Con motivo del final del tercer trimestre de 2026, traemos una selección de las noticias, sentencias, jurisprudencia y tendencias más relevantes acaecidas durante el tercer trimestre del año en el sector tecnológico. THE CODE, la newsletter sobre tecnología de Pérez-Llorca, es un trabajo conjunto de los equipos de España, México, Portugal, Colombia y Perú de la firma.
EU | La Comisión Europea presenta la propuesta de EU Kids Act: Bruselas pone sobre la mesa la propuesta de EU Kids Act para blindar a los menores frente a redes sociales, videojuegos y chatbots de IA.
ESPAÑA | Caducidad de iniciativas legislativas pendientes en el sector audiovisual tras la disolución de las Cortes: La disolución de las Cortes deja en el limbo la agenda legislativa tech y audiovisual.
PORTUGAL | Uso de IA en la contratación pública: Portugal reforma su Código de Contratos Públicos para integrar IA en todo el proceso, sin renunciar a la supervisión humana.
MÉXICO | La Secretaría Anticorrupción y Buen Gobierno inicia investigaciones de oficio por posibles filtraciones de datos masivas: Dos filtraciones masivas de datos ponen a prueba a la nueva autoridad de protección de datos.
COLOMBIA | Colombia aprueba la Ley de la Música: Crea un registro gratuito para artistas, exime de IVA a instrumentos y obras musicales, y endurece las medidas contra licencias fraudulentas.
PERÚ | Inicia la aplicación de las obligaciones de transparencia y gobernanza del Reglamento de Inteligencia Artificial: Finaliza el primer plazo para implementar ciertas obligaciones de transparencia y supervisión humana en IA.
UNIÓN EUROPEA
La Comisión Europea presenta la propuesta de EU Kids Act: El 17 de septiembre de 2026, la Comisión Europea adoptó la propuesta de EU Kids Act, destinada a reforzar la protección de los menores en el entorno digital mediante un acceso gradual a determinados servicios, garantías de verificación de edad y obligaciones de seguridad desde el diseño. La iniciativa alcanza, entre otros servicios utilizados por menores, a redes sociales, plataformas de vídeo, videojuegos y determinados companions y chatbots basados en inteligencia artificial. Consulte la propuesta aquí.
Asimismo, el 2 de octubre de 2026, la Comisión abrió un período específico de recepción de observaciones sobre la propuesta, dirigido entre otros a menores, padres y tutores, docentes y plataformas afectadas, con el objetivo de aportar información al debate legislativo posterior en el Parlamento Europeo y el Consejo. El plazo para presentar observaciones permanecerá abierto hasta el 26 de noviembre de 2026. Consulte la consulta pública aquí.
Pérez-Llorca ha publicado una nota legal con más información sobre la propuesta. Consulte la nota preparada por el despacho aquí.
La Comisión Europea publica Directrices sobre las obligaciones de transparencia del artículo 50 del Reglamento de IA: La Comisión Europea publicó el 20 de julio de 2026 las Directrices definitivas sobre las obligaciones de transparencia previstas en el artículo 50 del Reglamento de Inteligencia Artificial (“RIA”), dirigidas a proveedores y responsables del despliegue de sistemas de Inteligencia Artificial (“IA”). Las Directrices precisan, entre otras cuestiones, las obligaciones de informar cuando una persona interactúa con determinados sistemas de IA, el marcado en formato legible por máquina de contenidos generados o manipulados artificialmente y los deberes de información aplicables a deepfakes, sistemas de reconocimiento de emociones, categorización biométrica y determinados textos generados por IA sobre asuntos de interés público. Estas obligaciones son aplicables desde el 2 de agosto de 2026. Consulte las Directrices aquí (texto únicamente disponible en inglés).
La Comisión Europea detalla el procedimiento sancionador para modelos de IA de uso general: El Reglamento de Ejecución (UE) 2026/1755 de la Comisión, de 20 de julio de 2026, publicado en el Diario Oficial de la Unión Europea el 21 de julio de 2026, establece las disposiciones detalladas para dos tipos de procedimientos que la Comisión puede tramitar con arreglo al RIA: (i) las evaluaciones de modelos de IA de uso general (incluyendo las condiciones de acceso al modelo y la participación de expertos independientes) y (ii) los procedimientos sancionadores dirigidos a los proveedores de estos modelos. En materia de evaluaciones, la Comisión podrá exigir acceso al modelo a través de API, código fuente, pesos del modelo o la infraestructura que lo aloja, y podrá nombrar expertos independientes mediante una convocatoria de manifestaciones de interés, sujetos a estrictos requisitos de independencia y confidencialidad. En materia sancionadora, el Reglamento regula la incoación y finalización de los procedimientos para la imposición de multas, la posibilidad de adoptar medidas cautelares urgentes, el derecho del proveedor afectado a ser oído y a acceder al expediente (con protección de los secretos comerciales), y los plazos de prescripción tanto para imponer como para ejecutar las multas. Consulte el Reglamento aquí.
