Europa ha aprobado en los últimos años muchas normas relacionadas con tecnología, datos, inteligencia artificial, ciberseguridad y plataformas digitales.
RGPD. Reglamento de Inteligencia Artificial. Data Act. NIS2. Normas sobre cookies. Obligaciones de ciberseguridad. Regulación sobre intercambio de datos.
Cada una responde a un problema distinto, pero en la práctica las empresas se han encontrado con algo bastante evidente: cumplir todas esas normas puede resultar complejo porque algunas obligaciones se superponen, utilizan conceptos diferentes o exigen realizar trámites similares varias veces.
Para intentar corregirlo, la Comisión Europea presentó en noviembre de 2025 el llamado Digital Omnibus.
Su finalidad es simplificar parte de la regulación digital europea.
Pero conviene entender bien qué significa, porque el término “ómnibus” puede llevar a confusión.
¿Qué significa exactamente “Digital Omnibus”?
Un Reglamento Ómnibus es una norma que modifica varias normas existentes al mismo tiempo.
Por tanto, el Digital Omnibus no sustituye toda la legislación digital europea ni crea una gran ley digital nueva.
Lo que hace es revisar diferentes normas para intentar eliminar duplicidades, aclarar conceptos, reducir determinados trámites y facilitar su cumplimiento.
La Comisión Europea presentó el paquete el 19 de noviembre de 2025 con una idea bastante clara: mantener los objetivos de protección de las normas europeas, pero hacer que cumplirlas resulte menos costoso y más sencillo para empresas y administraciones.
Por ejemplo, en lugar de que una empresa tenga que informar de un mismo incidente de seguridad a través de varios procedimientos distintos, Europa propone facilitar que pueda hacerlo desde un único punto.
Este tipo de cambios permite entender bien la filosofía del Digital Omnibus.
¿Por qué Europa quiere simplificar ahora sus propias normas?
Durante los últimos años, la Unión Europea ha desarrollado uno de los marcos regulatorios digitales más amplios del mundo.
El objetivo ha sido proteger derechos, crear seguridad jurídica y establecer unas reglas comunes para el mercado europeo.
Pero la acumulación de normas también ha generado problemas prácticos.
Una misma empresa puede estar sometida simultáneamente al RGPD, a normativa sobre ciberseguridad, al Data Act, al Reglamento de Inteligencia Artificial y a otras disposiciones sectoriales.
La Comisión reconoce que esta acumulación puede generar costes de cumplimiento, solapamientos e inseguridad jurídica.
La iniciativa de simplificación se enmarca además en las recomendaciones formuladas en el informe Draghi sobre competitividad europea, que señalaba las cargas regulatorias como uno de los obstáculos que dificultan que determinadas empresas europeas innoven y crezcan.
La intención declarada de la Comisión es reducir esas fricciones sin eliminar las protecciones básicas que ya existen en materia de privacidad, seguridad o derechos fundamentales.
¿Qué normas afecta?
El Digital Omnibus presentado por la Comisión se divide en dos grandes propuestas.
Una afecta principalmente a datos, privacidad y ciberseguridad.
La otra se centra específicamente en el Reglamento Europeo de Inteligencia Artificial.
Y aquí hay una diferencia muy importante a septiembre de 2026.
La parte dedicada a inteligencia artificial, conocida como AI Omnibus, ya ha finalizado su tramitación y entró en vigor el 27 de julio de 2026.
En cambio, la propuesta general del Digital Omnibus sobre datos, privacidad y ciberseguridad continúa en procedimiento legislativo europeo.
Por tanto, cuando leemos que “el Digital Omnibus cambia el RGPD”, debemos tener cuidado.
En muchos casos estamos hablando todavía de cambios propuestos, no de normas definitivamente aprobadas.
Uno de los cambios más visibles: las cookies
Probablemente sea uno de los ejemplos que cualquiera puede entender.
Entramos en una web y aparece una ventana que pregunta si aceptamos cookies.
Entramos en otra y aparece otra vez.
Y otra.
El resultado es que muchas personas terminan pulsando cualquier botón simplemente para poder seguir navegando.
