Ley de IA española: qué exige a tu empresa y cómo demostrar cumplimiento.

El Reglamento Europeo de IA (AI Act) está en vigor desde agosto de 2024 y su régimen sancionador es plenamente aplicable desde el 2 de agosto de 2026. España aprobó el 26 de mayo de 2026 el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, que adapta ese reglamento al ordenamiento español y se tramita por vía de urgencia.

A cualquier empresa que desarrolle, comercialice o use sistemas de IA cuyos efectos se produzcan en España o en la UE, con independencia de su tamaño o sector. Las obligaciones dependen del nivel de riesgo del sistema, no del tamaño de la empresa. Usos habituales como IA en selección de personal, scoring crediticio, atención al cliente o generación de contenido pueden conllevar nuevas obligaciones.

Las infracciones se clasifican en muy graves, graves y leves. Muy graves (por ejemplo, usar sistemas prohibidos): hasta 35 millones de euros o el 7 % de la facturación anual mundial. Graves: hasta 15 millones o el 3 %. Leves: hasta 500.000 euros o el 0,5 %. Se aplican criterios de proporcionalidad y se tiene en cuenta el tamaño de pymes y startups.

La Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña y operativa desde 2025. Es la autoridad nacional que coordina la vigilancia del mercado y opera el entorno controlado de pruebas (sandbox). Otras autoridades, como la AEPD y el CGPJ, mantienen competencias en sus ámbitos.

El AI Act prohíbe las prácticas de riesgo inaceptable: técnicas subliminales que causen daño, explotación de vulnerabilidades por edad, discapacidad o situación socioeconómica, categorización biométrica por raza u orientación, social scoring y el reconocimiento de emociones en el trabajo o la educación, entre otras. España ha añadido la prohibición de los deepfakes sexuales. En total son diez prácticas prohibidas.

Un sistema que puede afectar a la seguridad o a los derechos fundamentales: IA en selección de personal, educación, acceso a servicios esenciales, crédito, biometría, infraestructuras críticas o componentes de seguridad de productos regulados. Conlleva obligaciones reforzadas: gestión de riesgos, documentación técnica, supervisión humana, registro y evaluación de conformidad.

Sí. El AI Act impone obligaciones de transparencia: los contenidos sintéticos (imágenes, audio, vídeo o texto generados o manipulados con IA) deben marcarse de forma legible y, cuando sea técnicamente posible, en un formato que las máquinas puedan detectar. Además, hay que informar a las personas cuando interactúan con un sistema de IA, como un chatbot.

La IA para selección, evaluación o gestión de personal suele considerarse de alto riesgo: exige supervisión humana efectiva, transparencia, control de sesgos y documentación. En atención al cliente con chatbots, debes informar de que el usuario está hablando con una IA y cumplir las obligaciones de transparencia.

Las obligaciones se aplican según el riesgo, pero la norma incluye medidas de proporcionalidad: reducción de sanciones por pronto pago o por adoptar medidas correctoras, consideración del tamaño de la empresa y acceso prioritario al sandbox de la AESIA para probar sistemas de forma segura.

La ley española no sustituye al AI Act: lo complementa designando las autoridades de supervisión, el régimen sancionador y los procedimientos nacionales. El AI Act es directamente aplicable; la ley española habilita su gobernanza y ejecución en España.

Un entorno controlado de pruebas operado por la AESIA en el que las empresas pueden desarrollar y validar sistemas de IA, especialmente de alto riesgo, bajo supervisión y antes de su salida al mercado, reduciendo el riesgo regulatorio.

Empieza por un inventario de todos los sistemas de IA en uso, incluido el shadow AI; clasifícalos por nivel de riesgo; implanta supervisión humana y trazabilidad; documenta y evalúa el impacto en los derechos fundamentales. Una evaluación de cumplimiento te da el mapa de brechas priorizado para llegar a tiempo al 2 de agosto de 2026.