Ley de inteligencia artificial en España: qué hay aprobado de verdad (y qué es el AI Act)

«Ley de IA en España»: las dos capas que todo el mundo mezcla

España no tiene todavía una ley propia de inteligencia artificial en vigor. La norma que ya obliga a las empresas españolas es el AI Act — el Reglamento (UE) 2024/1689 —, directamente aplicable sin necesidad de ley nacional; lo que España añade es el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, en tramitación en el Congreso desde junio de 2026, que designa autoridades y concreta las sanciones nacionales. Esa es la respuesta completa en una frase. El resto del artículo es el desglose — porque en la confusión entre las dos capas se están tomando decisiones equivocadas: desde «esperar a la ley española» para empezar la adecuación hasta pagar por certificados que no existen.

El origen del lío es comprensible. Un reglamento europeo no funciona como una directiva: no hay que «transponerlo» a una ley española para que aplique. El AI Act rige en los 27 Estados miembros desde su entrada en vigor el 1 de agosto de 2024, con un calendario de aplicación escalonado. Cuando los medios titulan «España aprueba la ley de la inteligencia artificial», hablan de otra cosa: de la norma nacional que organiza la ejecución del reglamento — quién vigila, quién sanciona y con qué procedimiento.

Para el detalle de la capa europea — qué prohíbe, a quién aplica, qué es el alto riesgo y qué te toca según el tamaño de tu empresa — la referencia es nuestra guía del AI Act para empresas españolas. Este artículo se centra en la capa española: el proyecto de ley y AESIA.

El proyecto de ley español, en detalle: qué contiene y en qué fase está

El nombre completo importa, porque delata su función: Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. No es «la ley española de IA» en el sentido de un reglamento paralelo con obligaciones propias — es la pieza de gobernanza que el AI Act pide a cada Estado miembro: designar autoridades de vigilancia de mercado, montar los espacios controlados de pruebas (sandboxes) y concretar el régimen sancionador nacional dentro de las horquillas que fija el art. 99 del reglamento. Los tres tramos europeos — hasta 35 millones de euros o el 7% de la facturación mundial por prácticas prohibidas, hasta 15 millones o el 3% por incumplir el resto de obligaciones, hasta 7,5 millones o el 1% por información engañosa a las autoridades — los desglosamos multa a multa en Sanciones del AI Act: multas por artículo.

¿Cambiará el texto antes de aprobarse? Es probable — para eso existe la fase de enmiendas — pero el margen es acotado: la parte sustantiva (prohibiciones, alto riesgo, transparencia, multas máximas) viene fijada por el reglamento europeo y España no puede rebajarla ni endurecerla fuera de sus horquillas. Lo que se juega en la tramitación es el reparto competencial entre autoridades, el detalle del procedimiento sancionador y los matices del sandbox. Relevante para juristas; poco determinante para lo que una pyme tiene que hacer este año.

Qué es AESIA — y qué no es

La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, es la pieza institucional central de la capa española. No es una promesa del proyecto de ley: existe desde 2023 — su Estatuto se aprobó por el Real Decreto 729/2023, de 22 de agosto — y ya realiza labores de supervisión, asesoramiento, concienciación y formación. Lo que hace el proyecto de ley es consolidar su papel bajo el AI Act: autoridad de vigilancia de mercado para la mayoría de sistemas de IA y punto de contacto único de España ante la Comisión Europea. En paralelo actúan autoridades sectoriales en sus ámbitos — para una pyme, la más relevante en la práctica sigue siendo la AEPD, porque casi todo sistema de IA que trate datos personales responde también ante el RGPD.

Igual de importante es acotar lo que AESIA no es, porque alrededor de la agencia se está formando su propia capa de mitos:

• No emite «certificados AI Act». No existe una certificación oficial única del reglamento que una agencia expida y te deje «cumplido». La conformidad de los sistemas de alto riesgo es una evaluación con reglas propias, y la ISO/IEC 42001 es una norma de gestión voluntaria — quién certifica qué, y qué hay de verdad detrás de esa etiqueta, lo explicamos en ¿Existe el certificado AI Act?.
• No autoriza previamente tus sistemas. El modelo del AI Act no es pedir permiso a una agencia antes de desplegar: es cumplir las obligaciones que correspondan a tu nivel de riesgo, documentarlo y responder ante la vigilancia de mercado si te lo requieren.
• No es la única autoridad. El esquema es de varias autoridades con ámbitos propios (protección de datos, ámbitos sectoriales regulados), con AESIA como pieza central y punto de contacto único.

Qué debe cumplir tu empresa hoy, sin esperar a la ley española

La trampa mental de «hasta que no haya ley española no me afecta» sale cara: las obligaciones que aplican a una empresa usuaria de IA ya están vigentes o tienen fecha en el calendario europeo. Por orden de urgencia real:

1. Ya deberías cumplirlo (desde el 2 de febrero de 2025): verificar que ninguna herramienta cae en las prácticas prohibidas del art. 5 — el tropiezo típico en pymes es el reconocimiento de emociones de empleados — y tener la formación de alfabetización en IA del art. 4 documentada.
2. Desde el 2 de agosto de 2025: obligaciones de los modelos de uso general (GPAI). Afectan sobre todo a los proveedores de modelos, pero conviene revisar qué dicen los contratos de tus proveedores de IA al respecto.
3. Antes del 2 de agosto de 2026: transparencia del art. 50. Si tienes un chatbot, un agente de voz o publicas contenido sintético, que se identifique y se marque. Esta fecha no se aplaza.
4. Horizonte 2027-2028 (alto riesgo): aquí hay dos calendarios superpuestos — el vigente del art. 113 y el del paquete Digital Omnibus, aprobado en junio de 2026 y pendiente de publicación en el DOUE, que trasladará el alto riesgo del anexo III al 2 de diciembre de 2027 y el del anexo I al 2 de agosto de 2028. Las dos capas, fecha a fecha, están en el calendario completo del AI Act.

Nada de esa lista depende de que las Cortes aprueben la ley española. Lo que la ley añadirá es quién te inspecciona y con qué procedimiento te sancionan en España — no si tienes que cumplir. Y cuando la duda es de mapa («¿qué me aplica a mí, con mis herramientas y mis casos de uso?»), un diagnóstico honesto de consultoría de IA cuesta una reunión — no un susto regulatorio. Ese trabajo de transparencia y supervisión humana desde el diseño es el que aplicamos en la implementación y gestión de agentes de IA.