Durante años hemos asumido con bastante normalidad que uno de los principales objetivos de cualquier plataforma digital era conseguir que el usuario permaneciera dentro de ella el mayor tiempo posible. Más tiempo significa más interacción, más datos, más publicidad, mayor consumo y, en muchos modelos de negocio, mayores ingresos. Desde una perspectiva estrictamente comercial, la lógica parece evidente y, de hecho, buena parte de las técnicas de diseño digital se han desarrollado precisamente para mejorar conceptos como la retención, la conversión o el denominado engagement. El problema aparece cuando esas técnicas dejan de limitarse a facilitar una experiencia atractiva y comienzan a utilizar mecanismos dirigidos a explotar determinadas vulnerabilidades del usuario, dificultar su desconexión o inducirle a permanecer en un servicio durante más tiempo del que realmente pretendía.
La reflexión cobra especial relevancia a raíz del artículo publicado conjuntamente el 20 de julio de 2026 por la Agencia Española de Protección de Datos (AEPD) y la Comisión Nacional de los Mercados y la Competencia (CNMC) bajo el título “Diseño adictivo y plataformas digitales: cuando enganchar al usuario se convierte en un incumplimiento regulatorio”. La publicación analiza prácticas tan reconocibles como el scroll infinito, la reproducción automática, las notificaciones persistentes, los contenidos efímeros, las recomendaciones algorítmicas o los sistemas de recompensas periódicas. Ninguno de estos mecanismos tiene por qué ser ilícito de forma aislada, pero la cuestión cambia cuando se combinan de una manera orientada a mantener permanentemente la atención del usuario y a reducir los momentos naturales en los que este podría decidir abandonar la aplicación o el servicio.
Es precisamente ahí donde, desde mi punto de vista, aparece una evolución jurídica especialmente interesante. El diseño de una plataforma ya no puede considerarse exclusivamente una cuestión de tecnología, experiencia de usuario o marketing, porque algunas decisiones tomadas durante el desarrollo del producto pueden tener una incidencia directa sobre derechos, libertades y obligaciones regulatorias. Durante mucho tiempo hemos considerado que conseguir que una persona permanezca más tiempo dentro de una aplicación era simplemente una buena estrategia comercial. Sin embargo, el marco regulatorio europeo obliga cada vez más a formular una pregunta distinta: hasta qué punto puede una empresa diseñar deliberadamente una experiencia destinada a condicionar el comportamiento de quien utiliza el servicio.
Cuando esa arquitectura digital afecta a la autonomía de la persona, explota determinadas vulnerabilidades o elimina de forma deliberada aquellos puntos de salida que permitirían abandonar fácilmente la plataforma, dejamos de estar únicamente ante una cuestión de diseño. Entramos directamente en el terreno del Derecho Digital y del cumplimiento normativo. La propia AEPD y la CNMC destacan que el diseño puede convertirse en una herramienta de influencia sobre la conducta y que el problema jurídico aparece cuando termina distorsionando la capacidad del usuario para tomar decisiones autónomas e informadas.
El usuario ya no es el único responsable de desconectarse
Durante años, una buena parte del discurso sobre bienestar digital ha colocado prácticamente toda la responsabilidad sobre el propio usuario. Se nos ha recomendado controlar las horas de pantalla, configurar límites de utilización, silenciar notificaciones, utilizar mecanismos de control parental o, simplemente, aprender a desconectarnos. Todo ello sigue teniendo sentido, pero la regulación europea está introduciendo un matiz bastante relevante: quizá no pueda exigirse únicamente al usuario que controle su comportamiento cuando el propio servicio ha sido diseñado precisamente para dificultar ese control.
El cambio de enfoque resulta importante porque desplaza parte de la responsabilidad hacia quien diseña la plataforma. Ya no se trata solamente de preguntarse si un usuario puede cerrar una aplicación, sino de analizar si la experiencia ha sido concebida de una manera que dificulta que quiera hacerlo, especialmente cuando intervienen sistemas de recomendación, personalización algorítmica o mecanismos de recompensa capaces de adaptarse continuamente a su comportamiento.
La Comisión Europea ya ha alcanzado conclusiones preliminares en procedimientos relacionados con tres grandes plataformas en línea por posibles incumplimientos del Reglamento de Servicios Digitales derivados precisamente de diseños considerados adictivos. Es importante recordar que se trata de actuaciones todavía sujetas al procedimiento correspondiente y que las empresas afectadas mantienen plenamente su derecho de defensa, pero el mensaje regulatorio resulta suficientemente claro: la arquitectura de una plataforma, y no solamente sus textos legales, empieza a formar parte del análisis de cumplimiento.
