Muchas empresas buscan «la ley de IA española» para saber qué tienen que hacer. La respuesta corta es que la norma que manda es europea y ya se aplica, mientras que la ley española que debía completarla se ha quedado por el camino. En esta guía te explicamos qué obligaciones son exigibles en octubre de 2026, cómo saber si tu empresa es proveedora o responsable del despliegue, qué pasa con las sanciones, la AESIA y el sandbox, y te dejamos una lista de comprobación para ponerte al día.
Qué norma se aplica realmente en España
El Reglamento europeo de IA es un reglamento, no una directiva: obliga directamente a empresas y administraciones de todos los Estados miembros sin necesidad de una ley nacional que lo trasponga. Lo que el Reglamento deja a cada país es organizar la supervisión: designar autoridades, fijar el régimen de sanciones dentro de los límites europeos y poner en marcha entornos controlados de pruebas.
España adelantó parte de ese trabajo. Creó la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), cuyo Estatuto se aprobó por el Real Decreto 729/2023, que fija su sede institucional en A Coruña. Y en 2023 lanzó un entorno de pruebas piloto, antes incluso de que el Reglamento se aprobara.
La pieza que falta es la ley nacional. El Consejo de Ministros aprobó el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que se publicó en el Boletín Oficial de las Cortes Generales el 12 de junio de 2026 (expediente 121/000096). Tras sucesivas ampliaciones del plazo de enmiendas, la ficha del Congreso lo da por «concluido (caducado)» el 6 de octubre de 2026, con la disolución de las Cámaras y la convocatoria de elecciones generales para el 29 de noviembre. El nuevo Gobierno tendrá que volver a presentarlo.
Calendario de aplicación tras el Digital Omnibus
En 2026 la UE aprobó un paquete de simplificación, el llamado Digital Omnibus sobre IA, que entró en vigor el 27 de julio de 2026 según la Comisión Europea. Aplaza las obligaciones de alto riesgo, añade una prohibición y suaviza la alfabetización, pero deja intactas las demás fechas.
| Fecha | Qué se aplica | Situación en octubre de 2026 |
|---|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas y alfabetización en IA (artículo 4) | En vigor |
| 2 de agosto de 2025 | Gobernanza (Oficina de IA, autoridades) y obligaciones de los proveedores de modelos de uso general | En vigor |
| 2 de agosto de 2026 | Aplicación general, transparencia (artículo 50) y supervisión nacional | En vigor |
| 2 de diciembre de 2026 | Prohibición de sistemas que generan imágenes sexuales no consentidas o material de abuso infantil; fin del periodo de gracia del marcado técnico para sistemas ya comercializados | Próximo |
| 2 de diciembre de 2027 | Sistemas de alto riesgo del anexo III (empleo, educación, crédito, servicios esenciales, biometría…) | Aplazado desde agosto de 2026 |
| 2 de agosto de 2028 | Sistemas de alto riesgo integrados en productos regulados del anexo I (máquinas, juguetes, productos sanitarios…) | Aplazado desde agosto de 2027 |
Si lo que te interesa es qué cambia como ciudadano (etiquetas, derechos, prácticas prohibidas explicadas una a una), lo contamos en qué cambia el Reglamento europeo de IA para los usuarios. Aquí nos centramos en las empresas.
Primer paso: saber qué papel tiene tu empresa
Las obligaciones dependen del rol que ocupes respecto a cada sistema de IA, y una misma empresa puede tener varios roles a la vez. Los dos que importan a la mayoría son el de proveedor y el de responsable del despliegue.
