El pasado 26 de mayo de 2026, el Consejo de Ministros aprobĆ³ el proyecto de Ley OrgĆ”nica para el buen uso y la gobernanza de la inteligencia artificial, dando luz verde a su remisiĆ³n al Congreso de los Diputados. Con sanciones que pueden alcanzar los 35 millones de euros, esta norma no es una seƱal de alerta lejana ā es una realidad que ya estĆ” llamando a la puerta de tu organizaciĆ³n. En este artĆculo te explicamos quĆ© cambia, quĆ© riesgos implica y cĆ³mo posicionarte correctamente antes de que la ley entre en plena vigencia.
šļø ĀæQuĆ© ha aprobado exactamente el Gobierno?
El texto, impulsado por el ministro de TransformaciĆ³n Digital, Ćscar LĆ³pez, adapta al ordenamiento jurĆdico espaƱol el Reglamento Europeo de Inteligencia Artificial (AI Act), en vigor desde agosto de 2024, mediante una ley orgĆ”nica ā lo que significa que afecta directamente a derechos fundamentales de las personas.
El ministro lo resumiĆ³ con contundencia: Ā«Hemos dado un salto muy importante en un debate que es absolutamente civilizatorio. Estamos hablando de avanzar o retroceder.Ā» Y aƱadiĆ³ algo que muchas empresas aĆŗn no han interiorizado: en EspaƱa, regulaciĆ³n e innovaciĆ³n no compiten ā se complementan.
EspaƱa no llega tarde a esta regulaciĆ³n. Al contrario: fue el paĆs que impulsĆ³ el AI Act durante su Presidencia del Consejo de la UE, cuenta con la Agencia EspaƱola de SupervisiĆ³n de la Inteligencia Artificial (AESIA) ā la primera de Europa ā, dos fĆ”bricas de IA de la UE, un proyecto de gigafactorĆa y un modelo propio de IA en espaƱol, ALIA. El Gobierno lo reivindica con claridad: EspaƱa aspira a ser lĆder mundial en regulaciĆ³n de IA, y los datos de Stanford y Microsoft asĆ lo avalan.
El proyecto aĆŗn debe superar la tramitaciĆ³n parlamentaria, que se prevĆ© compleja. Pero el mensaje es inequĆvoco: el marco regulatorio estĆ” en marcha y las empresas deben prepararse hoy.
š« Sistemas prohibidos: la lĆnea roja que ninguna empresa puede cruzar
Una de las aportaciones mĆ”s relevantes de esta Ley de Inteligencia Artificial es la tipificaciĆ³n expresa de los sistemas de IA prohibidos, que van mĆ”s allĆ” de los ocho ya contemplados en el AI Act europeo. De hecho, a iniciativa de EspaƱa ā con el apoyo de Francia ā, el pasado 7 de mayo la UE acordĆ³ aƱadir dos nuevas prohibiciones al Reglamento, incluyendo los deepfakes sexuales, tras la polĆ©mica generada por el asistente Grok de la red social X.
Los sistemas expresamente prohibidos incluyen:
- Deepfakes de contenido sexualĀ generados sin consentimiento, especialmente cuando afectan a mujeres y menores.
- TĆ©cnicas subliminales de manipulaciĆ³nĀ ā como un chatbot que detecte usuarios con ludopatĆa y los dirija a plataformas de juego online mediante estĆmulos imperceptibles.
- ExplotaciĆ³n de vulnerabilidadesĀ de colectivos como menores, personas con discapacidad o en situaciĆ³n socioeconĆ³mica precaria. Ejemplo: un juguete con IA que anime a niƱos a completar retos con riesgo de daƱo fĆsico.
- ClasificaciĆ³n biomĆ©trica masivaĀ basada en raza, religiĆ³n, ideologĆa u orientaciĆ³n sexual ā como un sistema que deduzca la orientaciĆ³n polĆtica de una persona analizando sus fotos en redes sociales.
- Sistemas de puntuaciĆ³n socialĀ que denieguen subvenciones, prĆ©stamos u oportunidades basĆ”ndose en comportamientos o rasgos personales.
Estos usos no solo generan las sanciones mĆ”s elevadas ā implican responsabilidad directa de los responsables de los sistemas, algo que la ley exige de forma explĆcita.
ā ļø El rĆ©gimen sancionador: tres niveles que debes conocer
La ley establece un sistema de sanciones escalonado, proporcional y con mecanismos que priorizan la correcciĆ³n antes que la penalizaciĆ³n. AquĆ el resumen que toda organizaciĆ³n deberĆa tener sobre la mesa:
| Nivel de infracciĆ³n | Tipo de sistema implicado | SanciĆ³n mĆ”xima |
|---|---|---|
| š“ Muy grave | Sistemas prohibidos (deepfakes, manipulaciĆ³n subliminal, clasificaciĆ³n biomĆ©trica indiscriminada) | 35 Mā¬ o 7% del volumen de negocio |
| š Grave | Sistemas de alto riesgo sin supervisiĆ³n humana adecuada | 15 Mā¬ o 3% del volumen de negocio |
| š” Leve | Incumplimientos menores de obligaciones formales | 500.000 ā¬ o 0,5% del volumen de negocio |
Dos aspectos clave que muchas empresas pasan por alto:
- Las sanciones se modulan en funciĆ³n de laĀ gravedad, intencionalidad y reincidencia.
- ExistenĀ reducciones por pronto pagoĀ y por adopciĆ³n de medidas correctoras.
- ElĀ tamaƱo empresarialĀ se tiene en cuenta expresamente para proteger aĀ pymes y startups, en lĆnea con el AI Act.
