¿Qué normativas UE aplican a mi producto?

Un dispositivo electrónico con capacidad de conexión inalámbrica — ya sea vía WiFi, Bluetooth Low Energy o red celular — es, probablemente, el tipo de producto que mayor carga normativa acumula en el marco europeo actual. La razón es sencilla: combina elementos digitales con conectividad radio y, si se destina al consumidor, entra también en la órbita de la seguridad general del producto.

El Cyber Resilience Act (CRA), Reglamento (UE) 2024/2847, se aplica a «productos con elementos digitales comercializados en el mercado cuyo uso previsto o razonablemente previsible incluya una conexión lógica o física, directa o indirecta, a un dispositivo o red» (Art. 2(1)). Un dispositivo WiFi/BLE/celular encaja de forma directa en esta definición. El CRA será de aplicación general a partir del 11 de diciembre de 2027, aunque las obligaciones de notificación de vulnerabilidades se adelantan al 11 de septiembre de 2026.

La Directiva de Equipos Radioeléctricos (RED), Directiva 2014/53/UE, es la normativa de referencia para todo equipo que utilice el espectro radioeléctrico para comunicación o radiodeterminación (Art. 1(1)). Un dispositivo WiFi, BLE o celular es un equipo radioeléctrico por definición. Además, el Reglamento Delegado (UE) 2022/30 activa desde el 1 de agosto de 2025 los requisitos esenciales del Art. 3(3)(d), (e) y (f) de la RED para equipos conectados a internet, equipos que traten datos personales y equipos que permitan transferencias monetarias, introduciendo obligaciones de ciberseguridad, protección de datos y protección contra el fraude. Está previsto que el Reg. Delegado 2022/30 sea derogado a partir del 11 de diciembre de 2027, cuando el CRA entre en plena aplicación.

La Directiva RoHS (Dir. 2011/65/UE) restringe el uso de sustancias peligrosas en aparatos eléctricos y electrónicos (Art. 2(1)). Un dispositivo electrónico conectado es un aparato eléctrico y electrónico a efectos de esta Directiva, salvo que encaje en alguna de las exclusiones del Art. 2(4), como dispositivos médicos, equipos militares o maquinaria móvil no de carretera destinada exclusivamente a uso profesional.

El Data Act (Reg. 2023/2854) se aplica a los «productos conectados» que obtienen, generan o recopilan datos relativos a su rendimiento, uso o entorno y que pueden comunicar dichos datos (Art. 1(2) y definición en Art. 2(5)). Un dispositivo WiFi/BLE/celular que genere datos de uso entra en su ámbito. El Data Act es aplicable desde el 12 de septiembre de 2025.

Si el dispositivo incorpora un sistema de inteligencia artificial, el AI Act (Reg. 2024/1689) podría aplicar. El AI Act se aplica a proveedores que comercialicen o pongan en servicio sistemas de IA en la UE, así como a importadores y distribuidores (Art. 2(1)). La aplicación depende de si el producto contiene un «sistema de IA» según la definición del Art. 3(1) y de su nivel de riesgo.

Si el producto se destina al consumidor, el GPSR (Reg. 2023/988) actúa como red de seguridad para aspectos y riesgos no cubiertos por legislación sectorial específica (Art. 2(1)). El GPSR excluye los productos cubiertos íntegramente por legislación de armonización de la UE, pero se aplica complementariamente en aquellos aspectos no cubiertos.

Si el dispositivo es un ordenador de propósito general, un smartphone o un terminal que acceda a servicios de comunicaciones electrónicas o a servicios audiovisuales, la European Accessibility Act (EAA), Directiva 2019/882, podría aplicar (Art. 2(1)). Las obligaciones de accesibilidad son aplicables desde el 28 de junio de 2025. Las microempresas (menos de 10 empleados y facturación o balance no superior a 2 M€) están exentas en lo relativo a servicios.

Un juguete conectado — por ejemplo, un muñeco con Bluetooth, una tableta infantil con WiFi o un dron de juguete con control por app — es quizás el tipo de producto con mayor densidad regulatoria. Combina la condición de juguete, de equipo electrónico, de equipo radioeléctrico, de producto con elementos digitales y, potencialmente, de producto conectado a efectos de datos.

El Reglamento de Seguridad de Juguetes (Reg. 2025/2509) se aplica a todos los productos diseñados o destinados, exclusiva o no exclusivamente, para uso en el juego por menores de 14 años (Art. 2(1)). Un producto se considerará destinado al juego por menores cuando un padre o supervisor pueda razonablemente asumir, en virtud de sus funciones, dimensiones y características, que está destinado a ese uso. El nuevo Reglamento, publicado el 12 de diciembre de 2025, será de aplicación general desde el 1 de agosto de 2030, sustituyendo a la Directiva 2009/48/CE. Incluye requisitos esenciales de seguridad específicos para juguetes con elementos digitales y juguetes conectados a internet, exigiendo salvaguardas de ciberseguridad y protección de la privacidad.

