Spanish (pdf)
Article in xml format
Article references
Automatic translation
Send this article by e-mail
Cited by SciELO 
Similars in
SciELO 
Permalink
1. INTRODUCCIÓN
En el actual ecosistema global, signado por una disrupción tecnológica de alcance inédito, la Unión Europea (UE) ha consolidado un paradigma regulatorio que excede largamente la mera estructuración del mercado interior para erigirse como un auténtico modelo de gobernanza digital basado en valores. Este fenómeno, identificado por la doctrina como el denominado "efecto Bruselas" Bradford, pone de manifiesto la capacidad del derecho de la integración europea para proyectar su fuerza normativa más allá de sus fronteras geográficas, estableciendo estándares globales de tutela de los derechos humanos en el marco de los desafíos que proponen las nuevas tecnologías.
En este contexto de transformación digital acelerada, el derecho de la integración europeo no se limita a operar como un instrumento de facilitación comercial, sino que se configura como un dispositivo central de gobernanza destinado a la protección efectiva de los derechos fundamentales. Tal como lo define Ricardo Basaldúa, esta rama jurídica regula el conjunto de acciones orientadas a la reducción o eliminación de las discriminaciones económicas entre los Estados comprometidos en un proceso de unificación progresiva. Esta nota distintiva resulta particularmente relevante en materia de nuevas tecnologías, en tanto la integración procura construir un "nuevo ámbito económico" que trascienda la fragmentación de los espacios nacionales, frente a la insuficiencia estructural de las regulaciones estatales individuales para abordar fenómenos de alcance global como los propios del entorno digital.
Desde una perspectiva complementaria, Sandra Negro introduce un elemento diferenciador fundamental al destacar la singularidad de los procesos de integración frente a los esquemas clásicos de cooperación internacional. Mientras que las organizaciones internacionales tradicionales se estructuran, en general, sobre mecanismos de cooperación intergubernamental, en los procesos de integración se verifica —o al menos se tiende a verificar— una transferencia de competencias hacia instituciones dotadas de autonomía propia. Esta cesión de soberanía constituye el presupuesto de la supranacionalidad, rasgo indispensable para que bloques como la Unión Europea puedan dictar normas de aplicación inmediata y efecto directo, tales como el Reglamento General de Protección de Datos (GDPR por su sigla en inglés), la regulación europea de Criptoactivos (MICA por su denominación en inglés) o la Ley de Inteligencia Artificial (AI Act por su referencia en inglés), garantizando así una regulación uniforme que no quede supeditada a los tiempos, muchas veces dilatados, de los procesos de incorporación al derecho interno.
En esta misma línea, se subraya que el Derecho de la Integración se aparta deliberadamente de la concepción "conservadora" del Derecho Internacional Público clásico, orientada primordialmente a la preservación de la integridad territorial y del status quo estatal. Por el contrario, el derecho de la integración persigue la creación de nuevos órdenes jurídicos en espacios ampliados, a partir de la reasignación de competencias previamente concentradas en los Estados nacionales. Esta autonomía normativa es la que habilita a los bloques regionales a desempeñar un rol protagónico en el emergente constitucionalismo o soberanía digital, asegurando que los procesos de innovación tecnológica se encuentren subordinados al estado de derecho, y no a la inversa.
Sobre estas bases, el presente artículo examina la arquitectura jurídica de la Unión Europea a partir de tres ejes estructurantes: el régimen de protección de datos personales, la regulación pionera de la inteligencia artificial y la conformación del mercado de criptoactivos. Se sostiene como hipótesis central que la integración regional europea, al dotar al bloque de una capacidad regulatoria unificada, permite enfrentar las profundas asimetrías de poder existentes entre los grandes actores tecnológicos y los ciudadanos, asegurando la primacía de un entramado normativo orientado a la tutela efectiva de los derechos humanos y al ejercicio —efectivo o al menos pretendido— de mecanismos de control sobre las nuevas dimensiones virtuales que se han consolidado en el entorno digital.
