El RGPD tiene casi 10 años. Funciona, pero el mundo cambió.
Cuando se redactó el RGPD (2016), ChatGPT no existía. Los datos masivos no eran lo de hoy. La privacidad había de hacerse de otra forma.
Ahora, la Comisión Europea está reescribiendo las reglas.
La reforma del RGPD se espera para 2026-2027.
No es una reescritura total. Es un ajuste: más regulación sobre IA, más poder para usuarios, más protecciones sobre datos sensibles.
Si diriges una empresa en España, esto te afecta. Y cuanto antes te prepares, menos te duele cuando entre en vigor.
Esta guía te explica qué cambia y qué debes hacer ya.
Por qué hay reforma
Cuatro razones:
1. La IA cambió todo Cuando redactaron el RGPD, IA era un término académico. Hoy, empresas usan ChatGPT, análisis predictivos, y reconocimiento facial en operaciones diarias. El RGPD actual no fue hecho para IA. Necesita actualización.
2. Concentración de poder Unos pocos gigantes (Meta, Google, Amazon) controlan datos de mil millones de personas. El RGPD actual no fue lo suficientemente fuerte para limitarlos. La reforma apunta a esto.
3. Cookies y tracking Aunque el RGPD reguló cookies, la realidad es que la mayoría de webs aún rastrea ilegalmente. Las reglas necesitan dientes.
4. Nuevas tecnologías Biometría, blockchain, IoT. Cosas que no existían en 2016. El RGPD necesita hablar de estas.
Los cambios principales de la reforma (2026-2027)
1. IA bajo control estricto
El cambio: Regulación específica para IA. No basta decir “usamos IA”. Tendrás que documentar cómo, por qué, y qué protecciones tiene.
Qué significa para ti:
- IA de “alto riesgo” (que toma decisiones sobre personas) necesitará auditoría obligatoria
- Sistemas que perfilan o discriminan (edad, origen, género) necesitarán evaluación de impacto rigurosa
- Tendrás que poder explicar cada decisión que toma la IA. No vale “la caja negra decidió”
Cuándo entra: Probablemente 2026
Acción ya: Si usas IA para decisiones automáticas, empieza a documentar cómo funciona y qué salvaguardas tienes.
2. “Derecho a saber” reforzado
El cambio: Los usuarios tendrán derecho a saber exactamente qué datos tienes, cómo los usas, y quién los ve. Punto.
Qué significa para ti:
- No vale decir “mira nuestra política de privacidad”. Tendrás que estar listo para dar detalles rápidos
- Si un usuario pregunta “¿qué datos tienes de mí?”, no puedes tardar 30 días. Será más rápido
- Tendrás que mantener sistemas de datos ultra transparentes
Cuándo entra: Probablemente 2026-2027
Acción ya: Centraliza tus datos. Asegúrate de que puedes hacer un “export” de todos los datos de una persona en menos de 5 minutos.
3. Trazabilidad obligatoria de consentimiento
El cambio: No basta tener un checkbox. Tendrás que registrar, rastrear y probar que cada persona consintió.
Qué significa para ti:
- Cada email marketing, cada formulario, cada cookie necesitará un registro “auditable”
- Si alguien dice “yo nunca consentí”, tendrás que probarlo con registro y timestamp
- Los “pre-ticked” checkboxes se prohibirán completamente
Cuándo entra: Probablemente 2026
Acción ya: Revisa tu herramienta de consentimiento (CookieBot, OneTrust, etc.). ¿Rastrea quién consintió cuándo? Si no, cambia.
4. Límites más estrictos a las cookies
El cambio: Incluso las “cookies necesarias” serán controladas. Y las cookies de “tracking” tendrán requisitos aún más estrictos.
Qué significa para ti:
- Herramientas como Google Analytics podrían necesitar consentimiento explícito (no solo “implied”)
- Pixel de Facebook, Google Ads, retargeting: tendrán que ser opt-in, no opt-out
- Los avisos de cookies necesitarán ser más claros y fáciles de rechazar
Cuándo entra: 2026-2027
Acción ya: Revisa tu configuración de cookies. Implementa un sistema que permita rechazarlas fácilmente (no debería ser más difícil rechazar que aceptar).
5. Transferencias de datos internacionales reforzadas
El cambio: Si mueves datos fuera de EU (a USA, cloud providers globales, etc.), tendrás que hacer más pruebas.
Qué significa para ti:
- Si usas Mailchimp, Slack, AWS, o cualquier proveedor USA, necesitarás revisar sus acuerdos
- Las “Adequate Decisions” (que permiten transferencias seguras) serán más estrictas
- Tendrás que hacer un análisis real de riesgos antes de enviar datos fuera de EU
Cuándo entra: Probablemente 2027
Acción ya: Revisa dónde guardan datos tus proveedores críticos. ¿USA, EU, otro lugar? Documenta esto.
6. Multas aún más altas (posible)
El cambio: Las multas podrían aumentar (hasta ahora máximo 20 millones o 4% facturación; podría ser más).
Qué significa para ti:
- El RGPD será más caro de incumplir
- Las “pequeñas infracciones” tendrán sanciones más severas
- Los Authorities (como la AEPD) tendrán más presupuesto para fiscalizar
Cuándo entra: 2027 aproximadamente
Acción ya: Empieza a cumplir ya. No esperes a que suban las multas.
7. Derechos de menores reforzados
El cambio: Protecciones especiales para menores de 16 (el RGPD actual dice “menores”, pero es vago).
Qué significa para ti:
- Si tu empresa toca datos de menores (escuelas, apps infantiles, redes sociales, etc.), necesitarás consentimiento parental explícito
- Ningún “perfilado” o publicidad dirigida a menores sin consentimiento de padres
- Los “terms of service” para menores serán nulos si no consintió el padre
Cuándo entra: 2026-2027
Acción ya: Si tocas datos de menores, revisa tu política. Asegúrate de que tienes consentimiento parental documentado.