El CRA aplica al juguete conectado como producto con elementos digitales (Art. 2(1)). La RED aplica si el juguete utiliza el espectro radioeléctrico (Art. 1(1)), y el Reg. Delegado 2022/30 extiende las obligaciones de privacidad y protección de datos personales específicamente a juguetes cubiertos por la Directiva de juguetes y a equipos de cuidado infantil, incluso sin conexión a internet (Art. 1(2)(a)). La RoHS aplica al componente electrónico del juguete como aparato eléctrico y electrónico (Art. 2(1)).

El Data Act podría aplicar si el juguete es un «producto conectado» que genera datos sobre su uso (Art. 2(5)). El GPSR se aplica como red de seguridad complementaria para aspectos no cubiertos por la legislación sectorial (Art. 2(1)). Si el juguete incorpora IA, el AI Act podría aplicar, y dado que los juguetes con IA interactúan con menores, podrían quedar clasificados como alto riesgo según los criterios del Anexo III del AI Act.

La maquinaria industrial destinada exclusivamente a uso profesional tiene un perfil normativo diferente al de los productos de consumo. El GPSR no se aplica en general, ya que se dirige a productos destinados a consumidores o que puedan ser previsiblemente utilizados por consumidores (Art. 2(1)). La maquinaria industrial B2B queda fuera de esta definición salvo que, por sus características, un consumidor pueda razonablemente llegar a utilizarla.

Si la maquinaria incorpora elementos digitales con conexión a red — un controlador PLC con conexión Ethernet, una interfaz HMI con WiFi, sensores IoT industriales — el CRA podría aplicar (Art. 2(1)). El CRA no distingue entre productos de consumo e industriales: su ámbito abarca todos los productos con elementos digitales comercializados en el mercado de la UE cuyo uso previsto incluya una conexión a un dispositivo o red. El Considerando 12 del CRA confirma que abarca desde productos de consumo hasta sistemas industriales.

La RoHS se aplica a aparatos eléctricos y electrónicos de todas las categorías del Anexo I, incluida la categoría 11 «Otros aparatos eléctricos y electrónicos no cubiertos por las categorías anteriores» (Art. 2(1)). Sin embargo, el Art. 2(4) excluye específicamente herramientas industriales fijas de gran tamaño, instalaciones fijas de gran tamaño y maquinaria móvil no de carretera destinada exclusivamente a uso profesional.

Si la maquinaria utiliza módulos radio (WiFi, Bluetooth, celular), la RED aplica al módulo radio (Art. 1(1)). Si genera datos de uso y tiene capacidad de comunicarlos, el Data Act podría aplicar (Art. 2(5)). Si incorpora un sistema de IA — por ejemplo, un sistema de visión artificial para control de calidad o un sistema de mantenimiento predictivo — el AI Act podría aplicar (Art. 2(1)), y ciertos usos industriales del AI están clasificados como alto riesgo en el Anexo III del Reglamento.

Un servicio digital puro — una plataforma de comercio electrónico, una aplicación web SaaS, un servicio de streaming — tiene un perfil normativo diferente al de los productos físicos. El CRA, la RED, la RoHS y el Reglamento de Seguridad de Juguetes se aplican a productos, no a servicios, por lo que quedan fuera de su ámbito.

La normativa más relevante es la European Accessibility Act (EAA), Directiva 2019/882, que incluye en su ámbito servicios prestados a consumidores como el comercio electrónico, los servicios bancarios para consumidores, los servicios de acceso a medios audiovisuales y ciertos servicios de transporte de viajeros (Art. 2(2)). Si la plataforma o servicio digital presta alguno de estos servicios, las obligaciones de accesibilidad son aplicables desde el 28 de junio de 2025. Las microempresas prestadoras de servicios están exentas.

Si el servicio digital utiliza o constituye un sistema de IA, el AI Act podría aplicar (Art. 2(1)). El AI Act se aplica a proveedores de sistemas de IA que los comercialicen o pongan en servicio en la UE, con independencia de dónde estén establecidos, así como a quienes los desplieguen (deployers) en la UE.

Si el servicio es un «servicio relacionado» con un producto conectado — por ejemplo, la plataforma en la nube que recoge datos de un dispositivo IoT — el Data Act podría aplicar, imponiendo obligaciones de acceso a los datos para los usuarios del producto conectado (Art. 2(6) y Capítulo II).

Si la plataforma es un marketplace online, el GPSR impone obligaciones específicas a los proveedores de marketplaces online (Art. 22), incluyendo registro en Safety Gate, designación de puntos de contacto y cooperación con autoridades para retirar productos peligrosos. El EUDR y el Pay Transparency no son aplicables a servicios digitales como tales.