2. LA PROTECCIÓN DE DATOS PERSONALES COMO DERECHO FUNDAMENTAL
2.1. Ontología y alcance del dato personal en la era del Big Data
En el marco del constitucionalismo o soberanía digital, el dato personal no puede ser concebido meramente como un insumo económico ni como un recurso transable dentro de los mercados digitales, sino como una proyección directa de la personalidad jurídica y de la dignidad humana. Esta concepción axiológica se encuentra en la base del modelo europeo de protección de datos y explica su configuración como derecho fundamental autónomo, reconocido explícitamente en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea.
Desde una perspectiva normativa, el dato personal comprende toda información relativa a una persona física identificada o identificable, ya sea de manera directa o indirecta. Sin embargo, la emergencia de tecnologías de procesamiento masivo de información —big data, machine learning e inteligencia artificial— ha ampliado de forma exponencial el alcance material de esta noción. Elementos que tradicionalmente se consideraban neutros o carentes de relevancia jurídica, tales como metadatos, direcciones IP dinámicas, identificadores en línea, historiales de navegación o patrones de comportamiento digital, adquieren hoy una capacidad inédita de reidentificación, correlación y perfilamiento.
Este fenómeno erosiona las fronteras clásicas entre datos personales y no personales, y pone en crisis los enfoques regulatorios basados exclusivamente en la intención declarada del responsable del tratamiento. En efecto, el poder predictivo de los algoritmos permite inferir atributos sensibles —como orientación política, estado de salud o preferencias ideológicas— a partir de datos aparentemente inocuos, lo que genera un riesgo estructural para la autodeterminación informativa, entendida como la facultad de la persona de controlar la circulación y el uso de su información personal.
En este contexto, la protección de datos se configura no solo como una garantía de privacidad, sino como un instrumento de equilibrio frente a las asimetrías informacionales propias del ecosistema digital, donde los grandes actores tecnológicos concentran capacidades técnicas y económicas muy superiores a las de los individuos.
2.2. El Reglamento General de Protección de Datos
El Reglamento (UE) 2016/679, conocido como Reglamento General de Protección de Datos (GDPR por su sigla en inglés), constituye uno de los desarrollos normativos más acabados del derecho de la integración europeo. Su adopción como reglamento —y no como directiva— implica su aplicación directa y uniforme en todos los Estados miembros, sin necesidad de transposición, lo que refuerza la coherencia del ordenamiento jurídico europeo y materializa los principios de primacía y efecto directo. La opción por la técnica del reglamento, en lugar de la directiva, implicó un cambio cualitativo en el modelo de protección de datos de la Unión Europea, al establecer normas de aplicación directa, uniforme y obligatoria en todo el territorio del bloque, reforzando así los principios de primacía y efecto directo propios del ámbito comunitario europeo.
Desde el punto de vista sustantivo, el GDPR se estructura sobre un conjunto de principios rectores —licitud, lealtad y transparencia; limitación de la finalidad; minimización de datos; exactitud; limitación del plazo de conservación; integridad y confidencialidad— que operan como verdaderos criterios constitucionales del tratamiento de datos. Estos principios no solo orientan la actuación de los responsables y encargados del tratamiento, sino que funcionan como parámetros de control para las autoridades administrativas y jurisdiccionales.
La fortaleza del sistema se manifiesta asimismo en un régimen sancionatorio de carácter disuasorio, con multas que pueden alcanzar hasta el 4 % del volumen de negocios anual global de la entidad infractora o veinte millones de euros, lo que refuerza la eficacia normativa del reglamento incluso frente a corporaciones transnacionales.
No obstante, uno de los aportes más significativos del GDPR reside en la reconceptualización del consentimiento como base jurídica del tratamiento de los datos. Este debe ser libre, específico, informado e inequívoco, quedando excluidas las prácticas de aceptación tácita o presunta.
La jurisprudencia del Tribunal de Justicia de la Unión Europea ha consolidado esta exigencia, como se observa en el caso Planet49, donde se declaró la invalidez de las casillas premarcadas como forma válida de consentimiento. Asimismo, la consagración del denominado "derecho al olvido", a partir de la sentencia Google Spain c. AEPD, y el reconocimiento del derecho a no ser objeto de decisiones basadas exclusivamente en tratamientos automatizados, sin intervención humana significativa, configuran un bloque de garantías orientado a preservar la autonomía personal frente a lógicas algorítmicas opacas. En este sentido, el GDPR desplaza el eje desde la mera protección de la información hacia la protección integral de la persona en entornos digitales.
