La Comisión Europea ha dado un giro delicado en su política digital. Tras años presentando el RGPD y la futura Ley de IA como el muro de contención frente a los excesos de las grandes tecnológicas, Bruselas ha puesto sobre la mesa un paquete legislativo ómnibus que, en la práctica, suaviza plazos, obligaciones y límites para las empresas que manejan datos y desarrollan sistemas de inteligencia artificial.
Oficialmente, el objetivo es claro: reducir burocracia, facilitar el crecimiento económico y recortar hasta 5.000 millones de euros en costes administrativos de aquí a 2029, además de abrir la puerta a ahorros potenciales de hasta 150.000 millones de euros anuales gracias a la digitalización de trámites empresariales. Pero organizaciones de derechos digitales, juristas y parte del ecosistema crítico con el poder de las Big Tech ya hablan de una cesión ante las presiones de las grandes compañías tecnológicas —tanto estadounidenses como europeas— y de gobiernos interesados en disponer de más datos para entrenar modelos de IA.
Un paquete ómnibus para “simplificar” la regulación digital
El nuevo paquete, bautizado como digital omnibus, agrupa cambios en tres grandes frentes: inteligencia artificial, ciberseguridad y protección de datos. Lo acompaña una Data Union Strategy —pensada para desbloquear grandes volúmenes de datos de calidad— y una propuesta de European Business Wallet, una especie de “monedero digital” para empresas y administraciones públicas de los 27.
En el terreno de la IA, la Comisión propone vincular la entrada en vigor de las normas aplicables a los sistemas de alto riesgo —los que pueden afectar a la salud, la seguridad o los derechos fundamentales— a la disponibilidad de “herramientas de soporte” y estándares técnicos claros. En la práctica, esto supone que esas obligaciones no se aplicarían automáticamente en la fecha prevista, sino hasta un máximo de 16 meses después de que Bruselas certifique que existen estándares y herramientas suficientes para que las empresas puedan cumplir.
La narrativa oficial es que se trata de evitar que las compañías, especialmente las pymes, se enfrenten a una ley difícil de aplicar en la práctica. Para los críticos, el riesgo es obvio: un periodo más largo en el que sistemas de IA potencialmente peligrosos operarán con menos exigencias, justo en el momento en que la carrera por la IA generativa se dispara.
IA y datos personales: más margen para entrenar modelos
Uno de los puntos más sensibles del paquete ómnibus está en los cambios propuestos sobre el RGPD. La Comisión insiste en que el “núcleo” del reglamento se mantiene intacto, pero introduce modificaciones “dirigidas” para armonizar, clarificar y simplificar algunas normas.
Entre otras cosas, se facilita la compartición de conjuntos de datos personales anonimizados o seudonimizados entre empresas, y se abre la puerta a que compañías de IA puedan usar ciertos datos personales para entrenar modelos, siempre que el proceso de entrenamiento y el uso posterior se ajusten a los principios del RGPD.
En la práctica, esto supone dar un marco algo más cómodo a las empresas que desean alimentar sus modelos con datos de usuarios europeos, a cambio de reforzar la documentación, las garantías técnicas y las evaluaciones de impacto. Para las tecnológicas es una ventana de oportunidad; para quienes recelan de la vigilancia algorítmica, un paso atrás en un texto que hasta ahora se consideraba el “estándar de oro” en privacidad.
Cookies menos pesadas… pero más poder para navegadores y sistemas
Otra de las medidas estrella es la promesa de acabar con el hartazgo de los banners de cookies. La Comisión prevé modernizar las reglas de consentimiento para reducir el número de ventanas emergentes y permitir que los usuarios gestionen sus preferencias de forma centralizada desde el navegador o el sistema operativo.
La idea es que las personas puedan aceptar o rechazar categorías de cookies “de una sola vez” y que esa configuración se aplique de forma coherente en todos los sitios web. Ciertas cookies consideradas de “alto riesgo” quedarían fuera del consentimiento granular habitual.
Desde el punto de vista de la experiencia de usuario, puede parecer un alivio. Sin embargo, algunos expertos alertan de que esto traslada aún más poder a los grandes navegadores y sistemas operativos, muchos de ellos controlados por las mismas grandes tecnológicas cuyas prácticas de rastreo y publicidad se pretendía limitar en origen.
Menos papeleo en ciberseguridad y más datos para la IA
En el ámbito de la ciberseguridad, el paquete introduce un punto único de notificación de incidentes, de modo que las empresas no tengan que reportar el mismo suceso bajo varios marcos legales —como NIS2, RGPD o DORA— a través de canales distintos. Esta ventanilla única pretende reducir carga administrativa sin rebajar obligaciones de notificación.
El otro gran bloque es la Data Union Strategy, que pretende desbloquear más datos de calidad para entrenar modelos de IA y alimentar innovaciones en sectores clave. Entre las medidas, se anuncian:
- la consolidación de distintas normas en torno al Data Act en un texto más integrado;
- exenciones específicas para pymes en las reglas de cambio de proveedor cloud;
- modelos de contratos tipo para facilitar acuerdos de acceso y uso de datos;
- un “toolbox” contra fugas de datos sensibles y medidas para reforzar la soberanía europea sobre datos no personales.
