El paisaje informático de 2026 se redefine bajo el efecto combinado de nuevas regulaciones europeas y una aceleración técnica que afecta tanto a los grandes grupos como a las pymes. Dos ejes estructuran las decisiones futuras: la conformidad regulatoria, que se ha convertido en un requisito operativo, y la integración controlada de la inteligencia artificial en los procesos empresariales.
Cyber Resilience Act: lo que cambia la marcación CE cibernética para los productos digitales
El reglamento (UE) 2024/2847, denominado Cyber Resilience Act, impone un calendario vinculante. A partir del 11 de septiembre de 2026, todo fabricante de un producto que contenga elementos digitales vendido en la UE deberá declarar en menos de 24 horas cualquier vulnerabilidad activamente explotada o cualquier incidente grave. La multa puede alcanzar 15 millones de euros o el 2,5 % de la facturación mundial.
La siguiente fecha límite, fijada para el 11 de diciembre de 2027, se refiere a la comercialización: los routers domésticos, cámaras conectadas y software SaaS deberán cumplir con requisitos de ciberseguridad y llevar una marcación CE “cibernética”. Recomendamos consultar desde ahora información sobre Digitale Naïve en informática para medir la magnitud de las obligaciones sectoriales.
Entre los entregables esperados, la producción de un SBOM (Software Bill of Materials) que detalle todas las dependencias de software, incluidas las de código abierto, representa un gran desafío para los editores que nunca han documentado su cadena de componentes. Los equipos de DevSecOps deben integrar esta cartografía en su pipeline CI/CD mucho antes de la fecha límite.
AI Act y modelos generativos: obligaciones ya vigentes para las empresas
El calendario del AI Act europeo suele ser mal entendido. Las prácticas prohibidas (manipulación cognitiva, scoring social) son efectivas desde el 2 de febrero de 2025. Las obligaciones sobre los modelos de IA generativa básicos (GPAI, tipo GPT o Mistral) se aplican desde el 2 de agosto de 2025.
Las obligaciones de alto riesgo, por su parte, se posponen al 2 de agosto de 2028. Este retraso crea una zona gris: una pyme que despliega un chatbot de servicio al cliente utiliza un modelo GPAI ya regulado, pero puede no estar sujeta a las restricciones de “alto riesgo” durante dos años. Observamos que esta asimetría empuja a algunas estructuras a posponer cualquier cumplimiento, lo que equivale a apostar por un calendario político incierto.
- Documentar el origen de los datos de entrenamiento utilizados por el modelo GPAI integrado, incluso a través de una API de terceros
- Establecer un registro de casos de uso de IA dentro de la organización, diferenciando los niveles de riesgo
- Prever una auditoría de cumplimiento interno antes de finales de 2027 para los sistemas susceptibles de cambiar a la categoría de “alto riesgo”
La principal dificultad sigue siendo la identificación de los componentes de IA integrados en herramientas SaaS que la empresa utiliza sin dominar la arquitectura. Un CRM potenciado por IA generativa puede, según su uso, estar sujeto a diferentes obligaciones.
NIS 2 y DORA: la ciberseguridad se convierte en una obligación empresarial para las pymes
NIS 2 amplía considerablemente el alcance de las entidades afectadas en comparación con la directiva anterior. Sectores como la gestión de residuos, la fabricación de dispositivos médicos o los servicios postales entran en el ámbito de aplicación. Para una pyme industrial que nunca ha tenido un RSSI, la obligación de notificación de incidentes y gestión de riesgos de la cadena de suministro representa un cambio de paradigma.
DORA, por su parte, se dirige al sector financiero con un enfoque de resiliencia operativa digital. Los proveedores de TI que ofrecen servicios a bancos o aseguradoras se ven a sí mismos sujetos a requisitos contractuales más estrictos.
El efecto cascada es el punto a vigilar. Un editor de software de contabilidad alojado en la nube, que proporciona servicios a una mutua regional, deberá demostrar su conformidad con DORA a su cliente. La cadena de subcontratación de TI se convierte en un vector de responsabilidad jurídica directa.
Maturidad digital de las pymes francesas: obstáculos reales y palancas subestimadas
La digitalización de las pymes sigue siendo muy desigual. Los obstáculos más documentados no son técnicos, sino organizativos: resistencia al cambio de los equipos en el terreno, ausencia de un patrocinador en el comité de dirección, presupuesto de TI percibido como un centro de coste en lugar de un palanca de gestión.
Las empresas que logran su transición comparten un rasgo común: comienzan con un caso de uso específico, medible en menos de tres meses. Automatizar el tratamiento de las facturas de proveedores, por ejemplo, produce resultados visibles rápidamente y crea un efecto de arrastre en los equipos.
- Nombrar un referente digital interno, incluso a tiempo parcial, para centralizar las aportaciones del terreno
- Priorizar las herramientas SaaS con un acompañamiento a la adopción en lugar de soluciones a medida que tardan en desplegarse
- Integrar la formación continua en nuevas prácticas digitales en el plan de desarrollo de competencias
- Medir la eficacia de cada herramienta desplegada en un indicador empresarial concreto (plazo de tratamiento, tasa de error, satisfacción del cliente)
La externalización de la gestión de TI está ganando terreno en las estructuras de menos de 250 empleados. El uso de un proveedor gestionado permite cubrir el mantenimiento, la supervisión y la conformidad regulatoria sin necesidad de contratar un equipo de TI completo.
Transición energética y Green IT: un criterio de elección de hardware y software
La reducción de la huella energética del parque informático ya no es un argumento de marketing. Las políticas de compra responsable ahora integran la duración de vida de los materiales, la reparabilidad y el consumo eléctrico de los equipos en funcionamiento.
En el lado del software, la ecodiseño de aplicaciones reduce el consumo de recursos del servidor y alarga la vida útil del hardware del cliente. Una aplicación web optimizada consume menos ancho de banda, utiliza menos el procesador y funciona en máquinas más antiguas, lo que retrasa la renovación del parque.
La elección de un proveedor de nube que muestre un PUE (Power Usage Effectiveness) documentado y una mezcla energética verificable se convierte en un criterio de selección al mismo nivel que la latencia o el precio por gigabyte. Las licitaciones públicas integran cada vez más estos requisitos en sus pliegos de condiciones.
Los próximos meses concentran una densidad regulatoria rara en informática. Cyber Resilience Act, AI Act, NIS 2, DORA: cada texto impone entregables concretos, plazos precisos y sanciones financieras severas. Para las pymes como para las grandes cuentas, la conformidad regulatoria condiciona ahora el acceso al mercado, no solo la gestión del riesgo.