Law firm
DORDA
10 articles · 2 practice areas · 1 country · 2 years · Legal Industry Reviews
- Technology, Media & Telecommunications (TMT)
AI Act Transparency Obligations of the Deployer
El artículo resume las obligaciones de transparencia del artículo 50 del Reglamento de Inteligencia Artificial de la Unión Europea desde la perspectiva del responsable del despliegue, aplicables a partir del 2 de agosto de 2026, a partir del segundo borrador del Código de Buenas Prácticas publicado por la Comisión. Los autores precisan que estas obligaciones alcanzan solo casos definidos, en particular los deepfakes y ciertos textos publicados generados por IA, y que no rige el etiquetado cuando la IA se usa como mero apoyo y el resultado final es fruto de una revisión humana sustantiva. Detallan además la forma y el estilo del etiquetado, incluidos los requisitos de accesibilidad y las orientaciones de la Comisión sobre el uso del acrónimo "AI" y de un texto explicativo secundario. Cierran señalando las multas de hasta el 3% de la facturación mundial o 15 millones de euros y el hecho de que Austria aún no ha designado una autoridad competente en la materia.
Axel Anderl, Nino Tlapak, Alexandra CiarnauAustriaMay 1, 2026DORDA - Data Protection & Cybersecurity
Litigation Fishing: An Emerging Trend Throughout Europe
El artículo examina la práctica creciente del "litigation phishing", en la que los titulares de datos presentan solicitudes de acceso al amparo del artículo 15 del RGPD con el fin principal de obtener pruebas para reforzar su posición procesal. Los autores explican que la tendencia se aceleró tras la sentencia del TJUE de diciembre de 2023 que eliminó el umbral de materialidad del daño inmaterial (C-456/22), y repasan los limitados motivos de rechazo disponibles: solicitudes manifiestamente infundadas o excesivas, ejercicio abusivo del derecho y protección de secretos comerciales. Revisan asimismo la jurisprudencia austríaca, que en sede civil rara vez admite el argumento de abuso mientras que la vía administrativa muestra criterios dispares. Concluyen que los responsables del tratamiento deberían tratar estas solicitudes como herramientas prelitigiosas y responder con una evaluación clara de su alcance.
Axel Anderl, Nino Tlapak, Alexandra CiarnauAustriaMay 1, 2026DORDA - Technology, Media & Telecommunications (TMT)
The AI Act in Practice: Delimiting AI Systems and Transparency Obligations
El texto examina dos zonas grises del Reglamento de Inteligencia Artificial de la Unión Europea: dónde termina el software tradicional y empieza un sistema de IA, y qué exigen las obligaciones de transparencia. Los autores repasan las directrices de la Comisión Europea sobre la definición de sistema de IA (C(2025) 5053 final) y destacan los dos criterios decisivos que allí se fijan, el grado de autonomía y las técnicas que permiten la inferencia, con la consecuencia de que la programación puramente determinista o los sistemas heurísticos clásicos quedan fuera del ámbito de la norma. Analizan luego el primer borrador del Código de Buenas Prácticas voluntario sobre transparencia publicado por la Oficina de IA en diciembre de 2025, del que extraen conclusiones sobre el etiquetado mediante marcas de agua o huellas digitales, la prohibición contractual de removerlas y la publicación de detectores. Concluyen que, mientras el TJUE no se pronuncie, la interpretación quedará guiada por directrices no vinculantes y que las empresas deben seguir de cerca la evolución regulatoria y jurisprudencial.
Axel Anderl, Nino Tlapak, Alexandra CiarnauAustriaFebruary 10, 2026DORDA - Data Protection & Cybersecurity
Unlawful Data Processing and its Impact on Downstream Processing Under the GDPR
El artículo aborda si el tratamiento de datos personales recolectados de forma ilícita contamina automáticamente los tratamientos posteriores realizados por terceros bajo el RGPD. Los autores contrastan la posición del Comisionado Federal alemán de Protección de Datos (BfDI), que en su guía sobre inteligencia artificial en la administración pública rechazó ese efecto de arrastre automático y exigió en cambio una debida diligencia propia del responsable que utiliza un modelo de lenguaje, con la línea de la autoridad austríaca (DSB) y del Tribunal Federal Administrativo (BVwG W176 2259543-1), que sí extienden la ilicitud al receptor salvo excepciones acotadas. Señalan además que la propia DSB matizó luego su criterio en una decisión no publicada sobre un scoring crediticio declarado inválido. Cierran indicando que la cuestión quedará finalmente en manos del TJUE y proponen medidas prácticas de mitigación: selección y revisión cuidadosa de las fuentes, garantías contractuales de cumplimiento y documentación de la diligencia realizada.