La Comisión Europea publica orientaciones para facilitar la aplicación del Reglamento de Ciberresiliencia: La Comisión publicó el 27 de julio de 2026 nuevas orientaciones no vinculantes para facilitar la aplicación del Reglamento de Ciberresiliencia (“CRA”). El documento contiene 67 ejemplos prácticos destinados a aclarar, entre otras cuestiones, el ámbito de aplicación del Reglamento, el tratamiento del software libre y de código abierto, el concepto de modificación sustancial, los periodos de soporte, las obligaciones de notificación y la evaluación de riesgos de ciberseguridad. Las orientaciones pretenden facilitar la preparación de fabricantes, desarrolladores y demás operadores afectados por la aplicación progresiva del CRA. Consulte las orientaciones aquí (texto únicamente disponible en inglés).
Asimismo, ENISA actualizó el 30 de septiembre de 2026 las preguntas frecuentes relativas a la plataforma única de notificación del CRA, incorporando orientaciones prácticas sobre su finalidad, sujetos obligados, procedimiento de registro, presentación y gestión de las notificaciones. Consulte las preguntas aquí (texto únicamente disponible en inglés).
La Comisión Europea solicita información sobre los retos y el camino a seguir en el ámbito del efecto de la tecnología en los derechos de autor: El 29 de septiembre de 2026, la Comisión abrió una consulta específica sobre los retos que plantean la tecnología y, en particular, la inteligencia artificial para el sistema europeo de propiedad intelectual. La consulta aborda cuatro ámbitos: el uso de contenidos protegidos por derechos de autor en sistemas de IA; la lucha contra la piratería online, incluidos los eventos en directo; la aplicación del derecho a una remuneración equitativa de intérpretes y productores musicales; y el tratamiento del copyright en la investigación científica. El plazo para presentar observaciones finaliza el 3 de noviembre de 2026. Consulte la consulta pública aquí (texto únicamente disponible en inglés).
Directrices 3/2025 sobre la interacción entre el DSA y el RGPD: El Comité Europeo de Protección de Datos (“EDPB”) adoptó el 17 de septiembre de 2026 la versión final de sus Directrices sobre la interacción entre el Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo, de 19 de octubre de 2022, relativo a un mercado único de servicios digitales (“DSA”) y el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (“RGPD”). El documento analiza cómo deben aplicarse conjuntamente ambos marcos cuando las obligaciones impuestas por el DSA implican tratamientos de datos personales y ofrece orientaciones para evitar interpretaciones contradictorias, prestando especial atención a las obligaciones de las plataformas online y a la necesidad de respetar íntegramente los principios y garantías del RGPD. Consulte las Directrices aquí (texto únicamente disponible en inglés).
ESPAÑA
Caducidad de iniciativas legislativas pendientes en el sector audiovisual tras la disolución de las Cortes: Mediante el Real Decreto 806/2026, de 5 de octubre, se acordó la disolución del Congreso de los Diputados y del Senado y la convocatoria de elecciones generales para el 29 de noviembre de 2026, lo que provoca la caducidad de los proyectos y anteproyectos de ley pendientes de aprobación, que deberán presentarse de nuevo e iniciar tramitación parlamentaria tras la constitución de las nuevas Cortes si se pretende su recuperación. La caducidad del proyecto de ley nacional no implica, sin embargo, la inaplicabilidad de las obligaciones sustantivas derivadas de normativa europea de efecto directo, como los reglamentos, que siguen siendo plenamente aplicables en España.
Entre las iniciativas afectadas con mayor incidencia en el sector audiovisual, y que también pueden incidir en otros sectores, se encuentran:
La caducidad de estas iniciativas no equivale a su desaparición definitiva, ya que, en función del resultado de las elecciones, buena parte de su contenido podría ser retomado por el próximo Gobierno, por lo que resulta recomendable un seguimiento activo de la nueva legislatura. Consulte la nota jurídica preparada por Pérez-Llorca sobre esta cuestión aquí.
