Mantenerse al día de todas las normas que afectan a los sistemas informáticos y al tratamiento de datos supone un reto considerable. En muchos casos, el primer problema consiste en determinar qué regulación se aplica a la empresa, a un proceso concreto o incluso a una situación específica.
El marco normativo digital de la Unión Europea incluye el Reglamento General de Protección de Datos, el Reglamento de Inteligencia Artificial, el Reglamento de Gobernanza de Datos, el Reglamento de Datos y el Reglamento de Ciberresiliencia. A este conjunto se suman otras normas relacionadas con la seguridad, como el Reglamento de Servicios Digitales, la directiva NIS2 y DORA. La coincidencia de obligaciones hace que interpretar correctamente las reglas en el día a día empresarial no resulte sencillo.
El Digital Omnibus busca simplificar el cumplimiento
La Comisión Europea es consciente de esta complejidad. Su propuesta de Digital Omnibus plantea una reforma amplia para coordinar varias normas digitales ya existentes. El objetivo es que las obligaciones sobre tratamiento de datos, ciberseguridad y uso de la inteligencia artificial resulten más claras, coherentes y fáciles de aplicar.
Uno de los cambios más prácticos tiene que ver con la comunicación de incidentes. En el futuro, las empresas no tendrían que notificar por separado el mismo incidente de seguridad o de protección de datos a varias autoridades solo porque se activen distintas normas europeas. Un canal único podría permitir cumplir simultáneamente las obligaciones derivadas del RGPD, NIS2, DORA y otros reglamentos. Así se reduciría la carga administrativa de las empresas y se agilizaría el trabajo de los organismos supervisores.
En julio de 2026, la UE aprobó además un Digital Omnibus específico para la inteligencia artificial. Este reglamento modifica el Reglamento de IA y lo coordina con otras normas digitales. No pretende eliminar la regulación ni reabrir el proceso legislativo, sino hacer que las obligaciones sean más viables en la práctica y que las empresas puedan cumplirlas sin dedicar recursos desproporcionados. Por ejemplo, la aplicación de algunos requisitos para los sistemas de IA de alto riesgo se ha aplazado porque todavía no están disponibles las normas técnicas, las especificaciones y las orientaciones necesarias.
Qué puede cambiar en los procesos logísticos
Aunque el Digital Omnibus no crea normas diseñadas específicamente para el transporte o la logística, sus efectos pueden ser relevantes. Los operadores logísticos dependen de grandes volúmenes de datos procedentes de múltiples fuentes para mejorar sus servicios y gestionar sus operaciones.
Actualmente, varias normas europeas regulan la forma en que esos datos pueden consultarse, utilizarse y compartirse. Entre ellas se encuentran el Reglamento de Datos, que regula el acceso a la información generada por productos conectados; el Reglamento de Gobernanza de Datos, centrado en el intercambio mediante servicios de intermediación; la Directiva sobre datos abiertos, relativa al uso empresarial de la información del sector público; y el reglamento sobre la libre circulación de datos no personales, que aborda su tratamiento y almacenamiento dentro de la UE. El Digital Omnibus propone integrar estos marcos en el Reglamento de Datos.
Para las empresas, esta unificación podría simplificar de forma notable las políticas internas de acceso e intercambio de información. En lugar de manejar definiciones y responsabilidades distintas según el objetivo o el tipo de dato, podrían trabajar con un marco jurídico común.
Pensemos en un operador logístico que quiere utilizar los datos sobre la ubicación y el estado de sus camiones para optimizar rutas y proporcionar información a un servicio independiente de mantenimiento. Los sistemas telemáticos generan datos como posiciones GPS, niveles de combustible y códigos de avería. Con la regulación actual, la empresa debe determinar qué norma se aplica según el tipo de información, su procedencia y los derechos de acceso y uso correspondientes.
El Digital Omnibus podría homogeneizar este procedimiento mediante un criterio único de decisión: clasificar los datos, comprobar el derecho o permiso correspondiente, establecer las medidas de protección necesarias y dejar constancia de la transferencia.
Otros cambios previstos en el Digital Omnibus
La reforma podría tener consecuencias que vayan más allá de los procedimientos de uso de datos. La incorporación del Reglamento de Gobernanza de Datos al Reglamento de Datos pretende reducir las barreras en el mercado de la intermediación de datos. De este modo, a las empresas podría resultarles más sencillo acceder a grandes conjuntos de datos cuando los necesiten.