La propia Comisión Europea reconoce este problema y habla de “fatiga” provocada por los banners de cookies.
El Digital Omnibus propone simplificar este sistema.
La idea es facilitar decisiones más sencillas, permitir determinadas configuraciones centralizadas de preferencias y reducir la necesidad de pedir consentimiento en situaciones que la Comisión considera poco intrusivas para la privacidad.
También se plantea una lista de determinados usos que podrían realizarse sin tener que pedir consentimiento en cada ocasión, como algunas estadísticas o mediciones agregadas.
Eso no significa que desaparezca el consentimiento para las cookies.
El objetivo es evitar solicitudes innecesarias y conseguir que, cuando se solicite consentimiento, la decisión del usuario tenga más sentido.
¿Cambia también el RGPD?
Sí. La propuesta contiene modificaciones relacionadas con el Reglamento General de Protección de Datos.
Pero aquí también debemos utilizar la palabra correcta: propone.
La reforma general todavía no está aprobada.
Uno de los aspectos más relevantes es intentar aclarar cuándo determinados datos personales pueden utilizarse para desarrollar sistemas y modelos de inteligencia artificial.
La Comisión también quiere aportar mayor claridad sobre la seudonimización.
Los datos seudonimizados son aquellos en los que la identidad directa de una persona ha sido sustituida o separada, aunque bajo determinadas circunstancias siga siendo posible relacionar los datos con esa persona.
Este es un asunto especialmente relevante para el desarrollo de IA, porque entrenar o desarrollar determinados sistemas requiere utilizar grandes cantidades de información.
La propuesta intenta aclarar cuándo esos datos pueden utilizarse y compartirse sin reducir el nivel de protección exigido por el RGPD.
Por tanto, tampoco sería correcto afirmar que “Europa relaja el RGPD para permitir entrenar inteligencia artificial con cualquier dato”.
El RGPD continúa siendo la norma central de protección de datos personales.
Lo que se intenta es aclarar cómo debe aplicarse en determinadas situaciones que actualmente generan dudas.
Menos leyes distintas para regular los datos
Otro de los objetivos del Digital Omnibus es ordenar mejor la regulación europea sobre datos.
Actualmente existen diferentes normas que regulan aspectos relacionados con su acceso, reutilización e intercambio.
La Comisión propone concentrar parte de esas disposiciones dentro del Data Act.
Entre otras cosas, plantea integrar o derogar determinadas normas anteriores, como el Reglamento sobre libre circulación de datos no personales, el Data Governance Act o la Directiva de datos abiertos, incorporando parte de su contenido al nuevo marco simplificado.
La intención de la Comisión es que el panorama quede concentrado fundamentalmente alrededor de dos grandes normas: el Data Act para determinados aspectos relacionados con datos y el RGPD para la protección de datos personales.
Para una empresa, el objetivo práctico es sencillo: tener que consultar menos normas diferentes para saber qué puede hacer con sus datos.
Un único lugar para comunicar incidentes de ciberseguridad
Otro problema que intenta resolver el Digital Omnibus aparece cuando una empresa sufre un incidente de seguridad.
Dependiendo de la empresa y del incidente, puede existir obligación de informar conforme a varias normas.
Por ejemplo, pueden coincidir obligaciones derivadas del RGPD, de NIS2 o de otras regulaciones sectoriales.
La empresa puede encontrarse gestionando un ataque informático y, al mismo tiempo, teniendo que determinar a qué autoridades debe informar, qué formulario debe utilizar y dentro de qué plazo.
La propuesta pretende crear un punto único de entrada para determinadas notificaciones de incidentes.
La empresa presentaría la información desde un único sistema y esa notificación serviría para atender varias obligaciones regulatorias cuando corresponda.
No significa que desaparezcan las obligaciones de informar.
Se intenta simplificar la forma de cumplirlas.
¿Y qué ocurre con el Reglamento de Inteligencia Artificial?
Aquí se ha producido uno de los cambios más importantes.
Cuando la Comisión presentó el Digital Omnibus en noviembre de 2025, incluyó una propuesta específica para modificar algunos aspectos del Reglamento Europeo de Inteligencia Artificial.