2.3. Transferencias Internacionales de datos y la soberanía de los datos: La Saga Schrems
La circulación transfronteriza de datos personales constituye uno de los puntos de mayor fricción entre la lógica global del mercado digital y la concepción europea de los derechos fundamentales. En un ecosistema caracterizado por flujos de información instantáneos y deslocalizados, el principio de libre circulación de datos se ve tensionado por la exigencia de garantizar que, aun fuera del Espacio Económico Europeo, los datos de los ciudadanos europeos gocen de un nivel de protección "esencialmente equivalente" al asegurado por el derecho de la Unión.
En este contexto, el GDPR introduce una ruptura conceptual relevante al afirmar su vocación extraterritorial. En efecto, el artículo 3 del reglamento extiende su ámbito de aplicación no solo a los tratamientos realizados en el territorio de la Unión, sino también a aquellos efectuados por responsables o encargados establecidos en terceros Estados, cuando el tratamiento se relacione con la oferta de bienes o servicios a personas que se encuentren en la Unión, o con el control de su comportamiento dentro de ella. De este modo, la protección de datos deja de depender exclusivamente del lugar de establecimiento del operador y pasa a vincularse con la protección de la persona como sujeto de derechos, con independencia de dónde se encuentren los servidores o los centros de decisión empresariales.
Este criterio se proyecta directamente sobre el régimen de transferencias internacionales previsto en los artículos 44 a 49 del GDPR, que configuran un sistema cerrado y jerarquizado de garantías. Toda transferencia de datos personales a un tercer país u organización internacional solo es lícita si se respeta el núcleo esencial de los derechos fundamentales reconocidos por la Carta de Derechos Fundamentales de la Unión Europea, ya sea mediante una decisión de adecuación de la Comisión, la utilización de garantías apropiadas —como cláusulas contractuales tipo— o, en supuestos excepcionales, a través de las derogaciones expresamente previstas por el propio reglamento.
Resulta particularmente relevante mencionar la evolución del régimen de transferencias internacionales de datos personales entre la Unión Europea y los Estados Unidos, proceso que se encuentra estrechamente ligado a la iniciativa individual de Max Schrems, entonces estudiante de Derecho de la Universidad de Viena y activista por la protección de la privacidad. A partir de sus impugnaciones ante las autoridades de control y los tribunales europeos, Schrems puso en evidencia las deficiencias estructurales de los mecanismos de adecuación adoptados por la Comisión Europea, dando lugar a una serie de pronunciamientos de alto impacto por parte del Tribunal de Justicia de la Unión Europea. Este itinerario normativo y jurisprudencial —que se extiende desde el régimen de Safe Harbor (2000), continúa con el Privacy Shield y desemboca en el actual EU-U.S. Data Privacy Framework (2023)— ilustra con claridad la tensión estructural existente entre, por un lado, las exigencias de seguridad nacional y los programas de vigilancia masiva de terceros Estados, y por otro, el estándar europeo de protección de la privacidad, tutela judicial efectiva y control independiente.
En todos estos esquemas subyace un interrogante común y persistente: si el ordenamiento jurídico del país receptor garantiza un nivel de protección de los datos personales sustancialmente equivalente al exigido por el derecho de la UE. La respuesta negativa ofrecida reiteradamente por el Tribunal de Justicia en los casos Schrems I y Schrems II no solo invalidó los mecanismos vigentes en cada oportunidad, sino que reafirmó la centralidad de los derechos fundamentales como límite infranqueable a la libre circulación internacional de datos, consolidando así una concepción robusta de la soberanía digital europea.
Este activismo judicial no solo reafirma el rol del Tribunal de Justicia como garante último de los derechos fundamentales en el proceso de integración, sino que consolida una concepción robusta de la soberanía digital europea, entendida no como una forma de aislamiento o proteccionismo tecnológico, sino como la capacidad del bloque regional de imponer condiciones normativas al flujo global de información. En este sentido, el GDPR opera como un instrumento de proyección normativa externa: empresas y Estados terceros se ven compelidos a adecuar sus prácticas internas si desean operar legítimamente en el mercado europeo.
