El Congreso tramita la Ley Orgánica que aterriza en España el Reglamento europeo de IA, con la AESIA como órgano sancionador y multas que igualan a las del RGPD.
El Consejo de Ministros aprobó el 26 de mayo de 2026 la remisión al Congreso del Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, publicado en el Boletín Oficial de las Cortes Generales el 12 de junio. La norma traslada a España el Reglamento (UE) 2024/1689, ya en vigor desde agosto de 2024, y prevé sanciones que oscilarán entre 7,5 y 35 millones de euros, o entre el 2% y el 7% de la facturación mundial de la empresa, según la infracción. A fecha de hoy, la ley española sigue sin aprobación definitiva, mientras el reglamento europeo ya despliega obligaciones directas sobre miles de empresas que operan en España.
¿Qué es la Ley de IA y de dónde viene?
La llamada «Ley de IA» no es una norma aislada, sino la pieza nacional de un edificio regulatorio construido en dos niveles. En el primero está el Reglamento (UE) 2024/1689, la norma europea que fija las reglas comunes para el desarrollo, la comercialización y el uso de sistemas de inteligencia artificial en toda la Unión, y que por su naturaleza de reglamento es de aplicación directa en España sin necesidad de transposición.
Sin embargo, el propio reglamento europeo exige que cada Estado miembro designe autoridades nacionales de vigilancia y articule un régimen sancionador propio. Para cubrir ese segundo nivel, el Gobierno español elaboró el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (PLOIA), que no transpone una directiva, sino que desarrolla y hace ejecutable en España lo que Bruselas ya ha decidido.
El texto designa como autoridades de notificación y vigilancia a la AESIA, la AEPD y el CGPJ, define las infracciones y sanciones, crea espacios controlados de pruebas, obliga al sector público a registrar y dar transparencia sobre su uso de IA, y establece una ventanilla única de denuncias con protección para los informantes. Además, modifica de forma puntual normativa tributaria, de seguridad social y electoral para cubrir riesgos específicos derivados de la IA.
A quién aplica la norma
El Reglamento europeo —y por extensión la futura ley española— tiene un alcance deliberadamente amplio. No solo obliga a quienes desarrollan sistemas de inteligencia artificial (los «proveedores»), sino también a quienes los usan en su actividad profesional (los «desplegadores»), a los importadores y a los distribuidores. Alcanza tanto a empresas con sede en la Unión Europea como a compañías extranjeras cuyos sistemas de IA afectan a personas dentro del territorio comunitario, lo que da a la norma un efecto extraterritorial similar al que ya tuvo el RGPD en materia de datos.
En España, el proyecto de ley tendrá impacto directo en empresas, administraciones públicas y entidades que desarrollen o utilicen sistemas de inteligencia artificial, lo que en la práctica incluye desde una gran tecnológica que entrena modelos de propósito general hasta una pyme que usa un chatbot de atención al cliente o un asistente de IA generativa para redactar documentos internos.
Qué contempla: prácticas prohibidas y niveles de riesgo
El corazón del Reglamento europeo es su clasificación de los sistemas de IA en cuatro niveles: riesgo inaceptable (prohibido), alto riesgo (obligaciones estrictas de gestión de riesgos, documentación técnica y supervisión humana), riesgo limitado (obligaciones de transparencia) y riesgo mínimo, sin exigencias específicas.
Entre las prácticas prohibidas se encuentran los sistemas que emplean técnicas subliminales para manipular el comportamiento, los que explotan la vulnerabilidad de colectivos por edad, discapacidad o situación económica, y los sistemas de categorización biométrica que infieren orientación sexual, creencias religiosas o ideología política. La norma española va más allá de lo previsto en la normativa europea al añadir dos prohibiciones propias: los deepfakes sexuales y la generación o alteración de pornografía infantil mediante IA.
Para los sistemas de alto riesgo —los que operan en ámbitos como selección de personal, acceso al crédito, educación, sanidad o justicia—, el Reglamento exige sistemas de gestión de la calidad, evaluación de conformidad, trazabilidad de decisiones y supervisión humana significativa antes de su puesta en el mercado.
Cuándo entra en vigor: un calendario en dos velocidades
Aquí conviene distinguir con precisión entre lo que ya obliga y lo que sigue en trámite, porque es el punto donde más confusión genera la cobertura informativa del tema.
El Reglamento europeo ya está en vigor por fases. La AESIA asumió funciones de supervisión sobre las prácticas prohibidas del artículo 5 desde el 2 de febrero de 2025, y desde el 2 de agosto de 2025 puede ejercer competencias sancionadoras sobre ese ámbito. El próximo hito relevante es el 2 de agosto de 2026, fecha en la que se activa el régimen completo para los sistemas de alto riesgo y las obligaciones de transparencia del artículo 50 —etiquetado de contenido generado por IA, deepfakes, chatbots—, además de los poderes sancionadores nacionales sobre ese ámbito.
Ese calendario, no obstante, se ha visto modificado en las últimas semanas. El Digital Omnibus sobre IA, aprobado en junio de 2026, aplaza las obligaciones de los sistemas de alto riesgo del Anexo III al 2 de diciembre de 2027 y las del Anexo I al 2 de agosto de 2028, sin tocar ni las prohibiciones ni las obligaciones de transparencia, que siguen intactas.