| Rol | Quién es | Ejemplo | Obligaciones principales |
|---|---|---|---|
| Proveedor | Desarrolla un sistema o modelo de IA y lo comercializa o pone en servicio con su nombre o marca | Una startup que vende un software de selección de personal con IA | Si es de alto riesgo: gestión de riesgos, calidad de datos, documentación técnica, registros, supervisión humana, evaluación de conformidad, marcado CE y registro en la base de datos de la UE. Siempre: transparencia del artículo 50 |
| Responsable del despliegue | Usa un sistema de IA bajo su autoridad en una actividad profesional | Una gestoría que usa ChatGPT; una tienda con un chatbot comprado | Alfabetización, transparencia (deepfakes, emociones) y, en alto riesgo, uso conforme a instrucciones, supervisión humana y conservación de registros |
| Importador | Introduce en la UE un sistema de un proveedor de fuera | Distribuidor oficial español de un software estadounidense | Verificar que el proveedor ha cumplido y conservar documentación |
| Distribuidor | Comercializa el sistema sin ser proveedor ni importador | Un integrador que revende licencias | Comprobar marcado y documentación, y no comercializar si no cumple |
Ojo a la conversión de usuario en proveedor (artículo 25): si pones tu nombre o marca a un sistema de alto riesgo, lo modificas sustancialmente o cambias su finalidad de forma que pase a ser de alto riesgo, asumes las obligaciones del proveedor. Es el caso típico de la empresa que coge un modelo generalista y lo convierte en un evaluador de candidatos que vende a terceros.
Obligaciones del responsable del despliegue
Si tu empresa solo usa IA de terceros, estas son las obligaciones que te afectan, ordenadas de más general a más específica:
- Alfabetización en IA (artículo 4). Adoptar medidas para que tu personal y quienes usan IA en tu nombre tengan conocimientos suficientes, según su perfil y el contexto. Tras el Omnibus no se exige un nivel concreto, y la Comisión aclara que no hace falta certificado, aunque recomienda llevar un registro interno de la formación.
- Prácticas prohibidas (artículo 5). No usar sistemas de manipulación dañina, puntuación social, reconocimiento de emociones en el trabajo o en centros educativos, ni el resto de prácticas vetadas.
- Transparencia (artículo 50). Etiquetar los deepfakes que publiques, identificar los textos generados que informen al público sobre asuntos de interés general cuando no tengan revisión editorial, y avisar a las personas expuestas a sistemas permitidos de reconocimiento de emociones o categorización biométrica.
- Alto riesgo (artículo 26, desde diciembre de 2027). Usar el sistema conforme a sus instrucciones, asignar la supervisión humana a personas con competencia y autoridad, asegurarte de que los datos de entrada que controlas son pertinentes, conservar los registros generados al menos seis meses, informar a los trabajadores y sus representantes antes de usar estos sistemas en el lugar de trabajo e informar a las personas afectadas por decisiones tomadas con su ayuda.
- Evaluación de impacto en derechos fundamentales (artículo 27). Obligatoria para organismos públicos, entidades privadas que prestan servicios públicos y quienes usen IA para evaluar la solvencia de particulares o fijar precios de seguros de vida y salud.
En la práctica, la mayoría de usos de una pyme (redactar, resumir, traducir, atender consultas) son de riesgo mínimo o de transparencia. Para una hoja de ruta adaptada a empresas pequeñas, consulta nuestra guía práctica de IA para pymes.
Chatbots, contenido generado y deepfakes: quién etiqueta qué
El artículo 50 reparte la transparencia entre quien fabrica la herramienta y quien la usa. Conviene tenerlo claro porque es la obligación que más empresas tocan en el día a día:
- El proveedor de un sistema que conversa con personas debe diseñarlo para que informe de que es una IA, salvo que sea evidente. Si encargas un chatbot a medida para tu web, en la práctica pide que el aviso aparezca al inicio de la conversación.
- El proveedor de IA generativa debe marcar sus resultados (imagen, audio, vídeo y texto) de forma legible por máquinas. Para sistemas comercializados antes del 2 de agosto de 2026 hay margen hasta el 2 de diciembre de 2026.
- El responsable del despliegue que publica un deepfake, es decir, imagen, audio o vídeo que se parece de forma realista a personas, lugares o hechos reales, debe indicar de forma clara que es artificial. En obras artísticas, satíricas o de ficción basta con hacerlo sin estropear la obra.