Esa reforma recibió el nombre de Digital Omnibus on AI o AI Omnibus.
A diferencia de la parte general del paquete, esta reforma sí ha terminado ya su procedimiento legislativo.
Entró en vigor el 27 de julio de 2026.
¿Qué ha cambiado el AI Omnibus?
Uno de sus principales efectos ha sido modificar el calendario de aplicación de determinadas obligaciones relativas a sistemas de inteligencia artificial de alto riesgo.
Las normas correspondientes a sistemas utilizados en determinadas áreas de alto riesgo —por ejemplo, empleo, educación, biometría, infraestructuras críticas, migración o control fronterizo— pasarán a aplicarse desde el 2 de diciembre de 2027.
Para determinados sistemas de IA integrados en productos regulados, como maquinaria, ascensores o juguetes, la fecha será el 2 de agosto de 2028.
La razón principal es permitir que las empresas dispongan de normas técnicas, orientaciones y estructuras de supervisión antes de que todas las obligaciones sean exigibles.
También ha cambiado la alfabetización en IA
Este cambio merece especial atención para las empresas.
El Reglamento de Inteligencia Artificial incluía desde febrero de 2025 una obligación de alfabetización en IA en su artículo 4 dirigida a proveedores y responsables del despliegue de sistemas de inteligencia artificial.
El AI Omnibus ha modificado ese planteamiento.
La Comisión explica actualmente que la obligación anterior dirigida a las organizaciones se ha simplificado y que la Comisión Europea y los Estados miembros asumirán un papel mayor en la promoción de la alfabetización y la capacitación en inteligencia artificial.
Esto tampoco significa que la formación deje de tener importancia.
Las empresas siguen teniendo que poder utilizar los sistemas de inteligencia artificial de forma adecuada y, en determinados contextos, continúan existiendo obligaciones específicas.
Por ejemplo, en los sistemas de IA de alto riesgo sigue siendo necesaria una supervisión humana adecuada y las personas encargadas de ella deben disponer de la competencia, la formación y la autoridad necesarias.
Por tanto, cambia el encaje jurídico de la alfabetización general, pero no desaparece la necesidad empresarial de formar a quienes utilizan sistemas de IA.
También afecta a pequeñas y medianas empresas
Otra de las líneas del AI Omnibus es extender determinadas medidas simplificadas a empresas que superan la categoría tradicional de pyme pero continúan teniendo un tamaño relativamente reducido.
La normativa utiliza para ello la categoría de small mid-cap companies.
Estas empresas podrán beneficiarse de determinadas obligaciones más proporcionadas que anteriormente estaban reservadas principalmente a las pymes.
La lógica es evitar que las obligaciones de cumplimiento tengan exactamente el mismo impacto sobre una empresa mediana que sobre una gran multinacional.
Más facilidad para probar sistemas de inteligencia artificial
El AI Omnibus también amplía el acceso a los llamados sandboxes regulatorios.
Un sandbox es un entorno supervisado en el que una empresa puede desarrollar o probar una tecnología innovadora con acompañamiento de las autoridades.
La reforma amplía las posibilidades de experimentación e introduce también un sandbox a escala europea.
Para startups y empresas que desarrollan IA puede ser especialmente relevante, porque permite trabajar sobre determinados proyectos con mayor claridad regulatoria antes de lanzarlos plenamente al mercado.
Entonces, ¿Europa está desregulando la inteligencia artificial?
Esa afirmación sería demasiado simplista.
La Comisión presenta el Digital Omnibus como un proceso de simplificación, no como la eliminación de las normas digitales europeas.
El Reglamento de Inteligencia Artificial sigue existiendo.
El RGPD sigue existiendo.
NIS2 sigue existiendo.
El Data Act sigue existiendo.
Y continúan existiendo obligaciones relacionadas con transparencia, protección de datos, seguridad, derechos fundamentales o utilización de sistemas de alto riesgo.
Lo que está cambiando son determinados procedimientos, plazos, solapamientos y requisitos concretos.
La diferencia es importante.
Simplificar cómo se cumple una norma no equivale necesariamente a eliminar la protección que esa norma pretende conseguir.
