Dos regulaciones europeas entran en vigor entre 2026 y 2028 y redefinen las obligaciones de las empresas que diseñan, venden o utilizan productos digitales. La Ley de Ciberresiliencia (CRA) y la Ley de IA imponen restricciones técnicas y organizativas precisas. Medir su alcance respectivo permite entender qué partidas presupuestarias y qué procesos internos se verán afectados en primer lugar en el ámbito de la informática.
Ley de Ciberresiliencia y Ley de IA: calendario y sanciones comparadas
Los dos textos no apuntan a los mismos actores, no entran en vigor en las mismas fechas y no prevén los mismos límites de sanciones. La tabla a continuación sintetiza las diferencias.
Leer también : Las últimas tendencias y noticias imprescindibles del mercado inmobiliario en 2024
| Criterio | Ley de Ciberresiliencia (CRA) | Ley de IA |
|---|---|---|
| Primera fecha límite vinculante | 11 de septiembre de 2026 | 2 de agosto de 2025 (prohibiciones), luego 2 de agosto de 2026 (obligaciones de cultura IA) |
| Aplicación plena | 11 de diciembre de 2027 | 2 de agosto de 2027 (sistemas de alto riesgo) |
| Ámbito | Cualquier producto que contenga elementos digitales vendido en la UE | Sistemas de IA comercializados o utilizados en la UE |
| Máxima sanción | 15 M€ o 2,5 % de la CA mundial | 35 M€ o 7 % de la CA mundial (prácticas prohibidas) |
| Obligación documental clave | SBOM (Software Bill of Materials) | Registro de transparencia, evaluación de conformidad |
El CRA afecta primero a los editores de software y a los fabricantes de hardware conectado. La Ley de IA, en cambio, se refiere a cualquier empresa que despliegue un sistema de IA, incluso internamente. Sin embargo, ambos textos comparten una lógica común: documentar, rastrear, actualizar.
Varios análisis sectoriales publicados en la sección de informática de The Web Brains detallan las implicaciones concretas de estas regulaciones para los equipos de TI franceses.
También recomendado : Descubre las últimas noticias y consejos para triunfar en el emprendimiento
SBOM y marcado CE digital: lo que el CRA cambia para los desarrolladores
A partir de septiembre de 2026, todo fabricante de un producto digital vendido en la UE deberá declarar en menos de 24 horas cualquier vulnerabilidad activamente explotada o cualquier incidente grave de seguridad. Este plazo de notificación, similar al del RGPD para las violaciones de datos, impone una reestructuración de los procesos de vigilancia y respuesta a incidentes.
La restricción más estructurante sigue siendo el SBOM. Este documento exhaustivo lista todas las dependencias de software de un producto, incluidas las bibliotecas de código abierto. Mantener un SBOM actualizado implica tres cambios concretos en las prácticas de desarrollo:
- Integrar una herramienta de análisis de composición de software (SCA) en la cadena CI/CD para detectar automáticamente las dependencias obsoletas o vulnerables
- Formalizar una política de gestión de actualizaciones de seguridad gratuitas durante toda la duración del soporte del producto, un compromiso que el fabricante deberá documentar antes de la comercialización
- Preparar el expediente técnico necesario para el marcado CE de ciberseguridad, que se volverá obligatorio el 11 de diciembre de 2027 para todos los productos que contengan elementos digitales
Para las pymes editoras de software, el costo de cumplimiento recae menos en las herramientas (existen soluciones SCA de código abierto) que en el tiempo humano: documentar, probar las restauraciones, formalizar los procedimientos de notificación.
Ley de IA y obligación de cultura IA en la empresa: más allá de la conformidad técnica
La Ley de IA no se limita a clasificar los sistemas de IA por nivel de riesgo. Desde agosto de 2025, las prácticas de IA consideradas inaceptables (puntuación social, manipulación subliminal) están prohibidas. La siguiente fecha límite, agosto de 2026, impone una obligación de “cultura IA” a toda organización que despliegue o desarrolle un sistema de IA.
Esta obligación de formación abarca un amplio espectro. No solo se dirige a los científicos de datos o ingenieros de aprendizaje automático. Los equipos de negocio que utilizan una herramienta de puntuación, de clasificación automática de candidaturas o de recomendación al cliente también están involucrados.
El texto exige que las personas involucradas en el funcionamiento o supervisión de un sistema de IA tengan un nivel suficiente de comprensión técnica. Concretamente, esto significa construir programas de formación adaptados a cada perfil, documentar las competencias adquiridas y poder demostrarlo en caso de auditoría.
A diferencia del CRA, que se dirige a los fabricantes, la Ley de IA también responsabiliza a los usuarios profesionales de sistemas de IA de alto riesgo. Una empresa que compra un software de reclutamiento asistido por IA debe verificar que este software es conforme, pero también debe formar a sus reclutadores sobre su funcionamiento y sus limitaciones.
Ciberseguridad y nube: decisiones presupuestarias para las empresas francesas
La acumulación de estas obligaciones regulatorias pesa sobre los presupuestos informáticos. Las partidas más afectadas se distribuyen entre tres categorías:
- La seguridad de aplicaciones (auditoría de código, SCA, pruebas de penetración), impulsada por los requisitos del CRA y por el endurecimiento general de los ataques en las cadenas de suministro de software
- La formación y la gobernanza de IA, promovidas por la Ley de IA, que requieren recursos humanos dedicados más que inversiones tecnológicas pesadas
- La infraestructura en la nube y la gestión de datos, donde la elección del proveedor (nube soberana o hyperscaler estadounidense) condiciona tanto la conformidad con el RGPD como la capacidad de cumplir con los requisitos de trazabilidad del CRA
El mercado francés de la nube está experimentando un reposicionamiento. Varios proveedores ofrecen ofertas etiquetadas como SecNumCloud, calificadas por la ANSSI. Para las empresas que manejan datos sensibles, la elección de una nube calificada se convierte en un criterio de conformidad regulatoria y no solo en un argumento comercial.
Las decisiones no son únicamente financieras. Reclutar un perfil capaz de gestionar la conformidad con el CRA y la Ley de IA simultáneamente sigue siendo difícil. Las competencias en ciberseguridad, gobernanza de datos y regulación digital se superponen, pero las formaciones que cubren estos tres ámbitos siguen siendo escasas en el mercado francés.
La brecha entre las dos regulaciones también se mide en términos de madurez de las empresas. La mayoría de las organizaciones ya cuentan con una política de seguridad informática, incluso mínima. La gobernanza de IA, en cambio, a menudo parte de cero en las pymes y ETI. Es en este aspecto donde el esfuerzo de adaptación será más visible para 2027.