La UE aprieta las tuercas a Google: exige abrir Android a asistentes de IA rivales, pero surgen serias dudas de seguridad

La Comisión Europea está impulsando dos procedimientos de especificación paralelos contra Google en el marco de la Ley de Mercados Digitales (DMA, por sus siglas en inglés) —uno sobre la interoperabilidad de Android y otro sobre el intercambio de datos de búsqueda en línea— que han provocado un fuerte rechazo por parte de Google y de expertos en seguridad externos debido a los riesgos para la ciberseguridad, la privacidad de los datos y la integridad de la plataforma.

Lo que propone la Comisión

Interoperabilidad de Android (Artículo 6(7))

La Comisión abrió un procedimiento de especificación el 27 de enero de 2026 para definir las medidas técnicas que Google debe implementar para que terceros obtengan una "interoperabilidad efectiva con, y acceso para fines de interoperabilidad a, las mismas funcionalidades de hardware y software" que utilizan los propios servicios de Google . El 27 de abril de 2026, la Comisión emitió conclusiones preliminares que se centran específicamente en las funciones relevantes para los servicios de inteligencia artificial de terceros, exigiendo a Google que conceda a los asistentes de IA rivales el mismo acceso a las capacidades básicas de Android que disfruta Gemini, incluyendo la activación por voz, la integración en la búsqueda a nivel de sistema y la capacidad de interoperar con otro software de Android . Estas conclusiones preliminares se abrieron a consulta pública para recabar comentarios sobre su "efectividad, integridad, esfuerzo de integración y plazos de implementación" .

La DMA ya exige que cualquier medida de integridad o seguridad que Google imponga al acceso de terceros debe ser "estrictamente necesaria y proporcionada", lo que significa que Google no puede bloquear la interoperabilidad de forma generalizada por motivos de seguridad sin demostrar que cada restricción está perfectamente ajustada .

Intercambio de datos de búsqueda (Artículo 5(10))

Un procedimiento de especificación independiente, también abierto el 27 de enero de 2026, aborda la obligación de Google de proporcionar a los motores de búsqueda y desarrolladores de IA de terceros acceso a sus datos de búsqueda en línea —incluyendo los datos relacionados con el modelo de IA Gemini— en términos "justos, razonables y no discriminatorios" (FRAND) . Reuters informó de que la orientación de la Comisión cubre cómo los rivales pueden acceder a los datos de clasificación de búsqueda de Google, los datos de clics y consultas, y los servicios relacionados con la IA .

Preocupaciones de ciberseguridad y privacidad planteadas por Google y expertos externos

La postura de Google

Google ha argumentado que "Android es inherentemente abierto" y que "ya está compartiendo datos de Búsqueda con rivales de acuerdo con la DMA", pero ha advertido que "teme que un enfoque prescriptivo pueda perjudicar la seguridad y privacidad del usuario" . En una entrada de blog de septiembre de 2025, Google afirmó que la DMA "está dificultando la protección de los usuarios contra estafas y enlaces maliciosos en Android al obligarnos a eliminar nuestras salvaguardas legítimas que protegen la seguridad de los usuarios", citando el riesgo de que los mandatos de interoperabilidad fuercen a Android a debilitar las protecciones contra el malware y el phishing de descargas laterales (sideloading) . Google también se ha quejado de que los guardianes de acceso (gatekeepers) bajo investigación no reciben acceso completo al expediente de la Comisión, algo que considera "inconsistente con los derechos de defensa" en el derecho de la UE .

