Aragón se ha convertido en poco más de dos años en uno de los grandes destinos europeos para la instalación de centros de datos. Empresas tecnológicas y fondos de inversión han anunciado ya más de veinte proyectos en la comunidad, atraídos por la abundancia de energía renovable y de suelo disponible, así como por la posibilidad de reducir los plazos burocráticos habituales gracias a los Planes de Interés General de Aragón (PIGA), una figura que reduce a la mitad los plazos burocráticos habituales.

Pero las cifras contenidas en la documentación ambiental del PIGA sobre dos de esos proyectos, publicada este martes, ponen sobre la mesa una pregunta que lleva meses sobrevolando el debate público: ¿tiene la región capacidad real para sostener este crecimiento?

Y es que está previsto que el campus que el fondo Azora proyecta en Villamayor de Gállego consuma 2.628 gigavatios hora (GWh) al año cuando alcance su plena capacidad, una cifra cercana a la cuarta parte de toda la electricidad que consumió Aragón en 2025. Y si a esa cifra se suma la demanda estimada para el proyecto Rhodes, que Blackstone impulsa en Calatorao, la suma de ambos complejos —7.373 GWh anuales— equivaldría a cerca del 70% del consumo eléctrico actual de la comunidad.

Dos proyectos, dos escalas distintas

El proyecto de Azora, bautizado como Tillion Aragón, contempla una inversión de 2.360 millones de euros para levantar cuatro edificios de centros de datos en Villamayor de Gállego, un municipio que además ya concentra otros grandes desarrollos, entre ellos uno de los tres campus previstos por Microsoft en la comunidad. Azora prevé una demanda eléctrica total de 300 megavatios (MW), de los que ya tiene asegurados 150, y divide la construcción en dos fases: la segunda, que completaría los cuatro edificios, queda condicionada a que la empresa consiga la capacidad eléctrica adicional que necesita. Según ha trascendido de la propia documentación del proyecto, la compañía admite que se trata de un impacto “relevante” sobre el consumo energético de la zona.

El campus de Blackstone en Calatorao, conocido como Proyecto Rhodes, juega en otra liga. Su estudio de impacto ambiental estima un consumo medio anual de 4.745 GWh —casi el doble que el de Azora— y contempla una inversión de 11.805 millones de euros para desarrollar ocho edificios en una primera fase, con una segunda fase que podría añadir cinco centros de datos más. El fondo estadounidense ha ido revisando al alza sus planes: cuando se presentó el proyecto en octubre de 2024 la inversión estimada rondaba los 8.700 millones de dólares; la última documentación remitida a la Administración aragonesa ya la sitúa por encima de los 13.700 millones.

Compartir

El agua, la otra cara de la moneda

Por otro lado, frente al fuerte impacto energético, ambos proyectos presentan un consumo hídrico comparativamente reducido: Blackstone y Azora han optado por sistemas de refrigeración por aire, una tecnología que reduce notablemente las necesidades de agua frente a otros modelos de refrigeración líquida. El campus de Calatorao estima un consumo anual de 4.782 metros cúbicos de agua, y el de Villamayor, 6.066 metros cúbicos —el equivalente a unos 30 hogares—. Entre ambos apenas superan los 10.800 metros cúbicos al año, una cifra muy alejada de la que manejan otros proyectos en la región: los campus de Amazon Web Services concentran, ellos solos, alrededor del 95% del consumo hídrico estimado entre los grandes centros de datos previstos en Aragón.

Conviene señalar, no obstante, que buena parte de estos datos hídricos y energéticos proceden de la documentación que las propias promotoras presentan ante la Administración como parte del trámite ambiental. Organizaciones ecologistas como Ecologistas en Acción han denunciado que parte de esa información —por ejemplo, los volúmenes de agua solicitados durante la fase de construcción— se ha declarado confidencial en algunos expedientes, lo que dificulta su verificación independiente.

No son los únicos: una ola de más de veinte proyectos

Azora y Blackstone son solo dos piezas de un fenómeno mucho más amplio. Como decíamos antes, Amazon Web Services opera ya varios centros de datos en la comunidad y prevé ampliarlos; Microsoft cuenta con luz verde para levantar tres campus, con una demanda proyectada de más de 10.500 GWh anuales, una cifra que por sí sola superaría el consumo actual de toda la comunidad; y compañías como SAMCA, ACS, Repsol, Capital Energy, Vantage o Forestalia figuran también en la lista de proyectos declarados de interés general en los últimos dos años.

Según datos recopilados por asociaciones ecologistas a partir de los propios expedientes administrativos, el conjunto de centros de datos ya aprobados por el Gobierno de Aragón necesitaría cerca de 7.000 MW de potencia, una cifra que multiplicaría por seis el consumo energético actual de toda la comunidad si todos los proyectos llegaran a funcionar a la vez. Fuentes del Ministerio para la Transición Ecológica han calificado de “inviable” el ritmo al que crecen las peticiones de acceso a la red eléctrica en toda España, y la vicepresidenta Sara Aagesen ha llegado a advertir de que el sector podría estar inmerso en una “burbuja”.

El Gobierno de Aragón, presidido por Jorge Azcón, defiende un relato muy diferente: el de una comunidad que se ha convertido en meca europea de la inversión tecnológica, con más de 80.000 millones de euros anunciados en apenas dos años y medio, comparable ya a mercados consolidados como Fráncfort, Londres, Ámsterdam o París.

El debate: empleo, impuestos y factura de la luz

La controversia no se limita a la disponibilidad energética. Uno de los argumentos más repetidos por los críticos del modelo es la desproporción entre la magnitud de las inversiones y el empleo que generan. Como referencia, organizaciones sociales han calculado que, para mantener la proporción media de empleos por consumo eléctrico en Aragón, un proyecto como el de SAMCA en Luceni —que prevé consumir una cuarta parte de la electricidad que gastó España entera en 2024— debería crear unos 158.000 puestos de trabajo; en realidad, promete apenas 150 en su fase de operación. Los tres centros de Amazon Web Services que ya funcionan en la comunidad apenas han generado un centenar de empleos, según ha reconocido el PSOE aragonés.