La aplicación extraterritorial del reglamento y el control estricto de las transferencias internacionales convierten así a la protección de datos personales en un eje estructural del constitucionalismo digital europeo y en una manifestación concreta del denominado Brussels Effect. A través de este mecanismo, la Unión Europea logra externalizar sus estándares de tutela de derechos fundamentales, reafirmando que, incluso en un entorno digital globalizado, la innovación tecnológica debe permanecer subordinada al Estado de Derecho y a la centralidad de la persona humana.
3. EL MARCO DE LOS MERCADOS DE CRIPTOACTIVOS (MiCA)
El reglamento europeo conocido como Markets in Crypto-Assets Regulation (MICA por su sigla en inglés), constituye la respuesta institucional de la UE a la profunda fragmentación normativa que caracterizaba al ecosistema de los criptoactivos. Hasta su adopción, el sector se encontraba regulado —cuando lo estaba— mediante soluciones nacionales dispares, generando incertidumbre jurídica, arbitraje regulatorio y riesgos sistémicos incompatibles con un mercado financiero integrado.
MICA se inscribe, así, en la lógica estructural del derecho de la integración: armonizar el mercado interior mediante normas de aplicación directa, garantizando simultáneamente la estabilidad financiera, la protección del inversor y la integridad del sistema económico digital. Al igual que el GDPR y la AI Act, el reglamento no se limita a ordenar el espacio europeo, sino que proyecta su influencia más allá de las fronteras del bloque, incidiendo de manera decisiva en la gobernanza global de los criptoactivos.
3.1. Taxonomía de criptoactivos y tutela del usuario
Uno de los aportes centrales de MICA es la introducción de una clasificación jurídica uniforme de los criptoactivos, que permite abandonar enfoques meramente tecnológicos o económicos y avanzar hacia una regulación basada en el riesgo y en la función que cada activo cumple en el mercado. El reglamento distingue, en particular, entre:
- Tokens de dinero electrónico (Electronic Money Tokens): criptoactivos, comúnmente conocidos como stablecoins, diseñados para mantener un valor estable mediante su vinculación a una única moneda fiduciaria.
- Tokens referenciados a activos (Asset-Referenced Tokens): activos digitales cuyo valor se encuentra respaldado por una cesta de monedas, materias primas u otros activos, lo que los convierte en instrumentos con potencial impacto sistémico.
- Utility tokens: criptoactivos concebidos principalmente para proporcionar acceso digital a un bien o servicio específico dentro de un ecosistema determinado.
Cabe destacar que la norma no pretende abarcar de manera indiscriminada la totalidad del universo cripto, sino que delimita de forma consciente y selectiva su ámbito de aplicación. En este sentido, quedan expresamente excluidos del perímetro regulatorio los denominados security tokens, los tokens no fungibles auténticamente únicos (NFTs) y los criptoactivos plenamente descentralizados sin emisor identificable, como Bitcoin.
De este modo, MICA busca evitar episodios de colapso financiero como los registrados en el mercado cripto global, no mediante la prohibición generalizada de tecnologías emergentes, sino a través de un enfoque prudencial y funcional, centrado en los activos con vocación sistémica y en los intermediarios que operan como puntos de entrada al ecosistema.
3.2. El "pasaporte europeo" y la integración al mercado de criptoactivos
Otro de los pilares estructurales de MICA es la creación del estatuto jurídico de los Proveedores de Servicios de Criptoactivos (Crypto-Asset Service Providers - CASPs). A través de este mecanismo, una entidad que obtiene autorización en un Estado miembro puede prestar servicios en todo el territorio de la Unión, sin necesidad de licencias adicionales, en virtud del principio de reconocimiento mutuo.
Este sistema de "pasaporte europeo" reproduce una técnica clásica del derecho de la integración financiera, pero adaptada a la economía digital. A la vez, se combina con un robusto esquema de supervisión y cumplimiento, que refuerza las obligaciones en materia de Know Your Customer (KYC) y normas anti lavado de dinero. La innovación tecnológica, así, no queda asociada a la opacidad ni a la desintermediación irresponsable, sino integrada en un marco de control institucional que preserva la legalidad y la trazabilidad de las operaciones.
