La Unión Europea replantea su regulación digital: retraso del Reglamento de IA y flexibilización de la GDPR

 

La Unión Europea replantea su regulación digital: retraso del Reglamento de IA y flexibilización de la GDPR»

Por Santiago García Carretero, Profesor Titular de la Universidad Rey Juan Carlos

1. Introducción

El 19–20 de noviembre de 2025 la Unión Europea anunció un giro significativo en su estrategia regulatoria sobre inteligencia artificial y protección de datos. Bajo el paquete denominado Digital Omnibus, la Comisión propone retrasar hasta diciembre de 2027 la aplicación de partes esenciales del Reglamento de Inteligencia Artificial (AI Act), al tiempo que inicia una flexibilización profunda de determinados componentes de la GDPR.

Estas medidas han generado una intensa reacción en la comunidad jurídica europea: mientras la industria tecnológica celebra la ampliación de los plazos, las organizaciones de derechos digitales y parte de la doctrina alertan de un retroceso normativo de gran magnitud.

Fuentes principales:

• Reuters: EU to delay “high risk” AI rules until 2027 after Big Tech pushback
• The Guardian: European Commission accused of massive rollback of digital protections
• Análisis sobre la reconfiguración de GDPR y datos pseudonimizados (Le Monde / The Verge / fuentes agregadas)

---

2. El núcleo jurídico del cambio: el AI Act se aplaza parcialmente

2.1. Sectores afectados

El aplazamiento afecta a obligaciones del Título III del Reglamento de IA, relativo a sistemas de alto riesgo, entre ellos:

• algoritmos de selección y contratación laboral;
• sistemas de IA utilizados por administraciones públicas;
• scoring y riesgo crediticio;
• IA en sanidad;
• identificación biométrica y vigilancia predictiva.

La entrada en vigor plena de estos módulos se traslada a diciembre de 2027, alegando la necesidad de tiempo adicional para que las empresas adapten procesos de gobernanza algorítmica y para que los Estados miembros refuercen recursos supervisores.

2.2. Motivación oficial

Según Reuters, la Comisión sostiene que este retraso no implica renunciar al modelo europeo, sino facilitar un cumplimiento “efectivo y proporcionado” en un contexto donde la IA evoluciona con gran rapidez.
Sin embargo, el trasfondo incluye un fuerte lobby de Big Tech, especialmente en relación con la carga administrativa para sistemas fundacionales y modelos avanzados.

---

3. Flexibilización sustantiva de la GDPR: tres líneas de reforma

3.1. Nueva definición de datos pseudonimizados

La Comisión propone redefinir la “pseudonimización” de forma que ciertas categorías de datos tratados mediante técnicas avanzadas queden fuera del régimen más estricto del GDPR.
Esto permitiría a las empresas usar esos datos para entrenar IA sin necesidad de consentimiento explícito.

3.2. Ampliación del “interés legítimo”

Se plantea permitir que empresas de IA procesen datos personales para entrenamiento de modelos bajo la base jurídica del interés legítimo del responsable, siempre que se apliquen salvaguardas técnicas reforzadas.
Críticos señalan que esta ampliación puede vaciar de contenido el principio de minimización.

3.3. Simplificación del consentimiento de cookies

La reforma busca reducir la “fatiga de banners”, autorizando:

• consentimientos de mayor duración;
• opciones de rechazo simplificadas;
• ventanas menos intrusivas.
  Organizaciones civiles argumentan que esta simplificación puede erosionar la transparencia en el tratamiento de datos.

---

4. Reacciones críticas: ¿retroceso en derechos digitales?

Según The Guardian, varios grupos de derechos humanos hablan de “massive rollback” de protecciones digitales. Las principales objeciones son:

• Se reduce la capacidad de los ciudadanos para controlar el uso de sus datos personales.
• Se debilita la función garantista que motivó la aprobación originaria del GDPR en 2016.
• Se genera un periodo de inseguridad jurídica donde empresas y autoridades deberán interpretar conceptos reformulados sobre la marcha.
• El retraso del AI Act deja sin protección inmediata a colectivos vulnerables expuestos a decisiones automatizadas de alto impacto.

---

5. Valoración jurídica: claves para entender el alcance real

5.1. El equilibrio entre innovación y derechos fundamentales

La UE parece desplazar su tradicional postura de “regulación preventiva” hacia un enfoque más pragmático y de estímulo industrial.
Pero el Derecho europeo se basa en principios: proporcionalidad, responsabilidad y transparencia. Cualquier flexibilización deberá superar un triple test:

• ¿Aumenta la opacidad algorítmica?
• ¿Reduce el control del titular de los datos?
• ¿Compromete garantías del art. 8 de la Carta de Derechos Fundamentales?

5.2. Competencias y supervisión

La ampliación del concepto de “interés legítimo” exigirá a las autoridades de protección de datos (DPAs) emitir directrices técnicas muy detalladas para evitar abusos.
Se prevé también un papel reforzado del European AI Office, que deberá coordinar orientaciones cruzadas con EDPB para no generar contradicciones entre las dos normativas.

---

6. Propuestas normativas desde la perspectiva académica y doctrinal

A partir del análisis jurídico actual, pueden formularse varias líneas de mejora legislativa:

• Debe establecerse un marco uniforme de pseudonimización técnica, con estándares europeos verificables (p. ej., umbrales de riesgo de reidentificación), evitando que la nueva definición sea tan amplia que deje zonas de sombra.
• La ampliación del interés legítimo requiere una evaluación de impacto de protección de datos (DPIA) obligatoria para todo uso de datos en entrenamiento de modelos de IA, aunque formalmente no sea alto riesgo.
• La fase transitoria del AI Act debería incorporar cláusulas de revisión anual, permitiendo ajustar plazos si surgen riesgos significativos documentados.
• Es necesario reforzar los mecanismos de auditoría algorítmica independiente, especialmente en IA pública y sistemas que afecten a derechos socioeconómicos.
• Las reformas deben garantizar un equilibrio real entre competitividad y protección de derechos, sin inducir una carrera hacia la desregulación.

---

7. Conclusión

La UE está en un momento decisivo: modular la regulación para favorecer el desarrollo de IA sin erosionar su identidad normativa basada en los derechos fundamentales.
Las medidas anunciadas para 2025–2027 muestran un giro relevante pero aún abierto, cuyo éxito dependerá de la claridad técnica y de la capacidad supervisora de las instituciones europeas.