Patricia Frade Abogada Digital y Analista de Negocio TIC
En julio próximo, la Carta de Derechos Digitales de España cumplirá cinco años. Se presentó en 2021 como catálogo de derechos fundamentales adaptado a la era algorítmica sin precedentes en Europa. Hoy ese ecosistema ha sido sacudido desde Bruselas por el Paquete Ómnibus Digital. La pregunta urgente: ¿refuerza este giro la arquitectura garantista que la Carta diseñó, o la convierte en declaración aún más huérfana de músculo normativo?
La respuesta, como casi todo en el Derecho digital, es incómodamente ambivalente.
Una Carta con alma y guía inspiradora: el problema estructural que persiste
La Carta no es norma jurídica. Se concibió como marco orientador, hoja de ruta ética que debía nutrir el desarrollo legislativo posterior. Su valor es innegable: reconoce derechos como la neutralidad de la red, la protección frente a decisiones automatizadas o el acceso universal a internet como condición de ciudadanía plena. Pero el Derecho, a diferencia de la filosofía, necesita coercibilidad.
Ningún ciudadano puede invocar la Carta ante un Tribunal para reclamar que un algoritmo le discriminó, que su empleador le vigiló mediante herramientas digitales o que una plataforma procesó sus datos biométricos sin consentimiento real. Para los abogados que ejercemos en el frente digital, esto no es un tecnicismo: es la diferencia entre proteger a nuestros clientes o dejarlos en tierra de nadie normativamente.
El Ómnibus Digital: ¿simplificación o retroceso garantista?
El Paquete Ómnibus Digital no deroga el AI Act. La arquitectura conceptual del Reglamento permanece intacta: gobernanza, trazabilidad, supervisión humana, gestión del riesgo y vigilancia postcomercialización siguen vigentes. Lo que cambia es el cuándo y el cómo.
La modificación más disruptiva afecta al calendario: las obligaciones para sistemas de IA de alto riesgo del Anexo III quedan vinculadas a estándares técnicos armonizados aún en desarrollo, desplazando plazos hasta 2027-2028. Esta moratoria condicional es una trampa dorada: el cumplimiento sigue siendo exigible en agosto de 2026 mientras el Ómnibus no sea adoptado formalmente.
Tres novedades merecen atención. Primero, la extensión de simplificaciones a pymes —hasta 750 empleados y 150 M€—, ampliando el perímetro de operadores con documentación técnica aligerada. Segundo, el refuerzo de la Oficina Europea de IA, supervisora de modelos GPAI y plataformas de gran escala. Tercero, la creación de una base jurídica expresa para tratar categorías especiales de datos para corregir sesgos algorítmicos —laguna que la Carta señaló pero el RGPD nunca resolvió con precisión suficiente.
Los cuatro frentes donde la urgencia sigue siendo máxima
IA y decisiones automatizadas. El Ómnibus introduce el riesgo operativo más peligroso: la percepción de que existe margen para demorar la preparación interna. Los sistemas de scoring crediticio, los algoritmos de selección de personal y las herramientas de evaluación de riesgo penal operan ya en ese limbo. Cuando los estándares entren en vigor, el cumplimiento será inmediato y exigirá una gobernanza madura previamente establecida.
Derechos digitales laborales. El Ómnibus no aborda este frente, perpetuando la dependencia del artículo 91 de la LOPDGDD y de una negociación colectiva normativamente analfabeta en materia digital. Los despachos con visión tecnológica tienen aquí una oportunidad y una responsabilidad histórica.
Identidad digital y menores. El Ómnibus impulsa las European Business Wallets y la revisión de la definición de dato personal, añadiendo complejidad que afecta directamente a la protección de menores en plataformas. La Ley Orgánica de Protección de la Infancia en Entornos Digitales de 2024 avanzó, pero la implementación técnica sigue siendo incipiente.
Neuroderechos. La Carta incorporó, de forma pionera en Europa, referencia explícita a la protección de datos neuronales frente a su captación y explotación comercial. Interfaces cerebro-computadora como las de Neuralink ya son realidad de mercado. El Ómnibus no los aborda. El RGPD ofrece cobertura parcial, pero no fue diseñado para la especificidad de la información neurológica en tiempo real. Chile fue en 2021 el primer país en elevarlos a rango constitucional. España, que los enunció en la Carta, no ha dado aún ese salto. Esta es la próxima gran batalla del derecho fundamental digital.
Lo que empresas y juristas no pueden seguir aplazando
Para las empresas, el Ómnibus no reduce la exigencia técnica del AI Act —sus requisitos permanecen íntegros—, pero altera la distribución interna de las obligaciones. Datos, ciberseguridad y privacidad deben trabajar sobre marcos de cumplimiento continuos. La gobernanza fragmentada deja de ser viable. Las empresas que actúen anticipadamente tendrán ventaja competitiva; las que esperen descubrirán que su modelo viola derechos fundamentales con efectos sancionadores directos.
Para los juristas, la Carta no puede leerse como documento museístico. Debe convertirse en instrumento de interpretación sistemática y palanca de argumentación ante reguladores y Tribunales. La posición del abogado digital ya no es reactiva: es arquitectónica.
El reto irrenunciable: de la declaración a la justiciabilidad
España tuvo el mérito de articular derechos digitales de cuarta generación. El Paquete Ómnibus demuestra que ese mérito exige responsabilidad: la transposición de directivas pendientes, el desarrollo reglamentario del AI Act y la renovación del marco de identidad digital son la oportunidad irrepetible para convertir la Carta en tejido jurídico vivo. Un marco nacional pierde toda su potencia si no se traduce en norma accionable antes de que la saturación regulatoria supranacional lo haga irrelevante.
Los derechos que no se pueden reclamar no son derechos. Son aspiraciones. Y la ciudadanía digital española —incluida aquella cuya mente podría convertirse mañana en el último dato por monetizar— merece algo más que aspiraciones bien redactadas.
