Derecho Digital y seguridad de la información
-
La AEPD cerró 2025 con un récord histórico de más de 30.000 reclamaciones.
-
La Comisión Europea abre consulta sobre las directrices de transparencia del art. 50 del AI Act.
Cumplimiento normativo
-
La Audiencia Nacional refuerza la exigencia de eficacia real en los sistemas de compliance.
-
Sepblac publica una guía para aplicar las medidas simplificadas de diligencia debida.
Charlas, eventos y novedades
- El próximo 17 de junio, Leire López Mateo – asesora jurídica del Departamento de Nuevas Tecnologías y Cumplimiento Normativo en ARPA Abogados Consultores intervendrá en la jornada informativa sobre Responsabilidad de los administradores y directivos en las Sociedades de Capital en Logroño. En concreto, abordará mediante una sesión formativa la responsabilidad penal y la importancia del corporate compliance.
DERECHO DIGITAL Y SEGURIDAD DE LA INFORMACIÓN
El Gobierno aprueba el proyecto de ley para la gobernanza de la IA y la adaptación del marco español al AI Act
El Consejo de Ministros ha aprobado para su remisión al Congreso el proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, con el que España adapta su ordenamiento al Reglamento europeo de IA. Según el Ministerio para la Transformación Digital y de la Función Pública, la norma busca combinar la supervisión humana y el uso confiable de la IA con un enfoque que preserve la innovación segura, humanista y garantista.
El proyecto identifica las autoridades competentes para supervisar la aplicación del Reglamento de IA en España y fija el régimen sancionador correspondiente. En términos generales, atribuye a la AESIA la supervisión de aquellos sistemas de IA de alto riesgo que no estén sometidos a una normativa sectorial específica de producto, como puede ocurrir en ámbitos como el empleo, la biometría o la educación, sin perjuicio de las competencias que correspondan a otras autoridades, como la AEPD o el CGPJ, en función de la materia afectada. Además, la norma prevé mecanismos de coordinación entre autoridades y designa a la AESIA como punto de contacto único a nivel nacional.
La norma introduce, además, previsiones específicas para el sector público estatal, entre ellas la creación de un inventario de sistemas de IA utilizados en procedimientos administrativos, y articula la gobernanza de los entornos controlados de pruebas o sandboxes para facilitar el cumplimiento normativo por parte de los proveedores. Junto a ello, el Ministerio destaca que el texto refuerza la supervisión humana en supuestos que puedan afectar a derechos fundamentales, promueve la transparencia algorítmica e incluye medidas específicas de protección de los menores. Finalmente, establece la figura del delegado de IA «que estará encargado de coordinar la aplicación normativa y asesorar en proyectos y contratación pública.”
Volver al índice
La UE avanza en la simplificación del AI Act
El Consejo de la Unión Europea y el Parlamento Europeo han alcanzado un acuerdo provisional para simplificar determinados aspectos del Reglamento de Inteligencia Artificial, dentro del paquete legislativo de simplificación digital conocido como “Omnibus VII”. La reforma busca reducir cargas administrativas, mejorar la coherencia en la aplicación de la norma y ofrecer mayor seguridad jurídica a las empresas, especialmente en relación con los sistemas de alto riesgo y con la interacción entre el AI Act y la normativa sectorial.
Entre las novedades más relevantes, el acuerdo incorpora una nueva prohibición expresa sobre prácticas de IA dirigidas a generar contenido sexual o íntimo no consentido, así como material de abuso sexual infantil generado mediante esta tecnología. Además, fija un nuevo calendario de aplicación para las obligaciones sobre sistemas de alto riesgo, restablece ciertas garantías en materia de tratamiento de categorías especiales de datos para la detección y corrección de sesgos, y acorta a tres meses el plazo para implantar soluciones de transparencia sobre contenidos generados artificialmente. El texto deberá ser aún formalmente refrendado por el Consejo y el Parlamento antes de su adopción definitiva.
Volver al índice
La Comisión Europea publica el borrador de directrices sobre la clasificación de los sistemas de IA de alto riesgo
La Comisión Europea ha publicado el borrador de directrices sobre la clasificación de los sistemas de inteligencia artificial de alto riesgo, con el objetivo de ayudar a proveedores, responsables del despliegue y autoridades competentes a determinar cuándo un sistema debe quedar sometido a este régimen reforzado del Reglamento de Inteligencia Artificial. Según explica la propia Comisión, las directrices pretenden facilitar una aplicación uniforme y una supervisión más eficaz del artículo 6 del Reglamento, aportando criterios interpretativos y ejemplos prácticos sobre los supuestos en los que un sistema puede considerarse de alto riesgo.
