¿Qué es el Paquete Ómnibus Digital y por qué es relevante?

El pasado 19 de noviembre, la Comisión Europea presentó el Paquete Ómnibus Digital, una propuesta legislativa que busca simplificar y modernizar el marco regulatorio en áreas críticas como inteligencia artificial, ciberseguridad y protección de datos. Su objetivo principal es:

• Unificar normativas dispersas para reducir complejidad.
• Reducir cargas administrativas, especialmente para pymes.
• Actualizar reglamentos clave como el RGPD, el Data Act y el Reglamento de IA.

Principales medidas del Paquete Ómnibus Digital

Ómnibus Digital sobre el Acervo Digital
Este reglamento introduce cambios significativos en el RGPD y otras normativas relacionadas con datos y ciberseguridad:

• Redefinición del concepto de dato personal para alinearlo con la jurisprudencia del TJUE.
• Integración de la regulación de cookies en el RGPD, simplificando el consentimiento.
• Ampliación de excepciones para tratamiento de datos sensibles en IA.
• Extensión del plazo para notificar brechas de seguridad: de 72 a 96 horas.
• Unificación normativa en materia de datos: el Data Governance Act y la Directiva de Datos Abiertos se integran en el Data Act.
• Punto único de notificación de incidentes para evitar duplicidades entre RGPD, NIS 2 y DORA.

Ómnibus Digital sobre IA
Este segundo reglamento busca flexibilizar el Reglamento de IA y fomentar la innovación:

• Plazos más realistas para requisitos de sistemas de alto riesgo.
• Exenciones ampliadas para pymes y empresas mid-cap.
• Impulso de entornos controlados de pruebas (sandboxes) para IA.
• Uso de datos especialmente protegidos para mitigar sesgos en modelos.
• Refuerzo del papel de la Oficina Europea de IA como entidad supervisora.

Las reformas legislativas propuestas aún no son aplicables, ya que deben completar su trámite legislativo ordinario europeo.

Estrategia Europea de Datos: más disponibilidad y menos cargas

Complementando el Paquete Ómnibus Digital, la UE lanza su Estrategia de Unión de Datos para:

• Aumentar la disponibilidad de datos de alta calidad para IA.
• Simplificar normas europeas sobre datos.
• Proteger la soberanía digital europea frente a prácticas injustas.
• Modernizar la legislación mediante cláusulas contractuales tipo y asistencia jurídica.

Primera política de la AEPD sobre IA generativa

El 27 de noviembre, la Agencia Española de Protección de Datos (AEPD) publicó su primera política para el uso interno de IA generativa en procesos administrativos. Esta iniciativa pionera establece:

• Supervisión humana obligatoria: no se permiten decisiones automatizadas con efectos jurídicos sin validación humana.
• Privacy by Design: evitar inclusión accidental de datos personales y garantizar que no se usen para entrenar modelos públicos.
• Marco de gobernanza claro: criterios para selección de soluciones, transparencia y explicabilidad.
• Objetivo estratégico: alineación con el Plan 2025-2030 de la AEPD, que apuesta por una estrategia “IA first” segura y ética.

Protección de menores en línea: nuevas directrices europeas

La Comisión Europea ha publicado directrices para reforzar la seguridad infantil en plataformas digitales, desarrollando el artículo 28 del Reglamento de Servicios Digitales. Las medidas incluyen:

• Evaluación anual de riesgos.
• Diseño adaptado a la edad y verificación de usuarios.
• Canales accesibles para denuncias y recursos de apoyo.
• Formación del personal y gobernanza clara.

Casos y resoluciones destacadas en España

¿Debe la IA interpretar solicitudes de privacidad?

La AEPD concluye que no puede exigirse a un chatbot comercial interpretar todas las formulaciones humanas, aunque recomienda informar al usuario cuando interactúa con sistemas automatizados.

APDCAT veta la identificación biométrica en videovigilancia municipal

La Autoritat Catalana de Protecció de Dades prohíbe la activación de identificación biométrica remota en tiempo real por falta de base jurídica, destacando riesgos para derechos fundamentales.

Sanciones relevantes

• 70.000 € por incluir a una empleada en grupos de WhatsApp sin consentimiento.
• 10 millones € por reconocimiento facial en aeropuertos sin EIPD completa.
• 200 millones € a una multinacional por vulnerar el Reglamento de Mercados Digitales con el modelo “pagar o consentir”.

Conclusión: ¿Qué implican estas novedades para las empresas?

Las reformas propuestas y las políticas publicadas marcan un cambio profundo en el marco regulatorio europeo y español. Las empresas deben:

• Prepararse para nuevas obligaciones en protección de datos y IA.
• Aprovechar incentivos a la innovación, como los sandboxes.
• Reforzar la gobernanza interna para cumplir con las directrices de transparencia y seguridad.

Estas medidas no solo buscan proteger derechos fundamentales, sino también impulsar la competitividad y la confianza digital en Europa.

¿Quieres conocer todos los detalles?
Haz clic en el botón para acceder al documento completo de la newsletter.