En teoría, se trata de evitar que los datos europeos terminen sin control en jurisdicciones con marcos menos garantistas, a la vez que se crea un entorno más amable para que empresas de IA europeas accedan a datasets amplios y actualizados.
Un “monedero digital” para empresas en toda la UE
El tercer pilar del paquete es el European Business Wallet, una herramienta digital que dotaría a las empresas y organismos públicos de una identidad y un entorno común para operar en los 27 Estados miembros.
Con este monedero, las compañías podrían:
- firmar, fechar y sellar documentos de forma digital;
- crear, almacenar e intercambiar documentos verificados;
- comunicarse con administraciones y otras empresas de forma segura en toda la UE.
Bruselas calcula que, si su adopción es amplia, el ahorro en trámites y papeleo podría llegar a los 150.000 millones de euros al año, al facilitar la expansión transfronteriza, el pago de impuestos y la interacción con las autoridades sin recurrir a procesos presenciales.
Competitividad frente a derechos: un equilibrio cada vez más tenso
Los vicepresidentes y comisarios responsables del paquete insisten en el mismo argumento: Europa tiene talento, infraestructuras y mercado, pero sus empresas —sobre todo las más pequeñas— están atrapadas en un exceso de rigidez normativa. Reducir cargas, simplificar obligaciones y retrasar determinadas exigencias sería, según esta visión, la clave para cerrar la brecha de innovación frente a otras potencias.
Sin embargo, desde el lado de la sociedad civil y de una parte de la comunidad jurídica se percibe otro mensaje: la UE empieza a ceder en aquello que la hacía diferencial, un marco muy exigente en privacidad y un enfoque más prudente frente a la IA.
Permitir más flexibilidad en el uso de datos personales para entrenar modelos, retrasar la aplicación de normas para sistemas de alto riesgo y recentralizar el control del consentimiento de cookies en unos pocos grandes actores tecnológicos es, para estos críticos, un movimiento arriesgado en un contexto de creciente concentración de poder digital.
Lo que viene ahora: Parlamento, Estados miembros y “examen de forma física”
El paquete ómnibus y las propuestas asociadas se envían ahora al Parlamento Europeo y al Consejo, donde bastará una mayoría cualificada de los Estados miembros para sacarlas adelante. El proceso llevará meses, y no se descartan enmiendas y ajustes fruto de la negociación política y de la presión de grupos de interés en ambos sentidos.
En paralelo, la Comisión ha lanzado un Digital Fitness Check, una revisión de todo el “cuerpo” normativo digital, que incluye una consulta pública abierta hasta marzo de 2026. La idea es someter las reglas actuales a una especie de “prueba de esfuerzo” para comprobar si están ayudando o frenando la competitividad.
Lo que está claro es que el debate sobre hasta dónde puede —o debe— flexibilizarse el RGPD y la Ley de IA sin erosionar los derechos de los ciudadanos europeos se ha reabierto con fuerza. Y, esta vez, son las propias instituciones europeas las que se han colocado en el centro de la polémica.
Preguntas frecuentes
¿Qué cambios propone la Comisión Europea en el RGPD con este paquete digital?
La Comisión plantea modificaciones puntuales para armonizar y simplificar la aplicación del RGPD, especialmente en lo relativo al intercambio de datos seudonimizados o anonimizados entre empresas y al uso de determinados datos personales para entrenar modelos de IA, siempre bajo los principios del reglamento. No se toca el núcleo del RGPD, pero sí se crea un marco más flexible para ciertos usos de datos en contextos de innovación.
¿Cómo afectará a los usuarios la simplificación de los banners de cookies?
La idea es que los usuarios vean menos ventanas emergentes y puedan gestionar sus preferencias de cookies desde un panel central en el navegador o el sistema operativo. Esto podría mejorar la experiencia de navegación, pero también implica que una parte importante del control sobre el rastreo online se concentre en manos de quienes desarrollan esos navegadores y sistemas.
¿Qué es el European Business Wallet y qué ventajas tendrá para las pymes?
El European Business Wallet será una herramienta digital común para empresas y administraciones públicas de la UE. Permitirá firmar, sellar y compartir documentos verificados, y comunicarse de forma segura con autoridades y otras compañías en los 27 Estados miembros. Para las pymes, puede reducir trámites, acelerar su expansión a otros países de la UE y recortar costes asociados a la burocracia.
¿Por qué genera polémica el retraso en la aplicación de las normas para sistemas de IA de alto riesgo?
Porque esos sistemas son precisamente los que pueden afectar de forma más grave a la salud, la seguridad y los derechos fundamentales. Retrasar hasta 16 meses la plena aplicación de las normas, en función de la disponibilidad de estándares y herramientas, da más margen a las empresas para adaptarse, pero también prolonga el periodo en el que dichos sistemas operan con menor supervisión y menos obligaciones estrictas.
Fuente: Unión Europea
