El bosque de las siglas
Hubo un tiempo, no demasiado lejano, en el que una organización podía pensar que el cumplimiento normativo consistía en llevar la contabilidad, pagar los impuestos, respetar la legislación laboral y procurar no tener demasiados problemas con los clientes. Aquellos días de inocencia administrativa quedaron atrás.
Ahora tenemos el Reglamento General de Protección de Datos, conocido por todos como RGPD; el Esquema Nacional de Seguridad, ENS para los amigos; la Directiva NIS2; el Reglamento DORA para el sector financiero, y el Reglamento Europeo de Inteligencia Artificial, al que nos hemos acostumbrado a llamar AI Act porque las siglas en inglés siempre parecen más modernas y algo más amenazadoras.
A ellos habría que añadir la normativa sectorial, las obligaciones sobre consumidores, servicios digitales, propiedad intelectual, prevención del blanqueo, continuidad de negocio y unas cuantas criaturas jurídicas más que suelen aparecer cuando uno pensaba que ya tenía el expediente razonablemente ordenado. Ante semejante panorama, muchas organizaciones cometen un error comprensible: empiezan por preguntar qué norma deben cumplir. Pero esa no es la primera pregunta.
La primera pregunta debería ser mucho más terrenal: ¿Qué hacemos exactamente, para quién lo hacemos, qué información utilizamos y qué podría salir mal?
Las normas no se eligen como quien escoge una certificación en un catálogo. Se aplican porque realizamos una actividad determinada, prestamos ciertos servicios, tratamos datos personales, utilizamos una tecnología, operamos en un sector regulado o podemos causar determinados daños.
Una entidad puede estar sometida a varios marcos a la vez
El RGPD no desaparece porque una empresa tenga que cumplir DORA. El ENS no expulsa de la habitación a NIS2. El AI Act tampoco sustituye las obligaciones sobre protección de datos, seguridad o responsabilidad contractual. Todos pueden convivir, a veces con bastante intimidad.
Una entidad financiera que utilice inteligencia artificial para evaluar riesgos, detectar fraude o analizar la solvencia de sus clientes puede estar sometida simultáneamente al RGPD, a DORA, al AI Act y a la normativa financiera sectorial.
Una empresa tecnológica que preste servicios a una Administración puede verse afectada por el ENS, por el RGPD y, según su actividad y dimensión, por la normativa derivada de NIS2. Si además incorpora inteligencia artificial a sus productos o procesos, deberá determinar qué papel desempeña dentro del AI Act. La regulación se superpone porque también se superponen las realidades que pretende proteger.
El RGPD protege a las personas en relación con el tratamiento de sus datos personales. El ENS busca garantizar adecuadamente la seguridad de la información y de los servicios electrónicos en el sector público y en los sistemas comprendidos en su ámbito. NIS2 pretende elevar el nivel común de ciberseguridad en sectores esenciales e importantes. DORA se ocupa de la resiliencia operativa digital del sistema financiero. El AI Act establece reglas para el desarrollo, comercialización y utilización de sistemas de inteligencia artificial, aplicando obligaciones distintas según el riesgo y el papel de cada actor. Cada marco mira la organización desde una ventana distinta. El problema es que la organización sigue siendo la misma casa.
Entonces, ¿qué determina la norma que te aplica?
No existe una respuesta basada únicamente en el nombre, el tamaño o la forma jurídica de la entidad. Hay que analizar, como mínimo, seis elementos.
1. Qué tipo de organización eres
No es lo mismo una Administración pública que una empresa privada, una entidad financiera, un hospital, una universidad, una compañía energética o un proveedor de servicios tecnológicos. La naturaleza de la entidad puede activar determinadas obligaciones, pero rara vez resuelve por sí sola todo el análisis.
Dos empresas del mismo tamaño pueden estar sometidas a marcos diferentes porque una fabrica muebles y la otra administra infraestructuras digitales para hospitales.
El número de empleados puede importar. El volumen de negocio puede importar. El sector puede importar. Pero también importa, y mucho, el servicio concreto que se presta.
2. Qué servicios prestas
Esta suele ser la pregunta decisiva. El ENS no se aplica simplemente porque una empresa envíe una factura a un ayuntamiento. La cuestión es si sus sistemas, productos o servicios se encuentran dentro del ámbito regulado y si participan en el funcionamiento de servicios públicos o en el tratamiento de información vinculada a ellos.
