Actualización (1 de noviembre de 2026): el proyecto que describe este artículo ha caducado. El Real Decreto 806/2026, de 5 de octubre, disolvió el Congreso y el Senado y convocó elecciones generales para el 29 de noviembre. El expediente 121/000096 quedó marcado "Concluido - Caducado" el 6 de octubre, sin llegar a votarse en el Pleno. No es ley, y tendrá que volver a presentarse desde cero en la próxima legislatura. Dejamos el resto del artículo tal cual se publicó, como registro de lo que proponía el texto, y hemos escrito el análisis completo de qué cambia y qué no con esta noticia.
El AI Act (Reglamento UE 2024/1689) ya es de aplicación directa en España, igual que lo fue el RGPD antes de que existiera la LOPD. Eso significa que la AESIA tiene base legal para actuar hoy, sin esperar a ninguna ley nacional. España, como hicimos con el RGPD, intentó tramitar también su propia norma de desarrollo: el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la Inteligencia Artificial. Esto es lo que proponía, y dónde se quedó.
Esa ley añadía piezas importantes —quién sanciona exactamente, cuánto, y con qué procedimiento— que el Reglamento europeo deja en manos de cada Estado miembro.
Dónde se quedó
No llegó a ser ley, y ahora mismo no hay ningún proyecto vivo que la sustituya. Nada de lo que describe el resto de este artículo —multas exactas, reparto de competencias, plazos de autorización judicial— es exigible en esos términos. Lo que sí es exigible, y sigue intacto, es el Reglamento UE 2024/1689 en su totalidad. Detalles en nuestro artículo sobre la caducidad.
Qué añadirá esta ley cuando se apruebe
El Reglamento europeo fija las obligaciones de fondo, pero deja a cada país decidir el "quién" y el "cuánto" de la vigilancia. Esto es lo que resuelve la norma española:
Una autoridad central, con sede en A Coruña
La AESIA queda designada autoridad central de supervisión y punto único de contacto, con potestad sancionadora sobre la mayoría de las prácticas prohibidas y los sistemas de alto riesgo del Anexo III (RRHH, educación, gestión de trabajadores, entre otros).
Competencias repartidas por sector
No toda la supervisión recae en la AESIA. La ley reparte competencias sectoriales entre varios reguladores ya existentes:
- AEPD — protección de datos
- Banco de España y CNMV — scoring crediticio y solvencia
- Dirección General de Seguros — seguros de vida y salud
- CGPJ — sistemas usados en el ámbito de la justicia
- Junta Electoral Central — procesos democráticos
Para una empresa de banca o seguros, esto importa: su interlocutor en una inspección de IA puede no ser la AESIA, sino su regulador sectorial habitual.
Las multas, en cifras concretas de derecho español
7,5–15M€ (alto riesgo)
Con reducciones del 20–25% si hay reconocimiento de responsabilidad o pago voluntario (25% para pymes) — un incentivo directo a colaborar con la inspección en lugar de litigar.
El sector público, exento de multas
Uno de los puntos más discutidos del proyecto: las administraciones públicas quedan exentas de multas administrativas. La consecuencia, si se aprueba tal cual, es solo una amonestación al cargo responsable. Para el sector privado, la exposición económica es real; para el público, de momento, no.
Dos reglas propias de España
- Deepfakes sexuales sin consentimiento: prohibición específica que el Reglamento europeo no recoge con este detalle.
- Autorización judicial para biometría remota en tiempo real: los Juzgados de lo Contencioso-Administrativo tendrían 48 horas para resolver.
Qué significa esto para su empresa, hoy
No espere a que esta ley se apruebe para empezar. El Reglamento UE ya obliga hoy a cualquier empresa que use sistemas de IA de alto riesgo, y la AESIA ya tiene potestad sancionadora vía aplicación directa del Reglamento — sin necesidad de esta norma nacional. Lo que trae la Ley Orgánica es precisión: cifras concretas, procedimiento y quién exactamente llamará a la puerta según el sector.
A fecha de este artículo, no se ha registrado ninguna sanción formal del AI Act ni en España ni en la Unión Europea. Eso no significa ausencia de riesgo: significa que el régimen sancionador todavía se está construyendo, y las empresas que se preparen ahora llegarán con ventaja cuando la maquinaria esté completa. La Comisión Europea, en paralelo, está ampliando su AI Office con 40 nuevos puestos dedicados a inspección — la supervisión europea se refuerza, no se relaja.