La AEPD recuerda las garantías para utilizar IA en el análisis de currículums: La Agencia Española de Protección de Datos (“AEPD”) publicó una nota el 7 de octubre de 2026 sobre sistemas algorítmicos en el ámbito laboral. Previamente, la AEPD había dirigido una advertencia (resolución AI-00009-2026) a una empresa que evaluaba implantar un sistema de inteligencia artificial para cribar y puntuar candidaturas en procesos de selección y movilidad interna. La advertencia, que no constituye una infracción consumada ni una sanción, supone el ejercicio de la facultad preventiva del artículo 58.2.a) del RGPD. La nota recuerda que la utilización de IA en procesos de selección debe incorporar las garantías de protección de datos desde el diseño y antes de su puesta en funcionamiento, prestando especial atención a la evaluación de riesgos, a la calidad y adecuación de los datos y a que la intervención humana sea efectiva. La nota conecta esta advertencia con el nuevo Real Decreto 723/2026, de 9 de septiembre, por el que se transpone la Directiva (UE) 2019/1152 del Parlamento Europeo y del Consejo, de 20 de junio de 2019, relativa a unas condiciones laborales transparentes y previsibles en la Unión Europea, en vigor desde el 5 de octubre de 2026, que obliga a informar por escrito a las personas trabajadoras de la existencia y funcionamiento de los sistemas algorítmicos que intervengan en sus condiciones de trabajo. Consulte la nota de la AEPD aquí.
Nueva modificación de la Circular reguladora del Registro de Alias: La Circular 3/2026, de 8 de septiembre, de la Comisión Nacional de los Mercados y la Competencia (“CNMC”), modifica la Circular 1/2026, de 18 de marzo, reguladora del Registro de Alias, completando la adaptación del sistema antes de la entrada en aplicación, el 15 de septiembre de 2026, de las obligaciones de bloqueo previstas en la Orden TDF/149/2025. Desde esa fecha, los prestadores deben bloquear los mensajes SMS, MMS y RCS enviados con alias alfanuméricos que no estén correctamente inscritos o que no procedan de proveedores habilitados, si bien la Circular 3/2026 introduce una preinscripción transitoria para los alias cuya solicitud de inscripción se presentó antes de las 15:00 horas del 14 de septiembre de 2026 y seguía pendiente de validación. El sistema pretende reducir el fraude mediante suplantación de identidad y permitir verificar que nombres comerciales, marcas y otros identificadores utilizados como remitentes corresponden efectivamente a sus titulares. Consulte la Circular aquí y el Real Decreto aquí.
La AEPD analiza la IA ofensiva a raíz de la primera brecha de datos causada por un agente de IA en España: El 28 de septiembre de 2026, la AEPD publicó un análisis sobre el uso de agentes de inteligencia artificial para acelerar ciberataques y explotar vulnerabilidades, advirtiendo de la desaparición de la “ventana de exposición” entre el descubrimiento de una vulnerabilidad y su explotación, con tiempos de intrusión que se reducen a cuestión de minutos. La Agencia señala que las notificaciones de brechas de datos personales han aumentado un 150 % en 2026 respecto a 2025, y atribuye el riesgo a debilidades estructurales de los sistemas TIC como la falta de segmentación, la dependencia de proveedores externos o la escasa auditoría de la cadena de suministro.
Este análisis está estrechamente relacionado con la primera notificación recibida por la AEPD, el 14 de septiembre de 2026, de una brecha de datos personales ejecutada mediante un agente de inteligencia artificial que utilizó un conocido modelo de lenguaje. El agente buscó de forma autónoma vulnerabilidades en la aplicación, obtuvo acceso al sistema y explotó la brecha para modificar datos personales y acceder a facturas. La AEPD subraya que, aunque esta primera notificación no permite afirmar una tendencia estadística, sí constituye una señal significativa de que los ataques apoyados en IA han dejado de ser un riesgo teórico, lo que exige incorporar expresamente estos escenarios a los análisis de riesgo y revisar los tiempos de respuesta ante incidentes. Consulte el análisis de la AEPD aquí y la noticia sobre la brecha aquí.
PORTUGAL
Uso de IA en la contratación pública: El Decreto-ley n.º 177/2026, de 4 de septiembre, en vigor desde el 1 de octubre, modifica el Código de Contratos Públicos (Código dos Contratos Públicos) y establece expresamente un marco legal para el uso de sistemas digitales, incluida la inteligencia artificial, a lo largo de todo el ciclo de contratación pública. La reforma combina este despliegue con garantías en materia de interoperabilidad, protección de datos y supervisión humana, preservando la facultad de los órganos competentes para revisar y validar los resultados. Asimismo, prevé la posibilidad de reservar determinados contratos a startups y de testar soluciones tecnológicas con carácter previo al inicio de los procedimientos de contratación. Consulte el Decreto-ley aquí (texto únicamente disponible en portugués).
El Consejo Superior de la Magistratura prioriza la formación en IA: El Consejo Superior de la Magistratura (Conselho Superior da Magistratura – CSM), reunido en pleno el 8 de septiembre, aprobó un nuevo Reglamento de Formación que designa la inteligencia artificial, la prueba digital, la ciberseguridad y la protección de datos como áreas prioritarias de desarrollo profesional. Publicado el 17 de septiembre, el reglamento crea una Unidad de Formación del CSM encargada de evaluar las necesidades formativas, planificar y evaluar iniciativas, elaborar programas anuales y mantener un repositorio de materiales de formación. Si bien la participación en la formación complementaria es, con carácter general, voluntaria, el CSM puede exigir la asistencia a programas específicos en los supuestos expresamente previstos en el reglamento. Consulte el Reglamento aquí (texto únicamente disponible en portugués).
