El año 2025 ha marcado un punto de inflexión en el ámbito digital. Durante los últimos meses ha tenido lugar un cambio de paradigma en la forma en la que las organizaciones deben gestionar la tecnología, los datos y los riesgos asociados.
Como cada año, desde APDTIC hemos preparado este artículo resumen que recoge las novedades clave que conviene que conozcas y comprendas para poder anticiparte a lo que viene.
Protección de datos en 2025: las sanciones de la AEPD y la consolidación de la identidad digital europea
En 2025, la protección de datos ha vuelto a situarse en el centro del debate regulatorio, no tanto porque hayan tenido lugar importantes cambios normativos, sino porque se ha intensificado la actividad sancionadora de la AEPD y se han consolidado los criterios cada vez más claros en la aplicación del RGPD.
Durante este año, la AEPD ha dictado resoluciones relevantes que afectan tanto a Administraciones Públicas como a Empresas y PYMEs, poniendo el foco en incumplimientos estructurales de principios básicos del RGPD. Estos son los aspectos que más destacan de las resoluciones:
- Deficiencias en las medidas de seguridad y control de accesos a datos personales.
- Uso de tratamientos especialmente intrusivos, en particular datos biométricos, sin una base jurídica adecuada ni evaluaciones de impacto suficientes.
- Falta de responsabilidad proactiva, con ausencia de análisis de riesgos, documentación y justificación de decisiones.
- Incumplimientos en materia de transparencia, minimización y licitud del tratamiento, tanto en el ámbito público como privado.
Estas resoluciones, que trataremos más adelante en profundidad en un artículo específico, refuerzan un mensaje claro del regulador: el tamaño o la naturaleza de la organización no atenúan las obligaciones en protección de datos, y la falta de medidas organizativas y documentales sigue siendo un elemento agravante.
También ha sido relevante, en este contexto de mayor exigencia, la consolidación del Reglamento eIDAS2, que impulsa la identidad digital europea y obliga a las organizaciones a revisar sus procesos de identificación, autenticación y firma electrónica desde una perspectiva de protección de datos, reforzando principios como la privacidad desde el diseño y por defecto.
Inteligencia artificial: de la regulación al gobierno interno de la IA
La inteligencia artificial ha seguido siendo uno de los grandes focos normativos y estratégicos en 2025. Aunque el Reglamento Europeo de IA (AI Act) es el gran referente, el verdadero reto para las organizaciones no está únicamente en conocer la norma, sino en saber aplicarla internamente.
Cada vez es más evidente que, de cara a 2026, todas las organizaciones deberían contar con un modelo interno de gobierno de la IA para:
- Identificar y clasificar los sistemas de IA utilizados.
- Evaluar riesgos legales, éticos y de seguridad.
- Definir roles y responsabilidades claras.
- Documentar decisiones y procesos para garantizar la trazabilidad y el cumplimiento normativo.
En esta línea, documentos como el Modelo de Gobierno de la IA de ISMS Forum o la Política de uso de sistemas de IA generativa de la AEPD ofrecen una base clara para empezar a construir ese modelo de gobernanza. Y también destacan las 16 guías que ha publicado recientemente la AESIA (Agencia Española de Supervisión de Inteligencia Artificial), con checklists y ejemplos prácticos, orientadas a facilitar la aplicación práctica de la normativa en materia de inteligencia artificial.
Este punto es especialmente relevante para el equipo de APDTIC, ya que entendemos que el acompañamiento a nuestros clientes no debe limitarse a “cumplir la norma”, sino que se extiende hasta implantar estructuras reales de gobierno de la IA, adaptadas al tamaño, sector y nivel de madurez digital de cada organización.
Ciberseguridad: más allá de NIS2
En el contexto de la ampliación del marco normativo en ciberseguridad, la Directiva NIS2 sigue siendo la norma vertebral, pero no actúa sola. Durante este año, las organizaciones han tenido que empezar a mirar la ciberseguridad desde una perspectiva mucho más amplia, teniendo en cuenta:
- NIS2, como base del nuevo régimen de obligaciones en materia de seguridad, gestión de riesgos y notificación de incidentes.
- DORA, con un impacto directo en entidades financieras y proveedores tecnológicos críticos, poniendo el foco en la resiliencia operativa digital.
- CRA (Cyber Resilience Act), que introduce requisitos de ciberseguridad en productos digitales y software a lo largo de todo su ciclo de vida.
- ENS, que sigue siendo el marco de referencia a nivel nacional para organizaciones que trabajan con el sector público o gestionan información sensible.
El mensaje es claro: ya no basta con medidas técnicas aisladas. La ciberseguridad exige gobernanza, procesos, formación y supervisión continua, alineadas con un entorno regulatorio cada vez más exigente.
De todo ello habló nuestro socio fundador, André Castelo, en el webinar organizado el pasado 3 de diciembre por el Clúster TIC Galicia, “Ciberseguridad y Resiliencia Digital para Empresas TIC Gallegas”.
El Reglamento Ómnibus Digital
Para terminar, debemos comentar uno de los movimientos más interesantes de 2025: la propuesta del Reglamento Ómnibus Digital europeo, cuyo objetivo es armonizar y simplificar el complejo entramado normativo digital de la UE.
Este reglamento tiene un carácter transversal y afecta directamente a la protección de datos, a la inteligencia artificial y a la ciberseguridad. Y su enfoque busca reducir duplicidades, mejorar la coherencia entre normas y facilitar a las organizaciones una visión más clara de sus obligaciones.
Sin duda, para las empresas esto supone una oportunidad: pasar de un cumplimiento fragmentado a una estrategia total de cumplimiento digital.
El futuro: hacia la resiliencia digital integral
Si algo nos deja claro 2025 es que el futuro pasa por la resiliencia digital integral. Un enfoque holístico en el que:
- La ciberseguridad protege infraestructuras y procesos.
- La protección de datos garantiza derechos y confianza.
- El compliance en IA asegura un uso ético, seguro y conforme a la normativa.
Las organizaciones que afronten estos retos de forma coordinada estarán mejor preparadas para adaptarse a los cambios regulatorios, tecnológicos y sociales que ya están en marcha.