Axel Anderl, Nino Tlapak, Alexandra CiarnauAustriaFebruary 10, 2026DORDA - Technology, Media & Telecommunications (TMT)
Second AI Act Deadline Applicable: Spotlight on General Purpose AI Models
El texto expone las obligaciones que rigen desde el 2 de agosto de 2025 para los modelos de inteligencia artificial de propósito general con la segunda fase de aplicación del Reglamento europeo de IA. Los autores advierten que Austria aún no ha designado las autoridades competentes, por lo que no pueden imponerse sanciones nacionales, aunque subsiste la responsabilidad civil y en materia de protección de datos. Explican la definición de modelo GPAI del artículo 3 número 63 y la distinción respecto de los modelos con riesgo sistémico, que se activa al superar 10^25 FLOPs de cómputo acumulado o por designación de la Comisión, y detallan los deberes del artículo 53 y siguientes: documentación técnica, información a los proveedores posteriores, cumplimiento del derecho de autor y publicación de un resumen de los datos de entrenamiento, con exigencias adicionales de evaluación y notificación de incidentes para los modelos de riesgo sistémico. Subrayan el riesgo de reclasificación como proveedor posterior cuando se modifica significativamente un modelo y proponen una hoja de ruta de cumplimiento con identificación, clasificación, documentación y reevaluación continua.
Axel Anderl, Nino Tlapak, Alexandra CiarnauAustriaOctober 9, 2025DORDA - Data Protection & Cybersecurity
Automated Decision-making: Austria Supreme Court Refers Key Questions to the CJEU
El artículo analiza la remisión prejudicial del Tribunal Supremo austríaco al Tribunal de Justicia de la Unión Europea (6 Ob 15/25m) sobre el alcance del artículo 22 del RGPD. El caso surgió de un comercio en línea que aplica scoring crediticio automatizado para decidir si un cliente puede pagar por factura o en cuotas o queda limitado a medios más seguros como tarjeta o PayPal, práctica impugnada por la asociación de consumidores tras ser avalada en dos instancias. Los autores detallan las tres preguntas planteadas: si la restricción de medios de pago sin rechazar el pedido afecta significativamente al cliente, si se exige un vínculo directo entre el fin contractual y la verificación de solvencia, y si un alto volumen de transacciones puede justificar prescindir de la revisión humana. Concluyen que el fallo no declarará ilícita la decisión automatizada en sí y recomiendan a los responsables mapear los procesos automatizados, documentar por escrito su carácter indispensable para la ejecución del contrato y, de no poder acreditarlo, recurrir al consentimiento explícito o rediseñar el proceso.
Axel Anderl, Nino Tlapak, Alexandra CiarnauAustriaOctober 9, 2025DORDA - Technology, Media & Telecommunications (TMT)
Artificial Intelligence and Copyright
El texto examina el uso de contenido protegido por derecho de autor para entrenar sistemas de inteligencia artificial, a partir de la primera sentencia alemana sobre la materia (Tribunal Regional de Hamburgo, 310 O 227/23, septiembre de 2024). Los autores explican que el tribunal admitió la excepción de minería de textos y datos con fines científicos, pero se mostró escéptico frente a usos comerciales cuando existe una reserva de derechos legible por máquina, y repasan las condiciones acumulativas del § 42h de la ley austriaca de derecho de autor. Concluyen con recomendaciones distintas para desarrolladores de modelos y para empresas que integran modelos preentrenados.
Axel Anderl, Nino Tlapak, Alexandra CiarnauAustriaMay 6, 2025DORDA - Data Protection & Cybersecurity
Incident Notification Obligations in the Event of Cyberattacks under the GDPR, NIS-2 and DORA
El artículo compara los deberes de notificación de incidentes que imponen el RGPD, la Directiva NIS-2 y el Reglamento DORA, en un contexto en que los ciberataques encabezan por cuarto año consecutivo el ranking de riesgos empresariales. Los autores detallan los plazos de cada régimen —72 horas para las brechas de datos personales y un sistema escalonado de alerta temprana a 24 horas, informe intermedio a 72 horas e informe final al mes para NIS-2 y DORA— y advierten que Austria aún no ha traspuesto NIS-2. Recomiendan a las entidades sujetas a varios regímenes adoptar un enfoque de cumplimiento multicapa con gobernanza, monitoreo, salvaguardas contractuales y cultura de seguridad.
Axel Anderl, Nino Tlapak, Alexandra CiarnauAustriaMay 6, 2025DORDA - Technology, Media & Telecommunications (TMT)
Copyright Levies for Cloud Services?
El artículo aborda el intento de las sociedades de gestión de derechos de autor de extender los cánones por copia privada a los servicios de almacenamiento en la nube. Los autores recuerdan la sentencia del TJUE C-433/20, que dejó amplio margen a los Estados miembros, y contrastan las interpretaciones divergentes de los tribunales: el Tribunal Regional Superior de Múnich excluyó a los servicios en la nube, mientras el Tribunal Regional Superior de Viena adoptó el criterio opuesto. Anticipan un pronunciamiento del Tribunal Supremo austríaco (OGH) en los meses siguientes.
Axel Anderl, Nino Tlapak, Ida WoltranAustriaFebruary 5, 2025DORDA - Data Protection & Cybersecurity
GDPR & AI in Practice
El texto comenta la opinión del Comité Europeo de Protección de Datos sobre el tratamiento de datos personales en modelos de inteligencia artificial. Los autores explican bajo qué condiciones un modelo puede considerarse anónimo y quedar fuera del ámbito del GDPR, y qué medidas de mitigación se esperan en las fases de desarrollo, web scraping y despliegue cuando el tratamiento se apoya en el interés legítimo. Analizan también la postura del Comité sobre el uso de modelos entrenados ilícitamente y concluyen que resultan indispensables políticas internas de IA y prácticas rigurosas de documentación.
Axel Anderl, Nino Tlapak, Alexandra CiarnauAustriaFebruary 5, 2025DORDA
