida mediante datos y sistemas digitales, simbolizando la evolución regulatoria del AI Act y los nuevos desafíos de gobernanza de la inteligencia artificial en Europa.
Imagen generada mediante prompt del autor en ChatGPT

II. El contexto jurídico y político de la primera reforma

La primera modificación no se comprende al margen del contexto político, económico y regulatorio en que se produce. A diferencia de otras reformas impulsadas tras largos periodos de aplicación, el Ómnibus se adopta cuando una parte significativa de las obligaciones del AI Act todavía no es exigible. Esta circunstancia podría sugerir una revisión prematura, sin embargo, un examen más contextual evidencia que la finalidad no es corregir un eventual fracaso del Reglamento, sino adaptar determinados mecanismos a la realidad económica y tecnológica existente en el momento de su exigencia.

La reforma se inserta en una estrategia más amplia de simplificación normativa impulsada por la Comisión. La agenda de competitividad parte de la premisa de que la acumulación progresiva de obligaciones derivadas de los distintos instrumentos del Derecho Digital de la Unión -protección de datos, ciberseguridad, servicios y mercados digitales, resiliencia operativa, gobernanza de datos o IA- puede generar costes de cumplimiento especialmente gravosos para pymes, empresas emergentes y, según incorpora ahora el Reglamento, las denominadas pequeñas empresas de mediana capitalización («small mid-cap enterprises» o SMC), categoría definida por remisión a la Recomendación (UE) 2025/1099 y a la que se extienden diversas medidas de apoyo antes reservadas a las pymes. De este modo, la simplificación deja de concebirse como una reducción del nivel de protección para convertirse en una técnica orientada a alcanzar los mismos objetivos mediante mecanismos menos complejos y administrativamente más eficientes.

Lejos de cuestionar el enfoque basado en el riesgo, la reforma pretende reforzarlo eliminando cargas de utilidad limitada o de aplicación desproporcionada, sin reducir las obligaciones esenciales ni alterar la naturaleza del AI Act como Reglamento directamente aplicable, su fundamento competencial o su arquitectura. El enfoque basado en el riesgo, la clasificación de sistemas, la estructura de obligaciones, el régimen de los modelos de propósito general, la función coordinadora del AI Office y la vigilancia del mercado permanecen inalterados. La mayor parte de las modificaciones son de naturaleza organizativa o procedimental, de modo que no alteran los deberes materiales de los operadores, sino la forma de cumplirlos, acreditarlos o supervisarlos. 

El rasgo que mejor caracteriza esta primera revisión es el desplazamiento del foco desde la creación de nuevas obligaciones hacia la mejora de los mecanismos que garantizan el cumplimiento efectivo de las existentes, en la medida que el legislador asume que la eficacia del AI Act dependerá tanto de la calidad de las obligaciones como de la posibilidad real de integrarlas en los procesos de gestión y cumplimiento de empresas y Administraciones.

III. Las principales modificaciones introducidas

El texto adoptado permite agrupar las modificaciones en varios bloques con el objetivo de posibilitar la aplicabilidad práctica del AI Act sin alterar los elementos esenciales de su arquitectura. Conviene, no obstante, distinguir las de carácter estrictamente técnico u organizativo de aquellas que, por su contenido, presentan una dimensión material que merece tratamiento singular.

1. El aplazamiento del calendario de aplicación

La modificación de mayor calado práctico afecta al calendario del artículo 113. El legislador considera que la indisponibilidad de normas armonizadas, especificaciones comunes y orientaciones, unida al retraso en la constitución de las autoridades nacionales competentes, comprometía la entrada en aplicación efectiva de las obligaciones sobre sistemas de alto riesgo y amenazaba con un incremento injustificado de los costes de implementación. En consecuencia, la fecha de aplicación de las secciones 1, 2 y 3 del capítulo III se difiere hasta el 2 de diciembre de 2027 para los sistemas de alto riesgo del artículo 6.2 y el anexo III, y hasta el 2 de agosto de 2028 para los del artículo 6.1 y el anexo I. La distinción reproduce la diferencia de plazos ya prevista en el AI Act y condiciona la efectividad del nuevo calendario a que la Comisión asegure la disponibilidad oportuna de los instrumentos de apoyo al cumplimiento.

La reforma precisa, además, el alcance del periodo transitorio del artículo 111.2, en la medida que bastará que una sola unidad de un tipo y modelo de sistema de alto riesgo se haya comercializado o puesto en servicio antes de la fecha relevante para que las restantes unidades de ese mismo tipo y modelo puedan seguir ofreciéndose sin obligaciones adicionales, siempre que el diseño permanezca inalterado. Cualquier modificación sustancial posterior reactivará la plena exigibilidad de los requisitos. Se introduce asimismo un periodo transitorio de cuatro meses para los proveedores de sistemas de IA generativa sujetos a las obligaciones de marcado del artículo 50.2 comercializados antes del 2 de agosto de 2026, que dispondrán hasta el 2 de diciembre de 2026 para etiquetar sus contenidos sintéticos. Tales precisiones, lejos de relajar el régimen, dotan de seguridad jurídica a la transición y evitan que determinadas exigencias resulten formalmente aplicables antes de que existan los medios técnicos para satisfacerlas.

2. Las nuevas prohibiciones del artículo 5. Material íntimo no consentido y material de abuso sexual infantil

La reforma incorpora al catálogo de prácticas prohibidas del artículo 5 la comercialización, puesta en servicio o uso de sistemas de IA destinados a generar o manipular material íntimo no consentido -fenómeno asociado a las aplicaciones de “nudificación”- y material de abuso sexual infantil, incluido el total o parcialmente sintético. Es la modificación de mayor trascendencia desde la perspectiva de los principios que inspiran la reforma, pues no perfecciona un mecanismo de aplicación, sino que amplía el núcleo de lo prohibido en atención a desarrollos tecnológicos y sociales sobrevenidos.

El legislador delimita cuidadosamente su alcance. Respecto de los proveedores, la prohibición no impide desarrollar las capacidades técnicas de generación o manipulación de imágenes, vídeos o audio, sino que se proyecta sobre dos supuestos. De un lado, los sistemas concebidos para producir ese material y aquellos en que tal resultado sea razonablemente previsible y reproducible y no se hayan implantado medidas técnicas de seguridad adecuadas -por ejemplo, depuración de datos, entrenamiento orientado al rechazo, filtros y clasificadores de contenido, restricciones de uso o mecanismos de detección de abusos- conformes al estado de la técnica. La responsabilidad del proveedor no se limita, así, al diseño intencionado, sino que alcanza los resultados previsibles cuando faltan tales salvaguardas. 

La prohibición relativa al material íntimo se circunscribe a representaciones realistas de partes íntimas de personas identificables o de actividad sexual explícita, y excluye expresamente los usos legítimos -aplicaciones médicas, obras artísticas no realistas, supuestos amparados por el consentimiento libre, específico, informado e inequívoco de la persona representada o, tratándose de material de abuso sexual infantil, las actividades cubiertas por una excepción del Derecho nacional y las tareas de evaluación y “red-teaming”-. El uso de un sistema de IA que genere o manipule el material o las actuaciones precitadas solo estará prohibido cuando el responsable del despliegue utilice el sistema con el fin de generar o manipular dicho material o dicha actuación.

El propio texto justifica la proporcionalidad de la medida y precisa que respeta el contenido esencial de la libertad de expresión y de la libertad de empresa (artículos 11 y 16 de la Carta), a la vez que la sustenta en la protección de los derechos reconocidos en los artículos 1, 3.1, 4, 7, 8, 21, 23 y 24 de la propia Carta y a la coherencia con la Directiva 2011/93/UE y la Directiva (UE) 2024/1385, recordando la vigencia del principio “ne bis in idem”» cuando la misma conducta resulte sancionable en vía penal. La incorporación de estas prohibiciones confirma que el modelo europeo no es un sistema cerrado, sino un marco llamado a actualizar su umbral de lo inaceptable a medida que la tecnología habilita nuevas formas de lesión de la dignidad y de los derechos fundamentales, singularmente de mujeres y menores.

3. Proporcionalidad, alfabetización en IA y simplificación documental

Diversas modificaciones refuerzan la proporcionalidad de las obligaciones administrativas, sin contemplar un régimen privilegiado por razón del tamaño, en la medida que el nivel de obligaciones sigue respondiendo al riesgo del sistema. Así, la evaluación de la conformidad simplificada para el sistema de gestión de la calidad, antes reservada a las microempresas, se extiende ahora a todas las pymes, incluidas las empresas emergentes. El instrumento reformula además el artículo 4, sustituyendo la obligación de garantizar la alfabetización en IA del personal por un deber de adoptar medidas que fomenten su desarrollo, atendiendo al conocimiento técnico, la formación y el contexto de uso, sin exigir un nivel concreto de competencia individual. De este modo transforma una obligación de resultado en un deber de medios, que la Comisión y los Estados miembros deberán facilitar, especialmente a pymes. Racionaliza también las obligaciones documentales y de registro, simplificando el contenido exigible para la inscripción de los sistemas del artículo 6.3 en la base de datos de la UE conforme al anexo VIII, sin merma de las exigencias esenciales de documentación, trazabilidad y gestión del riesgo. Por último, el nuevo artículo 4 bis habilita el tratamiento excepcional de categorías especiales de datos personales, con estrictas salvaguardias, para la detección y corrección de sesgos, y extiende esa base jurídica -antes circunscrita a los proveedores de alto riesgo- a proveedores y desplegadores de otros sistemas y modelos, reconociendo que el sesgo discriminatorio no es exclusivo de los sistemas de alto riesgo y reforzando la articulación con el RGPD.

4. Normalización, evaluación de la conformidad e interacción con la legislación sectorial

El recurso a normas armonizadas y especificaciones comunes es inherente al modelo europeo de regulación tecnológica. La reforma no lo altera, pero refuerza su operatividad y la coordinación con la legislación sectorial. Cuando la legislación de armonización de la sección A del anexo I garantice un nivel de protección equivalente o superior, la Comisión podrá limitar mediante actos delegados la aplicación de determinados requisitos del Reglamento para evitar duplicidades. Se prevé una solicitud y un procedimiento únicos de evaluación para los organismos notificados ya designados conforme a aquella -como los Reglamentos (UE) 2017/745 y (UE) 2017/746 sobre productos sanitarios- y se precisa que la clasificación como alto riesgo no impone automáticamente evaluación por tercero cuando quepa acudir a normas armonizadas. En la misma línea se traslada el Reglamento (UE) 2023/1230 sobre máquinas de la sección A a la sección B del anexo I y se incorpora la regla del artículo 12 del Reglamento (UE) 2024/2847 (Cyber Resilience Act), de modo que el cumplimiento de sus requisitos esenciales de ciberseguridad se reputa cumplimiento del artículo 15 del AI Act. Del mismo modo, la reforma redefine el concepto “componente de seguridad” del artículo 3.14 -que ahora exige una función de seguridad determinada por la finalidad prevista-, evitando una expansión de la clasificación de alto riesgo más allá de lo justificado por el enfoque de riesgo. La disponibilidad de los futuros estándares técnicos incrementará la seguridad jurídica y favorecerá una interpretación homogénea de las obligaciones.

5. Gobernanza, competencias del AI Office y espacios de pruebas

La reforma incrementa la coherencia de la supervisión sin centralizar más la aplicación ni alterar el reparto competencial. Se especifica la competencia exclusiva del AI Office sobre los sistemas construidos a partir de modelos de propósito general, que alcanza no solo a los supuestos en que sistema y modelo proceden del mismo proveedor, sino también a aquellos en que ambos son desarrollados por proveedores integrados en una misma empresa, y se atribuye a la Comisión la condición de autoridad de vigilancia del mercado cuando el sistema de IA constituya o se integre en una plataforma o motor de búsqueda de muy gran tamaño en el sentido del Reglamento (UE) 2022/2065 (Digital Services Act), con coordinación entre ambos regímenes conforme a los principios de cooperación leal, proporcionalidad y “non bis in idem”. En materia de innovación, se habilita al AI Office para establecer un espacio de pruebas o sandbox regulatorio a escala de la Unión, con acceso prioritario a pymes, empresas emergentes y SMC, y se amplían las pruebas en condiciones reales fuera de los sandboxes a los sistemas de alto riesgo cubiertos por la legislación sectorial del anexo I. No se crean nuevas estructuras ni se redistribuyen las competencias, sino que se pretende mejorar el funcionamiento de las instituciones ya previstas, favoreciendo la consolidación progresiva del modelo.

IV. Impacto sobre los distintos operadores

Los efectos de la reforma no se proyectan de manera uniforme. La estructura subjetiva del AI Act -proveedores, desplegadores, importadores, distribuidores, representantes autorizados y operadores de modelos de propósito general- permanece intacta, pero la intensidad con que cada categoría experimentará las consecuencias difiere según la naturaleza de las modificaciones. Para los proveedores de sistemas de alto riesgo, no se modifica el contenido de las obligaciones esenciales -gestión del riesgo, gobernanza de los datos, documentación técnica, registros, transparencia, supervisión humana, robustez, precisión, ciberseguridad y vigilancia poscomercialización-, pero se mejora la forma de acreditarlas y se concede, sobre todo, un margen temporal adicional de adaptación derivado del nuevo calendario. La principal dificultad de muchas organizaciones no residía en comprender las obligaciones, sino en integrarlas en procesos existentes, integración que la reforma facilita sin rebajar el estándar de diligencia. Las relativas a los modelos de propósito general aportan mayor previsibilidad mediante la clarificación del reparto competencial entre el AI Office y las autoridades nacionales, relevante para operadores de dimensión transfronteriza.

Las pymes y las empresas emergentes figuran entre los principales beneficiarios. La extensión a todas ellas del sistema de gestión de la calidad simplificado y el acceso prioritario a los sandboxes favorecen la entrada de nuevos operadores, y la categoría de las SMC evita que el tránsito de pyme a gran empresa se traduzca en un salto regulatorio abrupto. Las Administraciones Públicas, autoridades supervisoras y a la vez usuarias de sistemas de IA, se beneficiarán de una aplicación más homogénea derivada de la mejor coordinación institucional, debiendo a la par adaptar sus procedimientos internos. Y los desplegadores y usuarios profesionales verán facilitada la identificación de las responsabilidades de cada operador dentro de cadenas de suministro complejas, cuestión creciente cuando las soluciones se basan en modelos de terceros integrados mediante múltiples relaciones contractuales.

V. Valoración jurídica

Un análisis conjunto, tras esta primera aproximación, permite formular varias conclusiones preliminares, al margen de la valoración profunda que el instrumento requerirá una vez aprobado y publicado en los idiomas oficiales. La primera es que la reforma responde a una lógica de continuidad y no de ruptura. El legislador no cuestiona ninguno de los principios estructurales precitados del AI Act -enfoque basado en el riesgo, régimen de prohibiciones, clasificación de sistemas, régimen de los de alto riesgo, obligaciones de los modelos de propósito general, vigilancia del mercado y arquitectura institucional-. La segunda concierne a la simplificación, que no constituye necesariamente una técnica de desregulación. Su objetivo es reforzar la eficacia del sistema eliminando obstáculos de utilidad limitada, de modo que opera al servicio del cumplimiento.

