Criterios

Protección de datos · reglamento · https://eur-lex.europa.eu/eli/reg/2016/679/oj

• OLos responsables y encargados deben aplicar medidas técnicas y organizativas apropiadas para garantizar una seguridad adecuada al riesgo, incluida la protección frente al tratamiento no autorizado o ilícito y frente a pérdida, destrucción o daño accidental, mediante medidas como confidencialidad, integridad, disponibilidad, resiliencia, seudonimización, cifrado y procesos periódicos de verificación cuando proceda. En contexto cuántico, esta obligación no se traduce automáticamente en un mandato universal de criptografía poscuántica, sino en un análisis de seguridad conforme al riesgo, al estado de la técnica, a los costes, a la naturaleza, al alcance, al contexto y a los fines del tratamiento. El fundamento se encuentra en los artículos 5.1.f y 32 RGPD. (responsable, encargado)
• ILa transición progresiva a criptografía poscuántica debe formularse como medida interpretativa de gestión del riesgo HNDL, priorizable cuando la criticidad de los datos, su vida útil de confidencialidad, la exposición criptográfica y el estado de la técnica lo justifiquen. El RGPD no impone, por sí mismo, una obligación automática y universal de migración PQC para todo responsable o encargado. (responsable, encargado)
• IEl responsable debe aplicar protección de datos desde el diseño y por defecto al determinar los medios del tratamiento y durante el propio tratamiento. En sistemas con exposición criptográfica relevante, esa obligación puede justificar inventario criptográfico, cripto-agilidad, minimización y controles de seguridad si resultan proporcionados al riesgo, pero esas medidas concretas deben mantenerse como desarrollo interpretativo y no como requisito uniforme para todos los tratamientos. El fundamento de diseño y defecto se encuentra en el artículo 25 RGPD. (responsable)
• ILa evaluación de impacto relativa a la protección de datos debe realizarse antes del tratamiento cuando sea probable que un tipo de tratamiento, en particular con nuevas tecnologías, entrañe un alto riesgo para los derechos y libertades de las personas físicas. El uso de tecnología cuántica o de técnicas de machine learning cuántico no activa por sí solo la EIPD si no concurre la probabilidad de alto riesgo exigida por el artículo 35 RGPD. (responsable)
• ILa reidentificación de datos anonimizados mediante técnicas cuánticas debe describirse como hipótesis técnica que exige evaluación con evidencia y con los medios razonablemente utilizables, y no como capacidad general demostrada ni como consecuencia jurídica automática. Se mantiene la distinción entre datos anónimos fuera de los principios de protección de datos y datos seudonimizados o reidentificables que siguen pudiendo vincularse a una persona física mediante información adicional. (responsable)

Capítulo del Informe: §4.3, §3.1, §5.5 · Fecha de ficha: 27-07-2026

Inteligencia artificial · reglamento · https://eur-lex.europa.eu/eli/reg/2024/1689/oj

