La Unión Europea (UE) ha construido en menos de una década el marco regulatorio digital más ambicioso y complejo del mundo, con más de un centenar de leyes.
Este corpus normativo creciente abarca desde protección de datos hasta ciberseguridad, inteligencia artificial y mercados digitales, condicionando el día a día de los autónomos y de las pymes.
El problema, según un informe reciente de Fedea, es que estas normas no solo se acumulan, sino que se superponen y se aplican por distintas autoridades. Lo que genera costes de cumplimiento e inseguridad jurídica, especialmente para los pequeños negocios.
- Los negocios con presencia digital deben cumplir más de 100 normas europeas
- Pymes y autónomos tienen menos capacidad de cumplimiento
- La simplificación que propone la UE es “necesaria, pero insuficiente”
-
Los negocios con presencia digital deben cumplir más de 100 normas europeas
Desde la entrada en vigor del Reglamento General de Protección de Datos (GDPR) en 2018, la UE ha aprobado una sucesión de normas que afectan a la privacidad, seguridad, datos, inteligencia artificial, telecomunicaciones y servicios digitales y que un negocio debe cumplir por tener, presencia en internet como una simple página web de presentación.
El informe de Fedea, elaborado por Judith Arnal, economista y consejera independiente del Banco de España, define este conjunto como el “marco normativo digital más ambicioso y complejo del mundo”, que se ha convertido también en una “fuente creciente de inseguridad jurídica, costes de cumplimiento y fragmentación supervisora”.
Según explicó Arnal, la acumulación normativa ha generado “un entramado de obligaciones superpuestas que 27 Estados miembros interpretan y aplican de forma divergente”, lo que limita la integración real del mercado interior digital y afecta a la competitividad.
En su análisis, la economista no contabiliza toda la normativa digital existente, pero sí identifica un núcleo de 12 instrumentos legislativos que considera especialmente relevantes por su “alcance transversal y su impacto económico”, entre ellos el GDPR, la Directiva ePrivacy, el DSA, el DMA, el Reglamento de Datos, el Reglamento de Inteligencia Artificial, la Directiva NIS2, el Reglamento DORA, el Reglamento de Ciberresiliencia, eIDAS y la Directiva sobre resiliencia de entidades críticas (CER).
Arnal advierte, además, de que alrededor de este núcleo existe “un número significativamente mayor de iniciativas legislativas y cuasi-legislativas, desde normas sectoriales hasta actos delegados y directrices técnicas”, que también condicionan el cumplimiento normativo por parte de las pymes.
Un galimatías jurídico que incluye 101 normas ya vigentes y otras 24 más en proceso de aprobación cuando se elaboró el EU Digital Laws Report 2025 de la International Association of Privacy Professionals (IAPP). Un recuento que da una idea del volumen de obligaciones solo en el ámbito digital.
Pymes y autónomos tienen menos capacidad de cumplimiento
El estudio describe el acervo digital europeo como un sistema organizado en cinco capas regulatorias que “obligan a las empresas a dedicar recursos a la gestión regulatoria en lugar de a la actividad productiva”.
Según el su autora, estos instrumentos “se superponen progresivamente en capas funcionales diferenciadas, desde la protección de derechos fundamentales hasta la seguridad y resiliencia operativa de servicios e infraestructuras”, lo que provoca que “una misma actividad, empresa o servicio quede simultáneamente sujeto a obligaciones procedentes de varias capas regulatorias, aplicadas bajo instrumentos jurídicos y estructuras de gobernanza distintas”.
Esto implica que una pyme o un autónomo con presencial digital puede verse afectado al mismo tiempo por normas de privacidad, por obligaciones de uso de datos, por requisitos de ciberseguridad y, en determinados casos, por las exigencias del Reglamento de Inteligencia Artificial.
Aunque muchas de estas normas se diseñaron pensando en grandes plataformas tecnológicas el informe resalta que “se aplican, con independencia del sector o del tamaño del operador, a prácticamente toda actividad digital” y muchas pymes se han visto en la necesidad de invertir en “sistemas de reporte, recursos humanos especializados y asesoramiento externo.”
La simplificación que propone la UE es “necesaria, pero insuficiente”
Actualmente la Unión Europea está inmersa en un proceso de simplificación regulatoria que supondría reducir la carga administrativa recurrente en al menos un 25% para todas las empresas y un 35% para las pymes, lo que equivaldría a un ahorro estimado de 37.500 millones de euros para el final del actual mandato comunitario.