Esta lectura debe, sin embargo, matizarse. El aplazamiento del calendario y la ampliación del artículo 5 demuestran que la reforma no se agota en la dimensión procedimental, en la medida que el primero incide sobre la exigibilidad temporal de obligaciones nucleares y la segunda amplía el perímetro de lo prohibido. Ambas son coherentes con los fines del Reglamento, la primera, al supeditar la efectividad de las obligaciones a la disponibilidad real de instrumentos de apoyo y, la segunda, al extender la protección a bienes jurídicos de primer orden, pero advierten frente a su caracterización como mero ajuste técnico. La tercera conclusión es que dicho aplazamiento comporta necesariamente la extensión de un período de menor seguridad consecuente a la inexigibilidad de sus obligaciones, al margen de quienes ya invirtieron importantes esfuerzos en prepararse para dicha exigencia en las fechas primigenias. La cuarta conclusión es la importancia creciente de los mecanismos de coordinación institucional, de los que depende la aplicación uniforme del AI Act. Y la quinta, que la primera revisión pone de manifiesto la capacidad de adaptación del modelo europeo frente a quienes lo consideraban excesivamente rígido. El Ómnibus demuestra que el legislador dispone de mecanismos suficientemente flexibles para introducir ajustes cuando la experiencia lo aconseja o exige, preservando la estabilidad de los principios fundamentales. El texto adoptado deberá aún ser aprobado formalmente por el Consejo de la Unión Europea.

VI. Conclusiones

La primera reforma del Reglamento (UE) 2024/1689 constituye un hito en la evolución del marco regulador europeo de la IA, no por alterar los principios esenciales del AI Act, sino por confirmar la voluntad de las instituciones de perfeccionar progresivamente un instrumento central en la transformación digital de la Unión. La adopción por el Parlamento de su posición en primera lectura el 16 de junio de 2026 deja la reforma a falta únicamente de su adopción formal y publicación, y permite ya valorar su contenido previsiblemente definitivo. Los mecanismos organizativos adquieren un papel decisivo, pues la efectividad del Reglamento dependerá tanto de la calidad técnica de las obligaciones como de la organización institucional encargada de su aplicación homogénea, y el nuevo calendario concede a los operadores el tiempo de adaptación que la indisponibilidad de estándares e instituciones hacía necesario. Al mismo tiempo, la incorporación al artículo 5 de las prohibiciones frente al material íntimo no consentido y al material de abuso sexual infantil revela que el modelo europeo conserva la capacidad de actualizar su umbral de lo inaceptable a medida que la tecnología habilita nuevas formas de lesión de la dignidad humana.

La primera revisión consolida, en definitiva, un aprendizaje metodológico necesario en la regulación tecnológica, ya que la complejidad de las tecnologías reguladas exige marcos capaces de evolucionar mediante ajustes puntuales, técnicamente fundamentados y cuidadosamente delimitados, evitando tanto la rigidez excesiva como la inestabilidad legislativa permanente. El verdadero alcance de la reforma no debe medirse por el número de artículos modificados, sino por su contribución a hacer posible la aplicación efectiva de uno de los instrumentos normativos más complejos y relevantes aprobados por la Unión en la transformación digital. El AI Act continúa siendo el eje de la estrategia regulatoria europea, mientras que el Digital Omnibus on AI perfecciona los mecanismos necesarios para una aplicación más eficaz, proporcionada y homogénea de sus disposiciones. La reforma no altera el modelo europeo de regulación de la IA, sino que constituye, más bien, una manifestación de madurez regulatoria.

Referencias normativas

– Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (AI Act).

– Resolución legislativa del Parlamento Europeo, de 16 de junio de 2026, sobre la propuesta de Reglamento por el que se modifican los Reglamentos (UE) 2024/1689, (UE) 2018/1139 y (UE) 2023/1230 en lo relativo a la simplificación de la aplicación de las normas armonizadas en materia de inteligencia artificial (Digital Omnibus on AI) [P10_TA (2026)0198; procedimiento 2025/0359(COD); COM (2025) 836]. Posición del Parlamento adoptada en primera lectura con vistas a la adopción del Reglamento (UE) 2026/… [texto consolidado P10_TC1-COD (2025)0359].

– Tratado de la Unión Europea y Tratado de Funcionamiento de la Unión Europea.

– Carta de los Derechos Fundamentales de la Unión Europea.

– Directiva 2011/93/UE y Directiva (UE) 2024/1385, sobre lucha contra el abuso sexual de menores y contra la violencia sobre la mujer, respectivamente.

Bibliografía básica

– MUÑOZ VELA, J. M. (2024). La regulación de la inteligencia artificial. Reto y oportunidad desde una perspectiva global e internacional. Madrid: Aranzadi La Ley.

– MUÑOZ VELA, J. M. (2024). «Aspectos generales del Reglamento de IA» y comentarios a los anexos I, III, IV, V y VI, en BARRIO ANDRÉS, M. (dir.), Comentarios al Reglamento Europeo de Inteligencia Artificial. Madrid: Aranzadi La Ley.

– MUÑOZ VELA, J. M. (2025). «El Reglamento IA de la UE. Cuestiones de actualidad», en GUILLÉN, R. (coord.), Derecho de datos, inteligencia artificial e internet en el sector público y privado. Aranzadi La Ley.

– Comisión Europea, Proposal for a Regulation laying down harmonised rules on Artificial Intelligence, COM (2021) 206 final, y comunicaciones sobre competitividad y simplificación normativa.

– OCDE, Recommendation of the Council on Artificial Intelligence; Consejo de Europa, Framework Convention on Artificial Intelligence, Human Rights, Democracy and the Rule of Law.

Resumen

El Reglamento (UE) 2024/1689 (AI Act) constituyó un hito sin precedentes al erigirse en el primer marco horizontal y vinculante destinado a regular el desarrollo, la comercialización, la puesta en servicio y la utilización de sistemas de IA desde un enfoque basado en el riesgo. Su complejidad técnica, la amplitud subjetiva de sus destinatarios y la acelerada evolución tecnológica y su despliegue aconsejaron introducir ajustes, antes incluso de que buena parte de sus obligaciones resultara plenamente exigible.

En ese contexto se promovió la primera modificación, articulada mediante el denominado Digital Omnibus on AI. El 16 de junio de 2026 el Parlamento Europeo adoptó, en primera lectura, su posición [P10_TC1-COD (2025)0359] sobre la propuesta de la Comisión [COM (2025) 836] de modificación de los Reglamentos (UE) 2024/1689, (UE) 2018/1139 y (UE) 2023/1230, cerrando el acuerdo provisional alcanzado con el Consejo y dejando la reforma a falta únicamente de su adopción formal y publicación. Lejos de constituir una revisión estructural del modelo europeo, persigue simplificar mecanismos de aplicación, reducir cargas administrativas innecesarias, reforzar la proporcionalidad del régimen y clarificar aspectos que habían suscitado dudas interpretativas. Su rasgo más visible y de mayor impacto práctico es el aplazamiento del calendario de aplicación de las obligaciones sobre sistemas de alto riesgo, acompañado de la incorporación al artículo 5 de nuevas prohibiciones frente a la generación de material íntimo no consentido y de material de abuso sexual infantil.

El presente artículo analiza, en una primera aproximación, el texto adoptado desde una perspectiva estrictamente jurídica, identificando las principales modificaciones, su fundamento y sus consecuencias previsibles. La conclusión es que la reforma mantiene intactos los pilares estructurales del AI Act -protección de los derechos fundamentales, enfoque basado en el riesgo, supervisión pública y fomento de la innovación responsable-, pero recalibra diversos instrumentos para una aplicación más eficiente, homogénea y proporcionada.

Sobre el autor

José Manuel Muñoz Vela

Abogado especialista en Derecho Digital e Inteligencia Artificial

Doctor en Derecho (IA). Director Jurídico de Adequa Corporación.

Ilustración sobre soberanía tecnológica y conflicto entre inteligencia artificial y seguridad nacional en Estados Unidos, con referencias visuales a Anthropic AI, órdenes ejecutivas federales, cancelaciones de servicios y control gubernamental de sistemas de IA.

La rebelión de Trump contra el pacifismo algorítmico

/0 Comentarios/en /por

I. La ruptura institucional entre el Ejecutivo y un proveedor tecnológico

La orden ejecutiva del presidente Donald Trump, dirigida a todas las agencias federales del Gobierno de Estados Unidos, que impone la cesación inmediata del uso de los modelos de inteligencia artificial desarrollados por Anthropic, constituye un episodio sin precedentes en las relaciones entre la administración pública estadounidense y los proveedores de tecnologías emergentes. La decisión, anunciada mediante la red social Truth Social con la contundencia verbal que caracteriza al mandatario —»¡Afuera Anthropic!», «No la necesitamos, no la queremos»—, trasciende la mera cancelación de un contrato de 200 millones de dólares con el Departamento de Defensa para convertirse en una declaración de principios sobre la subordinación de las consideraciones éticas de los desarrolladores a las necesidades operativas del poder estatal. El conflicto, gestado durante semanas de tensiones entre el Pentágono y la compañía fundada por los hermanos Amodei, ha estallado públicamente con consecuencias que afectarán a toda la arquitectura de adopción de inteligencia artificial en la administración federal.

La naturaleza del desacuerdo revela una fractura fundamental en la concepción del rol de la tecnología en el ámbito de la seguridad nacional. Anthropic había condicionado la prestación de sus servicios al Departamento de Defensa a la inclusión de protecciones contractuales que impidieran el uso de sus modelos Claude para el desarrollo de armas autónomas y la vigilancia doméstica masiva. Esta cláusula, que la compañía denominaba internamente como salvaguarda ética, chocaba frontalmente con la postura del alto mando militar, que reclamaba la autoridad final para determinar los usos legítimos de la tecnología contratada dentro del marco jurídico vigente. La negativa de Anthropic a ceder en este punto, mantenida hasta la fecha límite impuesta por la administración, ha desencadenado la reacción presidencial que ahora afecta a todas las agencias federales, no solo al ámbito militar.

La extensión de la prohibición más allá del Departamento de Defensa transforma un conflicto sectorial en una cuestión de política tecnológica global del Gobierno estadounidense. Los modelos Claude de Anthropic habían sido adoptados por múltiples agencias civiles para funciones de procesamiento de lenguaje natural, análisis de documentación, asistencia en programación y otras aplicaciones no vinculadas directamente a la seguridad nacional. La orden de eliminación gradual en seis meses, acompañada de la amenaza de consecuencias civiles y penales si la compañía no coopera en la transición, impone costes operativos significativos a la administración federal y genera discontinuidades en servicios que habían sido integrados en los flujos de trabajo de numerosas dependencias. La decisión presidencial prioriza claramente la coherencia simbólica sobre la eficiencia administrativa, estableciendo un precedente de castigo corporativo por disidencia ética.

La dimensión contractual del conflicto merece atención particular. El acuerdo de 200 millones de dólares, que ahora parece destinado a la cancelación, no era un contrato menor en el ecosistema de adquisiciones tecnológicas del Departamento de Defensa. Anthropic había emergido como uno de los proveedores más prometedores de modelos de lenguaje de gran escala, con una arquitectura técnica que el Pentágono consideraba particularmente adecuada para aplicaciones de análisis de inteligencia y apoyo a la toma de decisiones. La pérdida de esta capacidad, sumada a la prohibición de utilizar alternativas de la misma compañía en el ámbito civil, obligará a una reconversión tecnológica acelerada que, según expertos consultados por la prensa especializada, podría retrasar los esfuerzos de modernización de inteligencia artificial del Gobierno durante meses o incluso años.

II. El pacifismo algorítmico como obstáculo operativo

El rechazo de Anthropic a permitir usos militares específicos de sus modelos, calificado por la Administración Trump como excesivo «concientismo», encarna lo que podríamos denominar pacifismo algorítmico: la atribución de restricciones éticas a sistemas de inteligencia artificial que limitan su empleo en actividades violentas o coercitivas, independientemente de la legalidad formal de dichas actividades. Esta postura, compartida por diversas organizaciones desarrolladoras de tecnología en Silicon Valley, parte de la premisa de que los creadores de sistemas de inteligencia artificial mantienen una responsabilidad moral sobre los usos de sus creaciones que no se agota en el cumplimiento de la normativa aplicable. La objeción de conciencia algorítmica, extendida desde el ámbito individual al corporativo, choca aquí con la concepción estatal de la tecnología como recurso neutral cuyo empleo legítimo debe determinar exclusivamente la autoridad política y militar.

La tensión entre estas concepciones es estructural y no susceptible de resolución mediante mera negociación contractual. El modelo de gobernanza de la inteligencia artificial propugnado por Anthropic y empresas afines implica una participación activa de los desarrolladores en la determinación de usos prohibidos, mediante cláusulas contractuales, limitaciones técnicas en los modelos, y políticas corporativas de denegación de servicio. El modelo alternativo, defendido por la Administración Trump y tradicionalmente dominante en las relaciones entre el Estado y los contratistas de defensa, considera que una vez transferida la propiedad o el acceso a la tecnología, el control sobre sus aplicaciones corresponde exclusivamente al adquirente. La inteligencia artificial, en esta visión, no difiere sustancialmente de otras tecnologías duales cuyo empleo final escapa a la supervisión del proveedor original.

La especificidad de las restricciones demandadas por Anthropic —armas autónomas y vigilancia doméstica masiva— revela la selección de casos límite que la compañía considera particularmente problemáticos desde una perspectiva ética. Las armas autónomas, sistemas que seleccionan y atacan objetivos sin intervención humana significativa, han sido objeto de campañas internacionales de prohibición que han logrado consensos parciales en foros multilaterales. La vigilancia doméstica masiva, por su parte, evoca las revelaciones de Edward Snowden sobre los programas de la Agencia de Seguridad Nacional y las tensiones entre seguridad y privacidad que caracterizan al estado de derecho contemporáneo. Anthropic situaba estas aplicaciones fuera de los límites aceptables para sus modelos, independientemente de que fueran legales en el ordenamiento estadounidense y demandadas por las agencias de seguridad.

La respuesta de la Administración Trump, sin embargo, no se limita a rechazar estas restricciones específicas sino que cuestiona la legitimidad misma de que un proveedor privado imponga condiciones éticas al uso de tecnología adquirida por el Estado. La amenaza de invocar la Ley de Producción de Defensa, esgrimida por funcionarios del Pentágono antes de la intervención presidencial, revela la disposición a utilizar instrumentos de coerción económica de emergencia para subordinar la autonomía corporativa a las necesidades de seguridad nacional. La extensión final del conflicto a todas las agencias federales, mediante orden ejecutiva, indica que la administración ha optado por la confrontación abierta en lugar de la negociación sectorial, estableciendo un precedente de castigo ejemplar que disuada a otros proveedores de adoptar posturas similares.

III. El incidente de Caracas y la ruptura definitiva

La tensión entre Anthropic y el Pentágono alcanzó un nivel insostenible tras la revelación de que el modelo Claude de la compañía fue utilizado en una operación secreta en enero de 2026 para capturar al líder venezolano Nicolás Maduro durante una incursión en Caracas. Anthropic, a través de su asociación con Palantir, suministraba tecnología al Departamento de Defensa, pero tras la operación, la empresa planteó objeciones sobre lo que denominó «cuestiones de política de uso», específicamente respecto a los límites contra el empleo de sus modelos en sistemas de armas autónomas letales y vigilancia doméstica masiva. La compañía consideraba que la participación de su tecnología en una operación militar ofensiva de esta naturaleza excedía los términos éticos que había pretendido establecer.