- Las indicaciones deben darse de forma clara y distinguible, como tarde en el momento de la primera interacción o exposición, y respetando los requisitos de accesibilidad.
Un ejemplo de aviso razonable en un anuncio con un presentador sintético: «Imagen y voz generadas con inteligencia artificial» en pantalla durante toda la pieza. Si generas este tipo de contenido con herramientas como las que comparamos en las mejores IA para marketing, incorpora el aviso a tu plantilla de publicación.
Sanciones y quién las impone
El artículo 99 del Reglamento fija los máximos que deben respetar los Estados:
- Prácticas prohibidas: hasta 35 millones de euros o el 7 % del volumen de negocios mundial anual, la cifra que sea mayor.
- Incumplimiento de otras obligaciones de operadores, incluida la transparencia: hasta 15 millones o el 3 %.
- Información incorrecta, incompleta o engañosa a las autoridades: hasta 7,5 millones o el 1 %.
- Para pymes y empresas emergentes se aplica la cifra menor de las dos, no la mayor.
El proyecto de ley español caducado servía de anticipo de cómo se organizaría la supervisión: la AESIA como autoridad general de vigilancia del mercado y punto de contacto único; la AEPD y las autoridades autonómicas de protección de datos para determinados sistemas biométricos; el Consejo General del Poder Judicial en justicia; y el Banco de España, la CNMV y la Dirección General de Seguros para la evaluación de solvencia y los seguros. El texto calificaba como infracción grave no avisar de que un chatbot es una IA, no marcar el contenido sintético o no etiquetar un deepfake, con multas de hasta 7,5 millones de euros o el 1 % de la facturación. Mientras no se apruebe una ley nueva, esas cuantías y reparto no son derecho vigente.
El sandbox español y las guías de la AESIA
El Real Decreto 817/2023 creó un entorno controlado de pruebas para ensayar el cumplimiento del futuro Reglamento con sistemas de alto riesgo, de uso general y modelos fundacionales, dirigido a entidades residentes o establecidas en España y sin contraprestación económica. Su vigencia máxima era de 36 meses desde su entrada en vigor en noviembre de 2023, y el proyecto de ley caducado preveía derogarlo y encargar a la AESIA el sandbox permanente que el artículo 57 del Reglamento exige a cada Estado.
El resultado más útil de aquel piloto para cualquier empresa son las guías de la AESIA, gratuitas y no vinculantes: dos introductorias (una general y otra con ejemplos prácticos), trece técnicas sobre evaluación de conformidad, gestión de la calidad, gestión de riesgos, vigilancia humana, datos, transparencia, precisión, solidez, ciberseguridad, registros, vigilancia poscomercialización, incidentes y documentación técnica, y un manual con listas de comprobación. Si desarrollas IA, son el mejor punto de partida. Para participar en un futuro sandbox, vigila las convocatorias en la web de la AESIA.
Lista de comprobación para empresas
- Inventaria todos los sistemas de IA que usa o vende tu empresa, incluidos los que el personal usa por su cuenta y las funciones de IA integradas en software que ya pagáis.
- Asigna a cada uno tu rol (proveedor, responsable del despliegue, importador o distribuidor) y su nivel de riesgo.
- Descarta cualquier práctica prohibida, en especial el reconocimiento de emociones de empleados.
- Aprueba una política interna de uso de IA: herramientas autorizadas, datos prohibidos, revisión humana y etiquetado.
- Forma a la plantilla según su perfil y guarda registro de las sesiones.
- Revisa tus chatbots y asistentes: aviso de IA visible al inicio de la conversación.
- Define cómo etiquetas imágenes, vídeos y audios realistas creados con IA en publicidad y redes.
- Exige a tus proveedores de IA contrato de encargado del tratamiento, información sobre transferencias internacionales y documentación de cumplimiento del Reglamento.
- Si usas IA en selección de personal, evaluación de empleados o crédito, prepara ya supervisión humana, registros e información a trabajadores y afectados para diciembre de 2027, e informa al comité de empresa conforme al artículo 64.4.d) del Estatuto de los Trabajadores.