Dentro de este plan, el paquete Ómnibus VII Digital, prevé ahorros de al menos 6.000 millones de euros hasta 2029.
Según el análisis de Judith Arnal, estas medidas dirigidas especialmente a los pequeños negocios se articulan en cuatro grandes bloques:
- Clarificación del uso del GDPR como marco horizontal para la IA y la economía del dato, para reducir inseguridad jurídica y fatiga del consentimiento.
- Consolidación de las normas de datos en torno a un único Reglamento de Datos, integrando instrumentos actualmente dispersos.
- Ajustes en el Reglamento de Inteligencia Artificial, orientados a mejorar su aplicabilidad y su gobernanza.
- Racionalización de las notificaciones de incidentes, mediante la creación de un punto único de entrada a nivel europeo bajo el principio de “notificar una vez, compartir múltiples veces”.
No obstante, el informe advierte de que la simplificación también genera costes de transición, asociados a la adaptación de sistemas y procedimientos, y que la ausencia de evaluaciones de impacto completas impide conocer con precisión el efecto económico neto de estas reformas.
Desde el punto de vista práctico, el abogado especializado en derecho digital Jorge Cabet, director de Augusta Abogados, señaló que la complejidad no solo proviene del número de normas, sino también de los continuos cambios regulatorios.
Este letrado considero que “la simplificación es una alteración y como tal ya supone un trabajo extra para los negocios” que irían desde «estudiar el caso en el departamento legal en el caso de que lo tengan o requerir asesoramiento especializado hasta modificar procedimientos”.
A su juicio, los ajustes propuestos por las autoridades europeas no suponen un “alivio del estrés regulatorio” ya que “el escenario sigue siendo muy exigente”.
Cabet se preguntó sobre el verdadero impacto que supone, por ejemplo, que la obligación de un autónomo para notificar una brecha de seguridad pase de las 72 a las 96 horas.
Otro factor a tener en cuenta según el abogado es que el galimatías jurídico se complica porque también “hay problemas con las traducciones” de las normas comunitarias a los múltiples idiomas de los países de la Unión.
¿Qué debería hacer la UE según los expertos?
Más allá de los ajustes que están en marcha, el informe de Fedea apunta a la necesidad de reformas más profundas. Según Judith Arnal, una simplificación efectiva no pasa solo por reducir trámites, sino por corregir problemas estructurales del propio sistema regulatorio.
Entre las principales líneas de actuación que destaca esta experta se encuentran la mejora de la coordinación entre autoridades supervisoras, con el fin de “evitar interpretaciones divergentes de normas altamente técnicas”, y el refuerzo de los mecanismos de gobernanza europea en ámbitos como la inteligencia artificial, donde la fragmentación nacional puede generar inseguridad jurídica y distorsiones en el mercado interior.
El informe también subraya la necesidad de que las reformas normativas vayan precedidas de evaluaciones de impacto completas, especialmente cuando afectan a reglamentos que aún no han sido plenamente aplicados. Modificar el marco regulatorio en pleno proceso de implementación, advierte Arnal, “dificulta la planificación empresarial y aumenta los costes de adaptación”.
Otro de los elementos clave es la coherencia jurídica. Fedea señala que la proliferación de actos modificativos, disposiciones transitorias y normas complementarias obliga a empresas y asesores a reconstruir continuamente el marco aplicable, por lo que reclama textos consolidados y una mayor claridad normativa para reducir la incertidumbre y los costes de cumplimiento.
Por último, el informe destaca que buena parte de la complejidad no procede del Derecho europeo en sí, sino de su aplicación fragmentada en los Estados miembros, por lo que cualquier estrategia de simplificación debería abordar también los mecanismos de transposición, supervisión y ejecución nacional, y no limitarse a modificar la legislación de la UE.
El abogado especializado en derecho digital Jorge Cabet añadió que la clave está en una mayor proporcionalidad. A su juicio, el alivio real para los pequeños negocios pasaría por una aplicación asimétrica de las obligaciones, con requisitos mucho más simples, plantillas estándar y, en determinados casos, exenciones para autónomos que carecen de estructura para cumplir con exigencias pensadas para organizaciones de mayor tamaño.
Por todo ello, Judith Arnal define el Ómnibus como “un primer ajuste correctivo, pero no un punto de llegada”, y señala que la reducción efectiva de la carga regulatoria para pymes y autónomos dependerá de si se abordan las causas estructurales de este galimatías jurídico.