A ese debate se suma el fiscal: el Gobierno de Aragón ha concedido a varios de estos proyectos exenciones parciales de trámites e impuestos municipales, como el ICIO, al amparo de su declaración como Proyectos de Interés General. Ecologistas en Acción ha presentado alegaciones contra la tramitación del proyecto Rhodes de Blackstone alegando que no cumpliría los requisitos legales para recibir ese trato preferente, lo que a su juicio situaría la declaración “en fraude de ley”.

El Gobierno aragonés rechaza esa interpretación y defiende que la figura del PIGA aporta seguridad jurídica y agilidad a inversiones que, según sostiene, benefician a toda la comunidad. Algunos análisis han ido más allá y han comparado la lógica de estos fondos con la que rige el mercado de la vivienda, señalando que tanto Blackstone como Azora combinan en sus negocios la inversión inmobiliaria y la digital, y que ambos sectores compiten hoy por los mismos recursos escasos: suelo y energía.

Por último, hay quien apunta a un efecto que ya se estaría notando en las facturas: los centros de datos habrían disparado un 7% el consumo eléctrico de Aragón durante 2025, el mayor incremento de toda España, en un contexto en el que las grandes tecnológicas suelen comprar electricidad a precios más bajos que los hogares gracias a acuerdos de compra de energía a largo plazo (PPA, por sus siglas en inglés). Parte de los costes de las nuevas infraestructuras de red que estos proyectos requieren se financian, señalan estas voces críticas, a través de los peajes que pagan todos los consumidores.

Una fotografía parcial de un proceso en marcha

El verdadero debate ahora es si Aragón —y la red eléctrica española en su conjunto— puede sostener el ritmo acumulado de toda la ola de centros de datos sin comprometer el suministro, el precio de la energía para el resto de consumidores (recordemos que algunos proyectos han multiplicado por 15 el precio de la factura eléctrica en algunos condados de EE.UU.) y el modelo de desarrollo económico de la región.

El Parlamento Europeo llevaba meses siendo el último dique de contención frente al escaneo indiscriminado de las comunicaciones privadas de 450 millones de europeos. Hasta ayer martes 7 de julio, cuando la Eurocámara, en una votación ajustada, abrió la puerta a resucitar “Chat Control 1.0”, la norma que permite a gigantes tecnológicos como Meta, Google o Microsoft rastrear chats, correos y mensajería en busca de material de abuso sexual infantil sin sospecha previa.

Y esa resurección llega después de que la propuesta legislativa ya fuera rechazada dos veces desde 2024. ¿Qué pasará ahora? Pues no tendremos que esperar demasiado tiempo: la decisión final llegará mañana jueves 9 de julio, el último día de sesión antes del parón de verano. El problema es que, por el diseño mismo del procedimiento elegido, proteger la privacidad de los ciudadanos va a ser mucho más difícil que reinstaurar la vigilancia.

Cómo llegamos hasta aquí

El 26 de marzo, el Parlamento rechazó con una mayoría clara —311 votos en contra frente a 228 a favor— prorrogar la excepción que permite estos escaneos, después de que las negociaciones entre Eurocámara, Comisión Europea y gobiernos de la UE fracasaran: el órgano legislativo comunitario había pedido restringir los rastreos a sospechosos concretos y excluir el escaneo automático por IA de fotos y chats desconocidos, pero los gobiernos se negaron a aceptar esas salvaguardas. El 4 de abril, la excepción caducó.

Detengáminos en qué significa exactamente esa caducidad: la Directiva ePrivacy de la UE prohíbe, por defecto, que los servicios de mensajería y correo escaneen el contenido de las comunicaciones privadas de sus usuarios; la derogación que expiró en abril era, precisamente, la excepción legal que blindaba a las grandes compañías de plataformas sociales (Meta, Google, Microsoft y Snap) frente a esa prohibición. Sin ella, escanear sin consentimiento vuelve a incumplir la normativa europea de privacidad.

Y sin embargo, un día después de la expiración, las cuatro compañías emitieron un comunicado conjunto anunciando que seguirían escaneando igualmente, alegando su compromiso con la protección infantil. Desde entonces, y durante tres meses, esas compañías han operado en un limbo legal —la Comisión Europea ni siquiera se ha pronunciado sobre si la práctica es legal— y sin que ningún regulador de protección de datos haya abierto expediente sancionador alguno.

Ese primer dato ya debilita el argumento del “vacío legal” que esgrime ahora el PPE para justificar la urgencia: si el escaneo ha seguido funcionando sin problemas visibles durante tres meses sin cobertura legal expresa, reinstaurarla parece menos una necesidad operativa urgente y más una cuestión de conveniencia para las plataformas y sus aliados en el Consejo.

Cabe recordar aquí que el Gobierno alemán reconoce no haber detectado ninguna caída extraordinaria en las denuncias desde que expiró la derogación, y según cifras oficiales de la propia Comisión, más del 60% de las denuncias por contenido sospechoso proceden del rastreo de publicaciones públicas y almacenamiento en la nube, ambas áreas que permanecían al margen de la norma caducada. Pero el interés real de los partidarios de Chat Control 1.0 parece ser únicamente habilitar la cibervigilancia indiscriminadada de los mensajes privados, precisamente allí donde la expectativa de confidencialidad es más alta y el argumento a favor de la inspección automatizada, más débil.

Lo que ocurre ahora, según diplomáticos consultados por varios medios, es sencillamente insólito: es la tercera vez que el Parlamento vota sobre el mismo asunto (según el expediente oficial de procedimiento), algo que no es la forma habitual de proceder en la UE.

Quién impulsa la norma: el Consejo, el PPE y la trampa de los 361 votos

Para entender el pulso que se está librando esta semana hace falta mencionar al otro protagonista del expediente: el Consejo de la Unión Europea, la institución que reúne a los gobiernos de los 27 Estados miembros. Tras el rechazo de marzo, el Consejo fijó su propia posición: reinstaurar el texto prácticamente sin cambios, extendiendo la mencionada excepción hasta 2028 y sin las salvaguardas —autorización judicial, restricción a sospechosos concretos— que el Parlamento había exigido antes de que el trílogo fracasara.