3.3. Proyección extraterritorial y vocación de estándar global
Más allá de su impacto intracomunitario, MICA revela con claridad la vocación expansiva del modelo regulatorio europeo. En la medida en que el reglamento se aplica a todo emisor o proveedor de servicios que ofrezca criptoactivos o servicios vinculados a ellos en el mercado de la Unión, las plataformas y emisores establecidos fuera del territorio europeo se ven compelidos a adecuar sus estructuras globales para poder operar en uno de los mercados más relevantes del mundo.
Este fenómeno reproduce, en el ámbito financiero-digital, la lógica del denominado Brussels Effect: la UE no impone formalmente su regulación al resto del mundo, pero la centralidad económica de su mercado convierte a sus normas en estándares de facto globales. En consecuencia, exchanges, emisores de stablecoins y proveedores tecnológicos extracomunitarios optan por alinear sus modelos de negocio con MICA para evitar la fragmentación de servicios, los sobrecostos regulatorios y la exclusión del mercado europeo.
Desde esta perspectiva, MICA no debe ser entendido únicamente como una regulación sectorial, sino como una herramienta de gobernanza económica global, que redefine los límites entre innovación financiera, soberanía regulatoria y protección de derechos de consumidores y usuarios. La UE consolida así una estrategia coherente: utilizar el derecho de la integración como vehículo para proyectar valores —transparencia, estabilidad, protección del consumidor y control institucional— en un entorno tecnológico de alcance planetario.
4. LA LEY DE INTELIGENCIA ARTIFICIAL
Bajo el axioma de que el desarrollo tecnológico debe encontrarse necesariamente subordinado a la ética, al Estado de Derecho y al respeto de la dignidad humana, la Unión Europea ha adoptado el primer reglamento integral del mundo destinado a regular la inteligencia artificial. La denominada Ley de Inteligencia Artificial (AI Act por su denominación en inglés) se erige así como un hito normativo sin precedentes, al abordar de manera sistemática los riesgos derivados del uso de sistemas algorítmicos avanzados en contextos sociales, económicos y estatales sensibles.
Este instrumento encuentra su fundamento jurídico en el artículo 114 del Tratado de Funcionamiento de la Unión Europea (TFUE), relativo a la armonización del mercado interior, lo que evidencia —una vez más— la utilización del derecho de la integración como vehículo para la tutela de derechos fundamentales en entornos tecnológicos. La opción por la técnica del reglamento, de aplicación directa y obligatoria en todos los Estados miembros, responde a la necesidad de evitar fragmentaciones regulatorias que podrían socavar tanto la protección de los derechos como el funcionamiento eficiente del mercado digital europeo.
4.1. Arquitectura regulatoria basada en el riesgo
El eje estructural de la Ley de Inteligencia Artificial es la adopción de un enfoque basado en el riesgo, de carácter preventivo y proporcional, que gradúa las obligaciones de los proveedores y usuarios de sistemas de IA en función del impacto potencial de dichas tecnologías sobre los derechos fundamentales, la seguridad y los valores democráticos.
Este modelo rompe con enfoques tecnológicamente neutrales y reconoce que no todas las aplicaciones de IA generan los mismos riesgos sociales, lo que justifica un tratamiento jurídico diferenciado. En este sentido, la AI Act distingue cuatro categorías principales:
- Riesgo inaceptable (sistemas prohibidos): Se prohíben de manera absoluta aquellos sistemas de IA que se consideran incompatibles con los valores fundamentales de la Unión. Entre ellos se incluyen las tecnologías de manipulación subliminal del comportamiento humano, los sistemas de puntuación social (social scoring) por parte de autoridades públicas y determinadas formas de vigilancia biométrica remota en tiempo real en espacios públicos. La entrada en vigor de estas prohibiciones operó el 2 de febrero de 2025.
- Riesgo alto: Comprende los sistemas de IA utilizados en ámbitos especialmente sensibles, como infraestructuras críticas, salud, transporte, educación, empleo y administración de justicia. Estas aplicaciones no son prohibidas, pero quedan sujetas a requisitos estrictos de gobernanza, entre los que se destacan la calidad y trazabilidad de los datos, la documentación técnica exhaustiva, la evaluación previa de riesgos, la supervisión humana efectiva y la posibilidad de auditorías. La aplicación plena de este régimen está prevista para el 2 de agosto de 2026.