• IVerificar primero la definición de sistema de IA del artículo 3.1 y el ámbito del RIA; después, su clasificación y el rol efectivo del proveedor o responsable del despliegue. Para el artículo 6.1 deben concurrir tanto el vínculo con un producto o componente de seguridad del Anexo I como la exigencia de evaluación de conformidad por tercero. Para los usos del Anexo III, comprobar la excepción del artículo 6.3: ausencia de riesgo importante de perjuicio y una de sus condiciones de tarea limitada, mejora de actividad humana previa, detección de patrones con revisión humana adecuada o tarea preparatoria; si el sistema elabora perfiles de personas físicas, permanece clasificado como alto riesgo. En servicios financieros, precisar que Anexo III 5.b se refiere a solvencia o puntuación crediticia de personas físicas y excluye detección de fraude financiero, y 5.c a evaluación de riesgos y precios de seguros de vida y salud. Una decisión financiera genérica o usar QML no acredita por sí solo alto riesgo. Determinar las obligaciones y su fecha a partir del rol y régimen aplicables, incluidas las reglas sectoriales y transitorias pertinentes. La reforma añade al artículo 6 los apartados 1 bis, 1 ter y 1 quater: los sistemas usados únicamente para aspectos no relacionados con seguridad en asistencia al usuario, optimización del rendimiento, eficiencia del servicio, automatización, comodidad o control de calidad no se consideran componentes de seguridad; no obstante, sí se consideran tales aquellos cuyo fallo pueda poner en peligro salud/seguridad; la evaluación por tercero debida únicamente a riesgos distintos de salud/seguridad no satisface 6.1.b. Aplicar estas precisiones cuando corresponda, sin clasificar por una etiqueta tecnológica. (proveedor, desplegador)
• OLa introducción en el mercado, puesta en servicio o utilización de IA está prohibida cuando concurra un supuesto del artículo 5, con las condiciones y excepciones propias de cada letra y modalidad. Incluye la puntuación social del artículo 5.1.c cuando la evaluación o clasificación de personas o grupos por su comportamiento social o características personales produzca un trato perjudicial o desfavorable en contextos ajenos a los de obtención de los datos, o un trato injustificado o desproporcionado. No equiparar todo análisis de datos, vigilancia o uso cuántico a esas prácticas. Las prohibiciones ya existentes son aplicables desde el 02-02-2025; las nuevas letras 5.1.b bis y b ter y apartados 1 bis y 1 ter tienen aplicación desde el 02-12-2026. La política interna puede prohibir otros usos, pero esa ampliación debe identificarse separadamente como política propuesta y no atribuirse al artículo 5. (todos los operadores)
• OPara el proveedor de IA de alto riesgo efectivamente comprendido, cumplir requisitos de arts. 9–15 y QMS art. 17 según rol, sistema, régimen sectorial y calendario. Capítulo III, secciones 1–3, exceptuado 6.5: desde 02-12-2027 para 6.2/Anexo III y 02-08-2028 para 6.1/Anexo I, sin perjuicio de art. 111. A 03-10-2026, preparar esos controles no equivale a exigibilidad general actual. (proveedor de alto riesgo)
• OEIDF/FRIA del art. 27 para responsables del despliegue de alto riesgo del art. 6.2 que sean organismos de Derecho público, entidades privadas prestadoras de servicios públicos o responsables de usos Anexo III 5.b–c; excluir Anexo III 2. Verificar solvencia/puntuación crediticia de personas físicas (no detección de fraude financiero), riesgos/precios de seguros de vida/salud y excepciones 6.3. Será previa al despliegue desde fecha aplicable 02-12-2027 para estos sistemas, con régimen transitorio pertinente; QML no basta ni la FRIA es obligación inmediata universal. Art. 27.4 modificado permite referencias cruzadas/inclusión de partes EIPD pertinentes a obligaciones coincidentes, sin eliminar el resto de FRIA. (desplegadores comprendidos)
• ILa opacidad cuántica no exime de documentar límites de validez, incertidumbre, ruido y tasas de error con el detalle exigible al sistema y rol; no se exige explicabilidad completa universal. La interpretación se vincula a obligaciones concretas y calendario aplicable; no presume certificación QT-QMS ni conformidad automática. (proveedor)

Capítulo del Informe: §4.4, §3.3, §5.5, §6.1 · Fecha de ficha: 27-07-2026

Protección de datos · reglamento · https://eur-lex.europa.eu/eli/reg/2025/327/oj

• ILos sistemas cuánticos o híbridos que traten datos de salud electrónicos personales deben alinearse con el EHDS cuando entren en su ámbito y resulten aplicables sus disposiciones por fase, sujeto y categoría, y deben operar junto con una base jurídica del artículo 6 RGPD y una excepción del artículo 9 RGPD cuando se traten categorías especiales de datos. El EHDS complementa derechos del RGPD y establece un marco jurídico y técnico para datos de salud electrónicos, pero no sustituye las bases de licitud ni las garantías de protección de datos. El Reglamento de Ejecución (UE) 2026/2098 desarrolla los metadatos mínimos de descripciones de conjuntos de datos para uso secundario: los tenedores y, en su caso, participantes autorizados en DatosSalud@UE utilizan HealthDCAT-AP según arts. 1–3 y anexo. Se refiere a descripciones y vocabularios, no a publicación universal del contenido de los datos ni autorización de uso. Publicado 21.09.2026, vigor 11.10.2026 y aplicación 26.03.2029 (art. 4); al 03.10.2026 no es una obligación actual general. El Reglamento de Ejecución (UE) 2026/2099 establece identificación y autenticación para intercambio transfronterizo a través de MiSalud@UE. Publicado 22.09.2026, vigor 12.10.2026 y aplicación general 26.03.2027; art. 3.2 exige notificar conjuntos nacionales de atributos a más tardar el 26.03.2028 y arts. 3.3/5.2 aplican 26.03.2029 para emisión a petición y aceptación de atributos mediante cartera EUDI, tanto en solicitudes presenciales como en línea. Art. 4.2 exige nivel al menos sustancial en solicitudes en línea y alto desde 26.03.2030; art. 6.3 exige al menos sustancial para profesionales y alto desde 26.03.2032. No impone PQC universal, una nueva categoría de servicio cualificado ni una fecha general de migración EUDI. (responsables y encargados en salud)
• ILa priorización criptográfica en salud debe formularse como interpretación de gestión del riesgo HNDL por la sensibilidad de los datos de salud y sus largos periodos de conservación. La migración poscuántica puede ser prioritaria en salud por vida útil de confidencialidad y criticidad, pero el EHDS no convierte por sí solo esa priorización en obligación inmediata de PQC para todos los agentes sanitarios. El análisis y las medidas proporcionadas se encuadran en los artículos 25 y 32 RGPD y en el régimen sectorial pertinente cuando sea aplicable. (responsables y encargados en salud)

Capítulo del Informe: §3.4 · Fecha de ficha: 27-07-2026