La reapertura del expediente partió de la propia presidenta del Parlamento, Roberta Metsola, quien instó a los líderes de la UE en junio a seguir adelante pese a la posición ya fijada por su cámara. Su grupo justifica la urgencia alegando ese “vacío legal” ya mencionado.

La responsabilidad de la resurrección de este texto hay que atribuírsela al PPE (Partido Popular Europeo), el grupo de la propia Metsola. Eso puede extrañar a muchos, dado que ese mismo grupo formó parte de la mayoría que rechazó la prórroga en marzo, pero no hay contradicción alguna: según fuentes del propio PPE citadas por Euronews, sus eurodiputados votaron mayoritariamente en contra no porque se opusieran a prorrogar el escaneo, sino porque el texto que se sometió a votación incluía las enmiendas restrictivas introducidas por otros grupos políticos, como la necesidad de autorización judicial, y la limitación del escaneo a sospechosos concretos.

De hecho, el presidente del PPE, Manfred Weber, llevaba tiempo presionando para que la prórroga se aprobara sin cambios, y ahora ha encontrado la vía para lograrlo: resucitar el texto original mediante el atajo procedimental de la urgencia, sin tener que renegociar esas salvaguardas.

Ahí es donde entra el mecanismo que da ventaja a los partidarios de la norma: al encontrarse el expediente en segunda lectura, la posición del Consejo solo puede modificarse o rechazarse si una mayoría absoluta de los miembros del Parlamento —361 votos sobre 720— vota en contra. Si no se alcanza ese umbral, la ley se considera aprobada automáticamente, sin necesidad de respaldo afirmativo alguno. La eurodiputada verde Markéta Gregorová (Verdes/ALE) acusa al PPE de abusar de su posición como grupo mayoritario para resucitar una propuesta que el Parlamento ya había rechazado, calificando el episodio de “sin precedentes” y advirtiendo de que ya no se trata solo de proteger la privacidad, sino la propia democracia europea.

Si el Parlamento hubiera rechazado la urgencia el martes, el expediente habría seguido la vía ordinaria hasta la Comisión de Libertades Civiles, Justicia y Asuntos de Interior (LIBE), donde durante un plazo de tres meses se podrían haber negociado enmiendas transversales capaces de sumar una mayoría absoluta viable tras el verano.

La ciencia no ha cambiado: la advertencia de los expertos en ciberseguridad

Mientras la política se movía a toda velocidad, la comunidad científica insistió en que la tecnología subyacente sigue sin funcionar de forma fiable. Durante el fin de semana previo a la votación, las profesoras e investigadores Carmela Troncoso (Instituto Max Planck) y Bart Preneel (KU Leuven) enviaron una carta urgente a los eurodiputados pidiendo el voto en contra del procedimiento de urgencia, alertando de que las tecnologías de detección actualmente disponibles mantienen tasas de error inaceptablemente altas y de que el escaneo indiscriminado plantea serios problemas de proporcionalidad, especialmente cuando existen desde hace tiempo herramientas mucho más específicas.

Esta advertencia no surgió de la nada: se suma a dos cartas anteriores firmadas por más de 800 investigadores en ciberseguridad, un nivel de consenso que rara vez se forma en torno a una sola propuesta legislativa. También asociaciones profesionales del sector, como CEPIS, han hecho llamamientos públicos contra la vigilancia encubierta de la mensajería en nombre de la protección infantil.

La votación del jueves

Mañana, el Parlamento Europeo se enfrenta a una votación en la que el silencio y la ausencia equivalen, en la práctica, a un ‘sí’. Bloquear o enmendar el texto exige que 361 eurodiputados —de los 720 que componen la Cámara— se presenten físicamente y voten en contra, en la última jornada antes de que buena parte de ellos ya haya salido de vacaciones.

Organizaciones de derechos civiles, activistas de la privacidad y asociaciones de seguridad informática están pidiendo a los eurodiputados de todos los grupos políticos que rechacen esta trampa tendida por Weber: la plataforma fightchatcontrol.eu mantiene un listado actualizado de qué eurodiputados apoyan la medida, y facilita las direcciones de contacto de todos ellos para quien quiera hacer llegar su postura antes de la votación del jueves.

Lo que está en juego, recuerdan quienes se oponen a la norma, no es solo una cuestión técnica de procedimiento parlamentario, sino si cientos de millones de europeos van a poder seguir enviando un mensaje sin que una máquina lo examine antes que su destinatario. Es decir, la violación de las comunicaciones cifradas.

El Consejo de Ministros ha dado este martes luz verde a la reforma de la Ley Orgánica de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, la norma que desde 1982 regula qué se puede hacer (y qué no) con la imagen, la voz y la reputación de las personas. El nuevo texto llega para intentar poner coto a fenómenos que ni existían el año en que se aprobó el texto original: los deepfakes generados con inteligencia artificial, la reutilización masiva de fotos compartidas en redes sociales o el género del true crime.

En qué fase está exactamente la tramitación

Dejemos claro un detalle importante en el que algunos medios parecen estar generando algo de confusión: la ley todavía no está en vigor. Lo que ha ocurrido esta semana es que el Gobierno ha completado su propio recorrido interno, no el parlamentario.

El proceso, en orden, ha sido este:

1. Enero de 2026: el Consejo de Ministros aprobó el anteproyecto de ley en primera vuelta.

2. Trámite de audiencia e información pública, en el que se recogieron aportaciones de instituciones como el Consejo General del Poder Judicial, el Consejo Fiscal, la Agencia Española de Protección de Datos, el Consejo de Estado o el Consejo de Consumidores y Usuarios.

3. Hoy, 7 de julio de 2026: el Consejo de Ministros ha aprobado el texto definitivo en segunda vuelta, ya como proyecto de ley (no como simple anteproyecto).