LATAM
MÉXICO
México aprueba un decreto para la protección de niños y adolescentes en el entorno digital: El 14 de octubre de 2026, tras recientes incidentes de violencia escolar en México, el Presidente de México emitió el Decreto de entornos digitales seguros para niñas, niños y adolescentes, que cubre expresamente a los videojuegos y prohíbe a las plataformas digitales permitir el acceso, la exposición o la recomendación de contenidos que generen o promuevan acoso, abuso, violencia sexual, discursos de odio, violencia masiva, apología del delito, pornografía, suicidio, autolesiones y trastornos alimentarios. El Decreto regula el acceso a los contenidos, imponiendo a las plataformas obligaciones de verificación de edad, supervisión parental, conservación de evidencia digital y configuración de privacidad reforzada por defecto, así como la designación de un punto de contacto permanente para las autoridades. No establece sanciones específicas, remitiendo su desarrollo a la normativa secundaria, y entró en vigor el 14 de octubre de 2026, con plazo hasta el 12 de noviembre de 2026 para que las plataformas reporten las medidas de cumplimiento adoptadas. Consulte el Decreto aquí.
COLOMBIA
Colombia aprueba la Ley de la Música: Mediante la Ley 2615 de 2026, publicada el 29 de julio de 2026, Colombia reconoce, promueve y fortalece el sector de la música, con especial atención a los artistas no masivos. La norma crea el Sistema de Información de la Música (“SIMUS”), un registro gratuito y voluntario de agentes, organizaciones e instrumentos musicales, y el Fondo Cuenta Especial del Sector de la Música, un patrimonio autónomo adscrito al Ministerio de las Culturas, las Artes y los Saberes. Asimismo, exime del IVA a instrumentos y obras musicales de artistas no masivos y establece la obligación de revelar cuando la difusión de obras musicales en medios y plataformas digitales responde a un pago o patrocinio. En materia de derechos de autor, regula la gestión individual y colectiva del derecho de comunicación pública sobre obras musicales y fonogramas, y crea la figura del “Gestor Fraudulento” para quien licencie su uso sin ser su titular, representante acreditado o sociedad de gestión colectiva legalmente reconocida, careciendo de validez las autorizaciones expedidas por este y generando la obligación de indemnizar los daños causados. Consulte la Ley aquí.
Decreto 769 de 2026 para promover, proteger y garantizar entornos digitales sanos y seguros para menores de edad: Este Decreto reglamenta la Ley 2489 de 2025 para promover, proteger y garantizar entornos digitales sanos y seguros para niños, niñas y adolescentes, frente a riesgos como el ciberacoso, la explotación y abuso sexual en línea y la vulneración de datos personales. Establece un principio de corresponsabilidad entre el Estado, las familias, los colegios y las plataformas digitales, en virtud del cual, en un plazo de doce meses, las plataformas deberán incorporar privacidad desde el diseño y reportar semestralmente al Ministerio de Tecnologías de la Información y las Comunicaciones (MinTIC), y los colegios deberán incluir la prevención de riesgos digitales en sus Proyectos Educativos Institucionales. El Decreto ordena formular una política pública nacional de entornos digitales sanos y seguros y crear un sistema de monitoreo interinstitucional, precisando que las medidas no podrán traducirse en censura previa ni en el debilitamiento del cifrado. Consulte el Decreto aquí.
Proyectos de ley para la regulación de la inteligencia artificial: Continúa el trámite en el Congreso de distintas iniciativas para regular la IA en Colombia. El Proyecto de Ley 065 de 2026 propone un marco general de fomento y gobernanza, con un Consejo Nacional de Inteligencia Artificial liderado por el Ministerio de Ciencia, sin régimen sancionatorio desarrollado. El Proyecto de Ley 025 de 2026 adopta un enfoque más próximo al Reglamento europeo de IA, clasificando los sistemas por nivel de riesgo (crítico, alto —con obligaciones específicas de transparencia—, mínimo o nulo), con una autoridad nacional de IA y un régimen sancionatorio de multas de hasta 3.000 salarios mínimos, suspensión de hasta 24 meses y cierre del sistema infractor. El Proyecto de Ley 138 de 2026, por su parte, regula la IA con un enfoque de fomento y gobernanza: crea el Consejo Nacional de Inteligencia Artificial (CON-IA), de carácter consultivo y sin régimen sancionatorio, centrado en recomendaciones técnicas y sandboxes regulatorios. Consulte el Proyecto de Ley 065 de 2026 aquí, el Proyecto de Ley 025 de 2026 aquí y el Proyecto de Ley 138 de 2026 aquí.
