La multa de 890 millones a Google no va solo de competencia: la UE está ensayando cómo disciplinar infraestructuras digitales de las que depende medio mercado

Bruselas ha impuesto a Google 890 millones de euros y, acto seguido, le ha dicho algo que suena menos espectacular pero puede ser bastante más relevante: si sigues moviéndote en la dirección correcta, probablemente no habrá nuevas multas diarias. Traducido del dialecto regulatorio europeo al castellano llano: la Comisión no quiere solo castigar; quiere rediseñar el comportamiento de una infraestructura privada de la que dependen competidores, anunciantes, desarrolladores y, de forma indirecta, miles de entidades reguladas.

La cifra importa. Son 460 millones por favorecer servicios propios en resultados de búsqueda de shopping, hoteles, transporte y deportes, y otros 430 millones por las restricciones anti-steering en Google Play. Pero el titular de verdad no es el importe. El titular es que esta es la primera gran sanción a Google bajo el Digital Markets Act y llega acompañada de un mensaje poco habitual en un caso sancionador de esta escala: el diálogo está siendo “constructivo” y la Comisión ve avances suficientes como para dejar, por ahora, en el cajón la artillería de las multas coercitivas periódicas.

Ese matiz es el precedente. Y conviene leerlo con cuidado, sobre todo si trabajas en una entidad financiera, una aseguradora, una fintech o cualquier organización sujeta a DORA, NIS2, GDPR o marcos de gestión de terceros. Porque aquí no se está ventilando solo una disputa clásica de competencia. Se está definiendo cómo la UE va a gobernar plataformas que funcionan, en la práctica, como capas de acceso al mercado y como piezas de dependencia tecnológica sistémica.

Tesis editorial

La multa a Google es menos un castigo retrospectivo que un ensayo de cumplimiento estructural para infraestructuras digitales privadas. Y eso tiene una derivada incómoda para el sector regulado: durante años muchas empresas han tratado a los grandes proveedores tecnológicos como si fueran un hecho de la naturaleza. La Comisión acaba de recordar que no lo son. Son actores gobernables, corregibles y, llegado el caso, sancionables cuando su diseño de producto altera el acceso de terceros al mercado.

Mi tesis es sencilla. El DMA ha dejado de ser una promesa política y se está convirtiendo en una herramienta operativa con efectos que desbordan la política de competencia. No sustituye a DORA ni a NIS2 ni al GDPR, claro. Pero cambia el terreno sobre el que esas normas se aplican, porque toca la arquitectura de intermediarios digitales que concentran tráfico, distribución, identidad, publicidad, descubrimiento y cada vez más funciones de IA generativa. Si una plataforma modifica cómo presenta resultados, cómo enruta usuarios, qué datos comparte con terceros o qué protección mantiene en su tienda de apps, no cambia solo la “competencia”. Cambian riesgos operativos, exposición a fraude, dependencia de proveedor, trazabilidad contractual y, en algunos casos, superficie de ataque.

La ironía del caso es que Google se defiende diciendo que cumplir obligará a “degradar” productos apreciados por los usuarios europeos, incluidos precios en tiempo real o disponibilidad directa en hoteles, vuelos y restaurantes, y a desmontar protecciones de seguridad en Google Play. Es una línea de defensa inteligente porque desplaza el debate desde el abuso de poder hacia el daño al consumidor y a la seguridad. El problema es que Bruselas parece haber decidido que esa dicotomía ya no le impresiona demasiado. O compites sin auto-preferencia indebida y sin impedir el steering, o te expones a que te reescriban el manual de producto desde fuera.

Qué ha hecho exactamente la Comisión y por qué esta vez sí merece atención

Los hechos concretos son conocidos, pero el encaje importa. El 23 de julio de 2026, la Comisión Europea anunció dos sanciones bajo el DMA. La primera, de 460 millones de euros, por el trato preferente a servicios propios en resultados de búsqueda. La segunda, de 430 millones, por restricciones en Google Play que impedían a desarrolladores dirigir a usuarios, de forma gratuita, hacia ofertas más baratas en tiendas rivales o en sus propias webs.

No es una multa cualquiera ni una repetición de la vieja guerra antitrust contra Google. La Comisión está actuando ahora bajo un régimen ex ante. Ese es el cambio de fondo. El DMA no espera años a demostrar efectos de exclusión con el bisturí econométrico clásico. Impone obligaciones directas a los gatekeepers designados y les prohíbe conductas concretas precisamente para evitar que la discusión se pudra durante una década en tribunales mientras el mercado ya ha quedado moldeado.