El borrador se articula en tres documentos diferenciados. El primero recoge los criterios generales para determinar cuándo un sistema de IA debe considerarse de alto riesgo. El segundo se centra en los sistemas de IA integrados en productos que ya están sujetos a regulación específica. El tercero aborda los usos de la IA que pueden considerarse de alto riesgo por el ámbito en el que se emplean, como ocurre en determinados contextos especialmente sensibles. La Comisión ha abierto además una consulta pública sobre estos textos hasta el 23 de junio de 2026.
Volver al índice
La AEPD cerró 2025 con un récord histórico de más de 30.000 reclamaciones
La Agencia Española de Protección de Datos ha presentado su Memoria de actuación 2025, en la que informa de que recibió 30.931 reclamaciones, un 64 % más que el año anterior, lo que constituye la cifra más alta de su historia. A ello se suman los procedimientos transfronterizos procedentes de otras autoridades europeas y las actuaciones iniciadas de oficio, en un contexto marcado por el aumento de la complejidad tecnológica de los tratamientos y de los riesgos para los derechos de las personas.
La Memoria refleja además un incremento muy significativo de la actividad sancionadora en materia de brechas de datos personales: los procedimientos sancionadores o de apercibimiento en este ámbito pasaron de 30 en 2024 a 77 en 2025, un 157 % más, y derivaron en sanciones por casi 20 millones de euros. La Agencia identifica entre las áreas con mayor número de procedimientos la videovigilancia, los servicios de internet, las quiebras de datos personales, las administraciones públicas, el comercio, transporte y hostelería y la sanidad.
Volver al índice
La Comisión Europea abre consulta sobre las directrices de transparencia del art. 50 del AI Act.
La Comisión Europea ha publicado el borrador de directrices para la aplicación de las obligaciones de transparencia previstas en el artículo 50 del Reglamento de Inteligencia Artificial, con el objetivo de ofrecer orientación práctica a autoridades competentes, proveedores y responsables del despliegue de sistemas de IA. Según la propia Comisión, estas directrices buscan favorecer una aplicación coherente, eficaz y uniforme de las obligaciones de transparencia, y se han elaborado en paralelo al Código de Buenas Prácticas sobre marcado y etiquetado de contenidos generados por IA, aclarando además aspectos no cubiertos por dicho código. La Comisión ha abierto una consulta específica sobre el borrador hasta el 3 de junio de 2026.
Volver al índice
CUMPLIMIENTO NORMATIVO
La Audiencia Nacional refuerza la exigencia de eficacia real en los sistemas de compliance
La Audiencia Nacional, en su Auto 114/2026, ha confirmado la continuación del procedimiento penal frente a BBVA como persona jurídica, al apreciar indicios suficientes de que su modelo de prevención y control no habría sido eficaz para evitar conductas presuntamente delictivas cometidas desde la Presidencia Ejecutiva y la Alta Dirección. La resolución refuerza así un mensaje especialmente relevante desde la perspectiva del compliance, ya que la existencia formal de un sistema de prevención no basta si este no demuestra una eficacia real, especialmente en lo que respecta a la alta dirección y a los mecanismos internos de supervisión y control.
El auto proyecta, además, un mensaje claro para las organizaciones, pues no es suficiente con contar con códigos éticos, mapas de riesgos, certificaciones o canales internos si, en la práctica, el modelo no está diseñado para controlar también a quienes adoptan decisiones en la cúspide de la estructura. La Sala aprecia, siempre a nivel indiciario, posibles defectos estructurales en el sistema de compliance, una cultura interna de obediencia a la alta dirección, insuficiencias en los controles sobre contrataciones y pagos, y una falta de mecanismos eficaces para detectar y escalar incumplimientos visibles y prolongados en el tiempo. En esa línea, la resolución consolida una idea cada vez más presente en la práctica del compliance penal, según la cual la eficacia del modelo no se mide por su formulación documental, sino por su capacidad real para prevenir, detectar y reaccionar frente a riesgos penales, también cuando estos proceden de los niveles más altos de la organización.
