El Consejo de Ministros aprobó el pasado 26 de mayo de 2026 el Proyecto de Ley Orgánica para el Buen Uso y la Gobernanza de la Inteligencia Artificial, una norma que marcará el desarrollo práctico en España del Reglamento Europeo de Inteligencia Artificial (Reglamento UE 2024/1689) y que permitirá completar el sistema de supervisión, control y sanción aplicable a los sistemas de IA que operen en nuestro país.
La aprobación del texto supone un nuevo paso en la estrategia regulatoria española en materia de inteligencia artificial. Aunque el Reglamento europeo se encuentra en vigor desde agosto de 2024 y resulta directamente aplicable en todos los Estados miembros, el propio texto comunitario obliga a cada país a designar autoridades competentes, articular mecanismos de vigilancia y desarrollar el correspondiente régimen sancionador. Precisamente ahí reside una de las principales diferencias entre ambas normas: mientras el Reglamento establece las obligaciones y prohibiciones generales para toda la Unión Europea, el Proyecto de Ley español concreta quién controlará su cumplimiento y cómo se sancionarán las infracciones.
En cuanto a sus similitudes, ambas normas comparten una misma filosofía basada en la gestión del riesgo. Los sistemas de inteligencia artificial se clasifican en función de su potencial impacto sobre las personas y sus derechos fundamentales, estableciendo obligaciones más estrictas para aquellos considerados de alto riesgo y prohibiendo directamente determinadas prácticas consideradas incompatibles con los valores europeos. Entre ellas se encuentran los sistemas que utilizan técnicas subliminales para alterar el comportamiento de las personas, aquellos que explotan vulnerabilidades derivadas de la edad, discapacidad o situación socioeconómica, los sistemas de puntuación social o las herramientas que clasifican a individuos mediante datos biométricos para inferir aspectos sensibles como la orientación sexual, las creencias religiosas o las opiniones políticas.
No obstante, el Proyecto de Ley incorpora algunas particularidades que refuerzan el modelo español de gobernanza de la inteligencia artificial. Entre las más destacadas figura el impulso dado por España a la ampliación de las prácticas prohibidas en el ámbito europeo, promoviendo la prohibición de los sistemas capaces de generar deepfakes sexuales o contenidos de explotación sexual infantil mediante inteligencia artificial. Asimismo, la norma introduce medidas específicas para el sector público estatal, como la creación de un inventario de sistemas de IA utilizados por la Administración, la futura figura del delegado de inteligencia artificial y el desarrollo de los denominados sandboxes regulatorios, entornos controlados de pruebas destinados a facilitar que empresas y desarrolladores validen sus sistemas bajo supervisión antes de su puesta en el mercado.
Uno de los aspectos más relevantes del Proyecto de Ley es el desarrollo del régimen sancionador previsto por el Reglamento europeo. Las infracciones se clasifican en leves, graves y muy graves, pudiendo alcanzar las sanciones más elevadas los 35 millones de euros o el 7% del volumen de negocio mundial anual de la empresa infractora cuando se trate de prácticas prohibidas o incumplimientos especialmente graves. Para determinados incumplimientos de obligaciones previstas en la normativa, las multas podrán ascender hasta los 15 millones de euros o el 3% de la facturación global, mientras que las infracciones leves podrán sancionarse con importes de hasta 500.000 euros o el 0,5% del volumen de negocio. La aplicación de este régimen corresponderá principalmente a la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), que actuará como autoridad de referencia y punto único de coordinación, sin perjuicio de las competencias atribuidas a otros organismos como la Agencia Española de Protección de Datos, el Consejo General del Poder Judicial, el Banco de España o la Comisión Nacional del Mercado de Valores en aquellos ámbitos sometidos a su supervisión específica.
En cuanto a su aplicación temporal, conviene recordar que el Reglamento Europeo de Inteligencia Artificial, de aplicación directa en todos los Estados miembros, ya ha comenzado a desplegar sus efectos. Desde febrero de 2025 son aplicables las prohibiciones relativas a determinados usos de la IA considerados de riesgo inaceptable. Además, la aplicación general del Reglamento tendrá lugar el 2 de agosto de 2026, momento en el que comenzarán a ser plenamente exigibles gran parte de las obligaciones previstas en el mismo. Por su parte, el Proyecto de Ley español todavía deberá completar su tramitación parlamentaria antes de entrar en vigor. Su principal objetivo es definir las autoridades competentes y los mecanismos de supervisión que permitirán aplicar de forma efectiva en España las previsiones del Reglamento europeo.