En el texto del Reglamento (UE) 2022/1925, el corazón de esta lógica está en los artículos 5, 6 y 7, que recogen obligaciones y conductas que un gatekeeper debe permitir o evitar. En materia de steering, el artículo 5, apartado 4, obliga al gatekeeper a permitir que usuarios empresariales comuniquen y promocionen ofertas, incluso concluyendo contratos con usuarios finales fuera de la plataforma del gatekeeper. En auto-preferencia y condiciones de ranking, el artículo 6, apartado 5, prohíbe tratar más favorablemente, en ranking y servicios relacionados, productos o servicios del propio gatekeeper frente a los de terceros, aplicando condiciones transparentes, justas y no discriminatorias.

Esto ya no es teoría. La Comisión lo ha monetizado. Y el detalle operativo que no conviene pasar por alto es el plazo de 60 días que tiene Google para cumplir las órdenes de cese y corrección en ambos frentes. Sesenta días no son un ciclo estratégico; son una ventana de ejecución de producto, legal y comercial bastante agresiva para una plataforma global. Si tú gestionas dependencias sobre ese ecosistema, deberías asumir que durante ese periodo y en los meses siguientes puede haber cambios de UX, de flujos de compra, de telemetría, de atribución y de controles en tienda de apps.

Otro detalle significativo: la Comisión ha señalado expresamente que Google ha propuesto y empezado a probar cambios en la presentación de sus propios servicios en Search para servicios gratuitos como shopping, hoteles y vuelos, y también en shopping ads y contenidos relacionados como deportes. Es decir, el regulador no se limita a sancionar; entra de lleno en la anatomía del producto.

Y hay una línea aún más interesante. Según Reuters, Bruselas indicó que Google podría aplicar los principios de la decisión a sus resúmenes generados por IA, es decir, AI Overviews y AI Mode. Aquí está el auténtico nervio de 2026. La Comisión no quiere quedarse en el viejo Google de los diez enlaces azules. Quiere evitar que el mismo patrón de auto-preferencia o cierre de mercado se recicle dentro de interfaces conversacionales y respuestas generadas por IA.

Por qué esta multa interesa a riesgo, compliance y terceros tecnológicos, no solo a competencia

Si todo esto te suena a pleito entre Bruselas y Silicon Valley, te estás perdiendo la mitad del cuadro. Para el sector financiero y para cualquier organización con obligaciones de resiliencia operativa, el precedente es claro: la UE está dispuesta a intervenir en plataformas de las que dependen procesos comerciales y operativos críticos aunque la palanca jurídica formal sea competencia.

Pensemos en cómo funciona hoy la dependencia tecnológica real. Un banco distribuye apps móviles a través de tiendas controladas por terceros. Una aseguradora capta tráfico mediante resultados de búsqueda y comparadores. Una fintech depende de políticas de ranking, analítica, login federado, publicidad y descubrimiento en ecosistemas que no controla. Y una entidad sujeta a DORA tiene que mapear, clasificar y supervisar esas dependencias aunque no siempre las haya considerado “ICT third-party services” en el sentido clásico de infraestructura cloud o outsourcing.

Aquí está el punto incómodo. DORA obliga a gestionar riesgo de terceros ICT con un nivel de formalidad que muchas entidades siguen reservando a cloud, core banking o SOC externalizado. Pero la dependencia de plataformas de acceso al cliente también puede tener un impacto material en continuidad, integridad del servicio, concentración y capacidad de respuesta. El Reglamento (UE) 2022/2554, en su artículo 28, exige gestionar el riesgo derivado de terceros ICT como parte integral del marco de gestión del riesgo TIC. El artículo 30 entra en el contenido contractual clave. Y el artículo 11 exige marcos de continuidad y respuesta frente a incidentes. Nada de eso desaparece porque el proveedor en cuestión se llame “plataforma” y no “outsourcer”.

La multa a Google no convierte automáticamente Search o Google Play en proveedores críticos bajo DORA, no mezclemos categorías. Pero sí obliga a replantear una pregunta práctica: tu inventario de dependencias relevantes para resiliencia incluye las plataformas que median el acceso a tus clientes, tus apps y tus journeys digitales? Si la respuesta es no, tu mapa está cojo.