Preocupaciones de expertos externos y think tanks

• ECIPE advirtió en un informe de política que el Artículo 5(4) de la DMA podría "obligar a los proveedores de sistemas operativos móviles a permitir enlaces externos no regulados, eludiendo los controles de seguridad críticos y exponiendo a millones de usuarios de teléfonos inteligentes a ciberamenazas" y que el "sistema de código abierto ampliamente utilizado de Android también podría verse comprometido por la aplicación de la DMA, limitando potencialmente su flexibilidad, seguridad e innovación" .
• El Center for Cybersecurity Policy and Law publicó un documento advirtiendo de que el impulso de la DMA hacia la interoperabilidad "podría debilitar" los controles de seguridad de las plataformas móviles a medida que las funciones centrales se abren a desarrolladores externos que pueden no seguir los mismos estándares de seguridad .
• La Information Technology and Innovation Foundation (ITIF) presentó comentarios argumentando que las medidas de interoperabilidad propuestas por la Comisión son demasiado amplias y podrían "socavar la seguridad del ecosistema Android" si se concede a los servicios de IA de terceros acceso a nivel de sistema sin obligaciones de seguridad equivalentes .
• Un artículo de ciencias de la computación en arXiv (febrero de 2025) señaló que "las iniciativas de interoperabilidad han generado una controversia significativa por su potencial para introducir nuevas vulnerabilidades de seguridad, debilitar las defensas de la plataforma y aumentar la superficie de ataque disponible para actores maliciosos" .
• Los TTLF Working Papers de la Facultad de Derecho de Stanford observaron que las resoluciones de la DMA "podrían afectar significativamente al diseño y los modelos de negocio [de las plataformas], con efectos que se extienden mucho más allá de los límites geográficos de la UE", profundizando la brecha regulatoria transatlántica entre seguridad y competencia .

Contexto más amplio: objetivos de competencia de la UE frente a consideraciones de seguridad

La tensión fundamental de la DMA

La DMA fue diseñada para aumentar la "contestabilidad del mercado en los mercados digitales" y "crear más espacio para la innovación y más opciones para los consumidores" . Sus disposiciones sobre interoperabilidad e intercambio de datos se consideran esenciales para romper el bloqueo de las plataformas, especialmente en el emergente mercado de la IA. La propia revisión de dos años de la Comisión (junio de 2026) concluyó que la DMA "sigue siendo adecuada para su propósito y no necesita ser revisada" , lo que indica la intención de la UE de seguir adelante a pesar de las advertencias de la industria.

Escalada de la confrontación regulatoria

Los procedimientos de especificación contra Google siguen a medidas similares contra Apple en 2025 por la interoperabilidad de iOS para dispositivos conectados como relojes inteligentes . Esto demuestra un impulso regulatorio sistemático en ambos ecosistemas móviles principales. La confrontación es más aguda en torno a la IA: la Comisión está intentando evitar que Google utilice Android como un foso competitivo para Gemini, justo cuando el mercado de la IA generativa toma forma. TNW lo describió como determinar "si la inteligencia artificial se convierte en el próximo gran bloqueo de plataforma o en el primero en romperse antes de que se consolide" .

Conflicto con otros marcos de la UE

ECIPE señaló que "la aplicación de la DMA está generando ahora tensiones con otros marcos regulatorios de la UE, particularmente en las áreas de protección de datos, ciberseguridad, derechos de propiedad intelectual y protección del consumidor" . La aplicación de las obligaciones de interoperabilidad "ilustra estas tensiones con particular claridad" porque lo que la DMA exige para la competencia puede entrar en conflicto directo con lo que el RGPD, la Directiva NIS2 y la Ley de Ciberresiliencia exigen para la seguridad. La Comisión reconoce esta tensión en sus propios documentos: la DMA sólo permite medidas de integridad cuando son "estrictamente necesarias y proporcionadas" , pero los críticos argumentan que la carga de la prueba recae en el guardián de acceso, creando un efecto paralizador en la seguridad proactiva.

En conclusión: La UE está presionando a Google para que abra las funciones principales de Android y los datos de búsqueda a los competidores —especialmente a los rivales de IA— mientras que Google y numerosos expertos en seguridad advierten de que la interoperabilidad obligatoria debilitará las protecciones contra malware, aumentará las superficies de ataque y creará conflictos con otras leyes de ciberseguridad de la UE.