š¢ El sector pĆŗblico: gobernanza, transparencia y el delegado de IA
MĆ”s allĆ” del rĆ©gimen sancionador, la Ley de Inteligencia Artificial introduce medidas especĆficas para impulsar el buen uso de la IA en el sector pĆŗblico estatal ā una novedad que no procede directamente del AI Act europeo, sino de las propuestas recibidas durante la audiencia pĆŗblica.
Las dos figuras clave que toda organizaciĆ³n que trabaje con o para la AdministraciĆ³n debe conocer:
- Inventario de sistemas de IA: registro de todos los sistemas utilizados en procedimientos administrativos, no solo los de alto riesgo, reforzando la transparencia pĆŗblica.
- Delegado de IA: figura responsable de coordinar la aplicaciĆ³n normativa, asesorar en proyectos y supervisar la contrataciĆ³n pĆŗblica en materia de IA.
Ambas figuras se desarrollarĆ”n mediante Real Decreto, lo que abre una ventana de oportunidad para las organizaciones que quieran posicionarse como referentes en cumplimiento normativo ante la AdministraciĆ³n. Adicionalmente, la ley impulsa la formaciĆ³n y concienciaciĆ³n de los empleados pĆŗblicos en materia de inteligencia artificial.
š¬ Sandboxes regulatorios: innovar con seguridad
Otra novedad destacada es la regulaciĆ³n de los entornos controlados de pruebas (sandboxes) a escala nacional. EspaƱa ya se adelantĆ³ a la obligaciĆ³n europea con su propio Sandbox de IA, y ahora la ley formaliza su gobernanza:
- El sandbox nacional deĀ obligada creaciĆ³nĀ por el AI Act serĆ” operado por laĀ AESIA.
- Se permite la creaciĆ³n deĀ sandboxes adicionalesĀ por parte de las Autoridades de Vigilancia del Mercado, vinculados a sus sectores de supervisiĆ³n.
- En todos los entornos de prueba deberĆ”n participar lasĀ autoridades de polĆticas pĆŗblicas sectorialesĀ y lasĀ autoridades de derechos fundamentalesĀ relacionadas.
Para empresas que desarrollan o despliegan sistemas de IA, los sandboxes representan una vĆa real para testear soluciones en un entorno seguro y con respaldo regulatorio antes de su comercializaciĆ³n.
š ĀæQuiĆ©n supervisa quĆ©? El mapa de autoridades competentes
La vigilancia del cumplimiento no recae en un Ćŗnico organismo. Dependiendo del sector y el tipo de sistema, la autoridad competente varĆa:
- AESIAĀ ā Sistemas vinculados al empleo, biometrĆa, educaciĆ³n y otros Ć”mbitos generales. TambiĆ©n actĆŗa comoĀ punto de contacto ĆŗnicoĀ para cuestiones de supervisiĆ³n.
- AEPDĀ (Agencia EspaƱola de ProtecciĆ³n de Datos) ā Cuando el tratamiento de datos personales estĆ© en juego.
- CGPJĀ (Consejo General del Poder Judicial) ā Para aplicaciones en el Ć”mbito judicial.
- Autoridades sectoriales existentesĀ ā Para productos como maquinaria, vehĆculos, juguetes o dispositivos sanitarios que ya tienen su propio marco regulador.
Esta arquitectura de supervisiĆ³n distribuida implica que muchas empresas deberĆ”n coordinarse con mĆ”s de un organismo regulador, lo que aumenta significativamente la complejidad del cumplimiento.
š” ĀæQuĆ© debe hacer tu empresa ahora mismo?
La aprobaciĆ³n de este proyecto de ley no es el momento de esperar ā es el momento de actuar. Desde nuestra experiencia acompaƱando a organizaciones en el cumplimiento del AI Act europeo y en la implementaciĆ³n de marcos de gobernanza de IA, identificamos cuatro prioridades inmediatas:
- Auditar los sistemas de IA en uso: identificar si alguno cae en categorĆas de alto riesgo o uso prohibido.
- Mapear las obligaciones aplicables: segĆŗn el sector, el tipo de datos y los organismos supervisores competentes.
- Designar un responsable interno: la figura del delegado de IA no es solo una exigencia pĆŗblica ā es una buena prĆ”ctica para cualquier organizaciĆ³n que use IA de forma significativa.
- Explorar los sandboxes regulatorios: si desarrollas soluciones de IA, los entornos de prueba son una oportunidad para innovar con seguridad jurĆdica.
La ley aĆŗn recorrerĆ” el Parlamento, pero su orientaciĆ³n es clara e irreversible. Las empresas que empiecen a trabajar en su cumplimiento hoy tendrĆ”n una ventaja competitiva real frente a las que esperen a la publicaciĆ³n en el BOE.
š¤ Agile611: tu partner en gobernanza de IA
Navegar este nuevo marco regulatorio puede parecer complejo, pero no tienes que hacerlo solo. En Agile611 acompaƱamos a organizaciones de todos los tamaƱos y sectores en el diseƱo e implementaciĆ³n de sus estrategias de gobernanza de inteligencia artificial ā desde la auditorĆa inicial de sistemas hasta la designaciĆ³n y formaciĆ³n del delegado de IA, pasando por la elaboraciĆ³n de polĆticas internas, la gestiĆ³n del riesgo algorĆtmico y la preparaciĆ³n para la supervisiĆ³n de la AESIA. Entendemos la ley, conocemos la tecnologĆa y sabemos cĆ³mo traducir ambas en procesos reales dentro de tu organizaciĆ³n. Porque cumplir con la normativa no es un freno a la innovaciĆ³n ā es la base sobre la que construir una IA en la que tus clientes, empleados y reguladores puedan confiar.