- Riesgo limitado y mínimo: Para los sistemas de menor impacto, la Ley de IA establece obligaciones fundamentalmente orientadas a la transparencia, como el deber de informar al usuario cuando interactúa con una IA o cuando el contenido ha sido generado artificialmente.
Este esquema evidencia una lógica regulatoria sofisticada, que busca maximizar la protección de derechos sin sofocar el desarrollo tecnológico, consolidando un modelo europeo de innovación responsable.
4.2. Vocación de universalidad: la proyección extraterritorial de la norma
La Ley de Inteligencia Artificial no se limita a regular el mercado interior europeo, sino que expresa una clara vocación de universalidad que se articula a través de tres mecanismos principales.
En primer lugar, el denominado "efecto Bruselas" al que se hiciera referencia al comienzo de este artículo. Al tratarse de un reglamento de aplicación directa que alcanza a cualquier empresa que pretenda comercializar o utilizar sistemas de IA en el mercado europeo, con independencia de su lugar de establecimiento, las grandes plataformas tecnológicas se ven compelidas a adaptar sus modelos globales a los estándares de la UE para evitar la fragmentación de servicios y costos regulatorios diferenciados.
En segundo término, la UE ejerce un liderazgo normativo en la gobernanza global de la IA, al establecer una definición jurídica de "sistema de inteligencia artificial" basada en criterios de autonomía, adaptabilidad y capacidad de inferencia (art. 3), que busca ser replicada por organismos internacionales y foros multilaterales, contribuyendo a la armonización conceptual y técnica a escala global.
Finalmente, la protección de los derechos fundamentales opera como una auténtica barrera normativa de acceso al mercado. Al prohibir determinadas aplicaciones por razones éticas y jurídicas, la UE envía un mensaje político inequívoco sobre los límites del uso legítimo de la tecnología. En conjunto, la AI Act consolida a la UE como un actor central del constitucionalismo digital global, demostrando que la regulación no constituye un freno a la innovación, sino una condición necesaria para su legitimidad democrática y su sostenibilidad a largo plazo.
5. CONCLUSIONES
La respuesta normativa de la UE frente a la acelerada eclosión tecnológica confirma que el derecho de la integración se ha consolidado como uno de los instrumentos más eficaces para la protección de los derechos humanos en el siglo XXI.
La armonización regional no solo optimiza el funcionamiento del mercado interior, sino que proyecta un auténtico modelo de constitucionalismo digital, en el cual el desarrollo algorítmico y tecnológico se encuentra estructuralmente subordinado al Estado de Derecho.
En este marco, adquiere pleno sentido la conocida afirmación según la cual "Estados Unidos crea, China copia y la Unión Europea legisla". Lejos de constituir una caracterización peyorativa, esta popular expresión revela una vocación normativa vanguardista, orientada a ordenar jurídicamente terrenos aún inexplorados —verdaderas terrae incognitae del derecho— mediante un ejercicio consciente de regulación anticipatoria, aun asumiendo el riesgo de eventuales ajustes futuros.
Uno de los desafíos centrales que plantea la regulación de fenómenos tecnológicos de naturaleza inmaterial y altamente volátil consiste en evitar que el marco jurídico se convierta en un factor de desincentivo para la inversión y la innovación. En este sentido, la experiencia europea demuestra que una regulación clara y previsible no opera necesariamente como un corset restrictivo, sino que puede constituirse en un entorno fértil para el desarrollo de empresas tecnológicas, al ofrecer reglas estables, previsibilidad jurídica y condiciones de competencia leal.
En definitiva, la afirmación de la primacía de la dignidad humana, la seguridad jurídica y la tutela de los derechos fundamentales frente a la autonomía tecnológica pone de relieve que la integración regional emerge como un camino idóneo para que las sociedades democráticas conserven un control efectivo sobre su futuro digital. El modelo europeo se erige así como un referente global de gobernanza ética, capaz de influir y moldear los estándares regulatorios internacionales en un escenario tecnológico crecientemente interdependiente.
