La DSA (Reglamento de Servicios Digitales) en la práctica: qué te obliga a moderar en Europa

El Reglamento (UE) 2022/2065 de Servicios Digitales (DSA) se aplica plenamente desde febrero de 2024 y ha redefinido las obligaciones de moderación de contenidos de cualquier plataforma que dé servicio a usuarios de la Unión Europea, esté donde esté la sede de la empresa. Casi todo lo que se ha escrito se ha centrado en las "plataformas en línea de muy gran tamaño" (VLOP) como X, Meta o TikTok. Pero la DSA se aplica también a plataformas mucho más pequeñas, y hacer bien lo básico no es opcional.

En este artículo bajamos la DSA a lo que tú, como equipo de ingeniería o de producto, tienes que hacer de verdad.

¿A quién se aplica la DSA?

La DSA suma obligaciones a medida que crece la plataforma:

• Cualquier servicio intermediario (alojamiento de datos, memoria caché, mera transmisión): obligaciones básicas de transparencia y de punto de contacto.
• Servicios de alojamiento de datos: mecanismos de notificación y acción, declaraciones de motivos para la retirada de contenidos.
• Plataformas en línea (contenido generado por usuarios): sistema interno de gestión de reclamaciones, alertadores fiables, informes de transparencia, transparencia en la publicidad.
• VLOP / VLOSE (>45M de usuarios mensuales en la UE): evaluaciones de riesgos sistémicos, auditorías independientes, respuesta a crisis.

Si tu plataforma tiene sección de comentarios, perfiles de usuario, chat, reseñas o subida de ficheros, aunque seas una startup, eres como mínimo una "plataforma en línea" según la DSA.

Las obligaciones concretas para la mayoría de las plataformas

1. Punto de contacto (artículos 11 y 12)

Un correo o un canal publicado donde las autoridades y los usuarios puedan contactarte por contenidos ilícitos. "Mándanos un tuit a la cuenta de prensa" no cumple. Necesitas un canal público y atendido.

2. Claridad de las condiciones generales (artículo 14)

Tus condiciones tienen que describir, en lenguaje claro, tus políticas de contenido, las medidas de moderación que aplicas y las medidas que puedes tomar para hacerlas cumplir. Enterrar esto en un PDF de 40 páginas de jerga legal ya no basta.

3. Mecanismo de notificación y acción (artículo 16)

Cualquier usuario tiene que poder notificar contenidos presuntamente ilícitos mediante una interfaz "de fácil uso". Tienes que tramitar las notificaciones "de manera oportuna, diligente, no arbitraria y objetiva". La interfaz tiene que recoger información suficiente para evaluar la notificación.

4. Declaración de motivos (artículo 17)

Cuando retiras contenido, restringes su visibilidad o suspendes cuentas, tienes que enviar al usuario afectado una explicación clara. Incluye:

• La medida adoptada.
• Los hechos y circunstancias en que se basa.
• El motivo (¿contenido ilícito? ¿incumplimiento de las condiciones generales?).
• Si se usaron medios automatizados.
• Las vías de recurso de que dispone el usuario.

"Tu publicación se ha retirado por incumplir las normas de la comunidad" es justo el tipo de declaración vaga que no lo cumple. Tienes que concretar qué se incumplió y por qué.

5. Sistema interno de gestión de reclamaciones (artículo 20)

Los usuarios tienen que poder recurrir las decisiones de moderación. Las reclamaciones tienen que resolverlas personas (nada de recursos resueltos solo por IA). Tienes que actuar en un "plazo razonable".

6. Informes de transparencia (artículos 15 y 24)

Como mínimo una vez al año (dos para las plataformas más grandes), publica un informe con:

• Número de órdenes de las autoridades recibidas y atendidas.
• Número de notificaciones recibidas a través del mecanismo de notificación y acción.
• Tu propia actividad de moderación (actuaciones por iniciativa propia), desglosada por categoría.
• Uso de herramientas automatizadas: precisión, tasa de error, salvaguardias.
• Número de personas, idiomas cubiertos, formación impartida.

7. Alertadores fiables (artículo 22)

Las notificaciones de los "alertadores fiables" designados tienen que tramitarse con prioridad. No los designas tú, los designan las autoridades nacionales. Pero necesitas una vía para gestionar sus notificaciones con rapidez.

8. Protección de los menores (artículo 28)

Si los menores pueden acceder a tu plataforma, tienes que adoptar "medidas adecuadas y proporcionadas". La DSA no prescribe una verificación de edad concreta, pero sí prohíbe la publicidad basada en perfiles dirigida a menores y espera que adoptes medidas de seguridad activas.

Cómo es una moderación "suficiente" según la DSA

La DSA no impone herramientas ni umbrales concretos. Impone una moderación diligente, con políticas documentadas y decisiones auditables. En la práctica:

• Cada decisión de moderación tiene que registrarse con la categoría, el motivo, la confianza y si intervino una persona.
• Cada medida que afecte a un usuario tiene que ir acompañada de una declaración de motivos enviada al usuario.
• Tus condiciones tienen que enumerar tus categorías y medidas de moderación.
• Tu formulario de notificación y acción tiene que recoger la información necesaria para actuar.
• Tienes que tener capacidad para responder a notificaciones y reclamaciones en plazos razonables.

Sanciones

La DSA permite multas de hasta el 6% del volumen de negocios anual mundial. Para una pyme suena teórico; para una VLOP puede poner en juego su supervivencia. Pero la experiencia hasta ahora muestra también que los reguladores nacionales usan sanciones proporcionadas: las plataformas pequeñas reciben advertencias y requerimientos de cumplimiento antes que multas. El riesgo real para las plataformas pequeñas no es la multa, es el coste de ponerse al día después de la primera carta del regulador.

Un stack de moderación mínimo conforme a la DSA

1. Moderación con IA que emite decisiones categorizadas y con puntuación de confianza.
2. Un registro de cada elemento moderado con la decisión, la categoría, la confianza, la fecha y hora y si lo revisó una persona.
3. Un sistema de notificación a usuarios que envía declaraciones de motivos en cada medida adoptada.
4. Un formulario de notificación y acción accesible a quien no es usuario (visitantes que notifican contenidos ilícitos).
5. Un endpoint de reclamaciones atendido por personas, con seguimiento de plazos.
6. Un proceso que agrega los registros cada trimestre para el informe público de transparencia.

A menudo se describe la DSA como pesada. Lo es si la incorporas a última hora. Diseñada desde el principio, se corresponde casi 1:1 con lo que un buen equipo de trust & safety montaría de todos modos.