Timeline Realista
2024-2025:
– Comisión Europea define detalles de reforma
– Debates en Parlamento Europeo
– Países dan feedback
2026:
– Primeras reglas entran en vigor (IA, consentimiento, derechos)
– Período de «gracia» para que empresas se adapten
– AEPD emite guías de implementación
2027:
– Aplicación completa
– Multas por incumplimiento entran en vigor
– Posible aumento de fiscalización
2028+:
– Sistema estable
Qué debes hacer AHORA (antes de 2026)
1. Audita tu cumplimiento actual (mes 1-2)
Antes de prepararte para cambios, asegúrate de que cumples el RGPD actual.
- Política de privacidad actualizada
- Consentimiento documentado
- DPAs con proveedores
- Datos organizados
- Seguridad básica
Si fallas en esto, los cambios te abrumarán.
2. Mapea tu uso de IA (mes 2-3)
Pregúntate:
– ¿Dónde usamos IA? (ChatGPT, CRM, análisis, chatbots, etc.)
– ¿Qué datos toca?
– ¿Qué decisiones toma?
– ¿Podemos explicarla?
Documenta esto. Será el punto de partida para cumplir las nuevas reglas.
3. Revisa tus cookies y consentimiento (mes 3-4)
- ¿Tu herramienta de consentimiento rastrea bien?
- ¿Es fácil rechazar cookies?
- ¿Tienes registro auditable de consentimientos?
Actualiza si es necesario.
4. Prepárate para transferencias de datos (mes 4-5)
- ¿Dónde guardan datos tus proveedores?
- ¿EU o fuera?
- ¿Tienen acuerdo de transferencia con EEUU (si aplica)?
Documenta y prepara alternativas si es necesario.
5. Mantente informado (continuo)
La reforma no entra de golpe. Habrá guías, actualizaciones, clarificaciones.
Suscríbete a:
– AEPD (aepd.es) – noticias y guías
– Asociaciones de empresas de tu sector
– Consultores de privacidad
6. Presupuesta (ahora)
La reforma tendrá costos:
– Auditorías de cumplimiento: 500-2000€
– Actualizar sistemas/procesos: variable
– Asesoramiento legal: 1000-5000€
– Herramientas nuevas: 100-500€/año
Empieza a presupuestar. No será gratis.
Sector por sector: ¿Qué te afectará más?
Si eres e-commerce:
– Cambios en cookies muy relevantes
– Derecho a saber reforzado = presión de clientes
– IA en recomendaciones se regulará
Si eres agencia/consultora:
– Trazabilidad de consentimiento es crítica
– Transferencias de datos si trabajas con USA
– IA en decisiones (scoring, clasificación) se regulará
Si eres SaaS/tech:
– IA muy regulada (tu producto entero podría ser “alto riesgo”)
– Transferencias de datos, crítico
– Menores, si tu app los toca
Si eres empresa pequeña:
– Cambios menos agresivos, pero igual obligatorios
– El checklist de arriba te prepara
Si eres administración pública:
– IA regulada al máximo (decisiones sobre ciudadanos)
– Transparencia extrema
– Costos altos de cumplimiento
Errores comunes que muchas empresas harán (que tú evitarás)
Error 1: “Esperar y ver”
Muchas empresas dirán “veamos cuándo entra de verdad, luego nos preparamos.”
Malo: Cuando entre en vigor, tendrás poco tiempo. Los Authorities vendrán rápido. Mejor empezar ahora.
Error 2: “La IA no nos afecta”
Muchas pymes piensan que IA es cosa de gigantes.
Malo: Si usas cualquier herramienta de análisis, o formularios que califican leads, eso es IA. Te afecta.
Error 3: “Contratar asesor cuando llegue la reforma”
“Me esperaré a que la reforma entre, luego contrataré un abogado.”
Malo: Todos lo harán. Los asesores estarán sobrecargados. Será caro y lento. Mejor contratar ahora para prepararse.
Error 4: No documentar nada
“Cumplimos, pero no documentamos nada.”
Malo: Si hay auditoría, no tienes prueba. Es como si no cumplieras.
Conclusión
La reforma del RGPD es una realidad. Entra en 2026-2027 y es algo que afecta todas las empresas.
Pero no es una catástrofe, sino una evolución.
Las empresas que se preparan ahora (2026):
– Tendrán tiempo para adaptarse
– Ahorrarán dinero (mejor que reparar en 2027)
– Estarán en verde cuando entre en vigor
– Tendrán ventaja competitiva (clientes confían en quienes respetan privacidad)
Las que esperen:
– Estarán presionadas en 2027
– Tendrán que hacer cambios rápidos (y caros)
– Correrán riesgo de multa si la reforma es más exigente
– Se jugarán el Daño Reputacional (clientes se enteran de que incumplías)
Qué hacer esta semana
- Lee esta guía una vez más. Asegúrate de entender los cambios.
- Agenda 30 minutos con tu equipo. Explica qué viene.
- Haz la auditoría rápida: ¿Cumples RGPD hoy?
- Si no, empieza con el checklist del artículo anterior (25 acciones).
- Si sí cumples, empieza a prepararte para los cambios (mapeo de IA, revisión de cookies, etc).
¿Necesitas una mano?
En Ubimia podemos hacer:
- Auditoría de cumplimiento RGPD actual (ve dónde estás)
- Preparación para reforma (qué cambiar ahora para estar listos en 2026)
- Servicio de DPD externo (te acompañamos durante transición)
La reforma es inevitable. Mejor que alguien te guíe. → Solicita consulta gratuita sobre reforma del RGPD