PERÚ
Inicia la aplicación de las obligaciones de transparencia y gobernanza del Reglamento de Inteligencia Artificial en Perú: En septiembre de 2026 venció el primer plazo para la implementación de las obligaciones previstas en el Reglamento de la Ley n.º 31814, aprobado mediante Decreto Supremo n.º 115-2025-PCM. Esta primera etapa comprende a las entidades del sector público pertenecientes a los poderes Ejecutivo, Legislativo y Judicial, y a los organismos constitucionales autónomos; y, en el sector privado, a los desarrolladores o implementadores que utilicen sistemas de IA en los sectores de salud, educación, justicia, seguridad, economía y finanzas (sin perjuicio de los plazos diferenciados para micro y pequeñas empresas).
Entre las principales exigencias que entraron en vigor destacan: (i) informar a los usuarios sobre la finalidad, las funcionalidades y las decisiones de los sistemas de alto riesgo; (ii) establecer políticas y procedimientos de seguridad, privacidad y transparencia; e (iii) implementar mecanismos de supervisión humana para determinadas decisiones de alto riesgo. El cronograma prevé etapas posteriores para otros sectores y entidades. Consulte el Reglamento aquí.
La Presidencia del Consejo de Ministros peruano precisa las condiciones para el uso de herramientas de inteligencia artificial en procedimientos administrativos sancionadores: Mediante Informe N.º D000006-2026-PCM-SSPRD-AST, de 1 de julio de 2026, la Presidencia del Consejo de Ministros (“PCM”) se pronunció sobre la utilización de herramientas de IA por parte de las entidades de la Administración Pública, particularmente en el marco de procedimientos administrativos sancionadores. El pronunciamiento señala que corresponde a cada entidad evaluar la implementación de estas herramientas en el marco de sus competencias, garantizando el cumplimiento de las disposiciones aplicables y el respeto de los derechos de los administrados. Consulte el informe de la PCM aquí.
El INDECOPI incorpora herramientas de IA en sus actividades de fiscalización: En abril de 2026, el Instituto Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual (“INDECOPI”) informó que había empleado herramientas de IA y ciencia de datos para analizar grabaciones de llamadas comerciales en el marco de una investigación por infracciones a las normas de protección al consumidor, cuyos resultados fueron posteriormente revisados por personal de la autoridad. Estos antecedentes evidencian la creciente utilización de IA en las labores de fiscalización estatal y la importancia de garantizar mecanismos de supervisión humana, transparencia y respeto del debido procedimiento. Consulte el comunicado del INDECOPI aquí.
El análisis del uso de la inteligencia artificial como factor clave en los procesos de due diligence: En el marco de operaciones de adquisición o inversión, resulta cada vez más relevante analizar de forma detallada el uso que la empresa objetivo o target hace de sistemas de IA a lo largo de su actividad, en particular en la generación, gestión y explotación de activos de propiedad intelectual.
Este análisis permite identificar riesgos jurídicos que pueden incidir directamente en la valoración de la operación, tales como la utilización de contenidos protegidos por derechos de terceros para el entrenamiento de modelos, la titularidad incierta de los resultados generados mediante IA o la dependencia de licencias de terceros proveedores tecnológicos. En particular, un uso inadecuado o no documentado de herramientas de IA puede provocar una devaluación significativa del portfolio de propiedad intelectual de la target, al comprometer la originalidad, la titularidad o la capacidad de defensa de los activos intangibles frente a reclamaciones de terceros. Por ello, la revisión del grado de integración de la IA en los procesos productivos y creativos de la target debe formar parte esencial del alcance de la due diligence, junto con la verificación de las políticas internas de uso de estas herramientas y de los contratos con los proveedores de tecnología.
Puede consultar un artículo al respecto en Expansión por Andy Ramos, socio del área de Propiedad Intelectual, Industrial y Tecnología en Pérez-Llorca, aquí.
UNIÓN EUROPEA
TJUE:
Protección de textos breves publicados en redes sociales y excepción de información sobre acontecimientos de actualidad (asunto C-598/24, Gândul Media Network, 3 de septiembre de 2026): El TJUE declara que un texto breve publicado en una red social puede constituir una “obra” protegida por derechos de autor cuando sea original, es decir, cuando refleje la personalidad de su autor mediante decisiones libres y creativas y constituya una creación intelectual propia, sin que la reducida extensión del texto excluya por sí misma su protección. El Tribunal precisa asimismo que la excepción relativa a la información sobre acontecimientos de actualidad del artículo 5.3.c) de la Directiva 2001/29/CE debe respetar el test de tres fases del artículo 5.5: la utilización debe limitarse a determinados casos especiales, no perjudicar la explotación normal de la obra ni causar un perjuicio injustificado a los intereses legítimos del titular. Consulte la sentencia aquí.