NIS2 dirige sus obligaciones hacia entidades de sectores considerados esenciales o importantes, como energía, transporte, banca, salud, agua, infraestructuras digitales, determinados servicios tecnológicos, industria y otros ámbitos recogidos en la Directiva. Su aplicación práctica exige, además, atender a la legislación nacional que la transponga y concrete las autoridades, procedimientos y mecanismos de supervisión.
DORA, por su parte, se aplica a una amplia relación de entidades financieras y establece un marco específico para que puedan resistir, responder y recuperarse frente a incidentes y perturbaciones relacionados con las tecnologías de la información y la comunicación. Sus obligaciones son aplicables desde el 17 de enero de 2025. La actividad real pesa más que el cartel colocado en la puerta.
3. Qué datos gestionas
Cuando una organización trata información relativa a personas físicas entra en escena el RGPD. Y tratar datos no significa únicamente almacenar una base de datos con nombres y direcciones. También se tratan datos cuando se recogen formularios, se envían comunicaciones, se gestionan empleados, se graban reuniones, se analizan comportamientos, se utilizan cámaras, se elaboran perfiles o se toman decisiones automatizadas.
El RGPD exige, entre otras cosas, que el tratamiento sea lícito, leal y transparente; que los datos se utilicen para finalidades determinadas; que se recojan únicamente los necesarios; que se mantengan actualizados y seguros, y que la organización pueda demostrar el cumplimiento de esos principios.
Además, no todos los tratamientos presentan el mismo riesgo. No es igual gestionar una dirección profesional que una historia clínica. Tampoco es igual utilizar datos para enviar una factura que emplearlos para decidir si una persona consigue un préstamo, un seguro, un empleo o una prestación.
4. Qué tecnología utilizas
La llegada del AI Act obliga a introducir una nueva pregunta en cualquier mapa de cumplimiento: ¿Utilizamos inteligencia artificial y, en caso afirmativo, para qué?
No es lo mismo utilizar una herramienta para mejorar la redacción de una noticia que emplear un sistema para seleccionar personal, identificar biométricamente a una persona, evaluar su solvencia o decidir su acceso a determinados servicios.
El AI Act sigue un enfoque basado en el riesgo. Prohíbe determinadas prácticas, establece requisitos especialmente exigentes para los sistemas de alto riesgo e impone obligaciones de transparencia en ciertos usos. También distingue entre los diferentes actores que intervienen en la cadena: proveedores, responsables del despliegue, importadores, distribuidores y fabricantes de productos.
El Reglamento entró en vigor el 1 de agosto de 2024 y sus obligaciones se aplican de manera escalonada. Algunas prohibiciones y las obligaciones relativas a la alfabetización en inteligencia artificial son aplicables desde el 2 de febrero de 2025; otras disposiciones se despliegan en fechas posteriores.
Por tanto, no basta con afirmar alegremente que “nosotros solo usamos ChatGPT”. Hay que saber quién lo utiliza, con qué finalidad, qué información introduce, qué resultado obtiene y qué decisión se toma después.
5. En qué sector y territorio operas
El sector de actividad puede activar normas específicas y también determinar quién supervisa a la entidad. Además, una organización puede operar en varios países, prestar servicios transfronterizos o trabajar para clientes pertenecientes a sectores regulados.
Un proveedor puede no ser una entidad financiera, pero sus servicios tecnológicos pueden estar sujetos a importantes exigencias contractuales derivadas de DORA cuando trabaja para bancos, aseguradoras u otras entidades financieras.
Del mismo modo, una pequeña empresa tecnológica puede descubrir que el contrato con una Administración le exige cumplir determinadas medidas del ENS. La norma puede llegar por aplicación directa, pero también a través de una relación contractual o de una cadena de suministro.
6. Qué riesgos generas y soportas
Esta es la pregunta que une todos los marcos.
- ¿Qué ocurriría si alguien accediera indebidamente a la información?
- ¿Qué pasaría si el servicio permaneciera inactivo durante tres días?
- ¿Podría una decisión automatizada perjudicar injustamente a una persona?
- ¿Dependemos de un único proveedor tecnológico?
- ¿Tenemos capacidad para detectar y gestionar un ataque?