Un ejemplo sencillo
Imaginemos una empresa que utiliza inteligencia artificial, almacena datos personales y presta servicios digitales.
Actualmente puede tener que analizar por separado:
el RGPD;
las reglas sobre cookies;
el Reglamento Europeo de Inteligencia Artificial;
determinadas obligaciones de ciberseguridad;
la regulación europea sobre datos.
Además, si sufre un incidente de seguridad, puede tener que comprobar qué obligaciones de comunicación se activan conforme a cada normativa.
La intención del Digital Omnibus es reducir parte de esa complejidad.
La empresa seguirá teniendo obligaciones.
Pero algunas deberían estar mejor coordinadas, determinados procedimientos podrían realizarse desde un único punto y algunas normas deberían utilizar conceptos más coherentes entre sí.
Ese es el objetivo real de la reforma.
¿Qué tiene que hacer ahora una empresa?
Lo más importante es no interpretar el Digital Omnibus como una suspensión de las obligaciones actuales.
Una norma continúa aplicándose mientras no haya sido modificada o derogada conforme al procedimiento correspondiente.
Y actualmente existe una situación diferente dependiendo de la materia.
El AI Omnibus ya está en vigor desde el 27 de julio de 2026, por lo que sus modificaciones del Reglamento de Inteligencia Artificial deben tenerse ya en cuenta.
El Digital Omnibus general, que incluye modificaciones sobre RGPD, cookies, datos y ciberseguridad, continúa en tramitación legislativa.
Por tanto, una empresa no debería cambiar todavía sus procedimientos de protección de datos o cookies únicamente porque una determinada modificación aparezca en la propuesta del Digital Omnibus.
Habrá que seguir su tramitación y comprobar cuál es finalmente el texto aprobado.
Por qué esta reforma es importante
Durante años, el debate europeo sobre tecnología se ha centrado principalmente en aprobar nuevas normas.
El Digital Omnibus introduce otro debate: cómo conseguir que todas esas normas puedan cumplirse de una forma razonable cuando empiezan a aplicarse conjuntamente en una empresa real.
Eso afecta especialmente a las pymes, que no suelen disponer de grandes departamentos jurídicos, de cumplimiento normativo, protección de datos y ciberseguridad trabajando por separado.
La dirección que está tomando Europa parece clara: mantener un nivel elevado de protección, pero reducir duplicidades, concentrar procedimientos y facilitar que las empresas sepan qué tienen que hacer.
Habrá que seguir de cerca la tramitación del Digital Omnibus general porque puede modificar cuestiones tan cotidianas como las cookies de una página web, la utilización de datos para desarrollar inteligencia artificial o la forma en la que una empresa comunica un incidente de seguridad.
Y conviene distinguir siempre entre dos situaciones que, a septiembre de 2026, son diferentes:
el AI Omnibus ya es una norma aprobada y en vigor; el resto del Digital Omnibus todavía se está negociando.
Fuentes oficiales consultadas
Comisión Europea. Digital Package – Questions and Answers, noviembre de 2025 y actualizaciones posteriores.
Comisión Europea. An agile Digital Rulebook for the EU.
Comisión Europea. Propuesta COM(2025) 837 final sobre simplificación del marco legislativo digital.
EUR-Lex. Procedimiento legislativo 2025/0360(COD), Digital Omnibus.
Comisión Europea. Propuesta COM(2025) 836 final, Digital Omnibus on AI.
EUR-Lex. Procedimiento 2025/0359(COD) y Reglamento adoptado en 2026.
Comisión Europea. AI Omnibus enters into force, 27 de julio de 2026.
Comisión Europea. Información oficial sobre aplicación del Reglamento Europeo de Inteligencia Artificial.
Forma a tu equipo en IA
responsable
Aprende a utilizar la inteligencia artificial con criterio, reducir riesgos y avanzar en el cumplimiento del AI Act.
Abogada especializada en Inteligencia Artificial. Profesora externa de IA en ENAE. Speaker. CEO Fundadora de academiadeia.es, legalprompt.es, fenixcomunicación.es, murciaunica.com y la revista digital para «Nostálgicos de mentes inquietas» generacionfenix.com.