Ley aplicable a la validez formal de una cesión de derechos de autor (asunto C-176/25, Steizer, 24 de septiembre de 2026): El TJUE delimita la aplicación de los Reglamentos Roma I y Roma II cuando, en el marco de una acción por infracción de derechos de autor ejercitada frente a un tercero, este cuestiona la validez formal del contrato mediante el que el autor transmitió al demandante los derechos invocados. El Tribunal considera que la cuestión relativa a la validez formal del contrato de cesión constituye una materia contractual y debe determinarse conforme al Reglamento Roma I, aunque se plantee incidentalmente dentro de un litigio por infracción de derechos de autor sometido, en cuanto obligación extracontractual, al Reglamento Roma II, distinguiendo así entre la ley aplicable a la relación contractual de cesión y la ley que rige la responsabilidad derivada de la infracción de los derechos exclusivos. Consulte la sentencia aquí.
ESPAÑA:
El Tribunal Supremo se pronuncia sobre la resolución de tres contratos discográficos por incumplimiento y vulneración del derecho moral del artista (STS 3347/2026, de 21 de julio de 2026): La Sala de lo Civil del Tribunal Supremo resuelve un litigio entre un artista y una compañía discográfica relativo a tres contratos mediante los cuales el artista cedía en exclusiva la fijación, reproducción y distribución de sus interpretaciones a cambio de una remuneración proporcional a las ventas. El Tribunal confirma que, finalizado el periodo de grabación, los contratos seguían vigentes mientras la discográfica explotaba las grabaciones, por lo que el impago reiterado de la remuneración constituye un incumplimiento esencial que justifica su resolución. En cuanto al derecho moral del artista intérprete, el Tribunal distingue entre las versiones karaoke, que no vulneran dicho derecho al limitarse a prescindir de la actuación del artista sin modificarla ni deformarla; y las versiones remix y latina, que sí suponen una manipulación no autorizada capaz de lesionar el prestigio e identidad artística del intérprete al alterar su estilo característico. El Tribunal Supremo estimó el recurso de casación, declaró resueltos los tres contratos y dejó sin efecto el derecho de la compañía a continuar explotando las grabaciones. Consulte la sentencia aquí.
LATAM
MÉXICO
La Secretaría Anticorrupción y Buen Gobierno inicia investigaciones de oficio por posibles filtraciones de datos masivas: En septiembre de 2026, la Secretaría Anticorrupción y Buen Gobierno anunció dos investigaciones de oficio derivadas de su monitoreo activo de posibles incidentes de seguridad. La primera se refiere a una base de datos presuntamente relacionada con Aeroméxico que contendría más de 15 millones de registros. La segunda afecta a más de 12.9 millones de registros presuntamente procedentes de distintos call centers e incluiría datos de contacto, fiscales, domiciliarios y bancarios. Las investigaciones están en curso y la autoridad todavía no ha determinado responsabilidades.
Estas actuaciones evidencian un enfoque más proactivo de la nueva autoridad mexicana de protección de datos, que puede iniciar investigaciones a partir de información obtenida mediante monitoreo propio. Las empresas deberían revisar sus procedimientos de detección y respuesta a incidentes, la conservación de evidencia, los controles de acceso y la supervisión de encargados, call centers y otros proveedores que traten datos personales. Consulte la investigación relacionada con Aeroméxico aquí y la investigación relacionada con los call centers aquí.
COLOMBIA
El Tribunal de Justicia de la Comunidad Andina declara el incumplimiento de Colombia en materia de retransmisión de señales de televisión (procesos acumulados 01-AI-2018 y 02-AI-2018): El 25 de agosto de 2026, el Tribunal de Justicia de la Comunidad Andina (“TJCA”) dictó sentencia en los procesos acumulados 01-AI-2018 y 02-AI-2018, iniciados por Caracol Televisión S.A. y RCN Televisión S.A. contra Colombia, y estimó parcialmente la demanda por incumplimiento de la Decisión Andina 351 de 1993 sobre Derecho de Autor y Derechos Conexos. El TJCA concluyó que Colombia incumplió los artículos 21, 39(a), 42 y 54 de la Decisión 351, al considerar que el derecho de retransmisión tiene contenido patrimonial y comprende tanto la facultad de autorizar o prohibir la retransmisión como la de condicionarla a una remuneración, de modo que la gratuidad de la señal abierta para el público no implica que su retransmisión por un tercero deba serlo. El Tribunal precisó que calificar el régimen colombiano como esquema “must carry” o “must offer” no lo exime de respetar el derecho andino, y que la excepción del artículo 22(k) no cubre la retransmisión por operadores de televisión por suscripción. Asimismo, concluyó que la Interpretación Prejudicial 225-IP-2015 fue aplicada erróneamente por el Tribunal Superior de Bogotá. Consulte la sentencia aquí.