Volver al índice
La GAIP avala la denegación de acceso al expediente de protección de un alertador por su carácter confidencial
La Comisión de Garantía del Derecho de Acceso a la Información Pública (GAIP), en su Resolución 107/2026, ha desestimado la reclamación formulada contra la Oficina Antifraude de Cataluña (OAC) por la denegación de acceso a un expediente de protección de alertador. Aunque la resolución reconoce que la documentación solicitada tiene en principio la consideración de información pública, concluye que su acceso queda legítimamente limitado por el régimen específico de confidencialidad previsto en la Ley 2/2023 y en la Directiva (UE) 2019/1937, aplicable a los expedientes tramitados para la protección de las personas informantes.
La GAIP subraya que este tipo de expedientes no constituye un procedimiento administrativo clásico ni un expediente sancionador, inspector o indagatorio, sino la plasmación documental de actuaciones materiales de apoyo, asesoramiento y acompañamiento confidencial a personas alertadoras en situación de vulnerabilidad. En este contexto, la confidencialidad no protege únicamente la identidad del informante, sino también el conjunto de la información contenida en el expediente, ya que su divulgación podría comprometer la finalidad del sistema de protección y facilitar represalias. Por ello, la Comisión considera que el acceso está legítimamente limitado por el régimen legal específico de confidencialidad aplicable a este tipo de expedientes y confirma que la negativa acordada por la OAC se ajusta al marco normativo vigente.
Volver al índice
Sepblac publica una guía para aplicar las medidas simplificadas de diligencia debida
El Sepblac ha publicado una nueva guía sobre la aplicación de las medidas simplificadas de diligencia debida en materia de prevención del blanqueo de capitales y de la financiación del terrorismo. El documento recuerda que la diligencia debida constituye uno de los pilares esenciales del sistema preventivo, en la medida en que permite a los sujetos obligados conocer adecuadamente a sus clientes, comprender la naturaleza y finalidad de las relaciones de negocio y detectar operaciones inusuales o sospechosas.
La guía pretende favorecer una aplicación homogénea y prudente de estas medidas simplificadas, proporcionando criterios y orientaciones prácticas en un ámbito especialmente sensible para el enfoque basado en riesgo. Según el propio documento, su finalidad es ayudar a los sujetos obligados a ajustar el alcance, intensidad y frecuencia de las medidas de diligencia debida al nivel de riesgo identificado en cada caso, sin que ello exima del cumplimiento estricto de las obligaciones legales ni sustituya la responsabilidad de cada entidad en su propio análisis de riesgo.
Volver al índice
La nueva Ley de Transparencia del País Vasco crea su autoridad autonómica de protección del informante
La nueva Ley de Transparencia de Euskadi avanza en la implantación en la Comunidad Autónoma del sistema previsto en la Ley 2/2023 mediante la creación de la Autoridad Vasca de Transparencia-Gardena, que actuará como autoridad administrativa independiente de protección a informantes y como canal externo para la recepción de comunicaciones sobre infracciones normativas y corrupción. La norma opta así por un modelo institucional propio para toda la Comunidad Autónoma, con vocación de extender su actuación al conjunto del sector público vasco y, en determinados supuestos, también al sector privado cuando los hechos se circunscriban al ámbito territorial de Euskadi.
La nueva autoridad asumirá además funciones en materia de transparencia y acceso a la información pública, configurándose como un organismo independiente con personalidad jurídica propia, autonomía funcional y potestad sancionadora en el ámbito de la Ley 2/2023.
Volver al índice
La Autoridad Independiente de Protección del Informante (AIPI) ha publicado recientemente tres recomendaciones no vinculantes dirigidas a clarificar dudas habituales y a ofrecer criterios prácticos para el diseño y funcionamiento de los Sistemas Internos de Información, tanto en el ámbito privado como público:
Desde ARPA Abogados Consultores hemos elaborado una circular práctica en la que analizamos los aspectos clave de la Recomendación 1/2026, en el marco de la Ley 2/2023, junto con un checklist básico para verificar la correcta implantación del sistema. Puedes descargártelo pinchando aquí.
Seguiremos informando puntualmente de las principales novedades de la AIPI, incluida la futura habilitación del formulario para la notificación del nombramiento y cese del Responsable del Sistema Interno de Información (RSII).
Nuestro equipo queda a disposición para resolver cualquier duda o revisar la adecuación de su Sistema Interno de Información conforme a los criterios actuales.