La reacción del Pentágono fue fulminante. El Secretario de Defensa, Pete Hegseth, convocó a los hermanos Amodei a una reunión en la que les exigió la aceptación del estándar de «todo uso legal» sin restricciones adicionales impuestas por la ética corporativa. Hegseth acusó a Anthropic de intentar ejercer un «poder de veto» sobre las decisiones operativas del ejército de los Estados Unidos y de practicar una «señalización de virtud corporativa» que ponía en riesgo vidas estadounidenses. En declaraciones a la prensa, afirmó que las fuerzas armadas operan bajo su propia supervisión y legalidad, y no pueden permitir que un proveedor privado dicte las reglas del campo de batalla.

El ultimátum fue claro: Anthropic debía retirar sus objeciones y aceptar que cualquier uso de sus modelos autorizado por la ley estadounidense era aceptable, o enfrentaría las consecuencias. La compañía, fiel a los principios éticos que habían guiado su fundación, mantuvo su postura. La respuesta presidencial llegó el 27 de febrero de 2026, mediante orden ejecutiva que ordenaba el cese inmediato del uso de la tecnología de Anthropic en todas las agencias federales y designaba a la empresa como «riesgo para la cadena de suministro de seguridad nacional». Esta designación, que el Departamento de Seguridad Nacional puede efectuar mediante procedimiento administrativo, implicaba la exclusión de la empresa de cualquier contratación federal, la prohibición de que otros contratistas gubernamentales mantuvieran relaciones comerciales con ella, y su inclusión en listas de vigilancia que dificultan sus operaciones internacionales.

Anthropic anunció en marzo de 2026 que impugnaría la decisión en los tribunales, argumentando que la represalia gubernamental por el ejercicio de la libertad de empresa y de expresión constituía una violación de sus derechos constitucionales. Simultáneamente, el Departamento de Defensa anunció la sustitución de los contratos de Anthropic por acuerdos con OpenAI y xAI, la compañía de Elon Musk, que habían mostrado una disposición mucho mayor a alinearse con los requerimientos militares sin imponer restricciones éticas previas.

IV. La Ley de Producción de Defensa como instrumento de coerción tecnológica

La Ley de Producción de Defensa, legislación de 1950 emanada de la experiencia de la Guerra de Corea, confiere al Presidente de Estados Unidos autoridades excepcionales para dirigir la producción nacional en apoyo de los requerimientos de defensa. Su invocación, aunque finalmente no consumada en el caso de Anthropic, constituye una señal de la gravedad que el Pentágono atribuía al conflicto y de la disposición a utilizar instrumentos de poder económico extraordinario para doblegar la resistencia corporativa. La ley permite, entre otras medidas, la priorización de contratos gubernamentales sobre obligaciones privadas, la asignación forzosa de materiales y servicios, y la imposición de sanciones a quienes se nieguen a cumplir las órdenes emitidas en su virtud.

La transformación de una empresa líder en inteligencia artificial en paria del sistema de adquisiciones del Estado más poderoso del mundo ilustra la asimetría de poder que caracteriza las relaciones entre el sector tecnológico y la administración de seguridad nacional. La utilización de este instrumentario legal contra una empresa estadounidense, en lugar de contra competidores extranjeros como ha sido el caso tradicional, representa una novedad significativa en la aplicación de la Ley de Producción de Defensa. La legislación ha sido invocada en el pasado para priorizar la adquisición de semiconductores frente a demandas del sector privado, para obligar a empresas automovilísticas a producir material sanitario durante la pandemia, y para acelerar la producción de municiones en contextos de conflicto armado. Su empleo para forzar a una compañía de software a modificar sus políticas de uso ético de la tecnología expande el alcance de la ley hacia territorios inéditos, donde la defensa nacional se define no solo en términos de capacidades materiales sino de conformidad ideológica con los objetivos del poder estatal.

La decisión presidencial de extender la prohibición a todas las agencias federales, superando la lógica de la Ley de Producción de Defensa que se centra en el ámbito militar, revela una voluntad de castigo generalizado que trasciende la resolución del conflicto específico. La orden de Trump no busca ya obtener la conformidad de Anthropic mediante presión, sino eliminar su presencia del ecosistema gubernamental estadounidense como advertencia a otros actores del sector. Esta estrategia de ejemplaridad, común en el ámbito de la política exterior sancionadora, resulta inusual cuando se aplica a empresas nacionales del sector tecnológico, y genera incertidumbre sobre los límites de la disidencia ética permitida en el contexto de la contratación pública.

V. La arquitectura doctrinal: el Plan de Acción de IA y la primacía de la innovación

El andamiaje de esta rebelión se cimentó formalmente el 23 de julio de 2025, con la publicación del documento estratégico Winning the AI Race: America’s AI Action Plan. Este plan de 28 páginas estableció un marco de más de 90 recomendaciones de política federal diseñadas para desmantelar lo que la administración denomina la «burocracia roja» que frena el avance tecnológico estadounidense frente a competidores como China. A diferencia de los marcos de gobernanza anteriores que priorizaban la seguridad existencial y los derechos civiles, el Plan de Acción de Trump postula que el riesgo más grave no es el desarrollo de la inteligencia artificial en sí mismo, sino el retraso tecnológico.

El plan se basa en la premisa de que Estados Unidos debe «innovar más rápido y de manera más integral que cualquier competidor» en todos los campos. Para lograrlo, la administración ha propuesto una serie de transformaciones estructurales, incluyendo la creación de un conjunto de herramientas de adquisición de inteligencia artificial para uniformar la adopción de estas tecnologías en el gobierno, y la formalización del Consejo de Directores de Inteligencia Artificial como el ente coordinador de la adopción entre agencias. Este enfoque infraestructural se complementa con una política energética agresiva que busca modernizar la red eléctrica nacional y explorar fuentes de energía en la «frontera tecnológica», como la fusión y la fisión nuclear avanzada, para alimentar la demanda triplicada de energía que se prevé para 2035 debido a la inteligencia artificial.

Uno de los frentes de batalla más encarnizados ha sido el conflicto entre el gobierno federal y los estados. La Administración Trump sostiene que un «mosaico discordante de 50 estados» regulando la inteligencia artificial crea una carga de cumplimiento inmanejable que sofoca la innovación, especialmente para las startups. Este diagnóstico llevó al impulso de la One Big Beautiful Bill Act, firmada el 4 de julio de 2025, que en sus borradores iniciales proponía una moratoria nacional de 10 años sobre cualquier regulación estatal de inteligencia artificial. Aunque la moratoria fue eliminada del texto final debido a preocupaciones bipartidistas sobre los derechos de los estados, la administración ha recurrido al poder ejecutivo para lograr los mismos fines por vía indirecta. La Orden Ejecutiva 14365, titulada Ensuring a National Policy Framework for Artificial Intelligence, introdujo un mecanismo de coerción financiera sin precedentes: el condicionamiento de los fondos federales a la derogación o no aplicación de leyes estatales de inteligencia artificial consideradas «onerosas».

Este enfoque ha generado una crisis constitucional inmediata. La administración define como «onerosa» cualquier ley estatal que obligue a los modelos a mitigar sesgos o a realizar auditorías de «discriminación algorítmica». Un ejemplo central es la ley de Colorado que prohíbe la discriminación en sistemas de inteligencia artificial de alto riesgo y que entró en vigor en 2026. Para el Zar de la Inteligencia Artificial, David Sacks, tales leyes obligan a los desarrolladores a «alterar las salidas veraces» de los modelos para ajustarse a ideologías sociales, lo que se clasifica bajo la nueva doctrina federal como una práctica comercial «engañosa» según la ley de la Comisión Federal de Comercio.

Ilustración conceptual sobre soberanía tecnológica y conflicto entre inteligencia artificial, seguridad nacional y regulación estatal en Estados Unidos: un escudo federal sobre edificios gubernamentales mientras aparecen referencias a Anthropic AI, órdenes ejecutivas, cancelaciones y control federal de sistemas de IA.

VI. La ideologización de la política tecnológica y sus vínculos partidistas

El ataque de la Administración Trump a Anthropic no se ha limitado a la cuestión contractual específica, sino que ha incorporado acusaciones de sesgo político que revelan la profunda ideologización de la política tecnológica estadounidense. El presidente y sus funcionarios han vinculado explícitamente la postura ética de la compañía con su supuesta condición de «demasiado consciente», con su impulso a favor de regulaciones de inteligencia artificial, y con sus vínculos con organizaciones donantes del Partido Demócrata. Esta caracterización, que transforma una disputa contractual en un conflicto de identidades políticas, sitúa el caso en el contexto más amplio de la confrontación entre la administración republicana y los sectores tecnológicos de Silicon Valley identificados con posiciones progresistas.

La referencia a las donaciones políticas de Anthropic y sus directivos introduce una dimensión de represalia ideológica que complica el análisis jurídico del caso. La contratación pública estadounidense, aunque formalmente sometida a criterios de competencia y mérito técnico, ha experimentado históricamente fluctuaciones en función de las orientaciones políticas de los ejecutivos entrantes. La limpieza de contratistas asociados con la administración saliente es práctica recurrente, aunque raramente se explicita con la crudeza verbal empleada por Trump. La orden de cesación inmediata, con su amenaza de consecuencias penales, eleva esta práctica a un nivel de confrontación que cuestiona la estabilidad de las expectativas contractuales en el sector tecnológico crítico para la seguridad nacional.

La figura central en la ejecución de esta rebelión es David Sacks, nombrado Asesor Especial para Inteligencia Artificial y Cripto en diciembre de 2024. Sacks, un veterano de Silicon Valley y figura prominente del movimiento de «aceleracionismo efectivo», ha transformado su papel de asesor en un motor de reconfiguración estatal. Su mandato consiste en crear un marco legal que minimice la regulación y erradique lo que la administración describe como el «sesgo woke» en la inteligencia artificial. Sacks ha argumentado sistemáticamente que las empresas tecnológicas como OpenAI y Google fueron presionadas por la administración anterior para programar ChatGPT y Gemini con sesgos liberales. Bajo su dirección, el gobierno federal ha adoptado una postura de «neutralidad ideológica», exigiendo que los modelos de lenguaje sean «buscadores de la verdad» que no manipulen respuestas para favorecer dogmas como la diversidad o la equidad.

La Administración Trump ha introducido una teoría legal innovadora pero controvertida: la mitigación de sesgos como práctica comercial engañosa. Según esta visión, si un modelo de inteligencia artificial se entrena con datos que reflejan la realidad estadística de la sociedad, cualquier intento de forzar al modelo a producir resultados diferentes (por ejemplo, para asegurar una representación equitativa de minorías) es una distorsión de la verdad. Se argumenta que la corrección de sesgos hace que los modelos sean menos fieles a los datos subyacentes y, por tanto, menos precisos para el análisis objetivo. Además, la administración sostiene que las leyes estatales que exigen la mitigación de sesgos representan un «discurso compelido» inconstitucional, obligando a las empresas a adoptar una postura ideológica en el diseño de su software. Bajo esta interpretación, la Comisión Federal de Comercio podría clasificar la mitigación de sesgos mandatada por estados como un acto engañoso per se, ya que el modelo no estaría entregando su salida «natural» o «veraz».

Para hacer efectiva esta visión, el Departamento de Justicia estableció el 10 de enero de 2026 el Grupo de Trabajo para Litigios de Inteligencia Artificial, bajo la supervisión de la Fiscal General Pam Bondi. La misión exclusiva de este grupo es impugnar las leyes estatales que interfieran con la política nacional de inteligencia artificial. El argumento central que utilizarán es la «Cláusula de Comercio Dormida», que prohíbe a los estados promulgar legislación que imponga una carga excesiva al comercio interestatal. La administración sostiene que, dado que los modelos de inteligencia artificial se desarrollan a escala global, es imposible para una empresa ajustar su modelo base para cumplir con 50 estándares diferentes de «equidad».

VII. OpenAI: el pragmatismo estratégico y la integración soberana

En agudo contraste con la postura de Anthropic, OpenAI, liderada por Sam Altman, ha navegado la crisis mediante una estrategia de adaptación proactiva. Pocas horas después de que se anunciara el veto a Anthropic, OpenAI confirmó que había alcanzado un acuerdo con el Departamento de Guerra para desplegar sus modelos de lenguaje más avanzados en redes clasificadas. A diferencia de Anthropic, OpenAI aceptó el estándar de «todo uso legal», permitiendo al ejército estadounidense utilizar sus herramientas para cualquier misión autorizada por la ley nacional. No obstante, Altman ha intentado mantener un equilibrio delicado, declarando que la empresa conserva su compromiso contra el uso de la inteligencia artificial en vigilancia doméstica masiva y para dirigir de forma independiente armas autónomas letales donde la política del Departamento requiera control humano.

La divergencia entre ambas compañías radica en sus filosofías fundamentales de alineación. Mientras Anthropic utiliza la denominada «inteligencia artificial constitucional» —donde el modelo se entrena para seguir un conjunto explícito de principios éticos—, OpenAI ha dependido históricamente del aprendizaje por refuerzo con retroalimentación humana y ahora de una integración directa de personal en los bucles de decisión del Pentágono. La Administración Trump ha favorecido explícitamente el modelo de OpenAI por su flexibilidad y su disposición a tratar las salvaguardas no como barreras inamovibles, sino como parámetros ajustables en función de la misión nacional. OpenAI ha posicionado su acuerdo como el más robusto en términos de guardias, alegando que retiene el control sobre su pila de seguridad técnica incluso en entornos clasificados. Sin embargo, la realidad operativa sugiere que, en la práctica, OpenAI ha proporcionado al Estado la herramienta que Anthropic le negó: una inteligencia artificial de frontera potente bajo la autoridad última del mando militar.

La polarización partidista de la inteligencia artificial constituye un fenómeno de largo alcance que trasciende el caso particular de Anthropic. Las empresas del sector han sido objeto de escrutinio creciente por parte de los medios de comunicación afines a Trump, que denuncian sesgos ideológicos en los modelos de lenguaje y exigen mayor «neutralidad» en sus respuestas. La creación de alternativas explícitamente conservadoras, como la red social Truth Social del propio presidente o los modelos desarrollados por empresas afines, indica la fragmentación del ecosistema tecnológico en campos de batalla ideológicos. Anthropic, fundada por exempleados de OpenAI con preocupaciones explícitas por la seguridad de la inteligencia artificial, representaba un polo de esta polarización que la administración actual considera inaceptable para el uso gubernamental.

VIII. Las consecuencias operativas de la prohibición y el coste de la transición

La orden de eliminación gradual de los modelos Claude en seis meses, aplicable a todas las agencias federales, impone costes de transición que la administración parece dispuesta a asumir en aras de la coherencia política. Los modelos de Anthropic habían sido integrados en flujos de trabajo diversos: procesamiento de documentación legislativa en el Congreso, análisis de datos epidemiológicos en los Centros para el Control y la Prevención de Enfermedades, asistencia en programación en la Administración de Servicios Generales, y múltiples aplicaciones en el ámbito de la inteligencia y la defensa. La sustitución de estas capacidades requerirá no solo la adquisición de alternativas tecnológicas, sino la reconfiguración de procedimientos, la formación de personal, y la adaptación de sistemas interconectados que habían sido diseñados en torno a las especificidades de los modelos de Anthropic.

