Las empresas francesas y europeas afrontan el final de 2025 y el horizonte de 2026 en un contexto en el que convergen tres fuerzas: un marco regulatorio europeo que entra en vigor por fases sucesivas, unos usos de la inteligencia artificial que avanzan más rápido que su gobernanza y unas exigencias de ciberresiliencia que ya se extienden a toda la cadena de proveedores.
Estas dinámicas ya no son meras previsiones. Están modificando desde ahora las decisiones operativas, los presupuestos y las relaciones comerciales entre las empresas contratantes y sus proveedores.
Regulación europea y calendario operativo de las empresas
Lo habitual es tratar la regulación como una cuestión jurídica, delegada en los departamentos de cumplimiento normativo. Las recientes normas europeas cambian las reglas del juego porque afectan directamente al diseño de productos, al acceso a los datos y a los contratos con proveedores.
El Data Act europeo se aplica desde septiembre de 2025. Regula el acceso a los datos generados por los productos conectados y su intercambio con los proveedores de servicios en la nube. Para una empresa que comercializa un dispositivo conectado, esto implica replantearse la arquitectura de recopilación de datos, las condiciones generales de uso y los compromisos contractuales con sus socios de servicios en la nube desde la fase de diseño.
En cuanto a la inteligencia artificial, la AI Act entra en vigor de forma progresiva. Las empresas que desarrollan o integran sistemas de IA deben anticiparse a las obligaciones de clasificación, documentación y supervisión humana previstas en la norma.
El calendario exacto sigue sujeto a cambios, por lo que es imprescindible mantenerse al día de la normativa. Seguir las noticias de negocios de Je ne sais quoi permite ajustar la hoja de ruta a medida que se publican novedades oficiales.
DORA, aplicable desde enero de 2025 a las entidades financieras, refuerza los requisitos relacionados con los riesgos digitales. La transposición francesa de NIS2 se ha retrasado, pero las empresas contratantes no esperan a que se apruebe el texto definitivo: ya exigen a sus proveedores que demuestren su nivel de preparación. Un proveedor de servicios de TI que no pueda documentar su nivel de ciberresiliencia corre el riesgo de perder licitaciones, independientemente del calendario legislativo.
IA en las empresas: la brecha entre adopción y productividad real
Las herramientas de IA generativa se han extendido rápidamente por los equipos de marketing, los servicios de atención al cliente y la producción de contenidos. Sin embargo, adoptar la IA no basta para generar un aumento de productividad cuantificable. La organización del trabajo, la calidad de los datos disponibles y la formación de los equipos determinan los beneficios reales.
En la práctica, una empresa que implementa un asistente de IA para su equipo comercial sin revisar el proceso de cualificación de clientes potenciales suele obtener un efecto meramente cosmético: los correos están mejor redactados, pero la tasa de conversión no cambia. La mejora se consigue reorganizando el flujo de trabajo en torno a la herramienta, no con la herramienta en sí.
Gobernanza de datos y gestión de los riesgos de la IA
En muchas empresas francesas, la gobernanza de la IA avanza más despacio que sus aplicaciones. La brecha entre la madurez de los datos (calidad, accesibilidad y documentación) y la estructuración de los usos de la IA supone tanto un riesgo operativo como un obstáculo para el rendimiento.
Estas son algunas de las preguntas concretas que se plantean los equipos directivos:
- ¿Qué conjuntos de datos alimentan los modelos utilizados y están documentados de forma que cumplan los futuros requisitos de trazabilidad de la AI Act?
- ¿Quién valida los resultados generados por un sistema de IA antes de que se utilicen para tomar una decisión comercial o de recursos humanos?
- ¿Cómo mide la empresa el retorno de la inversión de sus proyectos de IA, más allá del simple recuento de horas ahorradas?
No existe una respuesta universal a estas preguntas. Depende del sector, del tamaño de la empresa y del nivel de madurez digital de cada organización.
Ciberresiliencia y cadena de proveedores: un criterio de selección comercial
Durante mucho tiempo, la ciberresiliencia se consideró una cuestión propia de los departamentos de sistemas de información. Ahora se ha convertido en un criterio de selección comercial. Los grandes grupos, bajo la presión de DORA y a la espera de NIS2, incluyen requisitos de seguridad en sus pliegos de condiciones para proveedores.
Para una pyme o una empresa de tamaño intermedio que trabaja como subcontratista, esto cambia la naturaleza de la inversión en ciberseguridad. Ya no se trata solo de protegerse frente a un ataque, sino de documentar su nivel de seguridad para conservar el acceso a sus mercados. Las auditorías de seguridad, las certificaciones ISO 27001 y los planes de continuidad de negocio se convierten en requisitos comerciales antes que en obligaciones legales.
Para las empresas de tamaño intermedio, la dificultad radica en el coste y la complejidad de estos procesos. Existen marcos de referencia, pero escasean los profesionales cualificados en ciberseguridad. El mercado de contratación en este ámbito sigue siendo muy competitivo, lo que lleva a algunas empresas a recurrir a servicios gestionados externalizados.
Modelos de negocio y plataformas: cómo los datos transforman los servicios
Los modelos de suscripción y las plataformas de servicios siguen expandiéndose, pero la tendencia de fondo tiene menos que ver con el formato comercial que con la forma en que el acceso a los datos de los clientes redefine la propuesta de valor. Una empresa que vende software como servicio (SaaS) no vende solo una funcionalidad: ofrece la capacidad de aprovechar los datos de uso para mejorar continuamente el servicio.
El Data Act cambia las reglas en este ámbito. Los proveedores de servicios en la nube y los desarrolladores de software deben prever ahora las condiciones de portabilidad y acceso a los datos de sus clientes. Para las empresas usuarias, esto supone una oportunidad: la dependencia de un único proveedor (vendor lock-in) se convierte en un riesgo identificado que puede negociarse contractualmente.
Hiperpersonalización y límites operativos
A menudo se da por sentada la personalización de los recorridos de los clientes mediante plataformas de datos (CDP) y aprendizaje automático. En la práctica, la calidad de los datos propios (first-party) sigue siendo el principal factor limitante para la mayoría de las empresas medianas. Sin datos fiables, la personalización genera resultados incoherentes que empeoran la experiencia del cliente en lugar de mejorarla.
Las empresas que realmente sacan partido de estas herramientas son las que han invertido previamente en estructurar sus bases de datos, gestionar el consentimiento y formar a sus equipos de marketing para interpretar los indicadores.
Las tendencias empresariales actuales tienen algo en común: favorecen a las empresas que invierten en organización y gobernanza, en lugar de acumular herramientas. La regulación europea acelera este cambio al imponer estándares de trazabilidad, portabilidad y resiliencia. Las empresas que estructuran su enfoque desde ahora no se limitan a anticiparse al cumplimiento normativo: están asegurando su acceso a los mercados del futuro.
