El Reglamento de Datos europeo entra en su fase más exigente el 12 de septiembre de 2026, cuando empieza a exigir que los productos conectados incorporen acceso a sus propios datos desde el diseño. Afecta a fabricantes de dispositivos IoT, a proveedores de software que los complementan y a cualquier empresa que dependa de un proveedor cloud para tratar esos datos. Si tu empresa vende, integra o solo usa tecnología conectada a internet, esta norma decide quién puede consultar esos datos, en qué formato y qué cuesta cambiar de proveedor. Va dirigida a responsables técnicos y de marketing que deben revisar contratos y fichas de producto antes de que acabe el año.
El Reglamento de Datos (UE) 2023/2854 obliga, desde el 12 de septiembre de 2026, a que todo producto conectado que salga al mercado dé acceso gratuito y automático a los datos que genera, y ya exige desde 2025 que cambiar de proveedor cloud no cueste más que los costes reales de la migración.
El Reglamento de Datos y sus destinatarios
El Reglamento de Datos, en vigor desde el 11 de enero de 2024 y aplicable con carácter general desde el 12 de septiembre de 2025, regula quién puede acceder a los datos que genera un producto conectado: cualquier objeto físico que recoja, produzca o transmita datos sobre su uso o su entorno a través de un servicio digital asociado. Entran ahí sensores industriales, maquinaria con telemetría, vehículos y electrodomésticos inteligentes, y también el software que los acompaña, al que la norma llama servicio relacionado.
Es la misma lógica reguladora que ya aplicó la Ley de IA a chatbots y anuncios: primero llega una obligación general y después se afinan las exigencias técnicas. Para una empresa de Barcelona con una línea de producción conectada o una plataforma que trata datos de máquinas de sus clientes, la pregunta ya no es si aplica, sino desde cuándo y con qué plazo.
La normativa de datos ya exige compartir información
Desde septiembre de 2025, el usuario de un producto conectado —empresa o particular— tiene derecho a pedir esos datos a quien los controla y a autorizar que se entreguen a un tercero de su elección: un taller de mantenimiento, una aseguradora o un proveedor de analítica industrial. Quien controla los datos no puede negarse salvo secreto comercial justificado, ni usarlos para competir contra el propio usuario que los generó.
La misma fecha activó las reglas de cambio de proveedor de servicios en la nube: los contratos deben incluir un preaviso máximo de dos meses y un proceso de migración de hasta treinta días, con el proveedor obligado a colaborar. Antes de esta norma, ese plazo dependía por completo de lo que cada contrato dijera, y en la práctica solía alargarse.
Acceso por diseño, la novedad de 2026
La obligación que entra en vigor el 12 de septiembre de 2026 va un paso más allá: ya no basta con entregar los datos si el usuario los pide, hay que diseñar el producto para que ese acceso exista desde el primer momento. Se conoce como acceso por diseño y la marca el artículo 3 del reglamento.
Qué debe incorporar el producto conectado
El artículo obliga a que los datos del producto y del servicio relacionado, incluidos los metadatos necesarios para interpretarlos, sean accesibles por defecto, de forma fácil y segura, gratuita, en un formato estructurado y legible por máquina, y de forma directa siempre que sea técnicamente viable. Si el acceso directo no es posible, por ejemplo por limitaciones del propio hardware, se admite un acceso indirecto a través del fabricante, pero hay que justificarlo caso por caso. Para un fabricante de sensores o maquinaria conectada, esto obliga a revisar el firmware y la documentación técnica antes de sacar al mercado cualquier modelo nuevo a partir de esa fecha, según recoge la versión consolidada del reglamento en el Diario Oficial de la UE.
Productos ya en el mercado antes de la fecha
La obligación de diseño solo alcanza a los productos y servicios relacionados que se comercialicen por primera vez a partir del 12 de septiembre de 2026: un catálogo que ya está a la venta no tiene que rediseñarse con carácter retroactivo, aunque sigue sujeto a la obligación de entregar datos si el usuario los pide, vigente desde 2025. En la práctica da un margen a las empresas industriales con líneas de producto largas, pero solo para lo ya lanzado: cualquier actualización relevante o referencia nueva que salga después de esa fecha entra directamente bajo la regla que estrena 2026.
Portabilidad de datos entre proveedores cloud
La segunda pata del reglamento no habla de dispositivos sino de infraestructura: busca que cambiar de proveedor de tratamiento de datos —almacenamiento, computación o plataforma como servicio— deje de estar penalizado por el coste de salida. Afecta directamente a cualquier empresa que dependa de un proveedor cloud para su web, su CRM o sus herramientas de analítica, y es buen momento para revisar también el stack tecnológico que arrastra la empresa antes de negociar un cambio.
