Regulación, responsabilidad y soberanía en el ecosistema digital impulsado por IA.
El Derecho Digital es la disciplina que articula el ordenamiento jurídico con los entornos tecnológicos en los que operan individuos, empresas e instituciones. La irrupción de sistemas de inteligencia artificial a escala ha acelerado la necesidad de marcos normativos que no solo regulen las plataformas digitales como intermediarios pasivos, sino que aborden la dimensión activa y autónoma de los algoritmos que toman decisiones con consecuencias jurídicas directas.
En el contexto europeo, el Reglamento de Servicios Digitales (DSA), el Reglamento de Mercados Digitales (DMA) y el AI Act conforman una arquitectura regulatoria sin precedentes. La interacción entre estas tres normas genera tensiones interpretativas que afectan desde la moderación de contenidos generados por IA hasta la calificación de los grandes modelos fundacionales como «gatekeepers» con obligaciones asimétricas. La jurisprudencia del TJUE sobre responsabilidad algorítmica está en plena formación.
La soberanía digital —esto es, la capacidad de un Estado o bloque político para controlar los datos, infraestructuras y tecnologías que operan en su territorio— se ha convertido en una cuestión de política jurídica de primer orden. La dependencia de infraestructura de computación en nube de operadores no europeos plantea interrogantes sobre la aplicabilidad efectiva del derecho comunitario en entornos donde los datos fluyen sin solución de continuidad entre jurisdicciones.
La convivencia entre el Reglamento de Servicios Digitales (DSA), el Reglamento de Mercados Digitales (DMA) y el Reglamento de Inteligencia Artificial (AI Act) configura un ecosistema normativo de tres capas que rara vez opera de forma aislada. Una misma plataforma —piénsese en un marketplace que incorpora un sistema de recomendación basado en IA— puede quedar sujeta simultáneamente a las obligaciones de transparencia algorítmica del DSA, a las restricciones de autopreferencia del DMA si ha sido designada gatekeeper, y a las obligaciones de gestión de riesgos del AI Act si el sistema de recomendación se califica como de alto riesgo conforme al Anexo III.
Esta superposición normativa plantea retos prácticos de primer orden para los departamentos jurídicos: ¿qué autoridad es competente cuando concurren infracciones del DSA y del AI Act sobre el mismo sistema? ¿Cómo se concilian los plazos de auditoría externa que el DSA impone a las plataformas muy grandes (VLOPs) con los ciclos de evaluación de conformidad del AI Act? La Comisión Europea ha anunciado directrices de coordinación entre el Centro Europeo de Transparencia Algorítmica (ECAT) y la futura Oficina de IA, pero la práctica forense avanza más rápido que la doctrina administrativa.
Para los despachos españoles, la cuestión no es meramente teórica. La Ley de Servicios Digitales española, que designa a la Secretaría de Estado de Digitalización e Inteligencia Artificial como coordinador de servicios digitales, deberá articularse con la futura autoridad nacional de supervisión del AI Act —previsiblemente AESIA, la Agencia Española de Supervisión de Inteligencia Artificial—, generando un mapa de competencias que los profesionales deberán dominar para asesorar con seguridad jurídica.
Aunque el AI Act y el DSA son normas de reciente aplicación, los tribunales europeos ya empiezan a pronunciarse sobre cuestiones que anticipan los litigios que dominarán la próxima década. El Tribunal de Justicia de la Unión Europea ha abordado, en la estela de la sentencia SCHUFA de 2023 sobre scoring crediticio automatizado, el alcance del derecho a obtener una explicación significativa sobre decisiones automatizadas, un estándar que se proyecta directamente sobre las obligaciones de transparencia del AI Act para sistemas de alto riesgo.
En España, los juzgados de lo contencioso-administrativo han comenzado a recibir recursos contra resoluciones de la AEPD relativas a sistemas de IA utilizados por administraciones públicas para la detección de fraude en prestaciones sociales, en una línea que recuerda al caso SyRI holandés. La cuestión de fondo —si un algoritmo de perfilado social vulnera el derecho a la no discriminación y a la protección de datos cuando opera con escasa supervisión humana— será previsiblemente objeto de cuestiones prejudiciales ante el TJUE en los próximos dos o tres años.
Para la abogacía española, esto implica que el derecho digital ya no es un área exclusivamente preventiva o de asesoramiento regulatorio, sino un terreno fértil para la litigación estratégica: impugnación de resoluciones administrativas basadas en sistemas automatizados, acciones colectivas por discriminación algorítmica y reclamaciones de responsabilidad civil derivadas del incumplimiento de las obligaciones de transparencia del DSA y el AI Act.
El derecho de las nuevas tecnologías es un término más amplio que abarca cualquier disciplina jurídica afectada por la innovación tecnológica, mientras que el derecho digital se centra específicamente en la regulación de los entornos digitales —plataformas, infraestructuras de datos, identidad digital y mercados en línea— y en la articulación entre normas como el DSA, el DMA, el RGPD y el AI Act.
Las plataformas que integran sistemas de IA en sus funcionalidades —recomendadores de contenido, sistemas de moderación automatizada o herramientas de generación de contenido— deben evaluar si dichos sistemas se califican como de alto riesgo bajo el AI Act, lo que añade obligaciones de gestión de riesgos y documentación técnica que se suman, sin sustituir, a las exigencias de transparencia algorítmica ya impuestas por el DSA.
La soberanía digital se refiere a la capacidad de las instituciones europeas para garantizar que los datos, infraestructuras y servicios críticos no dependan de forma irreversible de proveedores de terceros países. Para los despachos, implica analizar cláusulas de transferencia internacional de datos, localización de servidores y exposición a normativa extraterritorial como la Cloud Act estadounidense al asesorar a clientes que contratan servicios de IA en la nube.
El ordenamiento español no reconoce personalidad jurídica a los sistemas de IA, por lo que un contrato «celebrado» por un agente autónomo se imputa jurídicamente a la persona física o jurídica que lo despliega. La validez del consentimiento y la imputación de la voluntad contractual son, no obstante, cuestiones en plena discusión doctrinal a medida que se generalizan los agentes con capacidad de negociación y ejecución autónoma de transacciones.
Un mapa de las zonas de fricción entre ambos reglamentos y de cómo articular evaluaciones de impacto que cumplan simultáneamente con la protección de datos y la gestión de riesgos algorítmicos.
El régimen de propiedad intelectual español no contempla la autoría de obras generadas por sistemas de IA, generando un vacío que afecta a la explotación comercial de contenidos digitales.
La imputación de responsabilidad cuando un sistema de IA causa un daño plantea retos específicos para la cadena de responsables —desarrollador, integrador y usuario final— en plataformas digitales.
Recibe en tu correo las novedades regulatorias y jurisprudenciales sobre IA y Derecho Digital.
Suscribirse al boletín