La amenaza de consecuencias civiles y penales si la compañía no coopera en la transición introduce un elemento de coerción adicional que complica las obligaciones de cuidado de datos y de continuidad de servicio que normalmente rigen las relaciones contractuales. Anthropic, al ser expulsada del mercado gubernamental, podría argumentar la imposibilidad de cumplir con estándares de transición ordenada por pérdida de ingresos críticos, generando litigios sobre la responsabilidad por discontinuidades en servicios esenciales. La administración, por su parte, podría invocar la cláusula de conveniencia pública que habitualmente acompaña a los contratos federales para justificar la terminación unilateral sin indemnización plena.

La identificación de alternativas viables a los modelos de Anthropic constituye un desafío técnico significativo. Los principales competidores —OpenAI, con su modelo GPT; Google, con Gemini; Meta, con Llama; y la propia xAI de Elon Musk, con Grok— presentan características distintivas que no siempre son sustituibles de manera directa. La prohibición específica de Anthropic, en lugar de una política de diversificación de proveedores, sugiere que la decisión responde a factores de identidad corporativa más que a evaluaciones técnicas comparadas. La administración podría estar favoreciendo implícitamente a proveedores más alineados políticamente, generando distorsiones de mercado que la normativa de contratación pública debería prevenir.

La dimensión de seguridad de la transición merece particular atención. Los modelos de inteligencia artificial, especialmente en aplicaciones de inteligencia y defensa, han sido entrenados con datos sensibles que no pueden transferirse a proveedores alternativos sin evaluación de riesgos. La extracción de información de los sistemas de Anthropic, su migración a nuevas plataformas, y la verificación de que no quedan residuos en infraestructuras ahora consideradas hostiles, constituyen operaciones complejas que el plazo de seis meses podría resultar insuficiente para completar con garantías. La presión política por cumplir el calendario impuesto podría comprometer estándares de seguridad que la propia administración debería preservar.

IX. Geopolítica de la inteligencia artificial: la carrera contra China

La rebelión contra el pacifismo algorítmico no se limita a las fronteras nacionales; es el pilar de una nueva estrategia de hegemonía global. El Vicepresidente JD Vance ha articulado lo que algunos académicos llaman el «sacrificio regulatorio»: la creencia de que desmantelar las salvaguardas de seguridad es el «deber patriótico» necesario para no perder la carrera armamentista tecnológica frente a China. En el foro de la cumbre de París, Vance advirtió que las «regulaciones excesivas» son el mayor riesgo para la industria transformadora de la inteligencia artificial. Esta narrativa postula que mientras Occidente se pierde en debates éticos, China está desplegando inteligencia artificial a escala masiva en su base industrial y militar. Por ello, Estados Unidos ha optado por un modelo de «dominancia por exportación», ofreciendo un paquete tecnológico completo a las naciones aliadas para crear una dependencia estructural de la infraestructura estadounidense.

La Administración Trump ha respondido a la ventaja de despliegue industrial de China acelerando la construcción de centros de datos de más de 100 megavatios, otorgándoles exclusiones de normativas medioambientales y priorizando su acceso a la red eléctrica. Además, para mitigar el descontento público por el alza en los precios de la electricidad, el presidente ha forzado a las empresas tecnológicas a firmar un «compromiso de protección del pagador de tarifas», donde estas se comprometen a construir su propia generación de energía para no cargar los costes a los hogares.

Las implicaciones para el desarrollo de la inteligencia artificial militar son particularmente significativas. La investigación en sistemas de armas autónomas, que Anthropic pretendía excluir de sus modelos, recibirá ahora impulso mediante la contratación con proveedores más complacientes. La carrera armamentística algorítmica, que diversas organizaciones internacionales habían intentado frenar mediante moratorias y negociaciones multilaterales, se acelera con la eliminación de restricciones éticas internas en los principales desarrolladores. La proliferación de sistemas de toma de decisiones letales sin intervención humana significativa, que la comunidad científica había advertido como riesgo existencial, se convierte en objetivo explícito de la política de adquisiciones del Pentágono.

La dimensión internacional de esta fragmentación merece atención particular. La inteligencia artificial está emergiendo como un campo de competencia geopolítica donde Estados Unidos, China y la Unión Europea desarrollan modelos con características distintivas vinculadas a sus respectivos valores políticos. La expulsión de Anthropic del ecosistema gubernamental estadounidense, lejos de neutralizar el sesgo ideológico, lo sustituye por uno alternativo: la subordinación de la tecnología a los objetivos de seguridad nacional definidos unilateralmente por el poder ejecutivo. Los aliados de Estados Unidos, que han desarrollado relaciones de cooperación tecnológica asumiendo cierta autonomía corporativa en los desarrolladores estadounidenses, deberán ahora evaluar si esta asunción permanece válida bajo la nueva orientación administrativa.

X. El precedente de subordinación tecnológica y sus implicaciones globales

El conflicto entre la Administración Trump y Anthropic establece un precedente de subordinación de los desarrolladores de inteligencia artificial a los objetivos de seguridad nacional que resonará en el ecosistema tecnológico global. La negativa de la compañía a permitir usos militares específicos de sus modelos, aunque presentada como salvaguarda ética, ha sido interpretada por el poder estatal como una intromisión inaceptable en la soberanía de la decisión política. La respuesta, mediante orden ejecutiva de prohibición generalizada, comunica a todos los actores del sector que la disidencia ética corporativa será castigada con la exclusión del mercado gubernamental, el más importante para tecnologías de doble uso en el contexto estadounidense.

La gobernanza de la inteligencia artificial está experimentando una inflexión hacia modelos de control estatal más intensos que los previstos en los debates sobre regulación algorítmica de los últimos años. La discusión dominante, especialmente en Europa, había privilegiado la protección de derechos fundamentales, la transparencia de los sistemas, y la participación de múltiples actores en la definición de estándares éticos. La postura de la Administración Trump, que rechaza la participación de desarrolladores privados en la determinación de usos prohibidos, propone una alternativa donde el control estatal es absoluto y la ética corporativa se considera una forma de obstaculización ilegítima.

La reacción del sector tecnológico y de la comunidad internacional determinará si el precedente de Anthropic se consolida o se resiste. La solidaridad corporativa entre desarrolladores de inteligencia artificial, hasta ahora limitada por la competencia comercial, podría fortalecerse frente a la amenaza común de subordinación estatal. La presión de inversores y mercados de capitales, preocupados por la inestabilidad de las expectativas contractuales, podría moderar la aplicación extensiva de la estrategia de castigo ejemplar. Y la respuesta de aliados de Estados Unidos, que han desarrollado marcos de regulación de la inteligencia artificial más próximos al enfoque ético de Anthropic que al de la Administración Trump, podría generar tensiones en las alianzas tecnológicas occidentales.

La rebelión de Trump contra el pacifismo algorítmico, en definitiva, no es un episodio aislado de política contractual sino una manifestación de la reconfiguración del poder en la era de la inteligencia artificial. La tecnología, lejos de constituir un dominio autónomo de innovación desinteresada, se revela como campo de batalla donde los valores éticos de los desarrolladores chocan con los imperativos de seguridad del Estado, y donde la asimetría de poder determina la victoria de la soberanía política sobre la autonomía corporativa. El caso de Anthropic, con su orden de expulsión del ecosistema gubernamental estadounidense, ilustra los límites de la responsabilidad ética privada cuando se enfrenta a la voluntad de poder estatal decidida a utilizar todas las tecnologías disponibles para sus objetivos, sin restricciones impuestas desde fuera de la cadena de mando político-militar.

A medida que se cierra el primer trimestre de 2026, el panorama de la inteligencia artificial es irreconocible respecto a los consensos de 2023. La «rebelión de Trump» ha tenido éxito en reencuadrar la inteligencia artificial no como un riesgo existencial que debe ser mitigado, sino como una capacidad nacional que debe ser maximizada. La caída de Anthropic y la ascensión de xAI y OpenAI en el complejo militar-industrial señalan que la neutralidad ética ha dejado de ser una opción viable para las empresas que aspiran a operar en el centro del poder global. La doctrina de Sacks sobre las «salidas veraces» y la ofensiva legal contra los estados marcan el inicio de una era donde el algoritmo ya no se ajusta a la sociedad, sino que la sociedad debe ajustarse a la realidad estadística dictada por el modelo, protegida ahora por la fuerza del gobierno federal.

La pregunta que queda para el resto del año no es si la inteligencia artificial avanzará, sino quién tendrá el derecho de definir sus límites. Al rechazar el «pacifismo algorítmico», Estados Unidos ha apostado por un futuro de aceleración radical, donde la única seguridad válida es la superioridad tecnológica incontestable, independientemente de los costes sociales o constitucionales que ello conlleve. En este nuevo orden, la inteligencia artificial es el arma, el mercado y la verdad, todo integrado en una única estructura de poder nacional, aunque muchos usuarios ya están decantándose por apostar en favor del uso de una inteligencia artificial que está sujeta a límites éticos, dando de lado a ChatGPT.

XI. Referencias normativas y bibliográficas

1. Documentos oficiales de la Administración Trump

  • Winning the AI Race: America’s AI Action Plan, publicado el 23 de julio de 2025. Establece un marco de más de 90 recomendaciones de política federal para desmantelar barreras regulatorias y acelerar la innovación en inteligencia artificial.
  • Orden Ejecutiva 14365, Ensuring a National Policy Framework for Artificial Intelligence, de 2025. Introduce mecanismos de coerción financiera para condicionar fondos federales a la derogación o no aplicación de leyes estatales de inteligencia artificial consideradas «onerosas».
  • Orden Ejecutiva de 27 de febrero de 2026, por la que se ordena el cese inmediato del uso de modelos de inteligencia artificial de Anthropic en todas las agencias federales y se designa a la compañía como «riesgo para la cadena de suministro de seguridad nacional».
  • One Big Beautiful Bill Act, firmada el 4 de julio de 2025. Incluyó en sus borradores iniciales una moratoria nacional sobre regulaciones estatales de inteligencia artificial, finalmente eliminada.

2. Legislación y documentos institucionales

  • Ley de Producción de Defensa de 1950 (Defense Production Act). Legislación de emergencia que confiere al Presidente autoridades para dirigir la producción nacional en apoyo de requerimientos de defensa.
  • Ley de Colorado (SB 24-205), de 2026. Prohíbe la discriminación algorítmica en sistemas de inteligencia artificial de alto riesgo.
  • Ley de California (AB 2013). Establece obligaciones de transparencia en los datos de entrenamiento de inteligencia artificial generativa.
  • Illinois Human Rights Act. Prohíbe el uso de inteligencia artificial discriminatoria en el ámbito laboral.

3. Decisiones judiciales y doctrina constitucional

  • National Pork Producers Council v. Ross. Jurisprudencia de la Corte Suprema sobre los límites de la Cláusula de Comercio y la validez de regulaciones estatales que imponen costes al comercio interestatal.

4. Documentación corporativa y declaraciones públicas

  • Declaraciones del presidente Donald Trump en la red social Truth Social, febrero de 2026, anunciando la prohibición del uso de modelos de Anthropic en el gobierno federal.
  • Comunicado del Secretario de Defensa Pete Hegseth, febrero de 2026, acusando a Anthropic de ejercer un «poder de veto» sobre las decisiones operativas del ejército.
  • Declaraciones de David Sacks, Asesor Especial para Inteligencia Artificial y Cripto, sobre la doctrina de «neutralidad ideológica» y la consideración de la mitigación de sesgos como práctica comercial engañosa.
  • Comunicado de OpenAI, marzo de 2026, confirmando el acuerdo con el Departamento de Guerra para el despliegue de sus modelos en redes clasificadas.
  • Anuncio de Anthropic, marzo de 2026, de impugnación judicial de la decisión administrativa.
  • Declaraciones del Vicepresidente JD Vance en la cumbre de París, advirtiendo sobre los riesgos de la «regulación excesiva» frente a la competencia con China.


Resumen:

El presente trabajo analiza la decisión de la Administración Trump, materializada mediante orden ejecutiva de febrero de 2026, de prohibir el uso de los modelos de inteligencia artificial de Anthropic en todas las agencias federales estadounidenses, como respuesta a la negativa de la compañía a permitir determinados usos militares de su tecnología. Se examina la fractura entre la concepción estatal de la inteligencia artificial como recurso neutral subordinado a los imperativos de seguridad nacional y la postura de las empresas que pretenden mantener restricciones éticas sobre el empleo de sus sistemas. El estudio contextualiza este conflicto en el marco más amplio del Plan de Acción de IA de la Administración Trump, la confrontación con las regulaciones estatales, y la reconfiguración de las relaciones entre el complejo militar-industrial y los principales desarrolladores de inteligencia artificial, con especial atención a los casos contrapuestos de Anthropic, OpenAI y xAI.

Sobre el autor

Diego Fierro Rodríguez es Letrado de la Administración de Justicia en ejercicio, Codirector de la Revista Acta Judicial y doctorando en Derecho. Desarrolla su actividad profesional en el ámbito de la Administración de Justicia española, siendo actualmente el Jefe del Área penal del Servicio Común de Ejecución del Tribunal de Instancia de Málaga.

Sobre la publicación

Se han utilizado Google Gemini para la imagen y Google Gemini y Perplexity para recabar y contrastar toda la información disponible.

Diego Fierro Rodríguez
Letrado de la Administración de Justicia
Codirector de la Revista Acta Judicial
Doctorando en Derecho

Ilustración conceptual de un mazo judicial rompiendo una interfaz digital de Telegram con la imagen de Pavel Durov y el mapa de España, representando el debate jurídico sobre el uso masivo de datos personales y poder de plataforma.

Cuestiones jurídicas y políticas en torno a un mensaje masivo de Pavel Durov por Telegram

/0 Comentarios/en /por

I. El hecho que origina la reflexión

La noticia llegó sin previo aviso ni solicitud de permiso. Millones de usuarios de Telegram residentes en España encontraron en sus dispositivos un mensaje que no procedía de ningún contacto personal, ni de un canal al que hubieran decidido suscribirse, ni siquiera de una notificación de servicio habitual. El remitente era el propio Pavel Durov, fundador y director ejecutivo de la plataforma, quien había decidido utilizar la infraestructura de mensajería para dirigirse directamente a una audiencia geográficamente segmentada con un contenido que trascendía claramente la mera información técnica o administrativa. El mensaje versaba sobre la propuesta del presidente del Gobierno español, Pedro Sánchez, de limitar el acceso a redes sociales para menores de 16 años, y planteaba argumentos en contra de dicha medida.

Este hecho, aparentemente aislado, abre una serie de cuestiones jurídicas de extraordinaria complejidad que trascienden el caso concreto. No se trata únicamente de determinar si el contenido del mensaje era acertado o equivocado desde una perspectiva política o pedagógica. El verdadero problema reside en el modo de transmisión, en el quién que habla, en el cómo se selecciona la audiencia y en el para qué se movilizan recursos técnicos y datos personales. La reflexión que sigue no pretende tomar partido por ninguna de las posiciones políticas en juego, sino examinar con rigor las implicaciones jurídicas de un fenómeno que ilustra la mutación del poder en la era digital.

