Ley de Servicios Digitales en España: de la entrada en vigor a los hitos regulatorios de 2026

La Ley de Servicios Digitales (DSA) no es una norma aislada, sino el resultado de una larga negociación en la Unión Europea para crear un espacio digital único y seguro. Su objetivo principal es establecer un conjunto claro de normas aplicables en toda la UE, protegiendo los derechos fundamentales de los ciudadanos y facilitando la expansión de las pymes y empresas emergentes en el mercado digital.

Antes de la DSA, la regulación de las plataformas era fragmentada y dependía de las legislaciones nacionales. La nueva ley introduce un enfoque basado en el riesgo y el tamaño: cuanto mayor sea la plataforma y más cerca esté de los usuarios finales, más estrictas serán sus obligaciones. Este enfoque busca equilibrar la innovación con la protección del consumidor y la seguridad en línea.

La DSA entró en vigor oficialmente el 1 de enero de 2024, tras ser aprobada por el Parlamento Europeo y los Estados miembros. Sin embargo, su aplicación fue escalonada. Las obligaciones básicas para los intermediarios en línea comenzaron a aplicarse a partir del 17 de febrero de 2024, afectando a todas las plataformas con usuarios en la UE, salvo las microempresas y pequeñas empresas con menos de 50 empleados y un volumen de negocios inferior a 10 millones de euros.

Esta fecha de febrero de 2024 marcó el inicio de la obligación de proporcionar medios para señalar contenidos ilícitos, cooperar con alertadores fiables y proteger a los menores. La prohibición de dirigir anuncios basados en perfiles a menores y la restricción de anuncios basados en datos sensibles (como creencias políticas o religiosas) se convirtieron en requisitos inmediatos para las plataformas.

En 2025, la Agencia Española de Protección de Datos (AEPD) publicó su Memoria anual, que reflejó un aumento significativo en la actividad regulatoria. La AEPD recibió 30.931 reclamaciones, un incremento del 64% respecto a 2024, y las multas alcanzaron los 48,1 millones de euros. Este aumento se debió en gran parte a la consolidación de la inteligencia artificial como eje central de la supervisión y al incremento de los procedimientos por brechas de seguridad, que se dispararon un 157%.

La AEPD publicó la primera política de IA del sector público español y preparó una guía conjunta RGPD-RIA con la Comisión Europea. Esto indica que la supervisión de la DSA no se limita a la moderación de contenidos, sino que se extiende a la protección de datos personales y la ética en el uso de algoritmos, creando una capa adicional de cumplimiento para las plataformas digitales.

En 2026, la Comisión Nacional del Mercado de Valores (CNMV) presentó su Plan de Actividades, que incluye la introducción de nuevas herramientas con Inteligencia Artificial en labores de supervisión y prevención del fraude. El plan identifica 60 iniciativas concretas en tres áreas: protección del inversor, potenciación de los mercados y mejora de la CNMV. Se revisarán los contenidos sobre criptomonedas y productos sostenibles, y se impulsará la monitorización de la actividad de inversión en redes sociales.

Este hito es crucial porque conecta la regulación de servicios digitales con la supervisión financiera. Las plataformas que ofrecen servicios de inversión o que actúan como intermediarios en el mercado de valores deben ahora cumplir con requisitos de transparencia algorítmica más estrictos, especialmente en lo que respecta a la comercialización de productos complejos y la protección del inversor minorista.

Otro desarrollo clave en 2026 es la aplicación plena del Reglamento DORA (Digital Operational Resilience Act), que entró en vigor el 17 de enero de 2025 pero cuya implementación completa se está consolidando en 2026. DORA establece un marco normativo uniforme para reforzar la ciberresiliencia en el sector financiero, imponiendo obligaciones claras a las entidades financieras y a sus proveedores terceros de servicios de TIC.

Para los proveedores de servicios esenciales, esto significa que deben cumplir con requisitos de mitigación de riesgos más estrictos. La falta de uniformidad en las regulaciones nacionales ha sido un problema histórico, y DORA busca garantizar que todas las entidades financieras de la UE, independientemente de su tamaño, tengan la capacidad de prevenir, resistir y recuperarse ante incidentes cibernéticos.

El impacto de la DSA y los hitos de 2026 es tangible para las empresas. Las sanciones pueden alcanzar hasta el 6% de la facturación anual de las plataformas que incumplan las normas. Esto obliga a las empresas a invertir en sistemas de cumplimiento, auditorías internas y mecanismos de transparencia algorítmica. Para los usuarios, se traduce en mayor control sobre sus datos, más opciones a la hora de navegar y una mejor protección frente a contenidos ilícitos.

Las empresas deben adaptar sus servicios para cumplir con las obligaciones de transparencia, especialmente en lo que respecta a la moderación de contenidos y la publicidad. La colaboración con alertadores fiables y la implementación de sistemas de IA para la detección de fraude y contenidos ilícitos son ahora requisitos clave. La decisión práctica para las empresas es clara: la inversión en cumplimiento no es opcional, sino una necesidad estratégica para operar en el mercado digital europeo.