A partir de aquí, el proyecto se remite al Congreso de los Diputados, donde arranca ahora la tramitación parlamentaria propiamente dicha: debate de enmiendas, paso por comisión, votación en el Pleno y, previsiblemente, también su paso por el Senado. Solo cuando supere todas esas fases, se apruebe definitivamente y se publique en el BOE, la ley entrará en vigor.

Es decir, lo aprobado esta semana es un paso importante, pero el texto puede todavía sufrir cambios en el Congreso antes de convertirse en ley. Y teniendo en cuenta la debilidad legislativa de los partidos que respaldan al Gobierno, es bastante probable que veamos algún cambio en la norma.

Deepfakes: se acaba el vacío legal

La gran novedad de la reforma es que, por primera vez, la ley considera expresamente una intromisión ilegítima en el honor el uso o la difusión de imágenes o voces de una persona real creadas, simuladas o manipuladas con inteligencia artificial cuando tengan una apariencia extremadamente realista y no exista autorización de los afectados.

Es una respuesta directa a un fenómeno que, según datos de Naciones Unidas, afecta de forma mayoritaria a las mujeres, sobre todo en forma de imágenes pornográficas no consentidas, y que en España ya ha generado varios casos que afectan a menores.

Suscríbete ahora

La norma contempla, no obstante, excepciones para proteger la libertad de creación y de expresión:

• Obras de ficción, sátira o arte: no se considerará intromisión ilegítima, y solo será obligatorio advertir que el contenido es una manipulación con IA cuando pueda inducir a pensar que es real.

• Personas con proyección pública: se podrá usar la IA sobre su imagen en contextos creativos, satíricos o de ficción, sin necesidad de aviso expreso cuando el contexto sea claramente reconocible como tal.

• Información de relevancia pública: la difusión de comunicaciones privadas no se considerará intromisión ilegítima cuando el contenido revelado tenga carácter noticiable por su interés general.

Además, se establece que subir una foto o un vídeo a una red social no equivale a renunciar a los derechos sobre esa imagen: que un contenido esté colgado en un perfil no habilita a terceros (ni siquiera a los medios de comunicación) a reutilizarlo con una finalidad distinta a la de la plataforma original, salvo que se trate de hechos de relevancia pública.

Menores: consentimiento a partir de los 16 años

La ley fija en 16 años la edad mínima para que un menor pueda dar su consentimiento sobre el uso de su propia imagen, en línea con la tramitación paralela de la ley de protección de los menores en el entorno digital (que busca vetar el acceso a redes sociales por debajo de esa edad).

Por debajo de los 16 años, el consentimiento deberá darlo por escrito el representante legal, y este estará obligado a ponerlo en conocimiento previo del Ministerio Fiscal, que además pasará a ser parte en todos los procedimientos judiciales relacionados con el derecho al honor, la intimidad o la imagen de menores.

Pero, incluso cuando exista consentimiento del menor o de sus representantes, la ley permite considerar igualmente ilegítima cualquier intromisión que suponga un menoscabo de la dignidad o la reputación del menor, o que sea contraria a sus intereses. Es decir, el consentimiento no blinda automáticamente cualquier uso de la imagen de un niño o niña.

Ese último matiz es clave para entender por qué esta reforma se ha presentado también como una respuesta al llamado sharenting: la práctica, muy extendida, de padres y madres que publican fotos y vídeos de sus hijos en redes sociales, a veces de forma constante y desde que son bebés.

La ministra de Juventud e Infancia, Sira Rego, ya había anunciado que el Gobierno quería regular este fenómeno, y la reforma del derecho al honor recoge esa intención por esta vía indirecta: no se trata de una prohibición expresa y detallada del sharenting como tal —no hay, por ejemplo, límites cuantitativos o requisitos específicos para publicar fotos de hijos propios—, sino de un principio general que, en la práctica, podría aplicarse a esos casos y que previsiblemente se desarrollará con más detalle en la ley de protección de los menores en el entorno digital, actualmente también en tramitación.

Freno al ‘true crime’ que beneficie al criminal

La reforma también responde a la polémica generada por obras basadas en crímenes reales: el caso más citado por el propio Gobierno es el del libro El odio, que iba a publicar Anagrama con una entrevista al asesino de sus propios hijos José Bretón.

A partir de ahora se considerará intromisión ilegítima que una persona condenada en sentencia firme utilice su delito de cualquier forma que dañe el honor, la intimidad o la imagen de las víctimas, tanto si busca notoriedad como si busca beneficio económico. En esa situación, se podrán solicitar medidas cautelares (incluida la suspensión de la comercialización de series, libros o cualquier producto audiovisual) mientras se resuelve el litigio.

Testamento digital y personas fallecidas

La ley crea la figura de una suerte de “testamento digital”: cualquier persona podrá dejar establecido, en su testamento o designando a alguien para ello, que se prohíba el uso de su imagen o su voz —originales o recreadas con IA— con fines publicitarios o comerciales tras su muerte. Es una respuesta a casos como el de la aparición de Lola Flores, fallecida hace décadas, en un anuncio de cerveza generado con inteligencia artificial.

También se amplía el círculo de personas legitimadas para defender el honor de un fallecido más allá del cónyuge, incluyendo a las parejas de hecho, y se prevé que, si el fallecido era menor o tenía una discapacidad que afectaba a su capacidad jurídica, pueda actuar quien tuviera su representación legal.

Indemnizaciones más objetivas y fin de la “indemnización simbólica”

La norma introduce criterios más concretos para fijar las indemnizaciones por daño moral: la gravedad de la vulneración, el prestigio del medio en el que se haya difundido, la prolongación en el tiempo de la intromisión o su repercusión, teniendo en cuenta también la difusión a través de redes y servicios digitales, no solo de medios tradicionales.

Como novedad relevante, se prohíben las indemnizaciones simbólicas (es decir, esas condenas de “un euro” que algunos juzgados venían dictando hasta ahora) y se contempla la posibilidad de publicar en el Boletín Oficial del Estado la identidad de la persona condenada, el derecho vulnerado y el importe de la indemnización, si así lo pide la víctima y lo autoriza el juzgado.

