Tu producto escala; tu cumplimiento, también.
Si desarrollas o integras IA, el Reglamento de IA ya marca obligaciones. Si vendes software, el CRA exige seguridad por diseño y gestión de vulnerabilidades. Si tu app presta a consumidores alguno de los servicios de la Ley 11/2023 (como el comercio electrónico o la banca), accesibilidad EAA. Y los datos de tus clientes te convierten en encargado. El cumplimiento nativo del sector digital.
Ficha en preparación. Todavía no tiene todo lo que pedimos a una ficha completa: cinco casos de sanción comprobados, cinco situaciones, cinco plantillas y la base sectorial del copiloto. Los casos que ves están comprobados uno a uno en su resolución de aepd.es.
- 3 preguntas
- sin registro
- sin tarjeta
Situación por situación, con la norma que la impone.
Esto es lo propio del sector. Lo que te toca por tu tamaño o por lo que haces (web, cámaras, datos de salud…) lo ves en «¿Qué me aplica?», con este sector ya marcado.
-
Situación 01
Integras un LLM en tu producto
Qué puede costar si se incumpleHasta 35 M€ o 7 % en el tramo máximo del reglamento
- El problema
- Marketing quiere «IA» en la próxima release y nadie ha mirado qué obligaciones dispara.
- Qué exige la normativa
- Reglamento de IA: transparencia, clasificación de riesgo, alfabetización y supervisión.
- Cómo lo resuelve AIM ÆGIS
- Inventario de sistemas de IA, clasificación de riesgo guiada y las cláusulas de transparencia listas.
-
Situación 02
Tu SaaS guarda datos de tus clientes
Qué puede costar si se incumpleCasos reales: 60.000 € a una empresa de software médico que subencargó la nube sin contrato a tiempo (PS/00576/2021) y 100.000 € a una tecnológica por un ciberataque (PS/00312/2025)
- El problema
- Cada cliente enterprise te manda su cuestionario de seguridad y su DPA distinto.
- Qué exige la normativa
- Art. 28 y 32 RGPD: contrato de encargo, medidas, subencargados (cloud y APIs) declarados.
- Cómo lo resuelve AIM ÆGIS
- DPA propio citado al artículo, anexo de medidas y registro de subencargados publicable.
-
Situación 03
Vendes software con actualizaciones
Qué puede costar si se incumpleMultas de hasta 15 M€ o 2,5 % en su tramo máximo
- El problema
- El CRA convierte la seguridad del producto en obligación legal, no en buena práctica.
- Qué exige la normativa
- CRA (Reg. UE 2024/2847): seguridad por diseño, gestión de vulnerabilidades y soporte, por hitos desde 2026.
- Cómo lo resuelve AIM ÆGIS
- Política de divulgación coordinada, registro de vulnerabilidades y el plan de adecuación por hitos.
-
Situación 04
Tu app la usan consumidores
Qué puede costar si se incumpleSanciones autonómicas y exclusión de mercados
- El problema
- Desde el 28/06/2025, la Ley 11/2023 exige accesibilidad a determinados servicios para consumidores. ¿Entra tu app?
- Qué exige la normativa
- Ley 11/2023 (transpone la Directiva europea de accesibilidad), exigible desde el 28/06/2025 a determinados servicios para consumidores: comercio electrónico, banca, comunicaciones electrónicas, transporte de viajeros, libros electrónicos, redes sociales, webs y apps de agencias de viajes y de suministros, entre otros (art. 2.2). Las microempresas que prestan servicios están exentas (art. 3.3). Comprueba si tu app entra en alguna de esas categorías.
- Cómo lo resuelve AIM ÆGIS
- Autoevaluación de accesibilidad guiada y declaración conforme, con el plan de corrección priorizado.
Los marcos del catálogo que cubren este sector, con su referencia oficial. Cada uno explica a quién obliga y desde cuándo.
Lo que puede costar no hacerlo.
Tres procedimientos de la AEPD contra empresas de software y servicios informáticos, cada uno con su resolución enlazada
Importes que citan las resoluciones: de 60.000 € (PS/00576/2021) a 115.000 € (PS/00058/2023)
-
PS/00576/2021 · Informática Médica
60.000 €Importe que cita el caso
Una empresa de software (Informática Médica, S.L.), encargada del tratamiento de seis clientes del sector sanitario, alojaba sus datos en un proveedor de nube con el que el contrato de subencargo se firmó después del ataque que sufrió ese proveedor; afectó a unas 136.000 personas, con datos de salud. La AEPD le impuso 60.000 € (art. 28 RGPD).
CausaSubencargo de la nube sin contrato a tiempo (art. 28 RGPD)
-
PS/00312/2025 · Stratesys
100.000 €Importe que cita el caso
Una empresa de soluciones tecnológicas (Stratesys Technology Solutions, S.L.) sufrió un ciberataque en el que le robaron información, con datos que trataba para sus clientes. La AEPD fijó 100.000 € por vulnerar la integridad y confidencialidad de los datos (art. 5.1.f RGPD); pagó 60.000 € el 24/07/2025 con las dos reducciones.
CausaCiberataque a una empresa tecnológica encargada del tratamiento (art. 5.1.f RGPD)
-
PS/00058/2023 · Tecnología Sistemas y Aplicaciones
115.000 €Importe que cita el caso
Una empresa de software para comercializadoras de energía (Tecnología Sistemas y Aplicaciones, S.L.) descargó la base de datos de puntos de suministro eléctrico (SIPS) sin legitimación y la puso a disposición de sus clientes. La AEPD le impuso 45.000 € por cada una de esas dos infracciones del art. 6.1 RGPD y 25.000 € por no aplicar la protección de datos desde el diseño (art. 25).
CausaBase de datos del SIPS descargada y cedida sin base (arts. 6.1 y 25 RGPD)
3 documentos, cada uno con su base legal.
Se generan a partir del caso de cada empresa: documentos editables para que los revises, con la norma que cumplen a la vista.
-
DPA para SaaS (Art. 28)
Con subencargados cloud y medidas técnicas.
Base legal: Art. 28 RGPDPDF + Word editable -
Política de divulgación coordinada de vulnerabilidades
CVD conforme al CRA.
Base legal: Reg. (UE) 2024/2847PDF + Word editable -
Inventario y clasificación de sistemas de IA
Registro de sistemas y nivel de riesgo.
Base legal: Reg. (UE) 2024/1689PDF + Word editable
¿Llevas clientes de este sector? Ofréceselo con tu marca.
Cada cliente del sector ve qué le obliga y por qué, con su artículo; tú revisas lo que exige criterio profesional y lo facturas como servicio tuyo. Te enseñamos cómo, sin compromiso.
~35.000 empresas de software y servicios TI en España.
Lo que te toca a ti, en tres preguntas.
Tu sector ya viene marcado: di cuántas personas sois y qué haces, y verás cada obligación con su porqué y su norma.
- 3 preguntas
- sin registro
- sin tarjeta