- Si desarrollas IA, revisa las guías de la AESIA y calcula si tu producto es de alto riesgo.
- Nombra a una persona responsable de seguir los cambios: el calendario ya se ha modificado una vez y la ley española volverá a tramitarse.
Para la parte de datos personales que entra en juego en casi todos estos usos, enlaza tu política con nuestra guía sobre privacidad en chatbots.
Fichas de las herramientas citadas
ChatGPT
OpenAI · Asistente conversacional
El asistente generalista de OpenAI para escribir, analizar, programar y buscar en un solo sitio.
Claude
Anthropic · Asistente conversacional
El asistente de Anthropic para escribir con matiz, programar y trabajar con documentos largos.
Gemini
Google · Asistente conversacional
El asistente de Google, integrado en Gmail, Docs, Drive y Android, con planes que incluyen almacenamiento.
Microsoft Copilot
Microsoft · Asistente conversacional / productividad
La IA de Microsoft: chat gratuito para particulares y Copilot dentro de Word, Excel, Outlook y Teams para empresas.
Preguntas frecuentes
¿Existe ya una ley de inteligencia artificial en España?
No hay una ley española aprobada. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, publicado en junio de 2026, caducó el 6 de octubre de 2026 con la disolución de las Cortes. Lo que sí se aplica es el Reglamento (UE) 2024/1689, que es directamente obligatorio en España.
¿Qué tiene que hacer una empresa que solo usa ChatGPT o Copilot?
Formar a su personal en el uso de IA, no usarla para prácticas prohibidas, etiquetar los deepfakes que publique y avisar cuando un chatbot atiende a clientes. Además, cumplir el RGPD si introduce datos personales. Si la usa para seleccionar personal o evaluar empleados, tendrá obligaciones de alto riesgo desde diciembre de 2027.
¿Qué es la AESIA y dónde está?
Es la Agencia Española de Supervisión de Inteligencia Artificial, con sede institucional en A Coruña según su Estatuto (Real Decreto 729/2023). Supervisa el uso de la IA en España y publica guías prácticas gratuitas para cumplir el Reglamento europeo.
¿Cuándo se aplican las obligaciones de alto riesgo?
Tras el Digital Omnibus aprobado en 2026, el 2 de diciembre de 2027 para los sistemas del anexo III (empleo, educación, crédito, servicios esenciales…) y el 2 de agosto de 2028 para la IA integrada en productos regulados del anexo I.
¿Qué multas puede recibir una empresa por incumplir el Reglamento de IA?
Hasta 35 millones de euros o el 7 % de la facturación mundial por prácticas prohibidas, hasta 15 millones o el 3 % por otras obligaciones y hasta 7,5 millones o el 1 % por dar información incorrecta. A las pymes se les aplica la cifra menor. El reparto de competencias sancionadoras en España está pendiente de ley.
¿Tengo que etiquetar todas las imágenes hechas con IA?
La obligación del responsable del despliegue se refiere a los deepfakes, es decir, contenido realista que imita personas, lugares o hechos. Una ilustración claramente fantasiosa no lo es. Aun así, etiquetar es buena práctica y muchas plataformas lo exigen.
Fuentes consultadas
- Reglamento (UE) 2024/1689 de inteligencia artificial (EUR-Lex)
- Comisión Europea: el AI Omnibus entra en vigor
- Congreso de los Diputados: BOCG A-97-1, Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA
- Congreso de los Diputados: ficha de tramitación de la iniciativa 121/000096
- BOE: Real Decreto 817/2023, entorno controlado de pruebas de IA
- BOE: Real Decreto 729/2023, Estatuto de la AESIA
- AESIA: guías para el cumplimiento del Reglamento de IA
- Comisión Europea: preguntas y respuestas sobre alfabetización en IA
¿Has visto un precio desactualizado o un error? Escríbenos desde la página de contacto y lo revisamos. Consulta también cómo elaboramos nuestras guías.