- ¿Sabemos cómo continuar trabajando si desaparece nuestra plataforma principal?
- ¿Podemos explicar por qué un sistema de inteligencia artificial ha producido un resultado?
Las normas cambian de vocabulario, pero todas se acercan de una forma u otra a estas preguntas.
Qué exige cada marco
El siguiente cuadro simplifica las principales diferencias. No sustituye un análisis jurídico del caso concreto, pero permite ver dónde coloca el foco cada regulación.
Visto así, parece que cada norma vive en su parcela. Pero basta levantar un poco la vista para descubrir que todas están construyendo sobre unos cimientos bastante parecidos.
La pirámide de los cuatro niveles
Una forma sencilla de ordenar todo este entramado consiste en representarlo como una pirámide de cuatro niveles. En la base se encuentra la realidad de la organización; sobre ella, los riesgos; después, las normas aplicables; y, en la parte superior, el sistema de cumplimiento que debe coordinarlo todo.
Nivel 1. La realidad de la organización
En la base se encuentra lo que la entidad hace realmente:
- sus actividades;
- sus productos y servicios;
- sus clientes y usuarios;
- sus datos;
- sus sistemas;
- sus empleados;
- sus proveedores;
- sus herramientas de inteligencia artificial;
- los países en los que opera.
Esta base no se puede sustituir por una plantilla descargada de internet, por mucho que venga adornada con un logotipo, un índice y diecisiete páginas de definiciones.
Nivel 2. Los riesgos
Sobre la realidad de la organización aparecen los riesgos:
- pérdida de información;
- accesos indebidos;
- interrupciones;
- ataques informáticos;
- fraude;
- errores humanos;
- decisiones automatizadas injustas;
- discriminación;
- dependencia de proveedores;
- daños a las personas;
- perjuicios económicos;
- pérdida de reputación.
Aquí se determina qué merece protección y qué medidas resultan razonables.
Nivel 3. Las normas aplicables
Solo después aparecen el RGPD, el ENS, NIS2, DORA, el AI Act y la correspondiente normativa sectorial.
Las normas no están en la base de la pirámide porque no describen por sí solas la realidad de la organización. La encuadran, establecen obligaciones, fijan responsabilidades y señalan consecuencias.
Empezar directamente por ellas suele producir políticas genéricas, inventarios incompletos y procedimientos que nadie reconoce como propios.
Nivel 4. El sistema de cumplimiento
En la parte superior se encuentra la respuesta organizada de la entidad:
- órganos de gobierno;
- responsables;
- políticas;
- procedimientos;
- controles;
- formación;
- documentación;
- auditorías;
- gestión de incidentes;
- seguimiento y mejora.
Este es el nivel en el que las obligaciones dejan de ser textos publicados en un diario oficial y se convierten en una forma concreta de trabajar.
El núcleo común de cumplimiento
Aunque cada marco tenga sus matices, existe un conjunto de obligaciones y buenas prácticas que se repite con una insistencia casi conmovedora.
Saber qué tienes
Datos, aplicaciones, servidores, servicios, procesos, contratos, proveedores, algoritmos y herramientas de inteligencia artificial. No se puede proteger lo que no se conoce. Y, sin embargo, todavía hay organizaciones que pretenden gestionar la ciberseguridad sin un inventario de activos, la protección de datos sin conocer sus tratamientos o la inteligencia artificial sin saber qué herramientas utiliza el personal. Es una estrategia audaz. Algo así como gobernar un barco sin conocer cuántos agujeros tiene el casco.
Evaluar los riesgos
Todos estos marcos exigen, con distinto alcance y terminología, valorar qué puede suceder, con qué probabilidad y con qué consecuencias. El análisis debe considerar no solo los daños para la propia organización, sino también los perjuicios para clientes, usuarios, trabajadores, ciudadanos y terceros. No todos los riesgos necesitan la misma respuesta. Lo importante es que la decisión sea consciente, razonada y documentada.
Asignar responsabilidades
Alguien debe decidir. Alguien debe ejecutar. Alguien debe supervisar. Alguien debe gestionar los incidentes. Y alguien debe explicar a la dirección que aprobar una política no equivale mágicamente a implantarla.