II. La naturaleza del mensaje y la arquitectura de la plataforma

Para comprender la gravedad del asunto, conviene detenerse primero en las características técnicas del envío. Telegram no es una red social al uso, diseñada para la publicación de contenidos que el usuario busca activamente o al que se suscribe mediante un acto voluntario de seguimiento. Es, ante todo, un sistema de mensajería directa, concebido para la comunicación interpersonal o la recepción de información en canales optativos. Esta diferencia arquitectónica no es meramente descriptiva; tiene consecuencias jurídicas relevantes. Cuando un ciudadano abre Facebook o Twitter, asume que está entrando en un espacio de exposición pública o semipública, donde los algoritmos seleccionan contenidos y donde la publicidad política está regulada, al menos en teoría. Pero cuando abre Telegram, espera encontrar mensajes de sus contactos, de grupos en los que ha decidido participar o, como mucho, avisos técnicos de la propia plataforma sobre actualizaciones de seguridad o nuevas funcionalidades.

El mensaje de Durov irrumpió en este espacio de comunicación presumiblemente privada o controlada sin mediación de elección alguna por parte del receptor. No hubo opt-in, no hubo suscripción previa, no hubo siquiera la posibilidad de anticipar que el canal oficial de notificaciones de la plataforma —aquella vía que el usuario entiende reservada para comunicaciones de servicio— sería utilizado para la transmisión de argumentación política. Debe tenerse presente que esta intrusión no es comparable a la recepción de un correo publicitario en una cuenta de email, donde el usuario ha facilitado su dirección y donde la publicidad, aunque molesta, se inscribe en una lógica comercial esperada. Aquí estamos ante algo distinto: el uso de datos de geolocalización y de condición de usuario activo en territorio español para la inserción de un contenido ideológico en un canal que el destinatario no puede desactivar sin renunciar a recibir notificaciones esenciales del servicio.

III. El problema del consentimiento y la base jurídica en el Reglamento General de Protección de Datos

El núcleo duro del análisis jurídico reside en la conformidad de esta práctica con el Reglamento General de Protección de Datos. El artículo 6 del Reglamento exige que todo tratamiento de datos personales cuente con una base jurídica que lo legitime, ya sea el consentimiento del interesado, la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales, la misión de interés público o el interés legítimo del responsable. En el caso que examinamos, la utilización de la ubicación geográfica de los usuarios y de su condición de residentes en España para segmentar el envío del mensaje constituye, indudablemente, un tratamiento de datos personales. La cuestión es determinar sobre qué base jurídica se sustenta.

Telegram podría argumentar que el tratamiento se ampara en la ejecución del contrato de prestación de servicios, entendiendo que la comunicación con los usuarios forma parte de la relación contractual. Sin embargo, esta tesis encuentra un obstáculo insalvable: la finalidad del tratamiento. La ejecución de un contrato no puede servir de cobertura jurídica para finalidades que no guardan relación directa con la prestación del servicio objeto del acuerdo. Cuando un operador de telecomunicaciones envía una factura o una notificación de incidencia técnica, actúa dentro del mar contractual. Pero cuando utiliza la misma infraestructura para influir en un debate legislativo nacional, está dando un salto cualitativo que excede con creces los límites de la prestación de servicios de mensajería.

También podría invocarse el interés legítimo del responsable, reconocido en el artículo 6.1.f del Reglamento. No obstante, este interés debe conciliarse con los derechos y libertades fundamentales de los interesados, y debe ser ponderado mediante un test de tres pasos: la finalidad debe ser legítima, el tratamiento debe ser necesario para dicha finalidad, y debe prevalecer el interés del responsable sobre los derechos del afectado. En nuestro caso, la finalidad —participar en un debate político nacional utilizando la infraestructura propia— es, cuanto menos, discutible como legítima en el contexto de una relación de consumo de servicios digitales. La necesidad del tratamiento es igualmente cuestionable, pues existen medios alternativos para expresar opiniones políticas que no impliquen la utilización de datos personales de millones de usuarios. Y en cuanto a la ponderación, resulta difícil sostener que el interés de un empresario en influir en la legislación española prevalezca sobre el derecho de los usuarios a no ser receptores cautivos de comunicaciones políticas no solicitadas.

El consentimiento, por su parte, parece ausente en su forma más exigente. El Reglamento demanda un consentimiento libre, específico, informado e inequívoco. Los usuarios de Telegram no consintieron expresamente la recepción de mensajes políticos del fundador cuando aceptaron las condiciones de servicio. Las cláusulas contractuales generales que autorizan a la plataforma a enviar «comunicaciones» no pueden interpretarse como un blank check para la utilización de la infraestructura con fines ideológicos. Hay que reseñar que el Tribunal de Justicia de la Unión Europea ha reiterado en múltiples ocasiones que el consentimiento debe entenderse restrictivamente y que no puede confundirse con la mera aceptación de condiciones generales.

IV. La reutilización de datos y la analogía del operador neutral

Para ilustrar la problemática, resulta útil recurrir a una analogía con sectores regulados tradicionalmente. Imaginemos que Correos, empresa pública que gestiona la infraestructura postal, decidiera utilizar su base de datos de destinatarios para enviar a todos los hogares españoles un folleto argumentando en contra de una reforma legislativa que afectara a su sector. Incluso dejando de lado la condición pública de la entidad, la utilización de información de clientes —direcciones postales, hábitos de recepción— para fines de influencia política constituiría una vulneración flagrante de los principios de protección de datos. El ciudadano confía su dirección al operador postal para recibir correspondencia, no para convertirse en destinatario de propaganda política segmentada.

Otra analogía puede servir para clarificar el problema. Consideremos un operador de telecomunicaciones que ofrece servicios de telefonía móvil. Este operador mantiene una posición de «neutralidad de red» en el sentido de que se limita a transmitir las comunicaciones de sus clientes sin interferir en el contenido. Si dicho operador decidiera enviar un mensaje de texto masivo a todos sus usuarios en territorio español para posicionarse en un debate político, estaría traspasando los límites de su función técnica y comercial. Lo anterior me sugiere que las plataformas de mensajería instantánea, aunque no estén sujetas a la regulación de operadores de telecomunicaciones tradicionales, deberían observar estándares similares de neutralidad respecto de los contenidos que no forman parte del servicio contratado.

La comparación con Correos o con un operador de telecomunicaciones que se mantiene «memoryless» —es decir, que no explota la información de tráfico para otros fines— ilustra la idea de que el intermediario no debería utilizar su posición privilegiada para usos diferentes a la mera prestación del servicio, salvo que el usuario lo haya consentido de forma clara y separada. La reutilización de datos de geolocalización y de uso de la plataforma para fines políticos representa precisamente esa transgresión de los límites funcionales del servicio.

V. La frontera entre comunicación corporativa y activación política

Una de las cuestiones más delicadas que plantea este caso es la determinación del momento en que una comunicación de servicio se transforma en activación política. Las empresas, incluidas las plataformas digitales, tienen legítimamente derecho a informar a sus usuarios sobre cuestiones que afectan a su actividad. Un aviso sobre cambios en las condiciones de servicio, una alerta sobre vulnerabilidades de seguridad o una notificación sobre modificaciones regulatorias que impacten en la funcionalidad de la aplicación entran dentro de lo razonable y esperable. Incluso una comunicación explicando los riesgos que una determinada regulación podría entrañar para la continuidad del servicio podría considerarse legítima, siempre que se mantenga en un tono informativo y técnico.

Sin embargo, el mensaje de Durov traspasó esa línea divisoria. No se limitó a informar sobre la propuesta legislativa ni a explicar sus posibles efectos técnicos en la operativa de Telegram. Fue, en esencia, un argumentario en contra de la medida, formulado en términos que buscaban movilizar la opinión de los receptores y, presumiblemente, influir en el proceso político de toma de decisiones. Entiendo que esta distinción es crucial: no es lo mismo alertar a los usuarios de que una ley podría obligar a modificar el funcionamiento de la aplicación, que utilizar el canal de notificaciones para instar a la oposición a dicha ley.

El Reglamento de Servicios Digitales, aplicable desde 2024, introduce obligaciones de transparencia y de gestión de riesgos para las plataformas muy grandes, pero no regula expresamente este tipo de comunicaciones corporativas con contenido político. No obstante, sus principios generales de transparencia y de respeto a los derechos fundamentales de los usuarios pueden interpretarse en el sentido de que las plataformas deben mantener una cierta neutralidad respecto de los debates políticos nacionales, especialmente cuando utilizan datos personales para segmentar sus comunicaciones. La frontera entre un aviso de servicio al cliente y el uso de la infraestructura para influir en la opinión pública es, en este caso, particularmente difusa, y esa opacidad genera inseguridad jurídica.

VI. El poder de plataforma como poder normativo de facto

Más allá de las cuestiones estrictamente vinculadas a la protección de datos, el caso Durov ilustra un fenómeno de mayor calado: la transformación del poder tecnológico en poder político. Cuando el fundador de una plataforma con cientos de millones de usuarios puede, con un simple gesto técnico, llegar a millones de dispositivos en un país específico para posicionarse en un debate legislativo, está ejerciendo una forma de poder que no se ajusta a las categorías tradicionales del Derecho constitucional ni del Derecho administrativo. No es un poder público, legitimado democráticamente. No es tampoco un poder privado convencional, sometido a las reglas de la competencia y del mercado. Es algo distinto, que los estudiosos de la gobernanza digital han denominado «poder de plataforma».

Este poder es normativo en el sentido de que configura las posibilidades de acción de los ciudadanos, establece los términos de la comunicación pública y, en última instancia, puede condicionar los procesos de formación de la voluntad política. Cuando Durov envía su mensaje, no está ejerciendo su libertad de expresión en condiciones de igualdad con otros ciudadanos. Está aprovechando una asimetría estructural: el acceso privilegiado a una infraestructura de comunicación que sus receptores no pueden evitar sin renunciar a un servicio que, en muchos casos, utilizan para su vida personal y profesional cotidiana.

La neutralidad de las plataformas frente a los poderes públicos es, en este contexto, un valor jurídico discutible pero necesario. No se trata de exigir a las empresas tecnológicas que carezcan de opinión o que se abstengan de participar en los debates públicos. El problema surge cuando esa participación se realiza utilizando recursos que derivan de una posición de dominio estructural, y cuando se dirige a una audiencia cautiva que no ha elegido recibir esos mensajes. Ello me obliga a deducir que estamos ante una forma de poder que requiere de mecanismos de rendición de cuentas y de limitación, análogos en alguna medida a los que se aplican a los poderes públicos.

VII. La opacidad en la selección de destinatarios y el principio de transparencia

Un elemento adicional de preocupación reside en la falta de claridad sobre los criterios de segmentación del mensaje. No todos los usuarios de Telegram en España recibieron la comunicación de Durov, aunque muchos de ellos llevan años utilizando la plataforma. Esta selectividad, lejos de ser aleatoria, sugiere la existencia de algún tipo de algoritmo o criterio de segmentación cuya lógica no ha sido revelada. ¿Se dirigió el mensaje solo a usuarios activos en los últimos 30 días? ¿A aquellos con determinadas características de uso? ¿A los que habían interactuado con canales políticos previamente? La opacidad respecto de estos criterios agrava la problemática jurídica, porque impide a los afectados comprender por qué han sido seleccionados como receptores de una comunicación política.

El principio de transparencia, consagrado en el artículo 5 del Reglamento General de Protección de Datos, exige que los interesados sean informados de las finalidades del tratamiento y de la lógica que subyace a las decisiones automatizadas que les afectan. Si la selección de destinatarios respondió a un perfilado basado en datos de comportamiento, ubicación o uso de la aplicación, los usuarios tendrían derecho a conocer los criterios aplicados y, en su caso, a oponerse a dicho tratamiento. La falta de información al respecto constituye una vulneración de este principio fundamental.

Considero que esta opacidad no es un defecto menor, sino un síntoma de una gobernanza de datos insuficiente. Las plataformas han construido arquitecturas técnicas que permiten una granularidad extrema en la segmentación de audiencias, pero no han desarrollado paralelamente mecanismos de rendición de cuentas que hagan transparentes esas prácticas. Cuando el segmento seleccionado son millones de ciudadanos de un país determinado para recibir un mensaje político, la exigencia de transparencia adquiere una dimensión constitucional relevante.

VIII. Las posiciones en el debate: entre la libertad empresarial y la protección del usuario

El análisis de este caso no estaría completo sin referencia a las distintas posiciones que el mismo ha suscitado en la comunidad jurídica y tecnológica. Por un lado, encontramos posturas que relativizan la gravedad del hecho. Se argumenta que Telegram es una plataforma privada y que, como cualquier otro medio de comunicación —prensa, televisión, radio— tiene derecho a utilizar su arquitectura para difundir mensajes, incluso de carácter político. Desde esta perspectiva, el usuario que no desea recibir tales comunicaciones puede ejercer su libertad de abandonar la plataforma. Esta visión enfatiza la libertad de expresión del empresario y la libertad de empresa, entendiendo que las restricciones al uso de la infraestructura propia constituirían una intromisión injustificada.

Por otro lado, se encuentran las posturas que subrayan la especificidad del poder de plataforma. Estas voces señalan que no es comparable el poder de un periódico, que el lector elige comprar o no, con el poder de una aplicación de mensajería que se ha convertido en infraestructura esencial de la comunicación cotidiana. La alternativa de «irse si no te gusta» es, en este contexto, una falsa libertad, porque el coste de abandono —pérdida de contactos, de historiales, de integración en comunidades profesionales o personales— es prohibitivamente alto para la mayoría de usuarios. Además, se destaca que ni siquiera existe la posibilidad de optar por no recibir este tipo de comunicaciones sin renunciar a las notificaciones esenciales del servicio.

Existen también posiciones intermedias que intentan enmarcar el mensaje de Durov como una forma de «servicio al cliente» o de alerta sobre riesgos regulatorios que afectarían a la propia plataforma. Sin embargo, esta interpretación encuentra dificultades para distinguir entre una información objetiva sobre cambios normativos y una argumentación política contra los mismos. La línea es tenue, pero discernible: un aviso técnico informa, una comunicación política persuade. El mensaje de Durov pertenecía claramente a esta segunda categoría.

IX. La tensión entre libertades en conflicto

El caso que analizamos pone de manifiesto una tensión fundamental entre libertades constitucionalmente protegidas que entran en colisión. Por una parte, la libertad de expresión de Pavel Durov, que incluye el derecho a expresar su opinión sobre cuestiones de interés público como la regulación de las redes sociales. Por otra, la protección de la intimidad y de los datos personales de los usuarios, que abarca el derecho a no ser objeto de comunicaciones no solicitadas que utilicen información personal para la segmentación. A ello hay que añadir la libertad de empresa, que ampara la gestión de la plataforma, y los derechos de los ciudadanos a una información plural y no condicionada por el poder asimétrico de los grandes operadores digitales.

La resolución de este conflicto no puede ser mecánica ni absolutista. No es admisible privilegiar indefinidamente la libertad de expresión del empresario sobre la protección de datos de millones de usuarios, ni tampoco es razonable imponer una neutralidad total que impida a las plataformas comunicarse con sus usuarios sobre cuestiones que les afectan. El Derecho, en estos casos, debe buscar una ponderación que preserve el núcleo esencial de cada libertad y limite sus manifestaciones excesivas.