Otro ángulo operativo: cuando un regulador fuerza cambios en diseño de producto de un gatekeeper, los efectos cascada pueden ser muy concretos. Caídas o cambios en conversión, alteraciones en funnels de adquisición, ruptura de determinadas integraciones, modificaciones en telemetría o atribución, aparición de nuevos vectores de fraude si el steering se abre demasiado sin controles compensatorios, o incluso litigios contractuales con partners que habían optimizado sus procesos alrededor de reglas anteriores.

En otras palabras: el riesgo regulatorio de un tercero puede convertirse en tu riesgo operativo sin pedir permiso.

El precedente de “sanciono, pero sigo negociando” no es debilidad. Es diseño regulatorio

Hay quien leerá la fórmula de Bruselas —multa fuerte y, a la vez, guiño a que no habrá más sanciones si siguen las conversaciones— como una señal de tibieza. Me parece una lectura perezosa. La Comisión ha descubierto algo bastante obvio: cuando regulas infraestructuras digitales complejas, la sanción pura rara vez arregla por sí sola el comportamiento. Necesitas una combinación de castigo, supervisión continua, testeo de remedios y capacidad de escalado si el obligado hace teatro.

El DMA ya prevé esa lógica. El artículo 29 regula el incumplimiento y permite imponer multas de hasta el 10% del volumen de negocios mundial total del gatekeeper, y hasta el 20% en caso de reincidencia. El artículo 30 permite multas coercitivas periódicas de hasta el 5% del volumen de negocios medio diario mundial para forzar el cumplimiento. La Comisión está usando el garrote, sí, pero enseñando también la correa corta: si implementas cambios verificables, puedo contener la escalada.

Eso es mucho más sofisticado que la caricatura del regulador europeo que solo recauda titulares. Es supervisión conductual. Y tiene un aire de familia con otros regímenes donde la autoridad no se conforma con una sanción histórica sino que exige pruebas de cambio estructural: GDPR con órdenes correctivas bajo el artículo 58; DORA con tests, reporting y gobernanza continua; NIS2 con medidas de gestión del riesgo y supervisión ex post o ex ante según el tipo de entidad.

La conversación “constructiva” importa por otro motivo. Reduce, al menos por ahora, la probabilidad de que Google se atrinchere en una guerra total y opte por una estrategia puramente contenciosa mientras deja la experiencia europea en una versión degradada como argumento político. Dicho sin rodeos: la Comisión quiere cumplimiento real, no solo un martirio mediático con final en Luxemburgo dentro de seis años.

Que nadie se confunda. Google ha dejado claro que podría acudir a los tribunales. Sería raro que no lo hiciera en algún formato. Pero incluso si litiga, ya está probando cambios. Ese es el verdadero poder del DMA: desplaza el centro de gravedad desde la sentencia final al comportamiento inmediato del gatekeeper.

La derivada de IA: AI Overviews y AI Mode son el próximo campo de batalla

La referencia de la Comisión a AI Overviews y AI Mode merece una alarma editorial propia. No porque sea sorprendente, sino porque confirma que Bruselas ha entendido el riesgo antes que muchas empresas usuarias: la interfaz generativa puede convertirse en la forma más eficaz de auto-preferencia de la historia reciente.

En el modelo clásico de búsqueda, al menos había resultados visibles, enlaces comparables y cierta posibilidad de auditoría externa. En una respuesta generada por IA, el motor puede resumir, seleccionar, destacar o directamente sustituir la navegación hacia terceros. Si además integra productos, reservas, comparativas o recomendaciones dentro de una misma capa conversacional, el riesgo competitivo se multiplica. También lo hace el riesgo de opacidad.

Para banca y seguros, esto no es una curiosidad académica. Si los journeys de descubrimiento, comparación o contratación terminan mediados por resúmenes generativos de un gatekeeper, cambian tres cosas a la vez: la visibilidad de ofertas, la trazabilidad de por qué se muestra una opción y la capacidad de verificar si existe trato discriminatorio. Y cuando una entidad regulada usa esas mismas plataformas para distribuir o promocionar productos financieros, el problema roza también gobierno de modelos, transparencia y gestión de dependencia de IA de terceros.

Aquí entra el AI Act, aunque sea desde el rabillo del ojo. El Reglamento (UE) 2024/1689 no está diseñado para resolver auto-preferencia competitiva en buscadores, pero sí introduce obligaciones relevantes sobre ciertos sistemas de IA, transparencia en interacciones y gobierno de riesgo en sistemas de alto riesgo. Para entidades financieras, el debate práctico es otro: si tu estrategia comercial descansa cada vez más en plataformas con capas generativas, necesitas controles de monitorización externos, métricas propias y capacidad de detectar desvíos que el proveedor quizá no te explicará con entusiasmo.