Un mismo diseño puede plantear problemas desde distintas normas
Otro aspecto especialmente relevante es que no estamos ante una cuestión limitada exclusivamente al Reglamento de Servicios Digitales. Las mismas decisiones de producto pueden tener implicaciones desde diferentes ámbitos regulatorios, lo que obliga a las empresas a analizar el desarrollo digital de una forma mucho más transversal.
Desde la perspectiva de la protección de datos, por ejemplo, determinadas técnicas de personalización pueden entrar en contacto con principios del RGPD como la licitud, la transparencia, la minimización, la limitación de la finalidad o la protección de datos desde el diseño y por defecto. Si una plataforma analiza continuamente el comportamiento de una persona para determinar qué contenido debe mostrarle, en qué momento debe hacerlo o qué estímulo resulta más eficaz para mantener su atención, resulta evidente que detrás de esa experiencia puede existir también un tratamiento intensivo de información personal.
A ello se añade el Reglamento de Mercados Digitales, que introduce obligaciones específicas para determinados grandes operadores digitales, y el Reglamento de Inteligencia Artificial, que incorpora prohibiciones especialmente relevantes cuando se utilizan técnicas subliminales, manipuladoras o engañosas capaces de alterar sustancialmente el comportamiento de una persona, así como cuando se explotan vulnerabilidades vinculadas a la edad, la discapacidad o determinadas circunstancias sociales o económicas. Lo interesante es que todos estos marcos empiezan a converger sobre una misma idea: no basta con analizar qué tecnología utiliza una empresa, sino que también hay que comprender qué pretende conseguir con ella y cómo puede afectar al comportamiento de las personas.
En otras palabras, la regulación europea está empezando a observar no solo qué datos se tratan o qué información se facilita al usuario, sino también cómo se construye la relación entre el usuario y el servicio.
El compliance ya no puede llegar al final del desarrollo
Este cambio regulatorio obliga también a revisar una práctica que durante años ha sido bastante habitual. Muchas empresas desarrollaban primero el producto, diseñaban después la plataforma y, cuando prácticamente todo estaba terminado, alguien preguntaba qué había que hacer con la política de privacidad, las cookies, los términos y condiciones o los consentimientos necesarios. El departamento jurídico intervenía, por tanto, cuando las principales decisiones tecnológicas y comerciales ya habían sido tomadas.
Ese modelo empieza a resultar insuficiente. Si determinadas decisiones relacionadas con la personalización, las recomendaciones algorítmicas, las notificaciones, la gamificación, la reproducción automática o los patrones de navegación pueden generar riesgos regulatorios, el análisis jurídico debería comenzar mucho antes, cuando todavía existe margen para modificar el producto sin tener que reconstruirlo posteriormente. El cumplimiento normativo debería integrarse en el propio proceso de diseño, junto con los equipos de tecnología, producto, marketing y negocio.
Esto no significa convertir al departamento jurídico en un freno a la innovación. Significa exactamente lo contrario: permitir que una empresa pueda desarrollar productos innovadores reduciendo desde el principio el riesgo de que una funcionalidad comercialmente atractiva termine generando después una investigación, una sanción, un problema reputacional o incluso la obligación de modificar un servicio que ya se encuentra plenamente implantado.
Y ese último aspecto me parece especialmente importante. En determinados ámbitos digitales, el coste de un incumplimiento no tiene por qué limitarse a una eventual multa. En el marco de la DSA, las sanciones pueden alcanzar hasta el 6 % del volumen de negocios anual mundial, pero además puede exigirse la modificación del propio diseño del servicio, limitando funcionalidades, adaptando sistemas de recomendación o reforzando las medidas de protección de menores.
Cuando una plataforma ya tiene miles o millones de usuarios, corregir posteriormente una decisión adoptada durante el diseño puede resultar mucho más complejo y costoso que haber analizado correctamente el riesgo desde el principio.
La responsabilidad regulatoria empieza cada vez antes
Para mí, esa es una de las conclusiones más relevantes de esta evolución. El cumplimiento ya no comienza únicamente cuando redactamos una política de privacidad o preparamos unas condiciones generales, ni tampoco cuando decidimos qué consentimiento debemos solicitar al usuario. En determinados productos digitales empieza bastante antes, cuando la empresa decide cómo quiere que se comporte una persona dentro del servicio, qué quiere que vea, qué acciones pretende que realice, durante cuánto tiempo quiere mantener su atención y qué información utilizará para personalizar esa experiencia.