Cuando la Comisión Europea presentó su propuesta original de reglamento de inteligencia artificial en 2021, ChatGPT ni siquiera existía. Cinco años después, esa norma pionera —conocida como AI Act— ha tenido que reescribir parte de su propio calendario para no chocar con una tecnología que evoluciona más rápido que cualquier proceso legislativo.

Tras meses de negociación, el proceso que reajusta esas fechas ya se ha cerrado: el Parlamento Europeo lo aprobó el 16 de junio de 2026 y el Consejo de la UE dio su visto bueno definitivo el 29 de junio. Solo falta su publicación en el Diario Oficial de la UE, prevista antes del 2 de agosto de 2026, para que entre en vigor.

Una ley pionera que corre contrarreloj

El AI Act se aprobó hace más de dos años en el Parlamento Europeo con una mayoría contundente —523 votos a favor, 46 en contra y 49 abstenciones— y convirtió a la Unión Europea en la primera región del mundo en regular la inteligencia artificial de forma integral. Ese logro repetía, en cierto modo, el camino que ya había recorrido el Reglamento General de Protección de Datos (RGPD), que tardó solo dos años en aplicarse tras su aprobación.

Pero el despliegue del AI Act ha resultado mucho más complejo. La irrupción de la IA generativa obligó a incorporar sobre la marcha nuevos requisitos para los modelos de propósito general, publicar guías de aplicación y elaborar un Código de Buenas Prácticas dirigido a los grandes desarrolladores. Y ahora, con la aplicación de las obligaciones más exigentes a la vuelta de la esquina, Bruselas ha decidido dar más tiempo al mercado antes de que esas reglas entren en vigor.

Sin embargo, los cambios adoptados han resultado divisivos, y los números lo dejan bien claro si en marzo de este mismo año el mandato negociador reunió 569 votos a favor, en la votación final de junio el apoyo bajó a 423, con las abstenciones prácticamente cuadruplicándose. La aprobación salió adelante con holgura, sí, pero el consenso fue notablemente menor que al inicio del proceso.

Qué es exactamente lo que se retrasa

El paquete de reformas —bautizado como “Ómnibus Digital de IA”— no toca el núcleo de la ley: el sistema de clasificación por niveles de riesgo, las prácticas prohibidas y las obligaciones para los modelos de propósito general se mantienen intactos. Lo que cambia es el calendario de aplicación para los llamados sistemas de alto riesgo, es decir, aquellos usados en ámbitos especialmente sensibles como el empleo, la educación, las infraestructuras críticas, la sanidad, la administración de justicia o los servicios esenciales.

Con el calendario original, esas obligaciones debían empezar a aplicarse el 2 de agosto de 2026. Con el texto ya aprobado por Parlamento y Consejo, las nuevas fechas quedan así:

• 2 de diciembre de 2026: para la obligación de marcar de forma legible por máquina el contenido generado por IA (el llamado watermarking), aunque solo para los sistemas que ya estuvieran en el mercado antes de agosto de 2026.

• 2 de diciembre de 2027: para los sistemas de alto riesgo “independientes” recogidos en el Anexo III de la norma (evaluación crediticia, selección de personal, recursos humanos, triaje sanitario, biometría, migración o procesos democráticos, entre otros).

• 2 de agosto de 2028: para la IA integrada en productos ya regulados por otras normas, como dispositivos médicos, maquinaria o juguetes (Anexo I).

Un matiz importante, y que los propios juristas han querido subrayar para evitar confusiones: no es correcto decir que se ha aplazado el AI Act en su conjunto. Lo que se reescalona es una parte concreta —las obligaciones de alto riesgo—, mientras que el resto del calendario (prohibiciones, alfabetización en IA y buena parte de las obligaciones de transparencia) sigue su curso sin cambios.

De hecho, el 2 de agosto de 2026 sigue siendo una fecha de cumplimiento activa para las obligaciones de transparencia del artículo 50 de la norma, como la identificación de que un usuario está interactuando con un sistema de IA.

Un cambio de criterios

La propuesta inicial de la Comisión, presentada en noviembre de 2025, no planteaba fechas fijas, sino un mecanismo condicionado: las obligaciones de alto riesgo solo entrarían en vigor cuando la Comisión confirmara que existían los estándares técnicos necesarios, con 2027 y 2028 como fechas límite en caso de que esos estándares no estuvieran listos a tiempo. Durante la negociación final, Parlamento y Consejo optaron por sustituir ese sistema por fechas fijas y cerradas, precisamente para dar más previsibilidad a empresas y administraciones, que llevaban meses reclamando certidumbre antes que flexibilidad.

La prohibición de los “desnudificadores”

Más allá de los plazos, el Ómnibus ha incorporado una prohibición que no formaba parte del debate original sobre plazos y estándares: la prohibición expresa de los sistemas de IA diseñados para generar contenido sexual o íntimo sin consentimiento, así como material de abuso sexual infantil. La medida afecta tanto a quienes desarrollan estos sistemas como a quienes los utilizan con ese fin, y su cumplimiento será exigible a partir del 2 de diciembre de 2026.

Durante el debate parlamentario, una de las eurodiputadas que impulsó la medida defendió que este tipo de herramientas afecta a personas reales —mayoritariamente mujeres— con el objetivo de humillarlas y cosificarlas. Se trata de la adición sustantiva más relevante del paquete, y contrasta con el resto de cambios, que son en su mayoría ajustes de calendario y simplificación administrativa.

Otros ajustes menos visibles pero con impacto práctico

El paquete de reformas incluye además una serie de cambios técnicos que apenas han trascendido fuera de los círculos especializados, pero que tendrán consecuencias prácticas para las empresas:

• Maquinaria fuera del doble cumplimiento. El Reglamento de Maquinaria pasa a un régimen distinto dentro del AI Act, de forma que los productos con IA embebida sujetos a esa normativa sectorial dejarán de tener que cumplir en paralelo el capítulo de alto riesgo de la norma. En su lugar, será la propia normativa de maquinaria la que incorpore, mediante actos delegados, los requisitos de seguridad relacionados con la IA.