La Corte Constitucional fija límites a la conservación de datos biométricos en la renovación de pasaportes (Sentencia T-208 de 2026): Mediante esta sentencia, la Corte Constitucional resolvió la tutela de una ciudadana contra la Cancillería y la Registraduría, quien cuestionaba por desproporcionada la exigencia de actualizar sus datos biométricos (huella y reconocimiento facial) para renovar su pasaporte. La Corte concluyó que la captura biométrica persigue fines legítimos (verificar identidad, prevenir suplantación, proteger la seguridad nacional) y constituye un medio idóneo y necesario, por lo que confirmó las decisiones de instancia que negaron el amparo. No obstante, concluyó que los datos biométricos se conservan de forma indefinida, sin criterios ni plazos claros de conservación, lo que desconoce el principio de temporalidad en el tratamiento de datos sensibles, y exhortó al Ministerio de Relaciones Exteriores a ajustar sus políticas para fijar criterios y plazos expresos. Este precedente es relevante porque, si bien valida el uso de la biometría para fines de identificación, fija un límite claro al indicar que la retención indefinida de datos sensibles sin justificación es inconstitucional, criterio que también debería observar cualquier entidad privada que recolecte datos biométricos en Colombia. Consulte la sentencia aquí.
PERÚ
La autoridad peruana de protección de datos precisa los deberes de control de los responsables de tratamiento de datos personales sobre sus proveedores de servicios de perfilamiento que incorporan inteligencia artificial: Mediante Resolución Directoral N.º 813-2026-JUS/DGTAIPD-DPDP, la Autoridad Nacional de Protección de Datos Personales sancionó a una entidad del sector financiero por el tratamiento sin consentimiento y la recopilación ilícita de datos personales de potenciales clientes. La entidad había contratado a un proveedor para la prestación de servicios de identificación y perfilamiento de potenciales clientes. No obstante, la autoridad identificó que el tratamiento excedía la mera obtención de datos de contacto para solicitar consentimiento e incluía el análisis de datos de personas que no eran clientes para identificar oportunidades comerciales.
El pronunciamiento precisa que el responsable del tratamiento debe conocer y acreditar las fuentes y los medios de recopilación utilizados por su proveedor, y que contar con una cláusula contractual genérica de cumplimiento normativo no resulta suficiente para excluir su responsabilidad. Este criterio resulta especialmente relevante para la contratación de servicios que incorporan IA, ya que exige comprender cómo el proveedor obtiene y trata los datos personales utilizados, sin que la externalización sustituya los deberes de diligencia y control del responsable. Consulte la resolución aquí.
Las grandes tecnológicas de IA pactan autorregularse ante la Casa Blanca: En septiembre de 2026, los principales responsables de Anthropic, OpenAI, Google, xAI, Meta y Nvidia firmaron con el presidente de Estados Unidos, Donald Trump, un documento conjunto en el que se comprometen a establecer controles internos y externos suficientes para garantizar la seguridad de sus modelos de inteligencia artificial, denominado “Compromiso Conjunto sobre Responsabilidades en la Frontera Tecnológica”. Del encuentro, finalmente firmaron el acuerdo Sundar Pichai (Google), Dario Amodei (Anthropic), Mark Zuckerberg (Meta), Greg Brockman (OpenAI), Elon Musk (xAI) y Jensen Huang (Nvidia), comprometiéndose a establecer procesos y controles internos sólidos para que su tecnología se comporte según lo previsto. Asimismo, el pacto incluye cuatro capas de controles y auditorías: controles internos centrados en ciberseguridad y prevención de amenazas químicas y biológicas, vigilancia interna, auditoría externa y un comité independiente de supervisión. El texto contempla que, con el tiempo, estos pasos puedan codificarse en leyes o regulaciones, lo que sitúa la autorregulación como primer paso ante un eventual marco normativo para la inteligencia artificial. Consulte la noticia aquí.
La Comisión Europea impulsa IA generativa reutilizable para las administraciones públicas: En julio de 2026, la Comisión Europea presentó EuropAI, una iniciativa orientada a desarrollar, adquirir y probar soluciones soberanas y fiables de inteligencia artificial generativa que puedan reutilizarse y escalarse en las administraciones públicas europeas. El proyecto reúne a autoridades públicas y socios técnicos de los Países Bajos, Dinamarca, Bélgica y Luxemburgo, y se centrará en tres áreas: simplificación jurídica y administrativa, análisis urbano y planificación espacial, y asistentes digitales de apoyo a la interacción con la ciudadanía. Asimismo, EuropAI establecerá un marco compartido que permitirá a las administraciones participantes adquirir, probar y desplegar conjuntamente soluciones europeas de IA generativa, incluyendo componentes técnicos comunes, planos de implementación y documentación de cumplimiento normativo. La iniciativa refleja el impulso de la Unión Europea hacia una inteligencia artificial soberana aplicada también al ámbito jurídico y administrativo. Consulte la iniciativa aquí.
