#ComissióEuropea

Octubre es el mes Europeo de la Ciberseguridad y una vez más, se ha llevado a cabo una campaña anual de sensibilización que ofrece orientaciones prácticas para que los ciudadanos de la Unión Europea se mantengan seguros en línea. La campaña ha sido liderada por la Comisión Europea y la Agencia de la Unión Europea para la Ciberseguridad (ENISA), con el apoyo de diversas organizaciones de toda Europa.

En esta ocasión se ha centrado en las amenazas de phishing, que es el método más común usado por los atacantes para violar la seguridad de los dispositivos digitales. En efecto, las estadísticas indican que el 60% de los ciberataques comienzan con el phishing, un intento de robar información o sistemas de acceso a través de mensajes engañosos o sitios web fraudulentos. Pero ¿qué es el phishing? El phishing puede tomar muchas formas, desde correos electrónicos malintencionados a los usuarios para que regalen datos confidenciales hasta sitios web falsos diseñados para capturar detalles de inicio de sesión. Los ataques de phishing y otras amenazas cibernéticas pueden tener consecuencias devastadoras, interrumpiendo nuestra infraestructura crítica y negocios, y socavando nuestra confianza en el mundo digital. Por ello, esta campaña pone un fuerte énfasis en la construcción de conocimiento de los ciudadanos para contrarrestar estos ataques, ayudando a asegurar que fracasen antes de que puedan causar daño.

La Agencia de Ciberseguridad de Catalunya ha puesto en marcha bajo el lema ‘Aplasta la estafa’ una difusión en medios consistente en ocho cápsulas con consejos prácticos de ciberseguridad, con el objetivo de ofrecer herramientas para que la población, en especial las personas mayores, sepan identificar y evitar las estafas digitales, cada vez más sofisticadas como la estafa del hijo en problemas, los riesgos de invertir en criptomonedas, la detección de noticias falsas, en qué consiste la estafa romántica, qué permisos damos a las aplicaciones o la detección de estafas en alojamiento. De este modo, con un formato atrevido y en clave de humor, las cápsulas pretenden informar a la ciudadanía para que pueda reconocer y ‘aplastar’ las estafas antes de caer en ellas. 

Por otro lado, el pasado 16 de octubre el presidente del Gobierno, Pedro Sánchez,  clausuró la decimonovena edición del Encuentro Internacional de Seguridad de la Información del Instituto Nacional de Ciberseguridad (INCIBE) destacando que España es “uno de los países más comprometidos con la ciberseguridad del mundo”, con “capacidades por encima de la media europea”, fruto de una “estrategia acertada que combina la anticipación con el fomento de la cooperación entre el sector público y el privado”.

Servicios Jurídicos

A pesar de la presión coordinada llevada a cabo para retrasar la aplicación del Reglamento (UE) 2024/1689, de 13 de junio, en materia de inteligencia artificial (RIA) por parte de más de 100 empresas tecnológicas (entre las que figuran Google y Meta), la Comisión Europea se mantiene firme, y el 4 de julio manifestó de forma contundente “There is no stop the clock. There is no grace period. There is no pause”.

En efecto, después de meses de intensas negociaciones, la Comisión recibió el pasado 10 de julio la versión final del Código de buenas prácticas de IA de uso general, una herramienta voluntaria desarrollada por trece expertos independientes, con aportaciones de más de 1.000 partes interesadas, incluidos proveedores de modelos, pequeñas y medianas empresas, académicos, expertos en seguridad de la inteligencia artificial (IA), titulares de derechos y organizaciones de la sociedad civil.

El Código está diseñado para ayudar a la industria a cumplir las normas sobre IA de uso general del RIA, que entrarán en vigor el 2 de agosto de 2025. Las normas pasan a ser ejecutables por la Oficina de IA de la Comisión un año después en lo que respecta a los nuevos modelos y dos años después en lo que respecta a los modelos existentes. Con ello se pretende garantizar que los modelos de IA de uso general introducidos en el mercado europeo sean seguros y transparentes.

El Código consta de tres capítulos: Transparencia y derechos de autor (art. 53 RIA), ambos dirigidos a todos los proveedores de modelos de IA de uso general, y seguridad y protección (art. 55 RIA), pertinentes solo para un número limitado de proveedores de los modelos más avanzados.

• El capítulo de transparencia del Código ofrece un modelo de formulario que permite a los proveedores documentar fácilmente la información técnica necesaria en un solo lugar e incluye atributos de metadatos como tiempo de entrenamiento y cálculo, consumo de energía y métodos de recopilación y conservación de datos.
• El capítulo sobre derechos de autor del Código ofrece a los proveedores soluciones prácticas para establecer una política que cumpla la legislación de la UE en esta materia, con detalle de licencias y excepciones de minería de texto y datos (TDM) tanto para origen de datos (upstream) como para uso final (downstream).
• Algunos modelos de IA de uso general podrían conllevar riesgos sistémicos (FLOPS >10^25), como riesgos para los derechos fundamentales y la seguridad, incluida la reducción de las barreras para el desarrollo de armas químicas o biológicas, o riesgos relacionados con la pérdida de control sobre el modelo. El capítulo sobre seguridad y protección contiene las prácticas más avanzadas pertinentes para la gestión del riesgo sistémico con obligaciones de evaluación, de mitigación de riesgos, reporte de incidentes graves y medidas de ciberseguridad.