• Menos ambigüedad sobre qué es un “componente de seguridad”. Se aclara que un sistema de IA que simplemente asiste al usuario u optimiza el rendimiento, sin generar riesgos para la salud o la seguridad, no se considerará de alto riesgo. Esto reduce el número de productos que caerían bajo esa categoría por defecto.

• Sandboxes regulatorios, un año más de margen. La obligación de que cada Estado miembro cuente con al menos un entorno de pruebas regulatorio para la IA se retrasa del 2 de agosto de 2026 al 2 de agosto de 2027.

• Una nueva categoría de empresa beneficiada. Además de las pymes, se crea la categoría de “pequeña empresa de mediana capitalización” (SMC, por sus siglas en inglés), que podrá acceder a las mismas flexibilidades ya previstas para las pymes: documentación técnica simplificada, sanciones proporcionadas y sistemas de gestión de calidad menos exigentes.

• El registro de sistemas exentos se mantiene. La Comisión había propuesto eliminar la obligación de registrar en la base de datos europea aquellos sistemas que un proveedor considera exentos de la categoría de alto riesgo. Esa propuesta se ha descartado: el registro sigue siendo obligatorio, aunque con menos requisitos de información.

Lo que opina la industria y quienes vigilan su cumplimiento

El reto que perciben empresas, despachos de abogados y organismos de supervisión ya no tiene que ver con el contenido de la norma, sino con su aplicación práctica: muchos de los problemas no vendrán de que un sistema falle, sino de que la organización no tenga procedimientos claros para usarlo. A eso se suma la necesidad de coordinar el AI Act con otras normas como el RGPD, la legislación de ciberseguridad o la normativa sectorial de sanidad, empleo o servicios financieros.

Suscríbete ahora

Desde el sector, distintas patronales han insistido en que su prioridad ahora no es tener menos regulación, sino disponer de un marco estable que permita planificar inversiones con antelación suficiente. Y aunque el nuevo calendario ha sido bien recibido como forma de evitar lo que algunas organizaciones han descrito como un “precipicio de cumplimiento” —el desfase entre la entrada en vigor de las obligaciones legales y la disponibilidad real de estándares técnicos—, no todo el mundo lo ve como una buena noticia sin matices.

La cara polémica del aplazamiento

No todas las voces han aplaudido el retraso. Algunas organizaciones de la sociedad civil (como LobbyControl) y ciertos eurodiputados (como Sergey Lagodinsky, vicepresidente de los Verdes Europeos) han advertido de un riesgo poco comentado: como la norma no es retroactiva, un sistema de alto riesgo que se lance al mercado antes de que las nuevas obligaciones entren en vigor podría quedar exento de cumplirlas salvo que sufra modificaciones sustanciales después.

Esto podría generar un incentivo perverso para que algunas empresas se apresuren a comercializar sistemas de IA de alto riesgo antes de diciembre de 2027, precisamente para evitarse los requisitos más exigentes.

A ese debate se suma un dato que también ha llamado la atención: una amplia mayoría de las reuniones mantenidas por la Comisión Europea durante el proceso de preparación de estos “paquetes ómnibus” de simplificación normativa se celebraron con grupos empresariales, frente a una proporción mucho menor con organizaciones no gubernamentales. Es un ángulo que añade ciertos matices a la narrativa institucional de “simplificación”...

Qué pasará ahora

Con el texto ya aprobado por ambas instituciones, decíamos que solo resta su publicación en el Diario Oficial de la Unión Europea, que se espera antes del 2 de agosto de 2026, fecha en la que el reglamento entrará en vigor formalmente. A partir de ahí, empieza el verdadero examen del AI Act: comprobar si, entre 2027 y 2028, la norma es capaz de aplicarse de manera homogénea en los 27 Estados miembros, con procedimientos claros y sin perjudicar la competitividad de una industria que no ha dejado de transformarse desde que Bruselas empezó a legislarla.

Si el nuevo calendario se cumple, desde el inicio del proceso en 2021 hasta la plena entrada en vigor de las obligaciones de alto riesgo habrán pasado siete años. Un plazo que será la verdadera prueba de si el AI Act puede convertirse en un estándar internacional —como ya lo hizo el RGPD— o si la velocidad de la inteligencia artificial acabará por desbordar, una vez más, a quienes intentan regularla.

Desde que, en 1993, ayudó a llevar a juicio a Pacific Gas and Electric Company (PG&E) por contaminar el agua subterránea de Hinkley, California —un caso que terminó en un acuerdo de 333 millones de dólares y que Hollywood convirtió en leyenda con el rostro de Julia Roberts—, miles de personas contactan cada año con Erin Brockovich para pedirle ayuda.

Pero, esta vez, el asunto que le preocupa no se limita a un municipio: los centros de datos que están devorando el territorio estadounidense para dar de comer a la inteligencia artificial. Como ella misma resume, “esto es como lo de Hinkley, pero con esteroides”.

El 27 de abril, Brockovich lanzó una petición sencilla en su web: si alguien tenía preocupaciones sobre un centro de datos cerca de su casa, que se lo contara. En apenas un mes ya había recibido 3.862 informes. Actualmente, su mapa —construido con base a esos testimonios y disponible en brockovichdatacenter.com— contabilizaba 33 centros de datos de IA ya operativos en Estados Unidos, 68 en construcción y 41 propuestos.

“La gente de a pie no debería ser la última en enterarse”

En su propio blog, Brockovich planteó la pregunta que da título a esta investigación: si los centros de datos son tan beneficiosos, ¿por qué se están construyendo en secreto? Según relata, el problema ya no es la tecnología en sí —“ese genio ya salió de la botella”, admite sobre la IA—, sino la opacidad con la que se levantan estas estructuras que muchas veces superan el kilómetro cuadrado de extensión.

Su plataforma nació, en sus palabras, porque el público no debería enterarse el último. Los testimonios recogidos hablan de un patrón nacional: residentes que se sienten silenciados, ignorados y excluidos de decisiones ya tomadas de antemano, muchas veces protegidas por acuerdos de confidencialidad (NDA) entre las promotoras y los gobiernos locales.