La escena más probable en 2026 no es una gran prohibición abstracta sobre IA. Es una serie de ajustes sectoriales, decisiones de cumplimiento y exigencias de diseño donde competencia, protección del consumidor y gobernanza tecnológica se mezclan. Y eso obliga a los equipos internos a hablar entre sí. Marketing digital por un lado, legal por otro y ciberseguridad en una esquina ya no sirve.

Impacto regulatorio cruzado

La tentación de leer cada norma en su carril es muy fuerte. También es un error. Lo que acaba de pasar con Google bajo el DMA tiene puntos de contacto claros con DORA, NIS2, GDPR, AI Act y, en menor medida, NIST CSF 2.0 como marco de gestión. No porque todas regulen lo mismo, sino porque todas empujan hacia la misma conclusión: las dependencias digitales críticas ya no se gestionan solo como un asunto de procurement o de competencia; se gobiernan como fuentes de riesgo operacional, legal y de confianza.

DORA: terceros, concentración y cambios de servicio no controlados

DORA obliga a identificar y clasificar funciones soportadas por terceros ICT, definir su criticidad y mantener capacidades de monitorización y salida. El artículo 28 exige que el riesgo de terceros se integre en el marco global de riesgo TIC. El artículo 29 obliga a mantener un registro de acuerdos contractuales relativos al uso de servicios TIC prestados por terceros. El artículo 30 establece cláusulas contractuales mínimas, incluyendo descripciones claras del servicio, ubicaciones, accesibilidad, integridad y disponibilidad, asistencia en incidentes y derechos de terminación.

La lección de la multa a Google es que ciertas plataformas pueden producir cambios materiales en condiciones de distribución, acceso o seguridad sin que el cliente regulado tenga una palanca contractual comparable a la que sí tendría con un proveedor de outsourcing tradicional. Eso no exime a la entidad. La obliga a compensar con monitorización, planes alternativos, pruebas de dependencia y escenarios de continuidad comercial. Si tu app bancaria depende de visibilidad, políticas o mecanismos de steering en una tienda de apps, el riesgo no es teórico.

NIS2: gestión del riesgo de cadena de suministro y gobernanza directiva

La Directiva (UE) 2022/2555, en su artículo 21, exige medidas de gestión de riesgos de ciberseguridad que incluyan seguridad de la cadena de suministro y relaciones con proveedores. No habla de ranking en buscadores, claro. Pero sí de una lógica que aquí encaja perfectamente: la exposición de una entidad no acaba en sus sistemas internos; se extiende a terceros cuya arquitectura o cambios pueden afectar a servicios esenciales o importantes.

NIS2 también tiene un mensaje incómodo para consejos de administración y alta dirección. El artículo 20 subraya la responsabilidad de los órganos de dirección en la aprobación y supervisión de medidas de gestión del riesgo. Dicho sin maquillaje: si una plataforma crítica cambia reglas por presión regulatoria o por reacción comercial, no basta con que el equipo digital lo “vaya viendo”. Hay impacto de gobernanza.

GDPR: menos datos, más opacidad y nuevos equilibrios

El GDPR no está en el centro de este caso, pero sobrevuela varias derivadas. El artículo 5 exige principios de licitud, minimización y transparencia. El artículo 25 impone protección de datos desde el diseño y por defecto. Si los remedios del DMA alteran flujos de redirección, medición o atribución, muchas organizaciones van a intentar compensar pérdida de visibilidad con más tracking. Mala idea si eso deriva en tratamientos mal justificados o consentimientos estirados hasta el absurdo. La vieja costumbre de responder a un cambio de plataforma recolectando más datos es una de esas recetas que suelen acabar mal.

Además, si la capa generativa del buscador resume información de terceros y reduce el tráfico directo, algunos actores intentarán capturar más datos en entornos propios cuando consigan al usuario. Esa presión comercial puede chocar con el principio de minimización. El regulador de competencia no te da barra libre en privacidad.

AI Act: distribución opaca y dependencia de salidas generadas

El AI Act añade una capa de disciplina donde las entidades usen IA en procesos que afectan a decisiones, comunicación o evaluación de productos y clientes. Aunque las funcionalidades de búsqueda generativa de un gatekeeper no sean, por sí mismas, el sistema de IA de la entidad financiera, sí pueden influir en cómo llegan usuarios, qué información consumen y qué expectativas generan. Si una aseguradora o un banco incorporan outputs de terceros, comparativas automatizadas o resúmenes AI-driven en journeys comerciales, deberán vigilar exactitud, sesgo, trazabilidad y supervisión humana cuando el caso lo exija. Confiar ciegamente en una interfaz de IA ajena porque “es Google” sería una política magnífica si el objetivo es multiplicar riesgos sin documentación.