En este escenario, las organizaciones que desarrollen o utilicen sistemas de inteligencia artificial deberán reforzar sus procesos de control interno para garantizar el cumplimiento de las nuevas obligaciones en materia de transparencia, supervisión y gestión de riesgos. Un reto en el que desde Audidat ya acompañan a empresas y entidades públicas en la adaptación al nuevo marco regulatorio de la IA.
La aprobación del texto supone un nuevo paso en la estrategia regulatoria española en materia de inteligencia artificial. Aunque el Reglamento europeo se encuentra en vigor desde agosto de 2024 y resulta directamente aplicable en todos los Estados miembros, el propio texto comunitario obliga a cada país a designar autoridades competentes, articular mecanismos de vigilancia y desarrollar el correspondiente régimen sancionador. Precisamente ahí reside una de las principales diferencias entre ambas normas: mientras el Reglamento establece las obligaciones y prohibiciones generales para toda la Unión Europea, el Proyecto de Ley español concreta quién controlará su cumplimiento y cómo se sancionarán las infracciones.
En cuanto a sus similitudes, ambas normas comparten una misma filosofía basada en la gestión del riesgo. Los sistemas de inteligencia artificial se clasifican en función de su potencial impacto sobre las personas y sus derechos fundamentales, estableciendo obligaciones más estrictas para aquellos considerados de alto riesgo y prohibiendo directamente determinadas prácticas consideradas incompatibles con los valores europeos. Entre ellas se encuentran los sistemas que utilizan técnicas subliminales para alterar el comportamiento de las personas, aquellos que explotan vulnerabilidades derivadas de la edad, discapacidad o situación socioeconómica, los sistemas de puntuación social o las herramientas que clasifican a individuos mediante datos biométricos para inferir aspectos sensibles como la orientación sexual, las creencias religiosas o las opiniones políticas.
No obstante, el Proyecto de Ley incorpora algunas particularidades que refuerzan el modelo español de gobernanza de la inteligencia artificial. Entre las más destacadas figura el impulso dado por España a la ampliación de las prácticas prohibidas en el ámbito europeo, promoviendo la prohibición de los sistemas capaces de generar deepfakes sexuales o contenidos de explotación sexual infantil mediante inteligencia artificial. Asimismo, la norma introduce medidas específicas para el sector público estatal, como la creación de un inventario de sistemas de IA utilizados por la Administración, la futura figura del delegado de inteligencia artificial y el desarrollo de los denominados sandboxes regulatorios, entornos controlados de pruebas destinados a facilitar que empresas y desarrolladores validen sus sistemas bajo supervisión antes de su puesta en el mercado.
Uno de los aspectos más relevantes del Proyecto de Ley es el desarrollo del régimen sancionador previsto por el Reglamento europeo. Las infracciones se clasifican en leves, graves y muy graves, pudiendo alcanzar las sanciones más elevadas los 35 millones de euros o el 7% del volumen de negocio mundial anual de la empresa infractora cuando se trate de prácticas prohibidas o incumplimientos especialmente graves. Para determinados incumplimientos de obligaciones previstas en la normativa, las multas podrán ascender hasta los 15 millones de euros o el 3% de la facturación global, mientras que las infracciones leves podrán sancionarse con importes de hasta 500.000 euros o el 0,5% del volumen de negocio. La aplicación de este régimen corresponderá principalmente a la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), que actuará como autoridad de referencia y punto único de coordinación, sin perjuicio de las competencias atribuidas a otros organismos como la Agencia Española de Protección de Datos, el Consejo General del Poder Judicial, el Banco de España o la Comisión Nacional del Mercado de Valores en aquellos ámbitos sometidos a su supervisión específica.
En cuanto a su aplicación temporal, conviene recordar que el Reglamento Europeo de Inteligencia Artificial, de aplicación directa en todos los Estados miembros, ya ha comenzado a desplegar sus efectos. Desde febrero de 2025 son aplicables las prohibiciones relativas a determinados usos de la IA considerados de riesgo inaceptable. Además, la aplicación general del Reglamento tendrá lugar el 2 de agosto de 2026, momento en el que comenzarán a ser plenamente exigibles gran parte de las obligaciones previstas en el mismo. Por su parte, el Proyecto de Ley español todavía deberá completar su tramitación parlamentaria antes de entrar en vigor. Su principal objetivo es definir las autoridades competentes y los mecanismos de supervisión que permitirán aplicar de forma efectiva en España las previsiones del Reglamento europeo.
En este escenario, las organizaciones que desarrollen o utilicen sistemas de inteligencia artificial deberán reforzar sus procesos de control interno para garantizar el cumplimiento de las nuevas obligaciones en materia de transparencia, supervisión y gestión de riesgos. Un reto en el que desde Audidat ya acompañan a empresas y entidades públicas en la adaptación al nuevo marco regulatorio de la IA.