En mi opinión, la solución pasa por establecer una clara separación entre los canales de comunicación de servicio y los canales de comunicación política o ideológica. Los usuarios deberían poder optar expresamente por recibir comunicaciones de este último tipo, y su silencio o inacción debería interpretarse en sentido contrario. Asimismo, la utilización de datos personales para segmentar comunicaciones políticas debería estar sometida a un estándar de consentimiento específico, informado y separado, que no puede cubrirse con las cláusulas generales de las condiciones de servicio.

X. Conclusiones

El mensaje de Pavel Durov a los usuarios españoles de Telegram, lejos de ser un incidente menor o una anécdota de la comunicación digital, constituye un caso paradigmático de las transformaciones que el poder está experimentando en la era de las plataformas. Nos enfrentamos a entidades privadas que concentran capacidades técnicas de comunicación masiva, segmentación precisa y llegada directa que superan ampliamente los medios tradicionales, y que pueden desplegar estas capacidades sin los contrapesos institucionales que limitan a los poderes públicos.

Desde la perspectiva del Derecho digital, este caso ejemplifica la necesidad de desarrollar marcos normativos que aborden específicamente el «poder de plataforma» como una categoría jurídica autónoma. El Reglamento General de Protección de Datos y el Reglamento de Servicios Digitales constituyen pasos importantes, pero insuficientes para abordar todas las dimensiones del problema. Necesitamos reglas claras sobre la utilización de datos personales para comunicaciones corporativas con contenido político, mecanismos efectivos de transparencia en los sistemas de segmentación de audiencias, y salvaguardas que garanticen que los usuarios no se conviertan en receptores cautivos de mensajes ideológicos no solicitados.

El riesgo último no es que un empresario concreto exprese su opinión sobre una regulación específica. El peligro real reside en la normalización de una práctica que difumina la frontera entre servicio de comunicaciones, medio de información y actor político con acceso privilegiado. Si legitimamos que los fundadores de grandes plataformas utilicen canales «obligatorios» o semi-oficiales para la transmisión de mensajes políticos, estaremos consolidando una forma de poder que escapa a los mecanismos democráticos de control y rendición de cuentas.

La reflexión final debe orientarse hacia la construcción de un espacio digital donde la libertad de expresión de todos —incluidos los empresarios de la tecnología— coexista con la protección de los derechos de los ciudadanos y con la preservación de la integridad de los procesos democráticos. Esto exige, en última instancia, que el Derecho evolucione al mismo ritmo que la tecnología, sin renunciar a sus principios fundamentales ni a su capacidad de proteger a los más vulnerables frente a las asimetrías de poder que caracterizan nuestra era digital.

XI. Referencias normativas y bibliográficas

1) Normativa de la Unión Europea

Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos).

Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo, de 19 de octubre de 2022, relativo a un mercado único de servicios digitales y por el que se modifica la Directiva 2000/31/CE (Reglamento de Servicios Digitales).

Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico, en el mercado interior (Directiva sobre el comercio electrónico).

Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva de privacidad y comunicaciones electrónicas).

Reglamento (UE) 2018/1807 del Parlamento Europeo y del Consejo, de 14 de noviembre de 2018, relativo a un marco para la libre circulación de datos no personales en la Unión Europea.

Reglamento (UE) 2019/1150 del Parlamento Europeo y del Consejo, de 20 de junio de 2019, relativo a la promoción de la equidad y la transparencia para los usuarios empresariales de servicios de intermediación en línea.

Carta de los Derechos Fundamentales de la Unión Europea, proclamada en Estrasburgo el 7 de diciembre de 2000.

2) Normativa del Estado español

Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico.

Ley 9/2014, de 9 de mayo, General de Telecomunicaciones.

3) Documentos institucionales

Agencia de Derechos Fundamentales de la Unión Europea, Big Data: Discrimination by Design or by Default?, Publicaciones de la Unión Europea, Luxemburgo, 2019.

Agencia Española de Protección de Datos, Guía de privacidad por diseño y por defecto, Madrid, 2023.

Comisión Europea, Orientaciones sobre la aplicación del Reglamento (UE) 2022/2065 (Reglamento de Servicios Digitales), Bruselas, 2023.

Comisión Europea, Propuesta de Reglamento relativo a la prevención y la lucha contra el abuso sexual de menores en línea, COM(2022) 209 final, Bruselas, 11 de mayo de 2022.

Comité Europeo de Protección de Datos, Directrices 05/2020 sobre el consentimiento conforme al Reglamento (UE) 2016/679, versión 1.1, adoptadas el 4 de mayo de 2020.

Comité Europeo de Protección de Datos, Directrices 8/2020 sobre la orientación de la publicidad en las redes sociales, versión 1.0, adoptadas el 13 de abril de 2021.Defensor del Pueblo, Informe Anual 2023, Capítulo especial sobre protección de datos y plataformas digitales, Madrid, 2024.

Resumen:

El presente trabajo analiza el mensaje masivo enviado por Pavel Durov, fundador de Telegram, a los usuarios españoles de la plataforma en el contexto del debate sobre la limitación del acceso a redes sociales para menores de 16 años propuesto por el Gobierno de Pedro Sánchez. La investigación examina las implicaciones jurídicas de este uso de infraestructura privada con fines de influencia política, centrándose en el consentimiento informado, la reutilización de datos personales conforme al Reglamento General de Protección de Datos, la frontera entre comunicación corporativa y activación política, y la tensión entre neutralidad tecnológica y poder normativo de facto de las grandes plataformas digitales.

Sobre el autor

Diego Fierro Rodríguez es Letrado de la Administración de Justicia en ejercicio, Codirector de la Revista Acta Judicial y Doctorando en Derecho. Desarrolla su actividad profesional en el ámbito de la Administración de Justicia española, siendo actualmente el Jefe del Área penal del Servicio Común de Ejecución del Tribunal de Instancia de Málaga.

Sobre la publicación

Se han utilizado Google Gemini para la imagen y Google Gemini y Perplexity para recabar y contrastar toda la información disponible.

Diego Fierro Rodríguez
Letrado de la Administración de Justicia
Codirector de la Revista Acta Judicial
Doctorando en Derecho

Ilustración de un despacho jurídico con libros de Derecho, mazo judicial y una tablet mostrando la propuesta COM(2025) 836 del Digital Omnibus on AI, simbolizando la reforma del Reglamento de Inteligencia Artificial en la Unión Europea.

Apuntes de emergencia sobre el Digital Omnibus on AI

/0 Comentarios/en /por

I. Introducción

Imaginen construir un puente mientras se cruza el río. Esa imagen, tan gráfica como incómoda, describe con precisión la situación en la que se encontraba la política europea de inteligencia artificial a finales de 2025. Es exactamente lo que la Comisión Europea propuso el 19 de noviembre de ese año con el llamado Digital Omnibus sobre inteligencia artificial: revisar parcialmente un marco regulatorio ambicioso cuando aún no había terminado de desplegarse. Apenas quince meses después de la entrada en vigor del Reglamento de Inteligencia Artificial, y justo cuando las primeras obligaciones comenzaban a perfilarse en el horizonte operativo de las empresas, Bruselas reconocía algo que pocas instituciones admiten con semejante franqueza: el calendario original corría el riesgo real de convertirse en una trampa para la innovación europea.

Este reconocimiento no es menor. Supone aceptar que una regulación concebida para proteger derechos fundamentales, seguridad y confianza pública podía, en determinadas condiciones, producir efectos contrarios a sus propios fines. El problema no residía en la ambición del Reglamento ni en su arquitectura conceptual basada en el riesgo, sino en la tensión entre ese diseño normativo y la capacidad real de cumplimiento de los operadores económicos llamados a aplicarlo.

La propuesta legislativa —identificada técnicamente como COM(2025) 836 final— no surge de la improvisación ni de un giro político repentino. Es el resultado de una constatación empírica incómoda, acumulada durante meses de diálogo con el mercado. Las empresas estaban bloqueadas. No por falta de voluntad de cumplimiento ni por resistencia ideológica a la regulación, sino porque se les exigía demostrar conformidad con normas técnicas que aún no existían o no estaban plenamente definidas. Es como si un profesor exigiera un examen perfecto sin haber entregado el temario completo, ni aclarado los criterios de evaluación. Ante ese escenario, la Comisión, en un ejercicio de pragmatismo poco habitual en la burocracia comunitaria, optó por corregir el rumbo antes de que el daño económico, tecnológico y reputacional resultara irreversible.

Este trabajo pretende desentrañar esa propuesta con una mirada crítica pero constructiva. No se trata de celebrarla acríticamente ni de condenarla por principio, sino de comprender qué problemas reales detectaron los técnicos de Bruselas, cómo pretenden resolverlos desde el punto de vista jurídico e institucional y qué consecuencias prácticas tendrá todo ello para quienes desarrollan o despliegan sistemas de inteligencia artificial en Europa en los próximos años.

II. El diagnóstico desde dentro: cuando la regulación amenaza con ahogar lo que pretende proteger

Para comprender el alcance de la propuesta resulta imprescindible entender el diagnóstico que la precede. Durante meses, en foros sectoriales, grupos de expertos y consultas públicas celebradas entre abril y octubre de 2025, los operadores económicos lanzaron señales de alarma cada vez más consistentes que la Comisión terminó por escuchar. No se trataba de quejas genéricas contra la regulación, sino de advertencias muy concretas sobre disfunciones operativas: ausencia de normas armonizadas, retrasos en la designación de organismos de evaluación de la conformidad, falta de orientaciones prácticas claras y divergencias interpretativas incipientes entre Estados miembros.

En conjunto, estos factores estaban transformando el Reglamento de Inteligencia Artificial en un lastre competitivo, especialmente para empresas innovadoras de tamaño pequeño y medio. Pensemos en una startup de treinta empleados que ha desarrollado un sistema destinado a optimizar diagnósticos médicos mediante aprendizaje automático. Dispone de la tecnología, del talento humano y de un mercado potencial claro. Sin embargo, se enfrenta a preguntas fundamentales sin respuesta: qué documentación técnica debe preparar, qué organismo evaluará su conformidad, bajo qué estándar y, quizá lo más decisivo, si su sistema será finalmente considerado de alto riesgo.

Ante tal nivel de incertidumbre regulatoria, los inversores —de manera perfectamente racional— se retraen. El capital riesgo busca previsibilidad jurídica, no entornos normativos en construcción permanente. El proyecto se congela, se retrasa o se traslada. Europa pierde así oportunidades concretas de innovación, empleo cualificado y liderazgo tecnológico, mientras otras jurisdicciones con marcos más ágiles avanzan sin esperar.

Este escenario no era anecdótico. Se reproducía por cientos en todo el continente. La Comisión lo ha descrito sin ambages como la existencia de “retrasos significativos” que incrementaban injustificadamente los costes de cumplimiento. Pero tras esa formulación institucional se esconde algo más profundo: la comprensión progresiva de que regular tecnologías emergentes exige equilibrar ambición protectora y viabilidad operativa. No basta con diseñar un marco normativo conceptualmente impecable si luego resulta impracticable en la realidad cotidiana de las empresas que deben aplicarlo.

La inteligencia artificial añade, además, una dificultad estructural frente a otras tecnologías reguladas en el pasado: su vertiginosa velocidad de evolución. Mientras que el Reglamento General de Protección de Datos o la Directiva de Servicios de Medios Audiovisuales permitían un ajuste progresivo, los sistemas basados en aprendizaje automático evolucionan semana a semana, tanto en capacidades como en riesgos. El Digital Omnibus aspira, precisamente, a introducir la agilidad mínima necesaria para que el marco regulatorio no quede obsoleto antes incluso de desplegarse plenamente.

III. La filosofía del ajuste: cirugía regulatoria sin anestesia general

Lo más llamativo del enfoque adoptado por la Comisión es su prudencia metodológica deliberada. No estamos ante una desregulación encubierta ni ante una cesión a presiones corporativas. Tampoco ante un cuestionamiento de los objetivos fundamentales del Reglamento. Se trata, más bien, de hacer viable lo ya regulado, ajustando calendarios, procedimientos y cargas administrativas sin alterar en lo más mínimo los fines esenciales de protección de derechos fundamentales, salud pública y seguridad.

Aquí se percibe claramente una lección aprendida, no sin costes, de experiencias regulatorias anteriores. Basta recordar mayo de 2018, cuando el Reglamento General de Protección de Datos entró en vigor y miles de empresas europeas se vieron desbordadas intentando implementar simultáneamente registros de actividades, análisis de riesgos, evaluaciones de impacto, políticas internas y designaciones de delegados, todo ello sin suficientes profesionales cualificados ni criterios interpretativos consolidados. El resultado fue un cumplimiento formal apresurado, costoso y, en muchos casos, poco eficaz.

Esta vez, la Comisión parece haber decidido anticiparse. El momento elegido resulta particularmente acertado. Reformar demasiado pronto habría proyectado una imagen de improvisación legislativa y debilidad normativa. Hacerlo demasiado tarde habría permitido la acumulación de costes empresariales innecesarios y la deslocalización silenciosa de proyectos estratégicos hacia jurisdicciones más permisivas. Noviembre de 2025 representa ese punto de equilibrio: lo suficientemente temprano para prevenir daños estructurales, y lo bastante tardío para apoyarse en datos empíricos derivados de las primeras experiencias de aplicación.

La distinción entre rigor sustantivo y rigidez procedimental contraproducente resulta aquí crucial. No asistimos a una claudicación regulatoria, sino a un ejercicio de racionalización consciente que reconoce que determinados elementos del diseño original podían generar efectos perversos no deseados: desincentivar la innovación europea, favorecer indirectamente a operadores de terceros países y levantar barreras de entrada desproporcionadas para pequeñas y medianas empresas innovadoras.

Ilustración de un despacho jurídico con libros de Derecho, mazo judicial y una tablet mostrando la propuesta COM(2025) 836 del Digital Omnibus on AI, simbolizando la reforma del Reglamento de Inteligencia Artificial en la Unión Europea.

IV. Las cinco medidas que cambian el juego

La propuesta introduce modificaciones de calado que merecen un análisis detallado por su impacto directo en la planificación del cumplimiento normativo de miles de empresas europeas.

En primer lugar —y quizá la medida técnicamente más relevante— se vincula explícitamente el calendario de aplicación de los requisitos para sistemas de alto riesgo a la disponibilidad efectiva de normas armonizadas. Ya no será, en todo caso, el 2 de agosto de 2026, sino el momento en que existan presunciones de conformidad formalmente publicadas en el Diario Oficial. Esta solución, ya ensayada con éxito en el Reglamento de Maquinaria, introduce una racionalidad elemental: no tiene sentido exigir el cumplimiento de requisitos técnicos detallados cuando no existen aún las especificaciones que permiten acreditarlo de manera objetiva.

Esta modificación transforma de forma profunda la planificación empresarial. Los proveedores podrán ajustar sus inversiones en procedimientos de conformidad a la publicación real de las normas, en lugar de trabajar anticipadamente con criterios provisionales que luego podrían resultar incorrectos o incompletos. Se reduce así el riesgo de invertir recursos en compliance que posteriormente deba rehacerse, con el consiguiente ahorro económico y organizativo.

En segundo lugar, la extensión del régimen simplificado a las denominadas small mid-caps —empresas de hasta 250 trabajadores y 50 millones de euros de facturación o 43 millones de balance— reconoce una realidad económica largamente ignorada. Muchas scale-ups tecnológicas europeas superan con rapidez los umbrales tradicionales de pequeñas y medianas empresas, pero siguen careciendo de la estructura organizativa y los recursos internos de compliance propios de las grandes multinacionales. Exigirles el mismo nivel de formalización documental que a corporaciones de decenas de miles de empleados resulta, en la práctica, desproporcionado y disuasorio.