OpenAI lanza una versión de su inteligencia artificial pensada para abogados: En septiembre de 2026, OpenAI presentó Astra para el sector jurídico, una nueva versión de su inteligencia artificial pensada para que los despachos y las empresas de tecnología legal creen sus propias herramientas y flujos de trabajo, combinando su modelo más avanzado, GPT-6 Astra, con ajustes y conocimientos específicos para el trabajo jurídico. Proveedores como Harvey y Legora podrán construir sus propias soluciones a partir de esta tecnología e integrarla en sus productos. Por su parte, Astra para el sector jurídico se ofrecerá primero a un grupo limitado de despachos antes de abrirse a más usuarios. Esta novedad refleja cómo las grandes compañías tecnológicas siguen desarrollando herramientas de inteligencia artificial cada vez más orientadas a la investigación y la redacción de documentos legales. Consulte el anuncio aquí.
Segunda fase del Proyecto AMALIA: La Resolución del Consejo de Ministros n.º 178/2026, publicada el 15 de septiembre, aprobó la segunda fase de desarrollo de AMALIA hasta finales de 2026, respaldada por una inversión de 1,8 millones de euros financiada con cargo al Plan de Recuperación y Resiliencia (“RRP”). Esta fase comprende la continuación del entrenamiento del modelo, el desarrollo de herramientas de “agentificación” para su integración en procesos internos y servicios de la Administración Pública, y la mejora de las capacidades de procesamiento de imagen y voz.
La Agencia para la Reforma Tecnológica del Estado (Agência para a Reforma Tecnológica do Estado – ARTE) aporta la financiación y participa en la gestión y despliegue del proyecto junto con la Fundación para la Ciencia y la Tecnología (Fundação para a Ciência e a Tecnologia – FCT), o su sucesora legal. La resolución entró en vigor el 16 de septiembre, con efectos retroactivos al 1 de julio, y prevé la continuidad del desarrollo a lo largo de 2027 en los términos que se establezcan mediante orden ministerial (despacho). Consulte la Resolución aquí (texto disponible únicamente en portugués).
México impulsa su estrategia de IA con Coatlicue, la futura supercomputadora pública del país: En línea con el Plan Nacional de Inteligencia Artificial, el Gobierno de México continúa impulsando proyectos de infraestructura tecnológica para fortalecer las capacidades nacionales de IA. Entre ellos destaca Coatlicue, una supercomputadora pública mexicana, concebida para apoyar investigación científica, modelación, simulación y el desarrollo de sistemas avanzados de inteligencia artificial, como parte de la estrategia de soberanía tecnológica del país. El proyecto contempla una inversión pública aproximada de $325 millones / €290.67 millones y busca dotar a México de infraestructura de cómputo de alto desempeño para aplicaciones en sectores estratégicos. Consulte la noticia aquí.
El Gobierno presenta el Plan TIC Colombia 2026-2030, “el milagro tecnológico”: El Ministerio de Tecnologías de la Información y las Comunicaciones presentó la propuesta del Plan TIC Colombia 2026-2030, denominado “Colombia: el milagro tecnológico”, que, en lugar de medir el progreso solo por cobertura y número de conexiones, establece que el enfoque pasará a evaluar el impacto real de la tecnología en empresas, regiones y el Estado, incluyendo variables como la reducción de la pobreza digital, la apropiación tecnológica, la empleabilidad, la productividad empresarial y el aprovechamiento de la inteligencia artificial. Para lograrlo, el Plan se organiza en cinco misiones: (i) conectar al país con infraestructura de calidad; (ii) preparar el talento humano en habilidades digitales; (iii) impulsar la producción y la economía digital mediante IA y datos; (iv) modernizar al Estado con interoperabilidad y GovTech; y (v) proteger la ciberseguridad y la confianza digital. Adicionalmente, el Plan apunta a sectores como la IA aplicada, el GovTech, el FinTech, el HealthTech, el AgroTech y la ciberseguridad, buscando que Colombia deje de ser solo consumidora de tecnología y se consolide como creadora y exportadora de soluciones digitales. Consulte la noticia aquí.
Últimas novedades
Analizamos en el Anuario de la Industria del Videojuego 2025 (consúltelo aquí) publicado por la Asociación Española de Videojuegos (“AEVI”), la posible descapitalización de las empresas de videojuegos derivada de la integración de la IA generativa en sus procesos creativos, y cómo la falta de protección jurídica de los assets generados íntegramente por IA puede erosionar sus intangibles, que son el principal activo del sector. A continuación, exponemos las conclusiones principales del análisis:
Suscríbete a nuestra Newsletter aquí.