Ley IA España: qué cambia para las empresas

31 de mayo de 2026 11 min de lectura

Las leyes que protegen el derecho a la privacidad siguen evolucionando al tiempo que lo hacen las tecnologías de la comunicación y de almacenamiento de datos, pero esas leyes están basadas en unos principios que valoramos. Gary Kasparov
Leído en El Pais (22-11-20)

La pregunta práctica para un directivo no es “¿cuándo entra la ley?”. La pregunta útil es otra: ¿qué decisiones sobre IA estoy tomando ya sin haberlas documentado?

La noticia ha circulado como “la nueva ley de IA en España”. Conviene afinar un poco más.

Lo aprobado por el Consejo de Ministros el 26 de mayo de 2026 es el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. Todavía tiene que completar su tramitación parlamentaria. Esto importa, porque no estamos ante una ley cerrada y publicada en el BOE, sino ante un texto que puede cambiar.

Pero el matiz no rebaja su importancia. Al contrario.

La regulación de la IA no empieza ahora. El AI Act europeo ya está en marcha y se aplica directamente en España. Lo que hace el proyecto español es aterrizar parte de ese marco en el ordenamiento nacional: quién supervisa, cómo se sanciona, qué papel tendrá la AESIA y qué obligaciones concretas tendrán empresas y administraciones.

La IA ya estaba regulada antes de este proyecto español

España no parte de cero. El Reglamento europeo de inteligencia artificial, conocido como AI Act, fue aprobado en 2024 y tiene aplicación directa en los Estados miembros. No necesita una ley española para existir.

El AI Act clasifica los sistemas de IA según el riesgo: riesgo inaceptable, alto riesgo, riesgo limitado y riesgo mínimo. Esa clasificación cambia por completo la forma de decidir. No es lo mismo usar IA para redactar un primer borrador interno que usarla para cribar candidatos, evaluar solvencia, priorizar pacientes o generar contenido sintético que pueda confundirse con material humano.

Las prácticas de riesgo inaceptable ya están prohibidas. Las obligaciones para sistemas de alto riesgo y para el etiquetado de contenido generado o manipulado con IA tienen su propio calendario de aplicación. El proyecto español no sustituye ese marco. Lo ordena, lo concreta y le da una estructura sancionadora nacional.

Aquí está el primer punto de criterio: esperar a que la ley española termine su recorrido parlamentario puede ser una mala decisión. La regulación europea ya marca obligaciones. Y el RGPD sigue aplicando cuando hay datos personales, perfilado, decisiones automatizadas o tratamiento de información sensible.

Qué aporta el proyecto de ley español

El proyecto español introduce una capa nacional sobre el marco europeo. La parte más visible es el régimen sancionador.

Según el texto difundido, las infracciones más graves podrían alcanzar los 35 millones de euros o el 7% de la facturación mundial, lo que resulte mayor. Ese tramo se reserva para prácticas prohibidas, como desplegar sistemas expresamente vetados o generar deepfakes sexuales sin consentimiento.

Para sistemas de alto riesgo, las sanciones previstas pueden llegar a 15 millones de euros o el 3% de la facturación mundial. Aquí entran casos como IA aplicada a selección de personal, educación, crédito, infraestructuras críticas, salud o biometría, cuando no se cumplen obligaciones de documentación, supervisión humana, registro o evaluación de impacto.

También se prevén infracciones graves por incumplimientos de transparencia y gobernanza. Por ejemplo, no etiquetar contenido generado por IA cuando sea obligatorio o no informar de que una persona está interactuando con un sistema automatizado.

La cifra de las multas llama la atención. Es normal. Pero centrarse solo en la multa es quedarse en la superficie. El cambio importante es que la IA deja de poder tratarse como una prueba informal que cada departamento activa por su cuenta.

AESIA: la supervisión se concentra

El proyecto sitúa a la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, como autoridad central de supervisión en España. Su papel no será decorativo.

La AESIA tendrá que supervisar el cumplimiento del AI Act y de la ley nacional, investigar incidentes y reclamaciones, coordinarse con otros reguladores como la AEPD, el Banco de España o la CNMV, e imponer medidas correctoras cuando corresponda.

Esto afecta a cualquier organización que use IA de forma relevante. No solo a quien desarrolla modelos propios. También a quien despliega sistemas de terceros en procesos internos, atención al cliente, marketing, recursos humanos, scoring, generación de contenidos o análisis de datos.

Aquí aparece una confusión habitual: “si uso una herramienta externa, la responsabilidad es del proveedor”. No siempre. El proveedor tendrá sus obligaciones, pero la empresa que decide cómo usa esa herramienta en su contexto también debe responder por ese uso.

Copilot, Gemini o cualquier otra herramienta corporativa no son un problema en sí mismos. El problema aparece cuando se incorporan al trabajo real sin criterio: sin inventario, sin formación, sin límites, sin revisión humana y sin saber qué tipo de datos se están introduciendo.

Deepfakes, menores y contenido generado por IA

Una de las novedades más comentadas es la prohibición expresa de deepfakes sexuales sin consentimiento. No se trata solo de una cuestión tecnológica. Es una cuestión de derechos, daño reputacional, violencia digital y protección de personas reales frente a contenidos sintéticos.

El proyecto también refuerza la protección de menores y personas vulnerables. Quedan bajo especial vigilancia los sistemas que puedan inducir comportamientos peligrosos, explotar adicciones o manipular decisiones aprovechando vulnerabilidades psicológicas, económicas o sociales.

Otra pieza clave es el etiquetado de contenido generado o manipulado con IA. Imágenes, audios, vídeos o textos creados o alterados de forma sustancial mediante IA deberán identificarse de forma clara cuando la normativa lo exija.