Naturalmente, la fijación de umbrales numéricos genera situaciones frontera inevitables. Una empresa con 260 trabajadores quedará ligeramente fuera; otra que alcance los 52 millones de euros superará el límite. Sin embargo, resulta preferible una cierta arbitrariedad cuantitativa clara a un régimen único e inflexible aplicado indiscriminadamente a operadores con capacidades radicalmente distintas.

En tercer lugar, la transformación de la obligación genérica de alfabetización en inteligencia artificial en una obligación de fomento institucional constituye una solución jurídicamente equilibrada. Se mantiene la exigencia de formación específica para quienes despliegan sistemas de alto riesgo, pero desaparece la obligación genérica que recaía sobre cualquier proveedor con independencia del nivel de riesgo. La alfabetización es importante, pero convertirla en una obligación jurídica directa, sin criterios claros de contenido y acreditación, añadía presión normativa innecesaria.

El nuevo enfoque permite que Estados miembros y Comisión desarrollen programas formativos estructurados y coherentes, sin generar cargas individualizadas de difícil verificación. Al mismo tiempo, quienes operen sistemas de alto riesgo deberán acreditar que su personal dispone de formación técnica adecuada, lo que resulta plenamente coherente con una gestión responsable de riesgos.

En cuarto lugar, la supresión de la obligación de registro en la base de datos europea para sistemas que realizan tareas meramente preparatorias o auxiliares en ámbitos del Anexo III eliminará miles de registros administrativos innecesarios. Pensemos en un sistema que se limita a extraer datos estructurados de documentos digitales para alimentar un proceso decisional posterior. Aunque formalmente vinculado a un ámbito de alto riesgo, carece materialmente de riesgos significativos. Su registro habría generado ruido informativo y dificultado la supervisión efectiva de los sistemas verdaderamente problemáticos.

En quinto lugar, la centralización en la Oficina de Inteligencia Artificial de la supervisión de modelos de propósito general integrados en plataformas en línea de muy gran tamaño responde a un criterio elemental de eficiencia institucional. La supervisión fragmentada por veintisiete autoridades nacionales habría generado inconsistencias interpretativas, duplicidades costosas y una carga administrativa innecesaria tanto para autoridades como para operadores.

V. El artículo 4 bis del Reglamento de Inteligencia Artificial: resolviendo la paradoja de los sesgos ocultos

La propuesta introduce una novedad procedimental de enorme relevancia sistémica: la incorporación de un nuevo artículo 4 bis que permite expresamente el tratamiento de categorías especiales de datos personales con la finalidad exclusiva de detectar y corregir sesgos discriminatorios en sistemas de inteligencia artificial. Se trata de una modificación técnicamente precisa, pero con efectos potencialmente transformadores en la práctica del desarrollo y auditoría algorítmica en Europa.

Esta disposición responde a una paradoja regulatoria que venía paralizando a numerosos equipos técnicos y jurídicos. El artículo 10.5 del Reglamento original exigía identificar, evaluar y mitigar sesgos discriminatorios, mientras que el Reglamento General de Protección de Datos dificultaba de forma extrema —cuando no directamente impedía— el uso de los datos sensibles que resultan imprescindibles para esa identificación. ¿Cómo detectar un sesgo por origen racial sin procesar datos que revelen origen racial? ¿Cómo evaluar discriminaciones indirectas por género sin información relativa al sexo? La exigencia normativa era clara; el camino jurídico para cumplirla, no.

Durante meses, esta contradicción generó un efecto disuasorio significativo. Muchas empresas optaron por enfoques de auditoría incompletos o puramente teóricos, basados en proxies estadísticos de dudosa fiabilidad, por temor a infringir la normativa de protección de datos. Otras simplemente postergaron auditorías profundas, asumiendo un riesgo regulatorio latente. El resultado fue un ecosistema en el que la lucha contra la discriminación algorítmica quedaba debilitada por una colisión mal resuelta entre dos marcos normativos legítimos.

El nuevo artículo 4 bis introduce un marco jurídico claro para ese tratamiento excepcional, sometiéndolo a salvaguardias técnicas y organizativas estrictas. Entre ellas destacan la minimización rigurosa de datos, la anonimización o seudonimización robusta cuando sea técnicamente viable, la limitación estricta de finalidad a la detección y corrección de sesgos, garantías reforzadas de seguridad y una prohibición expresa de usos secundarios o incompatibles. No se trata de una carta blanca, sino de una excepción cuidadosamente acotada.

El impacto práctico será considerable. Los equipos técnicos y de data science podrán llevar a cabo auditorías sistemáticas de sesgo con respaldo normativo sólido. Será posible, por ejemplo, analizar empíricamente si un sistema automatizado de selección de personal presenta sesgos de género procesando datos relativos al sexo de los candidatos, siempre bajo controles estrictos y exclusivamente con fines correctivos. Lo mismo ocurrirá en ámbitos como la concesión de crédito, la detección de fraude o la priorización de pacientes en sistemas sanitarios.

Más allá de su utilidad inmediata, la introducción de este artículo evidencia una comprensión más madura de las tensiones internas del derecho digital contemporáneo. La protección estricta de la privacidad de datos sensibles y la lucha eficaz contra la discriminación algorítmica no son objetivos incompatibles, pero sí requieren mecanismos de ponderación explícitos. Ignorar el conflicto o resolverlo mediante silencios normativos solo conduce a la inacción. El artículo 4 bis representa, en este sentido, un avance metodológico relevante en la regulación de sistemas complejos.

VI. Innovar con seguridad: la expansión de los sandboxes regulatorios

La propuesta amplía de forma significativa las posibilidades de prueba en entornos reales para sistemas de alto riesgo, incluidos aquellos integrados en productos regulados por legislación sectorial armonizada, como vehículos de motor, dispositivos médicos o aeronaves civiles. Además, se crea expresamente un sandbox regulatorio europeo centralizado, gestionado por la Oficina de Inteligencia Artificial a partir de 2028, lo que supone un salto cualitativo en la arquitectura institucional del marco regulatorio.

Esta ampliación responde a una necesidad técnica difícilmente discutible. Los sistemas basados en aprendizaje automático no alcanzan niveles aceptables de fiabilidad únicamente mediante pruebas en entornos controlados. Su rendimiento depende de la exposición a datos del mundo real, con toda su complejidad, ruido estadístico y variabilidad contextual. Limitar en exceso las pruebas a escenarios de laboratorio puede dar lugar a sistemas formalmente conformes, pero operativamente frágiles o incluso peligrosos.

Un sistema de asistencia a la conducción autónoma puede funcionar de manera impecable en un circuito cerrado y fallar estrepitosamente en tráfico urbano denso, con peatones impredecibles, ciclistas que incumplen normas, meteorología cambiante y señalización ambigua. Esa brecha entre rendimiento simulado y comportamiento real es precisamente lo que los sandboxes permiten identificar y corregir de forma temprana, antes de un despliegue comercial a gran escala.

La creación de un sandbox europeo centralizado constituye, además, una innovación organizativa de primer orden. Hasta ahora, los sandboxes dependían de iniciativas nacionales fragmentadas, con criterios heterogéneos de acceso, metodologías dispares y niveles variables de exigencia técnica. Un sandbox europeo permitirá establecer estándares comunes de calidad, compartir aprendizajes metodológicos entre Estados miembros, facilitar el acceso a empresas que operan en múltiples jurisdicciones y concentrar recursos técnicos altamente especializados.

Desde una perspectiva estratégica, este enfoque también refuerza la competitividad europea. Ofrecer un entorno regulatorio que permita experimentar de forma controlada, pero realista, reduce incentivos a trasladar proyectos de investigación y desarrollo a jurisdicciones menos exigentes. Innovar con seguridad no es un eslogan, sino una condición para que la regulación no se convierta en un factor de deslocalización tecnológica.

Naturalmente, las pruebas en entornos reales plantean cuestiones delicadas de responsabilidad civil, protección de derechos fundamentales y gestión de riesgos. ¿Qué ocurre si, durante una prueba controlada, un sistema experimental causa daños a terceros? La propuesta mantiene salvaguardias robustas: consentimiento informado cuando proceda, supervisión continua por autoridades competentes, capacidad de intervención inmediata ante anomalías y exigencia de seguros de responsabilidad civil adecuados. El equilibrio alcanzado parece razonable y coherente con experiencias previas en sectores regulados.

VII. Lo que esto cambia en el día a día de las empresas

Para las empresas europeas que preparan sus estrategias de cumplimiento para 2026 y 2027, la propuesta implica cambios sustanciales tanto en la planificación estratégica como en la operativa cotidiana. No se trata de ajustes marginales, sino de modificaciones que afectan directamente a la asignación de recursos, a la organización interna y a la toma de decisiones de inversión.

La documentación técnica y los sistemas de gestión de calidad podrán ser sensiblemente más ligeros para aquellas empresas que califiquen como small mid-caps. Una empresa de 200 empleados que había previsto contratar varios perfiles especializados adicionales para gestionar el compliance podrá reducir esa necesidad, liberando recursos financieros y humanos para inversión directa en desarrollo tecnológico, pruebas de producto o captación de talento.

Los sistemas que realicen tareas meramente preparatorias o auxiliares en ámbitos del Anexo III podrán excluirse del registro obligatorio en la base de datos europea. Esta exclusión no solo reduce carga administrativa, sino que clarifica prioridades internas: los equipos podrán concentrar esfuerzos en la evaluación de riesgos reales, en lugar de dedicar tiempo a trámites formales de escaso valor protector.

La centralización de la supervisión de modelos de propósito general integrados en grandes plataformas en la Oficina de Inteligencia Artificial simplifica de forma notable la interlocución institucional. En lugar de coordinar comunicaciones paralelas con múltiples autoridades nacionales, las empresas dispondrán de un canal único de diálogo técnico, reduciendo riesgos de interpretaciones divergentes y duplicidades costosas.

La habilitación expresa para tratar datos sensibles con fines de detección de sesgos elimina una de las principales trabas que afrontaban los equipos técnicos. El nuevo artículo 4 bis permite diseñar procesos de auditoría de equidad más rigurosos, integrados desde fases tempranas del ciclo de vida del sistema, en lugar de como ejercicios defensivos posteriores.

Desde una perspectiva organizativa, las empresas deberán revisar sus hojas de ruta regulatorias. Los calendarios de inversión en procedimientos de conformidad podrán ajustarse con mayor racionalidad, especialmente en sistemas de alto riesgo vinculados a la publicación efectiva de normas armonizadas. Los departamentos jurídicos actualizarán matrices de riesgo, mientras que los equipos técnicos explorarán posibilidades de prueba antes inviables.

VIII. Una valoración que atiende no solo al texto, sino también a su espíritu

La propuesta del Digital Omnibus demuestra que es posible corregir el rumbo regulatorio sin traicionar los objetivos originales del Reglamento de Inteligencia Artificial. Se mantiene intacta la arquitectura conceptual basada en el riesgo —sistemas prohibidos, de alto riesgo, de transparencia y de riesgo mínimo—, pero se introduce flexibilidad procedimental allí donde la rigidez amenazaba con convertirse en un obstáculo estructural.

Resulta especialmente acertada la decisión de actuar mediante modificación legislativa formal y no limitarse a orientaciones interpretativas. Las guías pueden aclarar conceptos, pero no pueden modificar calendarios legalmente fijados, crear excepciones explícitas al tratamiento de datos personales ni redefinir competencias supervisoras. Aquí era necesaria una intervención normativa plena, y la Comisión la ha propuesto con rapidez poco habitual.

Queda por ver la reacción del Parlamento Europeo y del Consejo. La tramitación urgente parece justificada: cada mes adicional de incertidumbre regulatoria implica costes reales para empresas que toman decisiones estratégicas en tiempo real sobre dónde localizar proyectos de investigación y desarrollo.

Algunos críticos sostendrán que modificar un Reglamento apenas quince meses después de su entrada en vigor transmite una imagen de precipitación inicial. Esa lectura ignora la naturaleza dinámica de las tecnologías reguladas. La alternativa —persistir en un diseño disfuncional por coherencia formal— habría sido mucho más dañina. La capacidad de rectificación basada en datos empíricos es, en este contexto, una virtud institucional.

Tampoco puede sostenerse seriamente que las modificaciones diluyan la ambición protectora original. Las obligaciones sustantivas permanecen intactas. Lo que se ajusta son calendarios, procedimientos y cargas documentales. No se reduce la supervisión; se hace practicable.

IX. Conclusiones

Nos encontramos, en definitiva, ante un ejercicio de corrección normativa que refuerza, y no debilita, la credibilidad del modelo regulatorio europeo en materia de inteligencia artificial. El Reglamento no es perfecto —ningún marco que aborde tecnologías en rápida evolución puede serlo—, pero la propuesta corrige sus principales rigideces prácticas sin comprometer su ambición protectora.

La intervención responde de forma proporcionada a problemas empíricos concretos: la ausencia de normas armonizadas, los retrasos en la designación de organismos de evaluación y las tensiones no resueltas con otros marcos normativos, en particular la protección de datos. Su filosofía es clara: simplificación procedimental sin desprotección sustantiva.

La vinculación del calendario a la disponibilidad de normas armonizadas introduce racionalidad regulatoria. La extensión del régimen simplificado a las small mid-caps reconoce la realidad de empresas innovadoras sin estructuras complejas de compliance. El nuevo artículo 4 bis resuelve una paradoja que bloqueaba auditorías de sesgo, la centralización supervisora evita fragmentación y la ampliación de los sandboxes responde a necesidades técnicas ineludibles.

Las implicaciones prácticas para los operadores son significativas en términos de planificación, inversión y demostración de conformidad. La propuesta merece apoyo decidido, sin perjuicio de un seguimiento atento durante su tramitación legislativa para asegurar que el equilibrio alcanzado entre innovación y protección se mantenga. En un ámbito tan dinámico como la inteligencia artificial, regular bien no significa regular más, sino regular mejor.

Resumen:

La propuesta COM(2025) 836 final de la Comisión Europea, conocida como Digital Omnibus on AI, constituye la primera modificación sustancial del Reglamento (UE) 2024/1689 sobre Inteligencia Artificial, apenas quince meses después de su entrada en vigor. Este trabajo analiza el diagnóstico que subyace a la propuesta, centrado en los retrasos en la publicación de normas armonizadas y en la designación de organismos de evaluación, y examina las principales medidas de flexibilización introducidas: vinculación de calendarios a la disponibilidad de normas, extensión del régimen simplificado a small mid-caps, transformación de la obligación de alfabetización, supresión de registros innecesarios, centralización de la supervisión de modelos de propósito general y creación del nuevo artículo 4 bis sobre tratamiento de datos sensibles para detección de sesgos. Se valoran críticamente las implicaciones prácticas para los operadores y se concluye que la propuesta logra el difícil equilibrio entre mantener la ambición protectora del Reglamento original y corregir rigideces que amenazaban con frenar la innovación europea en inteligencia artificial.

X. Referencias normativas y bibliográficas

1) Normativa de la Unión Europea

Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (Reglamento de Inteligencia Artificial).

Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos).