NIST CSF 2.0: gobernar dependencias, no solo proteger activos

NIST CSF 2.0 no es derecho europeo, pero sigue siendo un lenguaje útil para ordenar decisiones. Su función Govern y la atención a riesgos de terceros ayudan a traducir esta noticia a una agenda práctica: identificar dependencias críticas, asignar ownership, medir impacto de cambios externos y definir respuestas antes de que el proveedor cambie las reglas del juego. La Comisión ha hecho política de competencia; tú tienes que hacer gestión.

Qué deberían revisar ahora bancos, aseguradoras y fintechs europeas

No hace falta dramatizar ni montar un comité de crisis cada vez que Bruselas toca a una big tech. Sí hace falta dejar de tratar estas decisiones como ruido de prensa generalista. Si una entidad regulada opera en ecosistemas de Google —búsqueda, Play, publicidad, analítica, login, mapas, cloud, herramientas de productividad o capas de IA— hay varias preguntas concretas que conviene responder ya.

Primero, inventario de dependencia. No el inventario bonito para auditoría, sino el real: qué productos, procesos de adquisición, journeys de cliente, canales de soporte y mecanismos de distribución dependen materialmente de políticas o features de Google. Una app financiera que solo puede llegar al usuario móvil a través de una tienda de apps no tiene una dependencia trivial. Un comparador o una vertical de captación basada en Search tampoco.

Segundo, impacto de cambios de producto inducidos por regulación. Si Google modifica la presentación de resultados, abre más steering o recalibra protecciones en Google Play, qué procesos internos cambian? Conversión, antifraude, reconciliación de campañas, métricas de atribución, soporte al cliente, controles de contenido, revisión de creatividades, prevención de suplantación. No es glamuroso, pero es donde se pierde dinero de verdad.

Tercero, gobierno contractual y de riesgo. Con algunos servicios tendrás contrato directo y con otros dependerás de términos estándar poco negociables. Precisamente por eso necesitas compensar con controles internos: indicadores de dependencia, seguimiento de cambios de terms, planes alternativos, pruebas de desvío de tráfico, y escalado a comité de riesgos cuando el proveedor afecte a procesos críticos.

Cuarto, seguridad y fraude. Google sostiene que ciertas obligaciones podrían “desmontar” protecciones en Google Play. Puede ser una exageración interesada o puede haber un riesgo real parcial; ambas cosas no son incompatibles. Si se flexibilizan canales de steering hacia webs externas o stores rivales, algunas entidades podrían ver más phishing, más clonación de páginas de descarga, más campañas maliciosas y más confusión del usuario. La respuesta no es oponerse al DMA. La respuesta es reforzar controles compensatorios: firma de apps, verificación de dominios, brand monitoring, antifraude en journeys móviles y coordinación entre marketing, fraude y ciber.

Quinto, observabilidad sobre IA. Si Google extiende principios de cumplimiento a AI Overviews y AI Mode, muchas entidades verán alteraciones en tráfico y descubrimiento sin una explicación granular completa. Necesitarán mediciones propias: tests comparativos, seguimiento de visibilidad por categoría, auditoría de outputs, revisión legal de claims y escenarios donde la plataforma resuma información financiera de forma sesgada o incompleta.

La defensa de Google tiene una parte atendible. Pero no invalida el fondo

Conviene no caricaturizar a Google como el villano plano de la película. Su argumento de que ciertas exigencias pueden degradar funcionalidades útiles o afectar a protecciones de seguridad no debe desecharse con un gesto. Hay tensión real entre apertura, experiencia de usuario y controles de seguridad, sobre todo en ecosistemas de distribución de apps. Quien haya trabajado en fraude móvil sabe que abrir puertas mal diseñadas puede acabar en festival para estafadores.

También es cierto que los reguladores, a veces, piden neutralidad abstracta a sistemas cuyo valor comercial precisamente depende de integrar y ordenar funciones. Si fuerzas demasiada simetría en una interfaz, corres el riesgo de obtener una experiencia peor. Ese es el contraargumento serio.