Suscríbete ahora

Un ejemplo que ella misma destaca es el de Richland Parish, Luisiana, donde Meta construye un campus de inteligencia artificial de más de 370 kilómetros cuadrados conocido como Hyperion, con un consumo eléctrico que superaría al de toda la ciudad de Nueva Orleans. Diane Cobb, vecina de la zona, contó a la radio pública de Nueva Orleans que se enteraron de la obra cuando ya estaban excavando, y que nadie les informó pese a que supuestamente hubo una reunión comunitaria de la que nadie tuvo noticia real.

Casos similares se repiten en Arkansas, donde Google construye lo que las autoridades estatales califican como la mayor inversión privada de capital en la historia del estado; en Memphis, donde Elon Musk convirtió una antigua fábrica en su superordenador Colossus en apenas 122 días y ya trabaja en una segunda versión con el objetivo de alcanzar un millón de GPU; o en Wisconsin, donde Microsoft ha invertido más de 7.000 millones de dólares en un centro que su vicepresidente, Brad Smith, describió como una “maravilla moderna” que se está levantando en el corazón del Medio Oeste.

Agua, ruido… y facturas que se disparan

El agua es, según todas las fuentes consultadas, el recurso más que genera más disputa: un estudio citado por Brockovich calcula que dos tercios de los centros de datos planeados en Estados Unidos se ubican en zonas ya golpeadas por la sequía. Los más grandes pueden llegar a consumir hasta unos 18 millones de litros de agua al día solo para refrigeración, el equivalente al consumo diario de 50.000 personas.

A eso se suman las facturas. Brockovich relata el caso de un residente cuya factura mensual de agua pasó de 22 a más de 350 dólares. ¿Por qué ocurrió eso? Sencillo, porque muchos sistemas municipales de EE.UU. cobran más por metro cúbico a medida que sube el consumo total del sistema, o suben la tarifa base cuando hay que invertir en más infraestructura (pozos nuevos, plantas de tratamiento, tuberías).

Así, si el consumo agregado de la zona se dispara por culpa del nuevo centro de datos, la factura de todos los usuarios —no solo de la empresa— puede subir, porque el coste de mantener el sistema se reparte entre los abonados. La activista, además, señala el impacto acústico constante de generadores y sistemas de refrigeración, algo que —a diferencia de la contaminación química que combatió en Hinkley— resulta imposible de ocultar: se nota desde el primer día.

Moratorias, demandas millonarias y una lucha desigual

El primer objetivo de Brockovich es lograr moratorias caso por caso mientras se exigen estudios de impacto ambiental y audiencias públicas reales. El problema es que, cuando los gobiernos locales intentan frenar un proyecto, a menudo se enfrentan a demandas multimillonarias por parte de las promotoras.

El caso más citado es el del condado de Hill, en Texas, donde los representantes locales, sorprendidos por la protesta ciudadana, votaron una moratoria de un año para detener la construcción de un centro de datos. La respuesta fue una demanda de 100 millones de dólares por parte de los promotores: el condado terminó por dar marcha atrás.

Pese a ello, hasta 79 municipios estadounidenses han aprobado moratorias… aunque muchas de ellas impugnadas judicialmente casi de inmediato. Ha habido pausas en Georgia, Maryland, Michigan, Carolina del Sur, Dakota del Norte, Pensilvania y Florida, mientras que en Maine una moratoria aprobada por el parlamento estatal fue vetada por la gobernadora demócrata Janet Mills.

No todas las historias terminan en derrota, eso sí: en Monroe Township, Nueva Jersey, la presión vecinal llevó a que el ayuntamiento aprobara en abril una ordenanza que prohíbe directamente los centros de datos en el municipio, después de que la promotora Hexa Builders viera rechazada su solicitud. Pemberton Township, en el condado de Burlington, había hecho lo propio meses antes, en lo que los activistas describen como la primera prohibición municipal de este tipo en el estado. Ahora varias organizaciones ecologistas promueven una moratoria a nivel regional en Nueva Jersey.

Una batalla desigual, pero no perdida

Brockovich es consciente de que se enfrenta a un rival de una escala muy distinta a la de PG&E en los años noventa. Ella misma lo admite: son fuerzas que disponen de todo el dinero, toda la inteligencia y toda la capacidad tecnológica del mundo. Aun así, insiste en que el sistema legal todavía proporciona un margen de acción.

También subraya que esta no es una batalla partidista. Aunque reconoce que los cambios de administración influyen mucho en el ritmo de estas causas, insiste en que la preocupación por los centros de datos atraviesa todo el espectro político.

El lobby de la industria tecnológica, mientras tanto, difunde un mensaje centrado en la creación de empleo, los ingresos fiscales y la expansión de la banda ancha, pero rara vez menciona el consentimiento comunitario, el impacto ambiental o el derecho de los vecinos a saber qué se construye junto a su casa antes de que se firmen los permisos.

La respuesta de Brockovich: organización, información y paciencia

Lejos de plantear esto como una cruzada contra la tecnología, Brockovich se muestra pragmática. Su hoja de ruta es clara: exigir primero un informe de impacto ambiental, preguntar cómo se piensa generar la energía necesaria y si se recurrirá a los recursos ya escasos de la zona, y después convocar una asamblea vecinal para que la comunidad tenga voz antes de que el proyecto avance.

Su mensaje final, más que una advertencia apocalíptica, es una invitación a la acción: asistir a las reuniones de las juntas de planificación local, preguntar a los responsables políticos qué sabían y cuándo lo supieron, exigir que se hagan públicos los acuerdos de confidencialidad si existen y reclamar los estudios de impacto ambiental y energético completos.

A sus 66 años, con seis nietos y bromeando con que ya se siente “demasiado mayor para todo esto”, Brockovich no oculta que esta podría ser su última gran batalla. Pero, como ella misma resume con una sonrisa, no piensa dejarlo hasta que termine.

Fuentes consultadas

• Erin Brockovich, “If Data Centers Are So Great, Why Are They Being Built in Secret?”, The Brockovich Report (Substack).

• “We’re up against forces that have all the money in the world”: Erin Brockovich on her battle against AI datacentres, The Guardian.