Reglamento (UE) 2018/1139 del Parlamento Europeo y del Consejo, de 4 de julio de 2018, sobre normas comunes en el ámbito de la aviación civil.

Reglamento (CE) número 2006/42/CE del Parlamento Europeo y del Consejo, de 17 de mayo de 2006, relativo a las máquinas (Reglamento de Maquinaria).

Recomendación 2003/361/CE de la Comisión, de 6 de mayo de 2003, sobre la definición de microempresas, pequeñas y medianas empresas.

2) Documentos institucionales

Comisión Europea, Propuesta de Reglamento del Parlamento Europeo y del Consejo que modifica los Reglamentos (UE) 2024/1689 y (UE) 2018/1139 en lo que respecta a la simplificación de determinadas disposiciones (Digital Omnibus on AI), COM(2025) 836 final, Bruselas, 19 de noviembre de 2025.

Comisión Europea, Documento de trabajo de los servicios de la Comisión que acompaña la propuesta COM(2025) 836 final, evaluación de impacto, Bruselas, 19 de noviembre de 2025.

Sobre el autor

Diego Fierro Rodríguez es Letrado de la Administración de Justicia en ejercicio, Codirector de la Revista Acta Judicial y Doctorando en Derecho. Desarrolla su actividad profesional en el ámbito de la Administración de Justicia española, siendo actualmente el Jefe del Área penal del Servicio Común de Ejecución del Tribunal de Instancia de Málaga.

Sobre la publicación

Se han utilizado Google Gemini para la imagen y Google Gemini y Perplexity para recabar y contrastar toda la información disponible.

Diego Fierro Rodríguez
Letrado de la Administración de Justicia
Codirector de la Revista Acta Judicial
Doctorando en Derecho

ENATIC presenta el Estudio de Derecho Comparado en Protección de Datos: Perú y la Unión Europea

/0 Comentarios/en /por

ENATIC publica el Estudio de Derecho Comparado en Protección de Datos: Perú y la Unión Europea, un estudio de investigación en Derecho Digital.

El presente artículo pretender brindar elementos para comprender la magnitud que ostenta el derecho de la protección de datos en Perú, así como las similitudes y diferencias que existen entre la norma local y su referente internacional como es el Reglamento General de Protección de Datos Personales (RGPD), a fin de poder saber si Perú podría ser calificado por la Comisión Europea con un nivel equivalente a los estándares exigidos por la Unión Europea.

Juan S. Mora-Sanguinetti publica

/0 Comentarios/en /por

¿Cómo funciona realmente la justicia en España y cómo afecta a nuestro bienestar? Un sistema judicial eficaz es esencial para el desarrollo económico y su lentitud cuesta mucho dinero. Sirva de ejemplo que las grandes empresas españolas provisionan cada año 12 mil millones de euros para hacer frente a posibles litigios, más de lo que reservaron los Presupuestos Generales del Estado para infraestructuras en 2021. Pero no solo las empresas se ven afectadas, también la vida diaria de los ciudadanos cambia según cómo funcione la justicia, incluso si nunca han tenido un pleito. Una buena muestra de ello es que, si se lograra reducir en un solo punto la congestión judicial, Madrid ganaría 3.400 viviendas en alquiler y Barcelona, 3.100.

Este libro analiza, con datos claros y objetivos y con un lenguaje ameno, la situación del sistema judicial en España, incluyendo su digitalización y sus medios, sus diferencias territoriales y las circunstancias de sus distintos actores, como jueces y abogados. Tras exponer las consecuencias para la sociedad y la economía españolas, el libro aborda las posibles soluciones, entre ellas, potenciar la mediación.

Consigue el libro aquí: Tecnos

Código de Derecho de la Ciberseguridad

/0 Comentarios/en /por

 

Codigo de Derecho de la CiberseguridadEl pasado jueves 21 el BOE nos regalaba el “Código de Derecho de Ciberseguridad”. Un compendio completo de toda la normativa que afecta a todos los diversos aspectos de la ciberseguridad y seguridad de la información en la actualidad desde sus diversos enfoques e implicaciones. Tan actual que su última actualización es justo del propio día 21 de julio con la incorporación de la Directiva (UE) 2016/1148, sobre ciberseguridad.

La recopilación ha sido realizada por nuestro querido compañero Paco Pérez Bes, Secretario General del Instituto Nacional de Ciberseguridad y, desde aquí queríamos acercaros la obra que nos proporciona la practicidad, sin duda, de esta gran recopilación que esperamos poder presentaros desde ENATIC a la vuelta de las vacaciones, pudiendo así comprender mejor el enfoque y funcionalidad que seguro nos va a proporcionar.

Desde aquí nuestra enhorabuena a Paco y el reconocimiento al esfuerzo invertido.

Os dejamos el enlace para la descarga gratuita del Boletín: http://www.boe.es/legislacion/codigos/codigo.php?id=173_Codigo_de_Derecho__de_la_Ciberseguridad

Safer Internet Day. Consejos de ENATIC a empresas digitales por una Internet más segura para todos.

/0 Comentarios/en /por
ENATIC se suma a celebrar el Día Internacional de Internet Segura presentando un Decálogo de recomendaciones a las empresas para la generación de entornos o espacios online más seguros y apropiados para menores de edad.

Decálogo empresas Safer Internet Day

Decálogo empresas Safer Internet Day

Con ocasión de la celebración del “Safer Internet Day” (Día Internacional de Internet Segura), es habitual la publicación de decálogos de consejos para propiciar y fomentar un uso más seguro y responsable de la Red, en particular, respecto a los menores de edad.

Por lo general, el enfoque de las recomendaciones que se proponen por diversas organizaciones y entidades de referencia suele circunscribirse bien al entorno familiar, bien al entorno escolar, e incluso, a ambos, lo que resulta muy loable al tratarse de los espacios de interactuación más comunes en los que están presentes los menores, sobre todo, cuando éstos cuentan con menos de 14 años de edad, siendo quizás el segmento de edad más vulnerable ante los riesgos que operan en Internet.

Es una realidad incontestable que, de un lado, la edad en la que los niños se incorporan  a Internet es cada vez temprana y que, de otro lado, -con diverso grado de preocupación por la seguridad y la privacidad de éstos-, la industria y muchas empresas han empezado a interesarse (y mucho) por generar aplicaciones y plataformas dirigidas a aquéllos. Ello explica, por ejemplo, la importante eclosión de apps de los últimos años destinadas a los mismos, las cuales, además, en su mayoría, no presentan sentido o fin educativo alguno, ni están destinadas a ser utilizadas en ningún colegio o centro escolar.

Por este motivo y dado que, muchas veces, tampoco existen orientaciones, guías o recomendaciones claras o de utilidad dirigidas a las empresas de productos y servicios digitales -a pesar de erigirse éstas en actores fundamentales en la generación o desarrollo de entornos online seguros-, es por lo que ENATIC ha decidido esbozar ciertas recomendaciones dirigidas a aquéllas, bajo el convencimiento que, únicamente, con la plena concienciación y el apoyo de las empresas de Internet, conjuntamente con otros sectores y condicionantes, será posible el surgimiento de nuevos espacios y plataformas de navegación más seguras y respetuosas con los derechos fundamentales de los internautas, en general, y especialmente, de aquéllos que parecen más expuestos a los riesgos digitales: los menores de edad.

Nuestras principales recomendaciones a las empresas de Internet, para la generación de productos y servicios, entornos o espacios digitales más seguros para todos y, en especial, para menores de edad, son los siguientes:

1.- Los derechos de los usuarios y, especialmente, de los niños, como usuarios más vulnerables, no son un juego. Los niños tienen derecho a jugar, así como al libre y pleno desarrollo de su personalidad por todos los medios y canales posibles, pero eso no autoriza a “jugar” con sus derechos. Te aconsejamos reflexionar sobre ello en cada decisión empresarial que adoptes y que les pueda afectar en modo alguno.

2.- Incorpora compromisos empresariales por la seguridad en Internet al más alto nivel corporativo. Si tu empresa está presente en la Red, es importante incorporar la “Seguridad en la Navegación y uso de Internet” a tus valores corporativos básicos, con mención expresa a la misma en tu posible código de conducta o ético, de tal forma que verdaderamente inspire toda tu actividad, proyectos e iniciativas; en particular, cuando las mismas se dirijan a menores de edad.

3.- Forma a tu personal en valores por una “Internet más Segura para Todos”. Sólo así serán capaces de desarrollar proyectos respetuosos, a su vez, con este principio.

4.- Propicia la seguridad, como un elemento que también puede reforzar tu competitividad. Potenciar el uso seguro de Internet puede convertirse en un gran aliado competitivo, ¿no crees que merece la pena apostar por ello?

5.- Incorpora los principios de privacidad y seguridad por defecto o “desde el diseño” en todo tipo de proyectos, en especial si se dirigen a menores de edad. Debes tener muy en cuenta los principios de privacidad y seguridad desde el primer momento en que tu empresa idee un proyecto digital, sobre todo, cuando se dirijan o puedan afectar a los menores de edad.

6.- Establece equipos de trabajo multidisciplinares, con la participación de abogados expertos en derecho digital. Cualquier proyecto empresarial digital que pretenda cumplir plenamente con la legalidad vigente, así como defender una mayor seguridad para los internautas debe contar necesariamente entre sus filas con un abogado digital experto.

7.- Mejora la transparencia, la claridad y la sencillez de tu mensaje al dirigirte a los usuarios, o a sus padres, tutores y educadores, en el caso de los menores de edad. Nadie se sentirá seguro si lo que le transmites de tu empresa y sus proyectos no resulta claro, ni confiable. La opacidad es una mala opción empresarial. Por eso, haz que tus potenciales usuarios o clientes y los padres, tutores o educadores, en el caso de los menores de edad, apuesten por proyectos claros y comprometidos con sus derechos.

8.- Implementa sistemas de acreditación del consentimiento paterno y de verificación de la edad real del usuario según el tipo de proyecto de que se trate. No existen “recetas mágicas” en este ámbito, al imponerse un principio de libertad empresarial en la determinación de tales sistemas o mecanismos, por lo que cada una debe elegir la que mejor convenga cada proyecto. Sería interesante promover desde el sector empresarial la elaboración de un código de buenas prácticas sobre los posibles mecanismos y soluciones que se puedan usar, incluso de forma combinada, para la mejor protección de los derechos de los menores de edad.

9.- Impulsa o participa en proyectos públicos-privados por una Internet más Segura. Plantea o colabora en iniciativas de tipo público-privado que permitan comprender y afrontar mejor las dificultades específicas que entraña implementar unas prácticas más seguras y apropiadas de usar Internet, en coherencia con la normativa aplicable en cada caso.

10.- Ayúdanos a que cada día del año sea un “Safer Internet Day”. ENATIC tiene comisiones de trabajo sobre empresas y menores de edad. Te animamos a que participes con nosotros en esta gran labor conjunta por hacer de Internet –todos los días del año- un lugar más seguro, que ofrezca grandes oportunidades (y cada vez menos riesgos) a la sociedad en general y, en especial, a nuestros menores.

Comisión de Empresa y Comisión de Menores de edad.

ENATIC.

Hoy compartiremos con el hashtag oficial #SID2016 y #enaTICSID2016 este decálogo a través de este enlace. Ayúdanos a difundir a través de tus redes sociales para una mayor concienciación empresarial en el diseño de herramientas más fiables y seguras para los menores.

La Responsabilidad Legal de las Empresas Frente a un Ciberataque

/0 Comentarios/en /por

Prólogo del Consejo General de la Abogacía Española

Informe ciberdelincuencia

El Informe de ISMS-Forum y ENATIC, al que estas breves palabras sirven de prólogo, es una muestra de cómo la evolución de las tecnologías de la información suponen al tiempo un horizonte, cuando no una realidad tangible, de oportunidades, retos y riesgos.

El avance de Internet ha generado un aumento históricamente incuestionable de la rapidez de las comunicaciones, de la amplitud de la información disponible y de las posibilidades de acceder a ella.

Y ha supuesto también una mayor exposición de las instituciones públicas y de las entidades privadas, y aún de los propios

ciudadanos, al ojo público, con las consiguientes demandas de transparencia y de rendición de cuentas, siempre deseables, pero también a las amenazas derivadas del empleo y, en su caso, del abuso de las tecnologías de la información y de la comunicación para la consecución de fines ilícitos.

Es sabido que hace tiempo que la ley llega tarde, que el legislador trata de resolver con largas e intrincadas normas los retos que plantean las mencionadas tecnologías, lo que demuestra que, en ocasiones, parece olvidar que las exigencias que plantean para el Derecho dichas tecnologías son, en muchos casos, atendibles con las clásicas categorías jurídicas. Tal podría ser el caso del instituto de la responsabilidad. Pero no es menos cierto, en cualquier caso, que determinadas cuestiones sí merecen un nuevo enfoque que revista de caracteres específicos aquellos aspectos que merecen un tratamiento particularizado por razones derivadas de su especial significación para la comunidad, para el Estado en su conjunto.

Buen ejemplo de este segundo enfoque lo representa el régimen de las infraestructuras críticas. Si bien su arranque puede situarse en el año 2004, el hito relevante lo constituyen la Directiva 2008/114, del Consejo, de 8 de diciembre, sobre la identificación y designación de Infraestructuras Críticas Europeas y la evaluación de la necesidad de mejorar su protección, y la Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas. En esta segunda puede observarse cómo las denominadas infraestructuras críticas no son sólo las integradas en la esfera pública, sino también las de titularidad privada, en cuanto reúnan los requisitos fijados en la norma, que pivotan sobre la protección de los sectores estratégicos y los servicios esenciales.

De este modo, los Estados miembros, y en España en particular, se han dotado de un régimen jurídico que comprende  disposiciones organizativas y operativas encaminadas a lograr la correcta planificación de los eventuales ataques y, en su caso, a articular la reacción del Sistema de Protección de Infraestructuras Críticas para garantizar el correcto funcionamiento de los servicios esenciales o en la seguridad de los ciudadanos.

La Responsabilidad Legal de las Empresas Frente a un Ciberataque La Ley 8/2011 es clara cuando determina que su objeto es el establecimiento de las estrategias y las estructuras adecuadas que permitan dirigir y coordinar las actuaciones de los distintos órganos de las Administraciones Públicas en materia de protección de infraestructuras críticas, previa identificación y designación de las mismas, para mejorar la prevención, preparación y respuesta de nuestro Estado frente a atentados terroristas u otras amenazas que afecten a infraestructuras críticas. Para ello, precisa la Ley, se impulsará, además, la colaboración e implicación de los organismos gestores y propietarios de dichas infraestructuras, a fin de optimizar el grado de protección de éstas contra ataques deliberados de todo tipo, con el fin de contribuir a la protección de la población.

Entre esas amenazas, como ilustra el informe que el Consejo General de la Abogacía Española ha tenido el honor de  patrocinar, se encuentran los denominados ciberataques, que plantean retos de calado por sus especiales características. Entre esos retos se encuentra el de la adecuada y proporcionada respuesta en Derecho.

Por ello es de justicia terminar estas líneas felicitando a los autores del informe por el acierto de este excelente trabajo y porque va a ser una utilísima herramienta para las empresas en un mundo tan complejo como es el de los ciberataques.

Carlos Carnicer

Presidente del Consejo General de la Abogacía Española

Descárgate aquí el informe completo