Una vez que el Código sea refrendado por los Estados miembros y la Comisión, los proveedores de modelos de IA de uso general que lo firmen voluntariamente podrán demostrar el cumplimiento de las obligaciones pertinentes del RIA adhiriéndose al Código. Al hacerlo, los signatarios del Código se beneficiarán de una menor carga administrativa y una mayor seguridad jurídica en comparación con los proveedores que demuestren el cumplimiento de otras maneras.

El Código se complementará con directrices de la Comisión sobre la IA de uso general que se publicarán antes de la entrada en vigor de las obligaciones en materia de IA de uso general. Las directrices aclararán quién está dentro y fuera del ámbito de aplicación de las normas de IA de uso general del RIA. 

El avance de la IA en la UE es imparable. Desde febrero de 2025 ya aplican las prohibiciones de prácticas ilegales y la alfabetización obligatoria en IA para proveedores. Y ahora, ¿cuáles son los siguientes pasos en el calendario?

• Tal y como se ha expuesto antes, a partir de agosto de 2025, los modelos de IA de uso general, incluidos los modelos fundacionales, los sistemas basados en API y los desarrollos de código abierto, han de cumplir con el nuevo marco regulador de la UE.
• En agosto de 2026 serán de aplicación obligaciones de sistemas de alto riesgo en sectores como salud, recursos humanos, educación y finanzas.

Y ante este escenario, son muchas las organizaciones que todavía: operan sin auditar los modelos de IA, usan modelos entrenados con datos opacos o no conformes, no tienen establecidas estructuras de gobernanza para la propiedad, explicabilidad o seguimiento del modelo, despliegan la IA sin supervisión legal ni responsabilidad formal, …

Frente a esto, hay que recordar que el RIA no solo regula el uso, sino que vincula el liderazgo del riesgo mediante documentación, registro y mecanismos de aplicación. Bastante similar a los requerimientos que derivan del RGPD pero de forma más profunda, ya que esta vez, el sistema está tomando decisiones.

Equipo Servicios Jurídicos

El 21 de mayo de 2025, la Comisión Europea presentó el cuarto paquete de simplificación legislativa, conocido como «Omnibus IV», con el objetivo de reducir las cargas administrativas para las empresas medianas de la Unión Europea. Estas medidas buscan fomentar la competitividad, la innovación y la creación de empleo, especialmente en un contexto de rivalidad económica con Estados Unidos y China.

¿Qué son las «small mid-caps»?
Las small mid-caps son empresas que cuentan con entre 250 y 750 empleados y un volumen de negocio de hasta 150 millones de euros o activos totales de hasta 129 millones de euros. En la UE, hay aproximadamente 38.000 empresas que cumplen con estos criterios. Estas empresas a menudo se encuentran en una posición intermedia: demasiado grandes para beneficiarse de las exenciones destinadas a las pymes, pero sin la capacidad administrativa de las grandes corporaciones.

Medidas clave del paquete Omnibus IV

1. Extensión de beneficios regulatorios
   Las small mid-caps podrán acceder a ventajas que hasta ahora estaban reservadas a las pymes, como, por ejemplo:

• Simplificación de las obligaciones en materia de protección de datos, permitiendo el almacenamiento únicamente de datos personales de alto riesgo.
• Reducción de los requisitos de información en ámbitos como los mercados financieros y la sostenibilidad.
• Posibilidad de utilizar prospectos simplificados para emisiones públicas de valores, con un ahorro estimado de 20.000 euros por operación.

2. Digitalización y eliminación de trámites redundantes
   Se impulsará la digitalización de procesos, como, por ejemplo:

• Eliminación de la necesidad de proporcionar documentos físicos, como declaraciones de conformidad o instrucciones de uso.
• Uso de códigos QR para la información de productos, facilitando el acceso a datos por parte de los consumidores y las autoridades.

3. Armonización normativa
   Se llevará a cabo un análisis para identificar y corregir incoherencias en la transposición de normas europeas entre los Estados miembros, con el objetivo de facilitar la libre circulación de bienes y servicios dentro del mercado único.

Impacto económico esperado
La Comisión estima que estas medidas podrían suponer un ahorro anual de 400 millones de euros para las empresas medianas. Además, se espera que la reducción de cargas administrativas impulse la competitividad, la innovación y la creación de empleo en sectores clave como la construcción, la energía, las telecomunicaciones y los servicios financieros.

Próximos pasos
El paquete Omnibus IV deberá ser aprobado por el Parlamento Europeo y el Consejo de la UE. Se prevé que el proceso legislativo se extienda durante los próximos meses, con el objetivo de que las medidas entren en vigor antes de finales de 2025.

Estas iniciativas forman parte de un esfuerzo más amplio de la Comisión para reducir las cargas administrativas en un 25 % para todas las empresas y en un 35 % para las pymes antes de 2029.

Con este paquete, la UE busca reforzar su tejido empresarial medio, reconociendo su papel fundamental en la economía europea y la necesidad de proporcionarles un entorno regulador más favorable para su crecimiento y expansión.