El plazo máximo de treinta días para migrar
Los contratos de servicios cloud deben permitir la salida con un preaviso de hasta dos meses y completar la migración técnica en un máximo de treinta días naturales, periodo durante el cual el proveedor saliente está obligado a prestar asistencia razonable y a no borrar los datos antes de que el cliente confirme que la migración ha terminado. Para un equipo técnico que planifique un cambio de proveedor, es una fecha que ya puede exigirse por contrato, no una cortesía comercial. Conviene incluirla como cláusula expresa en cualquier renovación que se firme a partir de ahora, en lugar de asumir que la norma la cubre sin necesidad de escribirla.
Cuándo desaparecen las comisiones de salida
Entre enero de 2024 y el 12 de enero de 2027, los proveedores todavía pueden cobrar comisiones de cambio, pero solo si se limitan a los costes reales del proceso, nunca como penalización. A partir de esa fecha desaparecen por completo. La Comisión Europea publicó en julio de 2026 las directrices que fijan qué conceptos entran dentro de ese coste real, tanto para el cambio de proveedor como para el uso simultáneo de varios, según explica la página oficial del Reglamento de Datos.
Microempresas y pequeñas empresas exentas del reglamento
No todas las empresas quedan dentro. El artículo 7 exime de las obligaciones sobre productos conectados a las microempresas y pequeñas empresas que los fabrican o diseñan: menos de 50 personas empleadas y un volumen de negocio o balance anual que no supere los 10 millones de euros. La exención cubre también, durante un año, a la empresa que acaba de pasar a mediana.
La propia norma corta la exención en dos casos: si la empresa forma parte de un grupo con otra empresa vinculada que ya no es micro o pequeña, o si fabrica el producto por encargo de una empresa mayor que sí queda dentro del reglamento, actuando como subcontratista.
Para una empresa emergente que fabrica un dispositivo conectado bajo su propia marca, la exención suele aplicar mientras se mantenga pequeña e independiente. Para la que monta hardware por encargo de terceros, no: el tamaño de quien contrata pesa más que el propio.
Cumplir el Reglamento de Datos antes de 2027
El calendario deja tres frentes abiertos para lo que queda de año y el siguiente: el acceso por diseño que ya es obligatorio, la revisión de los contratos cloud vigentes y la desaparición total de las comisiones de cambio en enero de 2027. Conviene repartir el trabajo antes de que las tres fechas coincidan con la operativa normal del último trimestre.
- Revisar la ficha técnica de cualquier producto conectado con lanzamiento previsto después del 12 de septiembre de 2026 y confirmar que documenta el acceso a sus datos.
- Pedir al proveedor cloud actual el desglose de las comisiones de salida y compararlo con el límite de coste real que marca el artículo 29.
- Comprobar si la empresa entra en la exención de microempresa o pequeña empresa, y si esa condición cambia al actuar como subcontratista.
- Dejar por escrito, en el contrato con clientes que usan un producto conectado propio, quién asume la obligación de dar acceso a los datos.
Ninguno de estos pasos exige un desarrollo de software grande: son, sobre todo, una revisión de contratos y de la documentación que ya debería acompañar a cualquier producto conectado a la red. Quien no tenga equipo propio para esa revisión puede apoyarse en una consultoría de sistemas IT que audite las cláusulas de salida antes de firmarlas. La ficha explicativa de la Comisión Europea incluye modelos de cláusulas contractuales que sirven de punto de partida.
Preguntas frecuentes sobre el Reglamento de Datos
¿A qué empresas obliga el Reglamento de Datos?
Obliga a fabricantes y diseñadores de productos conectados a internet, a los proveedores del software que los acompaña y a los proveedores de servicios de tratamiento de datos en la nube. Quedan exentas, con matices, las microempresas y pequeñas empresas que fabrican el producto por cuenta propia y no como subcontratistas.
¿Qué pasa si un producto conectado no cumple el 12 de septiembre?
Cada país fija su propio régimen sancionador, como ya ocurre con el RGPD. En España corresponde a la Agencia Española de Protección de Datos y a otras autoridades sectoriales vigilar el cumplimiento. Además, el cliente afectado puede reclamar el acceso a sus datos por la vía civil, al margen de cualquier sanción administrativa.
¿Cambiar de proveedor cloud ya es gratis?
Todavía no del todo. Hasta el 12 de enero de 2027 el proveedor puede cobrar una comisión reducida que cubra solo el coste real de la migración, nunca una penalización. A partir de esa fecha cualquier comisión de cambio queda prohibida por completo, según fija el artículo 29 del reglamento.
¿En qué se diferencia del RGPD?
El RGPD protege datos personales frente a cualquier tratamiento. El Reglamento de Datos regula el acceso a los datos que genera un producto conectado, sean o no personales, y quién puede pedirlos: el usuario, un tercero autorizado o, en casos tasados, una administración pública. Ambos se aplican a la vez cuando los datos son personales.