Una decisión aparentemente sencilla de producto puede tener detrás consecuencias jurídicas bastante más amplias de lo que inicialmente parece. Una notificación puede ser una herramienta comercial, pero también formar parte de una estrategia de persuasión; un sistema de recomendaciones puede mejorar la experiencia, pero también puede utilizar perfiles construidos a partir de grandes cantidades de información personal; una técnica de gamificación puede aumentar la interacción y, al mismo tiempo, plantear problemas distintos cuando se dirige a menores o a colectivos especialmente vulnerables. Precisamente por eso, la frontera entre producto, marketing, tecnología y Derecho resulta cada vez más difícil de separar, y el abogado ya no debería aparecer solamente cuando existe un problema, sino participar también en aquellas decisiones empresariales que pueden terminar convirtiéndose en un problema jurídico si no se analizan correctamente.
Anticipar el riesgo antes de tener que corregirlo
En PrivaZ trabajamos precisamente desde esa perspectiva preventiva, acompañando a empresas y proyectos digitales en el análisis jurídico de sus servicios antes de que los riesgos regulatorios se materialicen. La protección de datos, el cumplimiento digital, la gobernanza de inteligencia artificial o la revisión jurídica de productos tecnológicos no deberían entenderse como obligaciones independientes que se resuelven mediante documentos separados, sino como partes de una misma estrategia de cumplimiento integrada en el negocio.
Una empresa que desarrolla una plataforma, una aplicación, un servicio online o una solución basada en inteligencia artificial debería poder responder desde el principio a preguntas relativamente sencillas: qué datos necesita realmente, por qué los trata, cómo explica al usuario qué está haciendo, qué sistemas de personalización utiliza, qué decisiones adopta un algoritmo, qué colectivos pueden verse afectados y qué riesgos jurídicos puede generar la propia arquitectura del servicio.
Ese análisis temprano permite detectar problemas antes de que se conviertan en contingencias, pero también ofrece algo igualmente importante: seguridad para innovar. Cuando una organización conoce correctamente el marco jurídico en el que se mueve, puede adoptar decisiones de producto con mayor confianza, documentar adecuadamente sus procesos y demostrar después que el cumplimiento formaba parte de la concepción del servicio y no fue simplemente una corrección realizada cuando aparecieron los primeros problemas.
La publicación de la AEPD y la CNMC sobre diseño adictivo constituye, en mi opinión, otro buen ejemplo de hacia dónde se dirige la regulación digital europea. Cada vez se exige menos un cumplimiento meramente documental y cada vez se presta más atención a cómo funcionan realmente los productos, cómo utilizan los datos, qué decisiones adoptan sus algoritmos y de qué manera influyen sobre quienes los utilizan. El propio artículo concluye que la arquitectura de los servicios digitales ya no queda fuera del Derecho cuando afecta a la autonomía de los usuarios, al bienestar de los menores o a otros intereses jurídicamente protegidos.
Por eso, quizá la pregunta que deberían formularse muchas empresas digitales ya no sea únicamente si disponen de una política de privacidad correctamente redactada. La pregunta debería ser bastante más amplia: ¿hemos diseñado nuestro producto teniendo en cuenta desde el principio las consecuencias jurídicas de la experiencia que estamos creando?
En PrivaZ podemos acompañar a empresas, plataformas y proyectos tecnológicos en ese proceso, desde la revisión de tratamientos de datos y modelos de privacidad hasta el análisis jurídico de funcionalidades digitales, sistemas algorítmicos, modelos de compliance y estructuras de gobernanza de inteligencia artificial. Porque, en un entorno en el que la responsabilidad regulatoria comienza cada vez antes, anticiparse no consiste simplemente en evitar sanciones, sino en construir productos digitales jurídicamente más sólidos desde su origen.
Si tu empresa desarrolla aplicaciones, plataformas digitales, servicios online o soluciones basadas en inteligencia artificial, podemos ayudarte a revisar su adecuación regulatoria antes de que una decisión de diseño termine convirtiéndose en un problema jurídico.
#DerechoDigital #ProtecciónDeDatos #DSA #RGPD #InteligenciaArtificial #AIGovernance #ComplianceDigital #PrivacyByDesign #PlataformasDigitales #PrivaZ