NIS2 refuerza expresamente el papel y la responsabilidad de los órganos de dirección en la gestión de los riesgos de ciberseguridad. DORA también exige una participación clara del órgano de dirección en el marco de gestión del riesgo tecnológico.
El cumplimiento ya no puede dejarse exclusivamente en manos del informático, del delegado de protección de datos o de ese empleado diligente al que terminan llegando todos los asuntos que nadie sabe muy bien dónde colocar.
Implantar medidas reales
Las políticas son necesarias, pero no detienen ataques, no restauran copias de seguridad y no impiden que alguien envíe una base de datos al destinatario equivocado. El cumplimiento necesita controles efectivos:
- gestión de identidades y accesos;
- copias de seguridad;
- continuidad de negocio;
- cifrado;
- actualización de sistemas;
- gestión de vulnerabilidades;
- formación;
- control de cambios;
- supervisión humana;
- procedimientos de respuesta;
- evaluación de proveedores.
El papel lo soporta todo. Los sistemas y los incidentes, no.
Controlar a los proveedores
Cada vez más servicios dependen de plataformas externas, aplicaciones en la nube, consultoras, centros de datos y modelos de inteligencia artificial proporcionados por terceros. Pero contratar a otro para que realice una actividad no hace desaparecer la responsabilidad.
El RGPD regula la relación con los encargados del tratamiento. DORA presta una atención especial al riesgo derivado de terceros tecnológicos. NIS2 incorpora la seguridad de la cadena de suministro entre sus medidas de gestión del riesgo. El ENS también contempla la necesidad de controlar los servicios prestados por terceros. Externalizar un servicio puede ser razonable. Externalizar la memoria, la vigilancia y el sentido común suele dar peores resultados.
Gestionar los incidentes
Los distintos marcos establecen obligaciones diferentes de detección, documentación y comunicación de incidentes. Una brecha de datos personales, un ciberataque, una caída de un servicio financiero o un fallo grave en un sistema de inteligencia artificial no son exactamente el mismo acontecimiento jurídico. Incluso un único incidente puede activar varios procedimientos de notificación.
Por eso conviene disponer de un sistema común que permita detectar, clasificar y escalar el problema, y después aplicar las obligaciones específicas que correspondan. En medio de una crisis no es el mejor momento para empezar a buscar en una carpeta quién debía llamar a quién.
Conservar evidencias
El cumplimiento moderno se apoya en una idea esencial: la responsabilidad demostrable. No basta con afirmar que se hicieron las cosas bien. Hay que poder acreditar:
- qué riesgos se analizaron;
- qué decisiones se adoptaron;
- quién las aprobó;
- qué medidas se implantaron;
- cuándo se revisaron;
- qué formación se impartió;
- cómo se controló al proveedor;
- qué ocurrió durante el incidente;
- qué se corrigió después.
Una organización no cumple porque tenga una política. Cumple cuando la política describe una práctica real y existen evidencias suficientes para demostrarlo.
Revisar y mejorar
Los servicios cambian. Los proveedores cambian. Aparecen nuevas vulnerabilidades. Se incorporan herramientas de inteligencia artificial. Se modifican las normas y, de vez en cuando, hasta cambia la organización.
Por eso el cumplimiento no es una fotografía, sino un ciclo: Inventariar, evaluar, decidir, implantar, comprobar, corregir y volver a empezar.
No coleccionar normas, sino gobernar la organización
El principal riesgo no consiste en desconocer el significado exacto de todas las siglas. Para eso existen especialistas, asesores y textos legales suficientemente extensos como para arruinar cualquier tarde de domingo.
El verdadero riesgo es abordar cada norma como un proyecto aislado, producir una colección de documentos y confundir la existencia del papel con la existencia del control.
La solución no consiste en coleccionar certificados, políticas y procedimientos como estampitas.
Consiste en conocer la casa: saber dónde están las llaves, quién entra, qué se guarda dentro, de qué proveedores depende y qué ocurriría si una mañana la puerta no se abre.
Las normas cambian de nombre, de ámbito y de autoridad supervisora. Unas hablan de datos personales, otras de ciberseguridad, resiliencia operativa o inteligencia artificial.
La buena gestión, en cambio, siempre empieza por lo mismo: Saber qué haces, comprender tus riesgos, asignar responsabilidades y poder demostrar que no has dejado la organización al cuidado de la providencia.