El Digital Omnibus también aclara determinados derechos previstos en el Reglamento de Datos para facilitar el traslado de datos y aplicaciones entre proveedores de servicios en la nube. Al mismo tiempo, los proveedores especializados de menor tamaño y los contratos más antiguos podrían beneficiarse de exenciones o de obligaciones reducidas. Por ello, conviene revisar con detenimiento los nuevos requisitos y analizar los acuerdos que ya están en vigor.
IA en logística: usos potenciales y riesgos
Las soluciones basadas en inteligencia artificial ya se aplican o se están probando en ámbitos como la planificación dinámica de rutas, la gestión automatizada de almacenes y el análisis predictivo de la cadena de suministro. Muchas empresas están desarrollando sistemas propios o suministrando herramientas de IA adaptadas al sector.
Para ellas, los cambios introducidos por el Digital Omnibus en materia de inteligencia artificial son especialmente importantes. El reglamento entró en vigor en julio de 2026, modificó varios requisitos de aplicación del Reglamento de IA y concedió más tiempo a las empresas para cumplirlos.
La ampliación de los plazos afecta sobre todo a los sistemas de IA de alto riesgo. Según la legislación europea, se trata de aplicaciones cuyo uso puede poner en peligro la seguridad, la salud o los derechos fundamentales de las personas. El Reglamento de IA contempla dos categorías relevantes: los sistemas que actúan como componentes de seguridad en productos regulados conforme al anexo I y las aplicaciones independientes utilizadas en ámbitos sensibles recogidos en el anexo III.
Una herramienta que recomienda rutas a un operador no se considera automáticamente de alto riesgo. La evaluación podría ser distinta si el sistema controla por sí mismo las operaciones de un almacén o el tráfico por carretera. También podrían entrar en esta categoría las soluciones que evalúan a conductores o trabajadores de almacén, asignan tareas o influyen en las condiciones laborales.
La Comisión Europea deberá publicar las orientaciones necesarias antes del 1 de agosto de 2027. A partir de esa fecha, las empresas dispondrán de seis meses para cumplir las obligaciones del Reglamento de IA aplicables a los sistemas de alto riesgo incluidos en el anexo III, y de doce meses para los sistemas contemplados en el anexo I.
El Digital Omnibus sobre IA incorpora además varias medidas para flexibilizar su aplicación. Los sistemas de alto riesgo que solo realicen tareas limitadas quedarán exentos de determinadas obligaciones de registro. Las pequeñas y medianas empresas tendrán requisitos documentales menos exigentes y las compañías contarán con mayor margen para adaptar la formación en IA a sus necesidades concretas. Al igual que en la reforma digital general, la finalidad declarada no es desregular, sino conseguir que el marco normativo funcione mejor en la práctica.
Los sistemas de gestión ISO aportan una base estructurada
El panorama regulatorio seguirá siendo exigente. La legislación evoluciona constantemente y proporciona el marco formal, pero las empresas también necesitan reforzar su capacidad de resiliencia frente al aumento de los riesgos cibernéticos.
Los sistemas de gestión basados en normas internacionales ofrecen un enfoque estructurado que involucra a toda la organización. La norma ISO/IEC 27001, por ejemplo, establece cómo gestionar la seguridad de la información de manera sistemática. Además de las medidas técnicas de seguridad informática, aborda la protección global de la información y los datos.
La certificación no es obligatoria ni demuestra por sí sola el cumplimiento del RGPD, NIS2 o el Reglamento de IA. Sin embargo, muchos de los controles y procesos exigidos por un sistema de gestión de la seguridad de la información conforme a ISO/IEC 27001 pueden ayudar a gestionar de forma ordenada algunas obligaciones legales y regulatorias, incluidas las derivadas del RGPD.
Del mismo modo, un sistema de gestión de la inteligencia artificial basado en ISO/IEC 42001 proporciona un marco estructurado para gobernar el uso de la IA y puede ayudar a las organizaciones a abordar numerosos requisitos del Reglamento europeo de Inteligencia Artificial.
El valor de una certificación ISO no se limita a acreditar formalmente la conformidad con la norma certificada. También acredita que una entidad independiente ha evaluado a la empresa frente a los requisitos de esa norma. Sobre todo, el propio sistema de gestión ayuda a identificar riesgos de forma continua, asignar responsabilidades claras, mejorar los procesos y responder a los cambios de manera organizada.
Para que estos beneficios sean reales, la implantación debe ser efectiva. La alta dirección tiene que respaldar activamente el sistema, y los procesos definidos deben integrarse en la operativa diaria, no limitarse a existir sobre el papel.