• “Erin Brockovich is back, and now she’s taking on AI data centers”, FIRSTonline.

• “Erin Brockovich’s new fight: AI data centers”, Deutsche Welle (DW).

• Mapa interactivo de centros de datos: brockovichdatacenter.com

El Ministerio del Interior ha formalizado un contrato para comprar un mínimo de 7,7 millones de sobres de papel, destinados a repartir el PIN que activa los certificados electrónicos del DNIe. El importe total de la operación asciende a 71,6 millones de euros, según ha confirmado el Boletín Oficial del Estado (BOE). La noticia llega apenas tres meses después de que España diera un paso decisivo hacia la identidad digital: desde el 2 de abril de 2026 ya no es obligatorio llevar el DNI físico si se dispone de su versión en el móvil a través de la app oficial miDNI, y cualquier entidad pública o privada está obligada a aceptarla como medio de identificación válido.

El contraste no es casual, y tiene una explicación técnica que conviene entender antes de sacar conclusiones apresuradas sobre “burocracia anticuada”.

El contrato, en cifras

Aunque no se ha publicado en el BOE hasta este mismo lunes, la adjudicación se resolvió el pasado 13 de mayo a favor de Formularios del Centro, S.A., pyme con sede en Alcorcón (Madrid) cuya oferta fue seleccionada por un valor de 9,30 euros por sobre, frente a otras nueve propuestas. En los criterios de adjudicación, el precio pesó un 90% frente a un 10% del criterio técnico.

Por qué el PIN no puede viajar digitalmente (todavía)

La clave para entender este contrato está en cómo funciona realmente la seguridad del DNI electrónico. El chip que lleva integrado el DNIe no se activa solo con el documento: para usar sus dos certificados —el de autenticación, que demuestra que eres quien dices ser, y el de firma, que da validez legal a un documento digital— hace falta introducir simultáneamente dos elementos: el propio DNIe (algo que tienes) y el PIN (algo que sabes). Es más o menos el mismo principio que una tarjeta bancaria: de poco sirve robar la tarjeta si no se conoce el código, ni memorizar el código si no se tiene la tarjeta en la mano.

Suscríbete ahora

Ese PIN es un código aleatorio alfanumérico de entre 8 y 16 dígitos que se genera en el momento en que se expide el documento. Y aquí está el matiz que explica los sobres: por diseño de seguridad, ese código no puede entregarse por el mismo canal que el propio DNI, porque si alguien interceptase un único envío tendría acceso a las dos piezas necesarias para suplantar a su titular. De ahí que se reparta en un sobre aparte, cerrado, pensado para que cualquier manipulación sea detectable antes de llegar al ciudadano.

Es importante no confundir este PIN con el acceso a la aplicación miDNI, que es un sistema distinto: para identificarse con el móvil (ante, por ejemplo, un agente de Policía) basta con la propia app, protegida por contraseña y datos biométricos (huella o reconocimiento facial), sin necesidad de PIN físico. Pero si un ciudadano quiere usar los certificados del chip del DNIe —por ejemplo, para firmar electrónicamente con un lector de tarjetas conectado a su PC—, ese PIN en papel sigue siendo imprescindible. La digitalización de la identificación presencial no ha eliminado, de momento, la necesidad de este segundo canal físico para el chip criptográfico.

• Un consejo: la propia Policía Nacional insiste además en sus recomendaciones de uso en que el PIN es personal e intransferible y en que nunca debe compartirse por teléfono, correo electrónico ni ningún otro medio, subrayando que su conocimiento por un tercero supone un riesgo real de que se activen las claves privadas en nombre del titular.

Calculando (a ojo) el tiempo de vigencia del contrato

Interior no ha explicado a cuántos años de expedición corresponde este contrato, pero hay una referencia útil para dimensionarlo. Según datos sindicales recogidos en 2023, España cuenta con alrededor de 1.800 puestos de expedición de DNI y pasaporte, y cada uno tramita de media unas 27 solicitudes al día, lo que arroja una cifra aproximada de 49.000 documentos expedidos o renovados diariamente en todo el país cuando el sistema funciona con normalidad.

Extrapolando esa media a un año completo, la cifra ronda los 15-18 millones de documentos, aunque esa cifra mezcla DNI y pasaportes y depende de picos estacionales, así que debe tomarse como una foto aproximada y no como una estadística oficial y actualizada. Aun con esa cautela, sirve para poner en contexto que 7,7 millones de sobres no es un capricho: encaja con aproximadamente un año de expediciones y renovaciones de DNI a nivel nacional.

Cómo lo resuelven otros países europeos

España no es una excepción dentro de la Unión Europea. Portugal aplica prácticamente el mismo modelo con su Cartão de Cidadão: cuando el documento se renueva o se emite de nuevo, el ciudadano recibe por correo una “carta PIN” separada, que además de los códigos de activación de los certificados digitales indica dónde recoger la tarjeta si procede.

Alemania, en cambio, resuelve el mismo problema de otra manera: el llamado PIN-Brief con el código de transporte se entrega en persona en la propia oficina al solicitar el Personalausweis, en lugar de enviarse por correo al domicilio, lo que evita el riesgo de una intercepción postal del código. El país germánico sí ofreció durante un tiempo un servicio para pedir por correo una carta de restablecimiento del PIN si este se perdía, pero el Ministerio del Interior alemán lo suspendió en febrero de 2024 por motivos presupuestarios, y desde entonces solo se puede restablecer el PIN acudiendo en persona a una oficina.

Una solución con fecha de caducidad

Este modelo, sin embargo, no está pensado para durar para siempre. El DNI 4.0 español debe adaptarse al reglamento europeo eIDAS, y la Unión Europea trabaja en una futura cartera de identidad digital común para todos sus países, con 2031 como horizonte límite. Si ese proyecto avanza según lo previsto, es razonable esperar que sistemas como el reparto físico del PIN acaben integrándose en mecanismos completamente digitales de verificación.

Por ahora, mientras el chip físico del DNIe siga siendo el soporte legal de los certificados, España seguirá necesitando imprimir, ensobrar y enviar por correo millones de códigos secretos cada año.