La ley española, en cambio, sigue en tramitación parlamentaria. A 13 de julio de 2026, el texto todavía no está aprobado definitivamente ni ha entrado en vigor, y el plazo de presentación de enmiendas se ha ampliado hasta el 2 de septiembre de 2026. Al tratarse de una ley orgánica, su aprobación definitiva requerirá mayoría absoluta en el Congreso, lo que añade incertidumbre sobre el calendario final de aprobación.
Las multas: cifras que igualan al RGPD
El régimen sancionador es, junto al calendario, el elemento que más atención ha concentrado entre asesorías y despachos de abogados. Las cuantías previstas replican la arquitectura de gravedad ya conocida por el Reglamento General de Protección de Datos, aunque con techos incluso superiores:
- Prácticas prohibidas (el escalón más grave): entre 7,5 y 35 millones de euros, o entre el 2% y el 7% del volumen de negocio mundial del ejercicio anterior, la cifra que resulte superior, salvo en el caso de las pymes, para las que se aplicará la cuantía menor de las dos.
- Incumplimiento de otras obligaciones —incluidas las de transparencia—: hasta 15 millones de euros o el 3% de la facturación mundial anual.
- Suministro de información incorrecta o engañosa a las autoridades de supervisión: sanciones de menor cuantía, en la franja inferior del régimen.
La autoridad llamada a instruir y resolver estos expedientes en España es la AESIA. La Agencia Española de Supervisión de la Inteligencia Artificial, creada por el Real Decreto 729/2023 y con sede en A Coruña, es la autoridad notificante del Reglamento europeo, y a partir de agosto de 2026 sumará a sus competencias actuales la capacidad de inspeccionar y sancionar también los sistemas de alto riesgo.
Cómo afecta a las empresas: obligaciones según el rol
No todas las empresas asumen las mismas cargas. El propio Reglamento distingue entre quien desarrolla un sistema de IA (proveedor) y quien simplemente lo utiliza en su negocio (desplegador), y las obligaciones se gradúan según esa distinción y según el nivel de riesgo del sistema empleado.
Para una empresa que no desarrolla IA propia pero la incorpora a su actividad —el caso de la inmensa mayoría de pymes españolas— las prioridades prácticas se concentran en cuatro frentes:
- Inventariar qué sistemas de IA usa la organización, incluidos los que llegan integrados en herramientas de terceros (CRM, software de RR. HH., atención al cliente).
- Clasificar el riesgo de cada sistema conforme al Reglamento, para saber qué obligaciones le aplican y desde cuándo.
- Revisar la transparencia inmediata: chatbots, contenido generado por IA y cualquier uso de deepfakes en comunicación o marketing ya deben identificarse como tales.
- Documentar la supervisión humana sobre las decisiones relevantes que apoye un sistema de IA, especialmente en selección de personal, concesión de crédito o atención a clientes vulnerables.
No hace falta esperar a 2027 para ponerse en marcha: la obligación de transparencia y el etiquetado de contenido generado por IA ya son exigibles, y el margen hasta la plena aplicación de las normas de alto riesgo debe emplearse para documentar procesos, no para posponer decisiones.
Lo que viene: qué esperar en los próximos meses
El calendario inmediato combina dos procesos paralelos que conviene no confundir. Por un lado, el trámite parlamentario español, con el plazo de enmiendas abierto hasta el 2 de septiembre de 2026 y sin fecha cierta de aprobación definitiva, dado que se trata de una ley orgánica que exige mayoría absoluta. Por otro, el calendario europeo del Reglamento, que sigue avanzando con independencia de que España tenga o no su ley nacional en vigor: el 2 de agosto de 2026 activa el grueso de las obligaciones de transparencia y los poderes sancionadores nacionales sobre las prácticas ya prohibidas, mientras que buena parte de las exigencias de alto riesgo se ha desplazado a diciembre de 2027 y agosto de 2028 tras el Digital Omnibus.
La consecuencia práctica es que ninguna empresa puede permitirse esperar a que el BOE publique la ley española para empezar a cumplir: gran parte de lo que importa —prohibiciones, transparencia, sanciones sobre esos dos capítulos— ya está en vigor por la vía directa del reglamento europeo.
La opinión de El Vértice
La regulación de la inteligencia artificial responde a un objetivo legítimo: ningún Estado de derecho puede permitir que la manipulación biométrica, los deepfakes sexuales o la explotación de personas vulnerables queden fuera del control judicial y administrativo. En eso, la iniciativa del Gobierno merece un respaldo de fondo.
Ahora bien, la seguridad jurídica de las empresas españolas exige algo más que buenas intenciones: exige plazos claros. Que el reglamento europeo avance por su calendario mientras la ley nacional que debe darle instrumentos sancionadores propios permanece meses en fase de enmiendas, sin fecha cierta de aprobación, sitúa a autónomos y pymes en la incómoda posición de cumplir una norma cuyo desarrollo institucional en España todavía no está cerrado.
La responsabilidad presupuestaria y regulatoria no consiste solo en legislar rápido, sino en legislar con la certeza suficiente para que el tejido productivo pueda planificar.
¿Puede una economía competir en inteligencia artificial si buena parte de sus actores no sabe con precisión, a día de hoy, cuándo estará vigente el marco sancionador que se le aplicará?
Chollones
Chollones
Chollones