Pero hay dos motivos por los que no me convence como defensa suficiente en este caso. El primero es jurídico: el DMA no cayó del cielo la semana pasada. Entró en vigor en 2022, sus obligaciones empezaron a aplicarse a gatekeepers designados en 2024 y Google ha tenido tiempo para preparar remedios y rediseños compatibles con competencia y seguridad. El segundo es estructural: una plataforma con el tamaño, los recursos y la sofisticación de Google no puede presentarse indefinidamente como rehén de una falsa elección entre incumplir o empeorar el producto. Si esa fuese la única salida, el mensaje implícito sería todavía peor: que su modelo solo funciona mientras puede autopreferenciarse o bloquear steering.

La Comisión, por su parte, tampoco tiene derecho a hacerlo mal. Si empuja remedios que multiplican fraude o dañan al usuario, tendrá que ajustarlos. Por eso el diálogo técnico importa. Pero ese diálogo debe medirse por evidencias, no por comunicados satisfechos. Métricas de tráfico, conversión, seguridad, reclamaciones y acceso efectivo de terceros al mercado. Lo demás es teatro regulatorio con subtítulos.

Para España y el sistema financiero europeo, la lección es más práctica que ideológica

Las entidades financieras españolas no están directamente en el banquillo en este caso, pero sí están en la zona de impacto. Por una razón sencilla: casi todas operan sobre un puñado de intermediarios tecnológicos estadounidenses cuya función ya no es solo infraestructura técnica, sino mediación comercial, reputacional y de identidad digital.

Eso tiene una implicación concreta para 2026. Los equipos de cumplimiento normativo, continuidad, procurement tecnológico y seguridad deben dejar de discutir dependencias digitales en compartimentos estancos. El responsable de DORA no puede enterarse por prensa económica de que una plataforma crítica va a cambiar reglas de distribución o de visibilidad. El CISO no puede descubrir semanas después que la apertura de steering ha disparado campañas de impersonación. Y el área de negocio no debería rediseñar campañas sobre AI Overviews sin evaluación legal y de riesgo.

En banca y seguros, la adopción de IA añade otra capa. Si una entidad usa herramientas generativas para atención al cliente, recomendación de productos, priorización comercial o resúmenes internos, y al mismo tiempo depende de plataformas externas que también reescriben el acceso al usuario con IA, los riesgos se apilan. Sesgo en comparativas, opacidad en recomendaciones, errores factuales, dificultades de explicación al cliente, mayor concentración tecnológica y dependencia de proveedores con agendas regulatorias propias.

Los controles recomendables son bastante terrenales: inventario de casos de uso de IA propios y de terceros; evaluación de impacto sobre journeys regulados; revisión de datasets y fuentes cuando se usen outputs externos; supervisión humana en comunicaciones sensibles; logs suficientes para reconstruir decisiones; y métricas de desvío o alucinación cuando se integre IA en flujos de cliente. Nada glamuroso. Todo imprescindible.

Lo que viene después: menos épica y más cirugía sobre producto

La sanción de 890 millones parece enorme porque lo es. Pero lo realmente disruptivo está en lo que no cabe bien en el titular: la Comisión está entrando en una fase de regulación donde las plataformas no solo pagan, sino que tienen que probar cambios concretos de diseño, ranking, presentación y conducta comercial. Y, si la referencia a AI Overviews y AI Mode se materializa, esa cirugía alcanzará el corazón de la nueva capa generativa.

Eso cambia la naturaleza del riesgo para todos los que dependen de esas plataformas. Ya no basta con vigilar litigios o sanciones por reputación. Hay que anticipar rediseños forzados por cumplimiento. Hay que probar escenarios alternativos. Y hay que admitir una verdad poco cómoda: la resiliencia operativa de muchas empresas europeas depende, en parte, de decisiones de producto que toman terceros bajo presión regulatoria en Bruselas o Washington.

La UE, mientras tanto, está afinando un método. Castiga. Negocia. Testa remedios. Amenaza con multas diarias si hace falta. Y extiende el foco desde la competencia clásica hacia la gobernanza material de interfaces digitales dominantes. A algunos les parecerá hiperregulación. A otros, una corrección tardía pero necesaria. A las entidades reguladas debería parecerles, ante todo, una señal de gestión: revisa tus dependencias antes de que el próximo cambio externo te pille con un mapa de riesgos dibujado con rotulador borrable.

Bruselas no ha multado solo a Google. Ha enviado una nota a todo el mercado: si eres una puerta de acceso sistémica, Europa va a discutir contigo hasta el diseño del pomo. Y si dependes de esa puerta para operar, más te vale dejar de mirarla como si fuera mobiliario fijo.