Para medios, agencias, departamentos de marketing, comunicación corporativa y creadores de contenido, esto no es un detalle menor. El uso de IA generativa en contenidos públicos va a necesitar más trazabilidad. Quién lo ha generado, con qué herramienta, con qué revisión humana y en qué casos debe indicarse.

El punto incómodo: las administraciones públicas

El texto también incluye un debate delicado: la posible exención de multas económicas para las administraciones públicas. Según la información disponible, cuando una administración incumpla, la respuesta podría limitarse a una resolución, un apercibimiento y medidas correctoras, sin multa económica equivalente a la del sector privado.

Es un punto discutible. Si el impacto sobre derechos fundamentales puede venir tanto de una empresa como de una administración, el ciudadano necesita garantías fuertes en ambos casos.

Para una empresa privada, la lectura práctica es clara: no conviene esperar simetría ni complacencia. El estándar de diligencia va a subir. Y cuando sube el estándar, la documentación deja de ser burocracia y pasa a ser defensa.

Qué debería hacer ahora una empresa

La primera decisión no es contratar una auditoría enorme ni crear un comité que nadie sabrá sostener. La primera decisión es hacer inventario.

Qué sistemas de IA se están usando. Para qué. Quién los usa. Con qué datos. En qué procesos. Con qué proveedores. Qué decisiones apoyan o automatizan. Qué revisión humana existe. Qué riesgos pueden afectar a clientes, empleados, pacientes, candidatos, usuarios o ciudadanos.

Después viene la clasificación: riesgo mínimo, limitado, alto o inaceptable. Sin esa clasificación, cualquier plan de cumplimiento será genérico.

La tercera pieza es la formación. El AI Act exige alfabetización en IA para las personas que trabajan con estos sistemas. No basta con una sesión inspiracional sobre “el futuro de la IA”. La formación debe aterrizar en el rol real de cada persona: qué puede hacer, qué no debería hacer, qué datos no debe introducir, cuándo debe revisar, cuándo debe escalar y cuándo debe parar.

El cuarto paso es documentar criterio. No todo uso de IA requiere el mismo nivel de control, pero toda decisión relevante debería poder explicarse. Por qué se permite una herramienta y no otra. Por qué se automatiza una parte del proceso y otra no. Por qué un caso se considera de bajo riesgo y otro requiere revisión legal, de datos o de compliance.

Esto es IA con criterio: menos entusiasmo por la herramienta y más trazabilidad de la decisión.

Qué no conviene hacer

No conviene convertir la ley en una excusa para paralizarlo todo. Hay usos de IA de bajo riesgo que pueden ser razonables si se aplican con límites claros.

Tampoco conviene hacer lo contrario: seguir probando herramientas porque “todo el mundo lo está haciendo”. Esa frase no sirve ante una reclamación, una auditoría o un incidente.

El error más frecuente será pensar que la regulación se resuelve con una política interna copiada, un curso genérico y una cláusula en el contrato del proveedor. Puede ayudar, pero no sustituye el trabajo real: entender dónde se usa IA, qué decisión toca, qué riesgo introduce y quién responde si algo falla.

La regulación española todavía puede cambiar durante la tramitación parlamentaria. El marco europeo, no. Ya está ahí. Y para muchas empresas, el mayor riesgo no será tener un sistema de IA sofisticado, sino tener muchos usos pequeños, dispersos y sin dueño.

Para consultar Ver texto del Anteproyecto de Ley

Este artículo tiene finalidad informativa y no constituye asesoramiento jurídico. Para decisiones concretas, conviene revisar el caso con especialistas en regulación, protección de datos y compliance.

Preguntas frecuentes sobre la ley española de IA

¿España ya tiene una ley de inteligencia artificial en vigor?

Todavía no como ley definitiva, según la información disponible. Lo aprobado el 26 de mayo de 2026 es un proyecto de ley que debe pasar por la tramitación parlamentaria. Lo que sí está en vigor es el AI Act europeo, que se aplica directamente en España según su calendario.

¿Qué cambia para una empresa que ya usa herramientas como Copilot o Gemini?

Cambia la responsabilidad sobre el uso real de esas herramientas. No basta con decir que la solución es de un proveedor externo. La empresa debe saber quién la usa, para qué, con qué datos, en qué procesos y con qué supervisión. La clave no es prohibir por defecto, sino documentar criterio.

¿Qué sistemas de IA tienen más riesgo regulatorio?

Los sistemas aplicados a selección de personal, educación, crédito, salud, biometría, infraestructuras críticas o decisiones que afecten a derechos de las personas tienen mayor exposición. También son sensibles los contenidos sintéticos, los deepfakes y las herramientas que puedan manipular a menores o personas vulnerables

¿Es obligatorio etiquetar todo contenido creado con IA?

No todo uso interno de IA tendrá la misma obligación, pero el contenido generado o manipulado sustancialmente con IA puede exigir identificación clara cuando pueda afectar a la percepción del usuario. Esto es especialmente relevante para medios, publicidad, comunicación, redes sociales y contenidos públicos de marca.

¿Por dónde debería empezar una pyme?

Por un inventario sencillo. Qué herramientas de IA se usan, quién las usa, para qué finalidad, con qué datos y qué decisiones apoyan. Después puede clasificarse el riesgo y decidir qué controles hacen falta. Sin inventario, cualquier política de IA se queda en declaración de intenciones.

¿Esta regulación afecta solo a empresas tecnológicas?

No. Afecta a cualquier organización que use IA en procesos relevantes. Una empresa no tecnológica puede tener riesgo si usa IA para seleccionar candidatos, segmentar clientes, valorar solvencia, generar contenido público, automatizar atención o tomar decisiones que afecten a personas. La pregunta no es si eres tecnológica. La pregunta es qué decisiones estás delegando o apoyando con IA.